Guide · Audit informatique
Une entreprise de Paris ou de la proche banlieue finit souvent par ne plus savoir exactement ce qu’elle possède. Les serveurs ont été installés il y a plusieurs années, des postes ont été ajoutés au fil des embauches, des licences se sont accumulées, et les accès d’administration sont dispersés entre quelques personnes. Tant que rien ne casse, cette situation reste supportable. Elle devient vite un problème lorsqu’il faut changer de prestataire, répondre à un questionnaire de sécurité ou comprendre la cause d’un incident. L’audit informatique répond à ce besoin : il dresse un état des lieux complet du système d’information, puis propose un plan d’action classé par priorité. Cette page décrit son contenu, le moment où le réaliser et la manière de choisir la personne qui le conduira.
Sommaire
Audit informatique, c’est quoi ?
L’audit informatique est une évaluation méthodique de l’existant. L’auditeur examine l’infrastructure (serveurs, postes, réseau, téléphonie), la sécurité (comptes, droits, mises à jour, accès distants), les sauvegardes, les contrats et les licences. Il vérifie ce qui est en place, et pas seulement ce qui est déclaré dans la documentation, qui est souvent incomplète ou ancienne.
Le résultat est un rapport. Il recense les constats, les classe selon leur gravité et les relie aux conséquences possibles pour l’activité : perte de données, interruption, non-conformité vis-à-vis d’un client ou d’un assureur. Il ne décide pas à la place de l’entreprise, il éclaire la décision. C’est ce document qui sert ensuite de base à une négociation, à un budget ou à un choix de prestataire.
Un audit se distingue d’un diagnostic de panne. Le diagnostic répond à une question précise, posée après un incident. L’audit couvre l’ensemble du périmètre et cherche aussi ce qui n’a pas encore cassé mais qui le pourrait.
Quand faut-il s’en occuper ?
Il n’existe pas de moment idéal unique, mais quelques situations reviennent souvent dans les entreprises de la région parisienne. Un changement de prestataire est l’une des plus fréquentes : avant de confier son informatique à un nouvel interlocuteur, mieux vaut connaître l’état réel de ce qu’il va reprendre. Un incident de sécurité, une panne longue ou une perte de fichiers justifient aussi un état des lieux, afin de comprendre ce qui a permis la défaillance.
D’autres moments sont plus discrets. Une croissance rapide, un rachat, une fusion ou un déménagement imposent de savoir ce qui existe avant de bouger. Un client ou un assureur qui envoie un questionnaire détaillé sur la sécurité pose exactement les mêmes questions, et une entreprise qui ne peut pas y répondre avec des éléments vérifiables gagne à faire l’audit avant d’y être contrainte.
Comment se déroule un projet
Le projet commence par un cadrage. L’entreprise précise ses objectifs, le périmètre concerné, les sites visés et les interlocuteurs à mobiliser. Elle rassemble les documents disponibles : contrats, factures de licences, schémas réseau, liste des comptes et des prestataires déjà intervenus. Ce temps de préparation réduit les allers-retours et rend l’audit plus rapide à conduire.
Vient ensuite le relevé. L’auditeur se rend sur site ou travaille à distance selon le périmètre. Il inventorie les équipements, observe la baie de brassage, contrôle les droits, vérifie les mises à jour et teste la restauration d’une sauvegarde lorsque cela est prévu. Cette phase fait souvent apparaître des écarts entre ce que l’entreprise croit posséder et ce qui est réellement en service.
Le projet se termine par la restitution. Le rapport est présenté à la direction, idéalement à l’oral et par écrit. Une lecture commentée permet de hiérarchiser les actions et de répondre aux questions. Le plan d’action qui en découle doit pouvoir être suivi par l’entreprise elle-même ou confié à un autre prestataire.
La durée de chaque phase dépend du périmètre, du nombre de sites et de la disponibilité des personnes à rencontrer. Elle se précise dans la proposition, une fois le cadrage réalisé, plutôt que sur la base d’une estimation générale. Une proposition qui annonce un délai sans avoir examiné l’existant mérite une question supplémentaire avant de la retenir.
Ce qui distingue une bonne offre
Une proposition d’audit se juge d’abord sur son périmètre. Elle doit indiquer précisément ce qui est examiné, ce qui est exclu et la profondeur des tests techniques. Un audit qui se limite à un questionnaire ne vérifie pas la même chose qu’un audit qui teste les sauvegardes ou les droits d’accès. Les deux peuvent être légitimes, à condition de le savoir avant de signer.
Le format du rapport compte autant. Un document lisible par la direction, qui classe les constats par gravité et propose un ordre d’intervention, sert davantage qu’une liste technique de plusieurs centaines de lignes. Il est utile de demander un exemple anonymisé, sans nom de client, pour apprécier la présentation.
L’indépendance est un autre critère. Un auditeur qui gère déjà le parc peut être pertinent, mais son jugement sur l’existant peut être moins neutre. Le plan d’action doit rester exploitable par n’importe quel prestataire, sans dépendre d’outils ou de scripts propriétaires que l’entreprise ne pourrait pas reprendre.
Les erreurs fréquentes
La première erreur consiste à confondre audit et dépannage. Un audit lancé après un incident, sans périmètre défini, déborde souvent et ne répond à aucune question claire. Il vaut mieux traiter l’urgence, puis cadrer un audit complet.
La deuxième erreur est de vouloir tout corriger d’un coup. Un rapport contient généralement des actions urgentes, des actions à planifier et des améliorations de confort. Les mélanger rend la mise en œuvre difficile et décourage l’équipe. Le classement par gravité et par effort est précisément là pour éviter cet écueil.
La troisième erreur est de considérer le rapport comme une fin en soi. Un audit ne protège que s’il est suivi. Il faut désigner une personne responsable du plan d’action, fixer les échéances en fonction des priorités et prévoir un point de contrôle, par exemple au bout de quelques mois, pour vérifier que les corrections ont été faites.
Enfin, beaucoup d’entreprises attendent de savoir ce que coûtera la mise en œuvre avant de commander l’audit. Le coût de l’audit et celui des travaux sont deux sujets distincts. Le premier dépend du périmètre et de la profondeur ; le second ne se connaît qu’une fois le plan d’action établi.
Les questions à poser avant de signer
Avant de confier un audit, quelques questions permettent de vérifier le sérieux de la démarche. Le périmètre est-il écrit avant le démarrage, avec ce qui est inclus et ce qui ne l’est pas ? Le rapport classe-t-il les constats par gravité, et explique-t-il l’impact concret de chacun pour l’activité ?
Une restitution orale est-elle prévue avec la direction, et qui y assiste ? Les tests de sauvegarde et de restauration font-ils partie de la prestation, ou sont-ils seulement mentionnés ? Enfin, le plan d’action est-il exploitable par un autre prestataire, sans dépendance à un outil propriétaire ?
Les réponses à ces questions donnent une bonne idée de la qualité de la proposition. Une démarche sérieuse accepte de les détailler par écrit, avant toute signature.