Le générateur
Cochez les cases, le plan d'audit se construit
Partez d'un exemple ou composez votre mission : référentiels applicables, domaines à couvrir et niveau de risque de chacun. Le plan se recalcule à chaque case cochée.
Plan d'audit
Phases et charge
| Phase | Jours |
|---|
Répartition des jours de tests
| Domaine | Risque | Jours | Poids | Questions |
|---|
Dans la version complète, ce plan s'accompagne aussitôt de :
- Programme de travail : les 0 questions, leurs étapes de test et l'échantillon
- Questionnaires notés de 1 à 4, avec observations
- Liste des documents à demander, dédoublonnée par domaine
- Concordance avec les référentiels cochés
Cette version est mise à disposition dans le cadre d'une mission.
Ce que produit le générateur
Un cadrage, six livrables cohérents
À partir des mêmes cases cochées, le générateur puise dans les 236 questions du référentiel : le plan, le programme, les questionnaires et la liste des documents restent cohérents entre eux. Sur ce site, chaque générateur est présenté par un exemple. La version complète est mise à disposition dans le cadre d'une mission.
Plan d'audit
Phases, charge et répartition des jours de tests par domaine, au prorata du risque retenu pour chacun.
Composer un plan →Programme de travail
Les questions retenues, avec leurs étapes de test, l'échantillonnage selon la profondeur, les preuves attendues et les références.
Voir une question →Questionnaires notés
Une fiche par question, notée de 1 à 4 selon des critères propres à chaque test, avec l'observation de l'auditeur.
Voir une fiche complète →Documents à demander
Les preuves attendues, regroupées par domaine et dédoublonnées, à envoyer à l'audité dès le lancement.
Voir un extrait →Concordance
Pour chaque article ou clause des référentiels retenus, les questions qui le couvrent, et l'inverse.
Voir les référentiels couverts →Synthèse des notes
Moyenne, répartition des notes et constats notés 3 ou 4 par domaine, prêts pour le rapport.
Voir dans l'étude de cas →Les six générateurs à l'œuvre sur une mission fictive : le déroulement, les documents produits, un test exécuté et la synthèse.
Lire l'étude de cas →Le principe
Relier les normes plutôt qu'en apprendre une de plus. Une question d'audit, toutes ses références.
La jungle des normes ne va pas disparaître. Elle va même s'épaissir, avec l'intelligence artificielle, la résilience et les exigences sur les tiers. Je ne crois pas qu'il faille connaître une norme de plus. Je crois qu'il faut savoir les relier, les traduire en tests concrets et les expliquer simplement à chacun.
| N° | La méthode DIAG.IT : tester une fois, couvrir tout |
|---|---|
| 1 | Partir de la question d'audit, pas de la norme. |
| 2 | Pour chaque question, citer toutes les normes et tous les articles qu'elle couvre, et retenir l'exigence la plus stricte. |
| 3 | Préciser la méthode de test, l'échantillon, les preuves attendues et le critère de notation. |
Un test, documenté une fois, sert tous les textes à la fois. Je ne voulais pas un catalogue de plus. Je voulais un traducteur : une question simple pour l'auditeur qui débute, la référence précise pour l'expert, la traçabilité pour le superviseur.
Aperçu
À quoi ressemble une fiche de test
Chaque question du référentiel suit le même modèle : objectif de contrôle, références, étapes de test, échantillonnage, preuves attendues, critères de notation et point de vigilance. Voici une fiche complète, telle qu'elle est utilisée en mission.
ACCE-14Les droits d'accès sont-ils recertifiés périodiquement par les propriétaires d'applications ou de données ?
Vérifier que les droits d'accès sont revus périodiquement par les responsables métier et que les anomalies sont corrigées. NIST PR.AA-05 : définir, gérer, appliquer et revoir les permissions d'accès.
- Obtenir la fréquence définie par la politique et les 2 dernières revues
- Pour la dernière revue, vérifier le périmètre, les approbateurs et la date de retour
- Vérifier que les droits à retirer ont été effectivement retirés (comparer l'état avant et après)
- Rapprocher les approbateurs des propriétaires désignés
Dernière revue : exhaustif sur le périmètre. n droits à retirer vérifiés après revue.
Rapports de revue ; validations ; tickets de retrait ; états des droits
Revue à la fréquence définie, périmètre complet, droits retirés dans le délai
Revue à la fréquence définie, 1 application hors périmètre ou retraits tardifs
Revue partielle, ou retraits non effectués pour 10 à 25 % des droits
Aucune revue depuis plus de 12 mois, ou retraits non vérifiés
Vérifier les retraits effectifs : une revue sans correction n'a pas d'effet.
Quelques autres questions du référentiel, avec leurs références :
| Code | Question d'audit | Références |
|---|---|---|
| ACCE-11 | L'authentification multifacteur est-elle imposée à tous les accès privilégiés ? | DORA art. 9(4)(d)ISO/IEC 27001:2022 Annexe A.8.5NIS2 art. 21(2)(j)NIST CSF 2.0 PR.AA-03 |
| CONT-04 | Des restaurations sont-elles testées régulièrement sur des systèmes critiques et leurs résultats consignés ? | DORA art. 12(2)ISO/IEC 27001:2022 Annexe A.8.13NIST CSF 2.0 PR.DS-11RGPD art. 32(1)(c)RGPD art. 32(1)(d) |
| INCI-15 | Si l'entité est une entité financière, les incidents majeurs liés aux TIC sont-ils classés et notifiés à l'autorité selon les délais fixés par la réglementation DORA ? | DORA art. 17DORA art. 18DORA art. 19DORA, normes techniques RD 2024/1772DORA, normes techniques RD 2025/301ISO/IEC 27001:2022 Annexe A.5.26ISO/IEC 27001:2022 Annexe A.5.31NIST CSF 2.0 RS.CO-02 |
| TIER-14 | Des stratégies de sortie et de réversibilité sont-elles définies, contractualisées et testées pour les services critiques, avec restitution et suppression des données ? | DORA art. 28(8)DORA art. 30(2)(d)DORA art. 30(3)(f)ISO/IEC 27001:2022 Annexe A.5.20ISO/IEC 27001:2022 Annexe A.5.23ISO/IEC 27001:2022 Annexe A.8.10NIST CSF 2.0 GV.SC-10RGPD art. 28(3)(g) |
| DONN-02 | Les traitements susceptibles d'engendrer un risque élevé pour les personnes ont-ils fait l'objet d'une analyse d'impact avant leur mise en œuvre, et les mesures retenues sont-elles appliquées ? | ISO/IEC 27001:2022 Annexe A.5.34ISO/IEC 27701:2025 6.1NIST CSF 2.0 ID.RA-04RGPD art. 35RGPD art. 36 |
| IA-05 | L'usage d'outils d'IA générative par le personnel est-il encadré (outils autorisés, informations interdites, mesures techniques, contrats) ? | ISO/IEC 27001:2022 Annexe A.5.10ISO/IEC 27001:2022 Annexe A.8.12ISO/IEC 42001:2023 5.2NIST CSF 2.0 PR.DS-01RGPD art. 32RGPD art. 5(1)(f) |
236 fiches de ce type, sur 13 domaines. La bibliothèque complète, avec filtres par référentiel, notation et exports, est mise à disposition dans le cadre d'une mission.
En parler →Documents à demander
Une seule liste, envoyée dès le premier jour
Chaque fiche indique les preuves attendues. Le générateur les regroupe par domaine et supprime les doublons : l'audité reçoit une seule liste au lancement, au lieu de demandes au fil de l'eau. Voici un extrait pour quatre domaines.
| Domaine | Document demandé | Pour la question |
|---|---|---|
| ACCE | Politique de gestion des accès et des habilitations en vigueur | ACCE-14 |
| ACCE | Rapports des deux dernières revues des droits, avec les validations des propriétaires | ACCE-14 |
| ACCE | Tickets de retrait et états des droits avant et après la dernière revue | ACCE-14 |
| ACCE | Liste des comptes à privilèges et paramétrage de l'authentification multifacteur | ACCE-11 |
| CONT | Politique de sauvegarde et procès-verbaux des derniers tests de restauration | CONT-04 |
| INCI | Procédure de classification des incidents et registre des incidents des douze derniers mois | INCI-15 |
| INCI | Notifications d'incidents majeurs adressées à l'autorité, avec leurs dates | INCI-15 |
| TIER | Registre des prestataires TIC et contrats des services critiques | TIER-14 |
| TIER | Stratégies de sortie et comptes rendus des tests de réversibilité | TIER-14 |
Extrait rédigé à titre d'illustration. En mission, la liste couvre toutes les questions retenues et sert ensuite de suivi : document reçu, version, date.
Traçabilité
Quatorze référentiels, 405 références tracées
Chaque article, clause ou sous-catégorie cité est relié aux questions qui le couvrent. Le tableau ci-dessous indique, pour chaque référentiel, le nombre de références tracées et le nombre de questions concernées.
| Référentiel | Références | Questions |
|---|---|---|
| NIST CSF 2.0 | 101 | 233 |
| ISO/IEC 27001:2022 Annexe (mesures ISO/IEC 27002:2022) | 93 | 210 |
| DORA (Règlement 2022/2554) | 65 | 102 |
| RGPD (Règlement 2016/679) | 44 | 34 |
| ISO/IEC 27001:2022 (clauses) | 43 | 36 |
| NIS2 (Directive 2022/2555) | 21 | 66 |
| ISO 22301:2019 (clauses) | 9 | 10 |
| AI Act (Règlement 2024/1689) | 6 | 5 |
| DORA, normes techniques (RTS/ITS) | 6 | 10 |
| ISO/IEC 42001:2023 (clauses) | 5 | 4 |
| ITIL 4 | 5 | 17 |
| ISO/IEC 27701:2025 (clauses) | 4 | 4 |
| CRA (Règlement 2024/2847) | 2 | 1 |
| ISO/IEC 27017 | 1 | 1 |
Le site ne reproduit pas le texte des normes : les références renvoient aux textes officiels. La table de correspondance détaillée, article par article, fait partie de la version mise à disposition en mission.
Version complète réservée aux missions. Le référentiel détaillé, la concordance et les six générateurs sont mis à disposition dans le cadre d'un diagnostic ou d'un accompagnement.
Demander une présentation →