Comme souvent, j'écris en fonction de mon actualité et de celles de mes clients. Et parce que les sujets s'enchaînent souvent, je viens de passer pas mal de temps à délivrer des audits internes (dans la position de l'auditeur, donc).

Avec parfois ce constat : la vision de l'audit interne n'est pas tout à fait la bonne. Et c'est bien dommage.

Alors oui, le mot "audit" a souvent mauvaise presse. Il évoque des images d'auditeurs pointilleux à la recherche de la non-conformité par pur plaisir, de documents épluchés jusqu'à la dernière virgule et de stress pour les équipes.

On peut ajouter que l'audit interne, dans le cadre d'une démarche ISO 27001 ou HDS, est vu comme "la contrainte avant la contrainte" : une étape obligatoire de plus à cocher sur le planning et du temps perdu qu'on aurait préféré passer à faire autre chose. 

Si vous le voyez ainsi, vous passez à côté de l'essentiel.

Où se place l'audit interne dans le cycle ?

Pour faire simple : l'audit interne est une grande étape de vérification avant l'audit de certification (ou de surveillance).

Dans le cycle PDCA (Plan-Do-Check-Act) cher à l'ISO, c'est le cœur du "Check" (la clause 9.2, si vous ouvrez frénétiquement votre norme en me lisant).

C'est le moment où l'on vérifie, à froid et sans l'enjeu du certificat, si la machine tourne rond. Il doit impérativement avoir lieu après que les fondamentaux soient en place, mais assez tôt avant l'audit officiel. Afin d'avoir le temps de mettre en place des actions correctives si nécessaire.

Pourquoi est-il vital pour la performance du SMSI ?

L'intérêt de l'audit interne dépasse largement la simple conformité. Si vous le faites sérieusement, il apporte trois bénéfices majeurs :

L'audit interne confronte la théorie à la réalité

C'est le grand classique : la procédure écrite par le responsable du SMSI dit "A", mais sur le terrain, les collaborateurs font "B" parce que c'est plus pratique au quotidien.

Quand l'audit interne met le doigt dessus, il ne juge pas les personnes, il juge l'efficacité du système. Il permet de se demander : "Pourquoi ne suit-on pas la règle ? Est-elle inapplicable ? Est-elle mal connue ?".

L'audit interne prépare psychologiquement les équipes

Recevoir un auditeur tierce partie, c'est toujours un peu stressant. On a peur de donner la mauvaise réponse, de montrer le mauvais écran ou le mauvais document, de ne pas dégainer instantanément la preuve attendue ("Je vous assure, c'est là, quelque part").

Ça permet de comprendre la posture de l'audité et de voir que finalement, l'auditeur est juste un humain (mais si !). Et il est d'autant mieux placé pour vous comprendre qu'il est souvent lui-même impliqué dans des projets d'implémentation : il n'est pas déconnecté des réalités.

L'audit interne est une fondation de l'amélioration continue

Pour les certifications exigeantes (par exemple HDS  - Hébergement de Données de Santé), la moindre faille dans les processus peut avoir des conséquences fortes.

L'audit interne est le mécanisme qui permet de dire : "finalement on est bon là-dessus, mais sur la gestion des accès on est limite et il faut faire quelque chose".

Il alimente votre plan d'action et vous aide à revoir vos priorités. C'est un élément d'entrée de la revue de direction pour montrer que le système vit et qu'il s'améliore (Act).

Et puisqu'on parle d'ISO, le rapport d'audit interne est une information documentée. Que rêver de mieux ? ;-)

Comment mettre en place son audit interne ?

Il y a deux règles d'or concernant l'audit interne : l'objectivité et l'impartialité.

Dit autrement, on ne peut pas s'auditer soi-même en étant juge et partie : le RSSI ne peut pas auditer son propre travail de gouvernance. L'administrateur système ne peut pas auditer sa propre gestion des patchs. Le développeur ne peut pas auditer ses pratiques de sécurisation du code.

En tout cas pas avec le recul nécessaire.

Deux solutions s'offrent à vous :

1. L'audit croisé : Le service qualité audite l'informatique, l'informatique audite les RH, etc. C'est économique (sur le papier), mais ça demande une montée en compétence forte de vos équipes sur la norme. Compétence qu'il faudra maintenir sur la durée. 
2. L'appel à un tiers : C'est souvent l'option la plus pragmatique pour les entreprises. Vous faites venir un auditeur qualifié (comme votre serviteur, par exemple) pour réaliser cet exercice.

L'avantage de l'externe ? Il n'a pas d'affect (même s'il est sympa). Parce qu'en audit croisé, il est forcément plus difficile de garantir l'objectivité et l'impartialité face aux gens qu'on croise chaque jour. 

Et puisque l'auditeur externe est quelqu'un qui navigue dans des SMSI divers et variés, il sait ce qui pose souvent problème et met l'accent sur les contrôles qui sont les plus pertinents dans votre contexte.

En conclusion

(oui, déjà)

Ne subissez pas l'audit interne. Provoquez-le.

Vous pouvez même en déclencher un en dehors du cycle "standard", quand vous commencez à vous poser des questions sur l'efficacité de votre SMSI ou que vous vous sentez un peu perdu dans votre projet de mise en conformité.

C'est votre outil de pilotage le plus puissant pour savoir où vous en êtes vraiment. Un bon rapport d'audit interne, même s'il contient des constats un peu désagréables en première lecture, est toujours une excellente nouvelle : c'est autant de problèmes que l'auditeur de certification ne découvrira pas lui-même et une magnifique opportunité de prendre du recul sur les pratiques.

Aussi, il permet de se rassurer : même si on a tendance à sauter très vite à la liste des non-conformités, un rapport d'audit liste aussi un grand nombre de points forts qui font du bien à lire. Une remarque couramment entendue en fin d'audit interne : "on n'est pas mal en fait ". Mais oui !

Enfin, l'audit interne est parfois un précieux coup de pouce pour redynamiser un SMSI qui s'endort un peu et qui avait juste besoin d'un petit rappel pour se relancer.

Bref, l'audit interne est un investissement de sérénité. Et en matière de cybersécurité et de conformité, la sérénité n'a pas de prix.

Si vous avez des besoins d'audit interne ou d'un point de vue externe sur votre SMSI, que le sujet soit l'ISO 27001 ou HDS, n'hésitez pas à me contacter pour échanger.