L'audit interne n'est pas une option dans un système de management de la sécurité de l'information (SMSI) conforme à l'ISO 27001 : c'est une exigence explicite de la norme (clause 9.2). Son objectif est simple à énoncer mais exigeant à mettre en œuvre : vérifier que le SMSI fonctionne réellement comme il est censé fonctionner sur le papier, et le faire avant qu'un organisme de certification externe ne s'en charge. Bien préparé, cet audit devient un véritable outil d'amélioration continue plutôt qu'une formalité administrative de plus.

Pourquoi l'indépendance de l'auditeur compte

La norme exige que l'audit interne soit mené de façon objective et impartiale : une personne ne peut pas auditer son propre travail. Concrètement, cela signifie qu'un responsable ne peut pas auditer les processus qu'il pilote lui-même au quotidien. Selon la taille de l'organisation, ce principe se traduit par une rotation des rôles entre équipes, un audit croisé entre services, ou le recours à un auditeur externe indépendant. Cette indépendance n'est pas une contrainte bureaucratique : c'est ce qui garantit que l'audit produit une image fidèle de la réalité, plutôt qu'une validation de confort.

Construire un plan d'audit qui couvre l'ensemble du périmètre

Un audit interne commence par un plan formel, qui définit précisément le périmètre concerné, les processus à examiner, les critères d'audit retenus (les exigences de la norme elle-même, mais aussi les procédures internes que l'organisation s'est fixées), ainsi qu'un calendrier réaliste. Sur l'ensemble du cycle de certification, ce plan doit couvrir l'intégralité du SMSI, et non se concentrer uniquement sur les domaines où l'organisation se sent le plus à l'aise. Un audit qui évite systématiquement les sujets sensibles perd une grande partie de sa valeur.

Réunir les documents et les preuves

Lors de l'audit, l'auditeur devra pouvoir consulter un ensemble de documents et de preuves concrètes : la politique de sécurité en vigueur, l'analyse de risques à jour, la Déclaration d'Applicabilité (SoA) qui justifie les contrôles retenus ou écartés, les procédures opérationnelles, et surtout des preuves tangibles de leur application effective — tickets de gestion des incidents, journaux d'accès, comptes rendus de comité de sécurité, résultats de campagnes de sensibilisation. Un point mérite d'être souligné, car il surprend souvent les équipes qui découvrent l'exercice : l'absence de preuve documentée est traitée par l'audit comme une non-conformité, même lorsque le contrôle concerné est réellement appliqué au quotidien. En matière d'audit, ce qui n'est pas documenté est considéré comme n'existant pas.

Conduire les entretiens et observer les preuves sur le terrain

Au-delà de la revue documentaire, un audit interne solide combine trois sources d'information : les documents eux-mêmes, des entretiens avec les personnes qui appliquent réellement les procédures au quotidien, et l'observation directe de la mise en œuvre — par exemple, vérifier concrètement qu'un compte désactivé lors d'un départ l'a bien été dans les délais prévus par la procédure, plutôt que de se contenter de lire la procédure qui le prévoit. C'est souvent cet écart entre ce qui est écrit et ce qui est réellement pratiqué que l'audit interne a pour fonction de révéler.

Traiter les non-conformités correctement

Chaque écart constaté au cours de l'audit doit donner lieu à une analyse de cause — pourquoi cet écart s'est-il produit, et pas seulement ce qui s'est produit — puis à un plan d'action assorti de responsables identifiés et d'échéances réalistes. La norme distingue généralement les non-conformités mineures (un écart ponctuel ou isolé) des non-conformités majeures (une défaillance systémique ou l'absence complète d'un contrôle exigé), ce qui permet de prioriser le traitement en fonction de la gravité réelle plutôt que de traiter tous les écarts de la même manière.

Un point contre-intuitif mais important : un audit interne qui ne remonte strictement aucune non-conformité est rarement un bon signe. Il traduit le plus souvent un audit trop superficiel, plutôt qu'un SMSI réellement parfait. Un organisme de certification expérimenté verra généralement cette absence totale d'écarts comme un signal d'alerte plutôt que comme une preuve de maturité.

« L'objectif d'un audit interne n'est pas de réussir un contrôle : c'est de trouver ce qui doit être amélioré avant que quelqu'un d'autre — un client, un régulateur, un incident réel — ne le trouve à votre place. »

Le rapport d'audit : le livrable qui compte

L'audit se conclut par un rapport formel, qui constitue à la fois la mémoire de l'exercice et le point de départ du plan d'action qui suivra. Un rapport utile ne se contente pas de lister des écarts constatés : il précise pour chacun le critère de la norme concerné, la preuve (ou l'absence de preuve) observée, la gravité retenue, et si possible une recommandation concrète. Ce rapport est ensuite présenté à la direction lors de la revue de direction, où les plans d'action correspondants sont formellement validés, budgétés le cas échéant, et assortis de responsables et d'échéances. Un rapport d'audit qui reste sans suite après sa présentation perd l'essentiel de sa valeur : c'est le suivi effectif des actions décidées, bien plus que la production du rapport lui-même, qui détermine si l'audit aura réellement contribué à l'amélioration du SMSI.

En pratique

Préparer efficacement un audit interne revient donc à anticiper ce que l'auditeur va chercher : rassembler les preuves en amont plutôt que dans l'urgence, s'assurer que les responsables des processus concernés sont disponibles pour les entretiens, et surtout aborder l'exercice comme une occasion réelle d'identifier des points d'amélioration, plutôt que comme un contrôle à réussir coûte que coûte. C'est cette posture qui distingue un SMSI qui progresse réellement dans le temps d'un SMSI qui se contente de maintenir les apparences d'une conformité de façade.