Audit organisationnel de sécurité - Comment piloter vos risques SI ?

Ce que l’audit vérifie vraiment

Je distingue toujours quatre blocs. D’abord, la gouvernance: qui décide, qui arbitre, qui porte la politique de sécurité des systèmes d’information, autrement dit la PSSI, et comment cette politique est-elle suivie dans la vraie vie. Ensuite, l’organisation opérationnelle: gestion des accès, intégration et départ des collaborateurs, gestion des habilitations, sauvegardes, journalisation, traitement des incidents. Viennent enfin les prestataires et la culture de sécurité, parce qu’une organisation dépend rarement d’elle seule.

Je cherche surtout un écart entre ce qui est écrit et ce qui est réellement appliqué. Une PSSI peut être très propre sur le papier et n’avoir presque aucun effet si les procédures d’accès ne sont pas tenues à jour, si les départs de collaborateurs traînent ou si les prestataires conservent des droits trop larges. C’est là que l’audit devient utile: il révèle les frictions, les habitudes et les angles morts.

Le point de rupture est simple: si l’audit conclut seulement que “des documents existent”, il n’a pas servi à grand-chose. C’est justement cette différence entre structure et exécution qui prépare la lecture du cadre français actuel.

Pourquoi il compte davantage en France en 2026

Le sujet a changé d’échelle. Les organisations françaises ne raisonnent plus seulement en termes de “bonnes pratiques”, mais de gestion du risque, de continuité d’activité et, dans certains secteurs, d’obligations formelles. ISO/IEC 27001 reste la référence la plus utile pour penser cette logique, parce qu’elle impose un SMSI, c’est-à-dire un système de management de la sécurité de l’information fondé sur l’amélioration continue et la gestion du risque. En pratique, cela oblige à lier la sécurité aux processus métier, et pas à une simple liste d’outils.

L’ANSSI rappelle dans son guide d’hygiène informatique qu’il existe 42 mesures essentielles pour sécuriser un système d’information. Je trouve ce socle intéressant, parce qu’il évite le piège du discours abstrait: on parle d’authentification, de comptes administrateurs, de sauvegardes, de sensibilisation, de mises à jour, de supervision, bref de mesures concrètes qui font une différence immédiate.

Depuis le 17 mars 2026, l’ANSSI met aussi à disposition le Référentiel Cyber France, ou ReCyF, présenté comme un document de travail pour préparer NIS2. C’est un signal clair: la sécurité organisationnelle n’est plus seulement une affaire d’expertise interne, elle devient un langage de pilotage commun entre direction, RSSI, DSI, achats et juridique. Si vous gérez des sous-traitants, des données sensibles ou une activité critique, cet alignement n’est plus optionnel dans les faits, même quand le calendrier réglementaire reste évolutif.

Autrement dit, l’audit n’est pas là pour produire un joli constat. Il sert à prouver que l’organisation sait piloter ses risques, ses responsabilités et ses contrôles dans la durée. Une fois ce cadre posé, la vraie question devient celle de la méthode.

Comment je le mène, étape par étape

Quand je structure un audit de ce type, je commence toujours par limiter le périmètre. C’est souvent l’étape la plus sous-estimée, alors qu’elle conditionne tout le reste. Si le périmètre est trop large, on obtient un rapport bavard et peu actionnable. S’il est trop étroit, on passe à côté des risques systémiques.

1. Définir le périmètre et les critères: sites concernés, entités, applications critiques, prestataires, référentiels utilisés, niveau d’exigence attendu.
2. Rassembler les preuves: PSSI, procédures, organigrammes, matrices d’habilitation, rapports d’incident, comptes rendus de sensibilisation, contrats fournisseurs, plans de continuité.
3. Interviewer les bons interlocuteurs: direction, RSSI, DSI, RH, achats, support, juridique, métiers exposés et, si besoin, un échantillon d’utilisateurs.
4. Reconstituer les parcours réels: arrivée d’un collaborateur, départ d’un prestataire, gestion d’un compte à privilèges, signalement d’un incident, restauration d’une sauvegarde.
5. Qualifier la maturité: je regarde si le processus est défini, appliqué, mesuré et corrigé, pas seulement documenté.
6. Restituer avec priorité: je classe les écarts par impact, probabilité et effort de correction, pour éviter la liste infinie de remarques sans suite.

Sur un périmètre de PME ou de filiale unique, j’observe souvent qu’un audit sérieux tient en quelques jours d’entretiens et de revue documentaire, puis en quelques jours de consolidation. Sur un groupe multi-sites ou très réglementé, la fenêtre s’étire plus facilement sur plusieurs semaines, surtout si l’on doit croiser plusieurs entités, prestataires et référentiels.

Ce point est important: la valeur ne vient pas du volume de pages, mais de la qualité du tri. Encore faut-il produire des livrables qui permettent de décider, pas seulement de constater.

Les livrables qui servent vraiment à décider

Un bon audit doit laisser derrière lui autre chose qu’un document de plus dans un répertoire partagé. Je considère qu’il doit au minimum fournir une lecture claire pour la direction et une feuille de route utilisable par les équipes opérationnelles.

Je vois souvent un échec très simple: un rapport très complet, mais impossible à exécuter. Si personne n’est nommé, si les délais sont flous ou si tout est classé “critique”, la restitution perd sa fonction. Un bon rapport doit au contraire distinguer ce qui relève d’un correctif rapide et ce qui nécessite une décision de direction.

Le plus difficile reste pourtant d’éviter les pièges qui faussent le résultat.

Les erreurs qui font perdre du temps et du budget

La première erreur consiste à confondre conformité documentaire et sécurité réelle. Avoir une politique signée ne prouve rien si les pratiques quotidiennes contredisent le document. La deuxième erreur, c’est de vouloir tout auditer d’un coup. On finit alors avec une photographie trop large, sans focus sur les flux et les actifs qui portent le plus de risque.

• Auditer le papier au lieu du terrain: on vérifie les procédures, mais on oublie leur application.
• Oublier les prestataires: un tiers mal cadré peut annuler une grande partie des efforts internes.
• Ignorer les accès: les comptes orphelins, les droits d’administration et les habilitations trop larges restent des classiques.
• Ne pas associer la direction: sans sponsor, l’audit produit des recommandations, pas des changements.
• Ne pas demander de preuves: sans éléments vérifiables, on reste dans le déclaratif.
• Mettre tout au même niveau: un écart de gouvernance n’a pas le même effet qu’un oubli mineur de forme.

Mon conseil est simple: je privilégie toujours les écarts qui touchent l’identité, les sauvegardes, la réponse à incident, la sensibilisation et la chaîne de sous-traitance. Ce sont eux qui transforment une faiblesse diffuse en incident coûteux. C’est ce qui aide ensuite à choisir entre audit interne, cabinet externe ou PASSI qualifié.

Quel format choisir selon le niveau de maturité

Le bon format dépend moins de la taille de l’organisation que de son niveau de risque, de sa contrainte réglementaire et de sa maturité réelle. Un audit interne est très utile pour suivre les progrès, mais il devient vite limité si les équipes évaluent leurs propres pratiques sans regard extérieur. À l’inverse, un audit externe apporte de la distance, de la méthode et souvent une priorisation plus franche.

Le PASSI, pour rappel, désigne le prestataire d’audit de la sécurité des systèmes d’information. La qualification couvre notamment l’audit organisationnel et physique, ce qui en fait un choix pertinent quand le niveau d’exigence attendu est élevé ou quand l’indépendance du regard est un vrai sujet. Un prestataire qualifié ne garantit pas à lui seul la réussite, mais il réduit fortement le risque d’un audit trop superficiel.

Reste alors à transformer le rapport en progrès durable.

Ce que je change juste après la restitution

Le meilleur audit du monde ne sert à rien s’il s’arrête à la présentation des constats. Dès la restitution, je demande qu’un plan d’action soit validé, avec un propriétaire par mesure, un délai et une dépendance clairement identifiés. Sans cela, les recommandations s’évaporent dans les urgences du quotidien.

• Je traite d’abord les écarts qui touchent les accès, les sauvegardes et la réponse à incident.
• Je sépare les mesures rapides des chantiers structurants, pour éviter de bloquer tout le monde sur les mêmes points.
• Je fixe un suivi à 30, 60 et 90 jours pour vérifier que les actions avancent réellement.
• Je fais remonter les décisions qui demandent un arbitrage budgétaire ou organisationnel.
• Je planifie une réévaluation ciblée, sinon l’audit devient un instantané oublié.

Quand l’audit alimente un vrai pilotage, il devient un levier de formation, de décision et de réduction du risque. C’est là qu’il prend toute sa valeur, bien au-delà de la conformité affichée.