En bref : C’est quoi un audit informatique ? Un examen indépendant et documenté de l’état réel de vos systèmes, de votre sécurité et de votre gouvernance TI, conclu par des constats factuels et des recommandations priorisées, sans promesse de résultat. Au Québec, on dit aussi « audit TI » : les deux termes désignent la même démarche.
Si un assureur, un membre de votre conseil ou un client vous a mis ces mots devant les yeux pour la première fois, ce texte répond à la question de départ, sans détour et sans jargon. Vous n’avez pas besoin de comprendre les serveurs pour comprendre ce qu’est un audit informatique, vous avez besoin de comprendre ce qu’il vous livre et ce qu’il ne vous livre pas.
Dans cet article
C’est quoi un audit informatique, concrètement ?
Un audit informatique compare l’état réel de vos systèmes à un point de référence : de bonnes pratiques reconnues, une norme, un cadre réglementaire comme la Loi 25, ou simplement ce que votre entreprise s’était engagée à faire. Ce n’est pas une opinion sur votre équipe TI, c’est une vérification documentée, avec des preuves à l’appui de chaque constat.
L’auditeur ne configure rien, ne corrige rien, ne vous vend rien. Son rôle est de décrire, avec précision, ce qui est vrai aujourd’hui dans vos systèmes, pour que vous, dirigeant, décidiez ensuite quoi faire de cette information.
Les preuves ne sont pas des impressions. Ce sont des configurations examinées, des journaux consultés, des entrevues avec les responsables, des documents lus. Chaque constat du rapport final peut se retracer jusqu’à une preuve précise, ce qui le distingue d’une évaluation interne faite par l’équipe TI elle-même : utile, mais rarement objective sur ses propres angles morts, pour des raisons humaines, pas de compétence.
Le meilleur résumé tient en une image. L’audit photographie votre parc informatique tel qu’il est aujourd’hui, pas tel que vous pensez qu’il est, ni tel qu’il devrait être. La photo ne ment pas, même quand elle déplaît.
Est-ce la même chose qu’un audit TI ou qu’un audit de cybersécurité ?
Audit informatique et audit TI désignent exactement la même démarche. « TI » est simplement l’abréviation de technologies de l’information, celle que les entreprises québécoises utilisent au quotidien. Les deux expressions mènent à la même réponse.
L’audit de cybersécurité est plus étroit. Il examine les contrôles de sécurité : accès, correctifs, journaux, détection. Il ne couvre pas nécessairement la gouvernance, l’inventaire des actifs ou la maturité des processus, que l’audit informatique, lui, regarde dans son ensemble.
Le test d’intrusion est encore autre chose : un exercice technique ponctuel, où un spécialiste tente réellement de contourner vos défenses sur une cible précise, à un moment donné. Un audit peut inclure un test d’intrusion parmi ses outils. Il ne s’y réduit jamais.
| Terme | Portée | Question à laquelle il répond |
|---|---|---|
| Audit informatique (= audit TI) | Systèmes, sécurité, gouvernance, conformité | Où en sommes-nous, globalement ? |
| Audit de cybersécurité | Contrôles de sécurité seulement | Sommes-nous protégés contre les menaces actuelles ? |
| Test d’intrusion | Une cible technique précise, à un moment donné | Un attaquant peut-il entrer, ici, maintenant ? |
Le vocabulaire n’est pas qu’une question de précision académique. Deux soumissions qui portent le même prix mais pas la même portée ne se comparent pas. Un fournisseur qui vous propose un test d’intrusion au tarif d’un audit informatique complet vous vend autre chose que ce que vous croyez acheter, et l’écart ne se voit qu’au moment de lire le rapport final, trop tard pour ajuster le mandat.
Qu’est-ce que l’auditeur regarde exactement ?
C’est quoi un audit informatique, dans le détail ? Le périmètre varie d’un mandat à l’autre, selon la taille de l’entreprise et l’objectif poursuivi, mais cinq zones reviennent presque toujours.
- L’infrastructure : serveurs, réseau, postes de travail, environnement infonuagique.
- La sécurité : gestion des accès, application des correctifs, journaux d’événements, sauvegardes et test réel de leur restauration.
- La gouvernance : qui décide quoi dans l’organisation, qui est responsable de quoi, quelles politiques existent et sont réellement appliquées, pas seulement écrites.
- La conformité : notamment les obligations de la Loi 25 en matière de protection des renseignements personnels.
- La continuité : la capacité de l’entreprise à reprendre ses opérations après un incident.
Une entreprise qui exploite déjà des systèmes d’intelligence artificielle verra aussi comment ces systèmes sont gouvernés, à l’image de ce que décrit la norme ISO/IEC 42001:2023 sur les systèmes de management de l’intelligence artificielle. Pour une mise à niveau générale des pratiques de base en PME, le Centre canadien pour la cybersécurité publie des guides gratuits, un bon point de départ avant même de penser à un audit.
Ces cinq zones ne s’examinent pas en cases séparées. Un accès mal géré (zone sécurité) trouve souvent sa cause dans l’absence d’un responsable clairement désigné (zone gouvernance). Un bon rapport relie ces fils entre eux plutôt que de les empiler en une longue liste sans hiérarchie.
Qu’est-ce que je reçois à la fin ?
Vous recevez un rapport écrit, avec des constats classés selon leur niveau de risque et des recommandations priorisées, pas une simple liste de tout ce qui cloche. La direction et le conseil d’administration reçoivent un sommaire exécutif, lisible sans bagage technique. L’équipe TI reçoit une annexe détaillée, celle qui contient de quoi agir.
Une bonne recommandation répond à deux questions à la fois : quel est le risque si rien ne bouge, et quel effort demande la correction. Une liste de vingt problèmes sans ordre de priorité n’aide personne à décider par quoi commencer lundi matin. C’est là que se voit la différence entre un audit qui informe et un audit qui alarme sans guider.
L’audit ne garantit rien pour l’avenir. Sa valeur est de remplacer des impressions par des faits vérifiables, datés et documentés. Ce que vous en faites ensuite vous appartient entièrement.
Qui devrait le faire, et qui ne devrait pas le faire ?
Plusieurs situations justifient d’en commander un.
- Un renouvellement d’assurance cyber qui exige des preuves écrites, pas des affirmations.
- Une diligence raisonnable avant un investissement, une fusion ou une acquisition.
- Un client important qui demande des garanties contractuelles sur vos pratiques.
- Le constat, tout simple, qu’aucun audit n’a jamais été fait alors que l’entreprise a grandi, changé de systèmes ou embauché à distance.
À l’inverse, une entreprise dont les bases ne sont pas encore en place, sauvegardes non testées, correctifs non appliqués, gagne parfois davantage à corriger ces lacunes d’abord. Un audit confirmera l’évidence à grands frais si l’essentiel manque encore. L’audit reste utile plus tard, la séquence compte : d’abord l’hygiène de base, ensuite la vérification indépendante de cette hygiène.
Un point mérite d’être dit sans détour : qui vous audite ne devrait rien avoir à vous vendre ensuite. Si la même firme qui évalue vos systèmes vous propose ensuite le produit ou le service pour corriger ce qu’elle a trouvé, demandez-vous qui profite de trouver davantage de problèmes. Ce n’est pas une accusation, c’est une question de structure : une firme qui vit de la revente de solutions a un intérêt financier à en trouver plus, même sans mauvaise foi de qui que ce soit. C’est exactement le genre de question à poser avant de signer un mandat, et Les questions à poser avant de confier votre audit TI en dresse la liste complète.
Combien ça coûte et combien de temps ça prend ?
Ça dépend de la taille de l’entreprise, du nombre de systèmes couverts et de l’étendue du mandat. Un audit qui couvre uniquement vos serveurs et votre réseau n’a rien à voir, en durée comme en coût, avec un audit qui ajoute la gouvernance, la conformité à la Loi 25 et un sous-traitant infonuagique à examiner en parallèle. Il n’existe pas de chiffre unique valable pour toutes les entreprises, et méfiez-vous de qui vous en donne un avant même de connaître votre environnement.
Pour des fourchettes en dollars canadiens propres au marché québécois, notre article dédié répond en détail : Combien coûte un audit informatique au Québec ? Fourchettes en dollars canadiens. Pour le déroulement semaine par semaine, du premier contact à la remise du rapport, consultez Comment se déroule un audit informatique ? Le parcours semaine par semaine. Ces deux textes vous donnent de quoi bâtir un budget réaliste avant même de solliciter une soumission.
Ce texte répond à la question « c’est quoi un audit informatique », pas à toute la démarche. Pour la préparation, le choix du prestataire, la lecture du rapport et les suites à donner, notre guide L’audit informatique : le guide complet du dirigeant québécois creuse chaque étape.
Nous vous présentons les faits tels qu’ils sont, la décision vous revient. Si vous voulez savoir où votre entreprise se situe, vous pouvez en discuter directement avec notre équipe d’audit TI indépendant, de dirigeant à dirigeant.
Pour aller plus loin avec Factero :
Foire aux questions
Un audit informatique remplace-t-il un test d’intrusion ?
Non. Le test d’intrusion vérifie si une cible précise peut être compromise, à un moment donné. L’audit informatique regarde l’ensemble : systèmes, sécurité, gouvernance et conformité. Il peut inclure un test d’intrusion parmi ses outils, sans s’y limiter.
Un audit informatique garantit-il l’absence de problème après coup ?
Non, et personne de sérieux ne le promet. L’audit réduit le risque à un niveau acceptable, il ne l’élimine pas : la sécurité informatique reste un exercice continu, pas un état atteint une fois pour toutes. Sa valeur est de remplacer des impressions par des faits documentés, à la date de l’exercice.
La Loi 25 oblige-t-elle les entreprises québécoises à faire un audit informatique ?
Le texte de la Loi 25 n’exige pas explicitement un audit informatique. Elle impose des obligations de protection des renseignements personnels que l’entreprise doit être capable de démontrer, sur demande, avec des preuves. C’est souvent cette obligation de démonstration, plus que la loi elle-même, qui pousse un dirigeant à en commander un.
Un audit informatique peut-il être fait par notre propre équipe TI ?
Techniquement oui, mais l’exercice perd l’essentiel de sa valeur : la même équipe qui exploite les systèmes est mal placée pour juger ses propres angles morts. Un assureur ou un client qui exige des preuves indépendantes n’accepte généralement pas une auto-évaluation comme substitut à un audit externe.
Un audit informatique dérange-t-il le travail de l’équipe pendant qu’il se déroule ?
Non, pas dans un mandat bien mené. L’auditeur consulte des configurations, des journaux et des documents, et mène des entrevues, sans toucher à vos systèmes en production. Les équipes continuent de travailler normalement pendant l’exercice. Les tests plus sensibles, s’il y en a, sont planifiés à l’avance pour éviter toute interruption.
