Mener une mission d'audit interne
Une mission tient en quatre temps. Sans mandat, sans preuve et sans date de clôture, le rapport ne sert qu'à être relu l'année suivante.
Le programme annuel dit quelles missions ont lieu. La mission, elle, a un début et une fin. Elle vérifie un périmètre précis contre des critères nommés, elle conserve les preuves, et elle ne se ferme que lorsque la recommandation est mise en œuvre. Voici le déroulement que les équipes peuvent suivre, que l'audit porte sur ISO 27001, la Loi 25 ou un processus interne.
Les quatre temps
1. Mandat
Un document court : objectif, périmètre, critères, équipe, dates, et ce qui est hors portée. Les critères sont des textes que l'on peut citer, par exemple un contrôle d'ISO 27001:2022, une clause de votre politique, ou une obligation de la Loi 25. La personne qui audite ne devrait pas être celle qui opère le processus au quotidien.
2. Préparation
Envoyez la liste de preuves avant les rencontres : politiques en vigueur, extraits de journaux, tickets, preuves d'accès. Une entrevue sans pièce à l'appui produit des impressions, pas un constat.
3. Constat
Chaque écart s'écrit en une phrase : le critère, le fait observé, la preuve, et l'écart entre les deux. « Le contrôle est faible » n'est pas un constat. Joignez la pièce, ou l'endroit où elle se trouve.
4. Clôture
La recommandation nomme un responsable et une date. Elle se ferme quand la preuve de mise en œuvre est au dossier, pas quand le responsable dit que c'est prévu. Le rapport final reprend les constats ouverts et ceux qui sont clos.
Ce qu'il faut demander sur le terrain
Le document en vigueur
Pas la version brouillon. Vérifiez la date d'approbation et que les équipes utilisent celle-là.
Un échantillon, pas une promesse
Cinq accès, cinq dossiers, cinq changements. Le nombre se choisit selon le volume. L'échantillon se note, pour pouvoir le refaire.
L'exception
Demandez un cas qui n'a pas suivi le processus. C'est souvent là que le contrôle s'arrête.
Après le rapport
Les constats ouverts entrent dans le suivi, avec le même identifiant que dans le rapport. À la mission suivante, on recommence par cette liste. Un constat qui revient deux années de suite sans responsable nommé est un problème de programme, pas de rédaction.
Mandat, preuves et clôture dans le même dossier
CapAUDIT relie le programme, la mission, les constats et la preuve qui ferme la recommandation.