Définir le résultat attendu avant de réunir les documents
La première étape consiste à préciser la décision que l’audit doit éclairer : vérifier un niveau de protection général, répondre à une demande client, préparer un renouvellement de contrat, évaluer un environnement cloud ou prioriser des investissements. Sans objectif explicite, le périmètre peut devenir trop large et le rapport difficile à exploiter.
L’entreprise peut rédiger une note d’une page indiquant les activités critiques, les principales inquiétudes, les échéances et les exclusions connues. Cette note ne remplace pas le cadrage du prestataire ; elle facilite la réunion de lancement et permet de comparer les propositions sur une base commune.
Établir un inventaire suffisamment fiable
L’auditeur doit comprendre les composants qui soutiennent l’activité : postes, serveurs, applications, services cloud, équipements réseau, sauvegardes, sites, connexions distantes et prestataires. Un inventaire imparfait mais daté et expliqué vaut mieux qu’une liste théorique jamais mise à jour.
Il est utile d’indiquer le propriétaire fonctionnel de chaque service, le fournisseur, le mode d’hébergement et le niveau de criticité. Les schémas de flux et d’interconnexion aident à repérer les dépendances, notamment entre la messagerie, les outils métiers, les espaces de partage et les systèmes de sauvegarde.
Rassembler les politiques, contrats et preuves utiles
Les documents souvent demandés comprennent les règles d’usage informatique, les procédures d’arrivée et de départ, les listes de comptes administrateurs, les contrats d’infogérance, les procédures de sauvegarde, les rapports d’incident et les résultats de contrôles précédents. Tous ne seront pas nécessaires : leur pertinence dépend du périmètre convenu.
Une preuve doit permettre de vérifier une pratique réelle. Une capture datée, un export de configuration, un journal de test de restauration ou un ticket clôturé peut être plus utile qu’une procédure générale. Les données personnelles ou secrets présents dans ces pièces doivent être minimisés avant transmission.
Désigner les bons interlocuteurs
Un audit mobilise généralement un responsable décisionnaire, un référent informatique, des responsables métiers et, selon le sujet, le DPO, le prestataire d’infogérance ou l’hébergeur. Chacun doit savoir quelles informations il peut fournir et qui valide les demandes sensibles.
Prévoir des créneaux courts avec les personnes réellement concernées évite que l’audit repose uniquement sur le discours d’un seul interlocuteur. Les usages quotidiens, les exceptions et les contraintes métier apparaissent souvent pendant ces entretiens.
Encadrer les accès temporaires et les tests
Les accès accordés à l’auditeur doivent être nominatifs, limités au périmètre, protégés par une authentification forte lorsque cela est possible et supprimés à la fin de la mission. Les mots de passe permanents ne doivent pas être envoyés par courriel ni partagés dans un document de travail.
Le contrat ou le plan d’audit doit préciser les horaires, les systèmes exclus, les actions interdites, les modalités de sauvegarde avant test et la procédure d’arrêt en cas d’effet inattendu. Un test d’intrusion nécessite des autorisations plus précises qu’un entretien ou qu’une revue documentaire.
Préparer la réunion de lancement
La réunion de lancement valide le périmètre, le calendrier, les contacts, les canaux de communication, le format des preuves et les règles de confidentialité. Elle doit aussi traiter les périodes sensibles pour l’activité, les changements techniques prévus et les éventuels incidents en cours.
Un tableau de suivi simple peut lister chaque demande, son responsable, son statut et la date de remise. Cette organisation réduit les relances et conserve une trace des éléments réellement examinés.
Anticiper la restitution et le plan d’action
Avant même le début des contrôles, l’entreprise peut demander comment les constats seront classés, quelles preuves accompagneront les conclusions et comment les recommandations seront priorisées. La restitution doit distinguer le risque, l’impact métier, la difficulté de correction et les dépendances.
Le rapport devient utile lorsque chaque action peut être attribuée, planifiée et vérifiée. Le guide sur le plan de remédiation après audit présente cette étape suivante.
Présenter votre situation de manière factuelle
Décrivez votre environnement, vos priorités et les difficultés rencontrées sans transmettre de mots de passe ni de données sensibles. Avec votre accord, vos coordonnées peuvent être communiquées à un partenaire indépendant, seul responsable de son analyse, de ses tarifs et de ses prestations.
Accéder au formulaireQuestions fréquentes
Faut-il transmettre tous les documents avant l’audit ?
Non. Il faut d’abord valider le périmètre et la liste des preuves nécessaires. Les documents sensibles doivent être minimisés et transmis par un canal adapté.
L’auditeur doit-il disposer d’un compte administrateur ?
Pas systématiquement. Le niveau d’accès dépend des vérifications prévues. Tout accès doit être temporaire, nominatif, limité et révoqué à la fin de la mission.
Qui doit participer à la réunion de lancement ?
Au minimum un décideur, le référent informatique et les responsables des activités incluses dans le périmètre. Les prestataires et le DPO peuvent être associés selon les sujets.
Peut-on préparer un audit sans inventaire complet ?
Oui, mais les limites de l’inventaire doivent être signalées. L’audit peut justement aider à identifier les actifs et dépendances qui n’étaient pas correctement recensés.
Sources officielles consultées
- CNIL — Piloter la sécurité des données
- CNIL — Guide de la sécurité des données personnelles
- ANSSI — Référentiel PASSI et prestations d’audit
- ANSSI — Homologation de sécurité
Sources vérifiées le 28 juillet 2026. Les organismes et spécifications cités peuvent être actualisés.
Guides associés
Cette page ne remplace ni un audit, ni une analyse technique, ni un avis juridique. Les décisions et interventions éventuelles relèvent exclusivement des professionnels saisis.