Audit interne ou externe informatique : 4 questions à poser

En bref : Choisir entre un audit interne ou externe informatique dépend d’abord de qui a intérêt dans le résultat, pas de qui signe le rapport. Un audit interne est mené par vos propres employés. Un audit externe est mené par une entreprise extérieure à la vôtre, sans garantir son indépendance. Un audit indépendant n’a rien d’autre à vous vendre que ses constats.

Cette distinction paraît simple sur papier. Elle l’est beaucoup moins quand un fournisseur qui vous vend déjà votre infonuagique, vos licences ou votre soutien technique vous propose aussi d’évaluer votre sécurité. Il est bel et bien externe. Il n’est pas nécessairement indépendant. Voici comment choisir le bon modèle selon ce que vous devez démontrer, et à qui.

Le choix n’est pas académique. Un dirigeant qui commande le mauvais type d’audit découvre souvent le problème au pire moment : quand un assureur refuse un rapport, quand un conseil d’administration pose la question du lien d’intérêt, ou quand un acheteur potentiel écarte purement et simplement le document. Comprendre la différence avant de signer un mandat évite de refaire le travail deux fois.

Dans cet article

Qu’est-ce qu’un audit interne en TI, et l’autoévaluation TI PME suffit-elle ?

Un audit interne est réalisé par des ressources de votre organisation : votre équipe TI elle-même, un poste d’audit interne s’il existe, ou un comité de gouvernance formé à même votre effectif. Personne n’entre de l’extérieur.

C’est le modèle le moins coûteux et le plus fréquent dans le temps. Une équipe TI compétente peut, et devrait, s’autoévaluer régulièrement : revoir ses accès, tester ses correctifs, vérifier ses sauvegardes. C’est une discipline opérationnelle, pas un événement annuel.

La limite tient à la proximité. Une équipe qui a bâti un système a du mal à en voir les angles morts, pour la même raison qu’un auteur relit mal son propre texte. Ce n’est pas un manque de compétence, c’est un manque de recul. Et devant un conseil d’administration, un assureur ou un tribunal, l’autoévaluation d’une équipe sur son propre travail pèse peu : elle est juge et partie par construction, même quand elle est honnête.

L’audit interne suffit pour le suivi courant. Il ne suffit pas quand quelqu’un à l’extérieur de votre organisation exige une preuve qu’aucun lien d’intérêt n’a influencé les constats.

C’est précisément là que la question passe d’un audit interne ou externe informatique à un choix d’indépendance, pas seulement de provenance.

Audit interne ou externe informatique : un audit externe est-il automatiquement indépendant ?

Non, et c’est la confusion la plus coûteuse du domaine. Externe décrit d’où vient l’auditeur. Indépendant décrit ce qu’il a à gagner du résultat de son propre rapport. Les deux notions se recoupent souvent, mais pas toujours.

Un fournisseur TI qui gère déjà votre parc informatique, vend vos licences ou assure votre soutien technique est externe à votre entreprise. S’il vous propose ensuite d’auditer la sécurité de cette même infrastructure, ses recommandations mènent naturellement vers des correctifs qu’il facturera lui-même. Rien n’oblige ce fournisseur à exagérer les problèmes trouvés, mais rien ne l’empêche non plus de les présenter d’une façon qui justifie le contrat suivant. C’est l’élève qui corrige son propre examen : le résultat peut être juste, mais personne d’extérieur ne peut le vérifier sans reprendre tout le travail.

Nous détaillons ce cas précis, très répandu chez les PME qui confient leur informatique à un seul fournisseur, dans Pourquoi votre fournisseur TI ne devrait pas s’auditer lui-même. L’auditeur indépendant, lui, n’a structurellement rien à vendre au-delà du rapport : pas de matériel, pas de licences, pas d’infogérance qui découlerait de ses propres constats.

Dans quels cas l’indépendance est-elle non négociable ?

Certaines situations n’acceptent tout simplement pas un rapport où l’auditeur a un intérêt dans les conclusions. En voici les principales :

Conseil d’administration : un CA qui exerce sa surveillance fiduciaire veut un regard sans lien d’affaires avec la direction ou les fournisseurs évalués. C’est une attente de gouvernance, pas une formalité.
Cyberassurance : une police conditionne parfois le maintien de la couverture, ou le règlement d’une réclamation, à un rapport produit par un tiers sans conflit d’intérêt. Un rapport signé par le fournisseur qui gère aussi l’environnement audité peut être écarté par l’assureur au moment où vous en avez le plus besoin.
Transaction : une acquisition, une fusion ou un financement s’appuie sur une vérification diligente (due diligence) où l’acheteur ou l’investisseur exige un état des lieux qu’aucune des parties n’a pu influencer.
Contexte judiciaire : le plus strict des quatre. Un rapport d’expertise doit pouvoir être présenté devant un tribunal sans qu’une partie adverse puisse en contester la neutralité pour la seule raison que l’auteur avait un intérêt financier dans les conclusions. C’est un terrain que je connais directement comme témoin expert en matière de faux documents : la première question qu’un avocat adverse pose sur un rapport, c’est toujours celle du lien d’intérêt de son auteur avec le dossier.
Programme de certification : le réseau de la santé québécois, avec la certification TGV (Trousse globale de vérification), exige une vérification par une firme externe spécialisée, distincte du fournisseur du produit ou service évalué. Le programme fédéral de certification en cybersécurité, le CPCSC, repose lui aussi sur une évaluation par un tiers pour ses niveaux les plus exigeants. Dans les deux cas, l’organisme qui décide de la certification n’accepte pas que le fournisseur s’auto-certifie.

La certification TGV donne un exemple concret de ce qu’une vérification indépendante veut dire dans les faits. Les tests d’intrusion y sont maintenant un prérequis à l’obtention de la certification pour tout produit ou service technologique qui utilise des données personnelles, de santé ou de services sociaux.

Le Bureau de certification et d’homologation (BCH) n’accepte pour les réaliser que des prestataires indépendants spécialisés en cybersécurité et en protection des renseignements personnels : des représentants légalement autorisés à opérer au Canada, du personnel certifié en tests d’intrusion, des preuves d’absence d’antécédents criminels pour ce personnel, un rapport livré en français sans frais additionnels au BCH, et des tests menés en production ou dans un environnement équivalent. La méthode boîte blanche est acceptée dans tous les cas, la boîte noire ne l’est jamais.

L’obligation ne s’arrête pas à l’obtention du certificat. Le fournisseur s’engage à faire réaliser au moins un test d’intrusion par année auprès d’une firme indépendante, à soumettre son autodéclaration au moins 15 jours avant la date d’anniversaire de la certification, et à corriger les vulnérabilités trouvées suivant une échéance convenue avec le BCH. Une vulnérabilité jugée critique déclenche un plan de mitigation dans les trois jours ouvrables. Un exercice de relève informatique s’ajoute tous les deux ans, dans un centre distinct. La certification reste valide cinq ans, avec reconduction tacite chaque année tant que ces engagements sont respectés.

Peut-on combiner les trois approches ?

Oui, et c’est même le modèle le plus courant chez les organisations matures. Les trois niveaux répondent à des besoins différents, pas à des besoins concurrents.

L’audit interne tourne en continu : revue trimestrielle des accès, tests réguliers des correctifs, suivi des indicateurs de sécurité par votre propre équipe.
L’audit externe, sans exigence d’indépendance stricte, sert des mandats ponctuels et techniques où le lien d’affaires importe peu : un test de performance, une migration, une revue de configuration précise confiée au fournisseur qui connaît déjà le système.
L’audit indépendant intervient périodiquement, selon un cycle propre à votre secteur, ou déclenché par un événement précis : un changement de direction, une acquisition, une exigence d’assureur, un incident.

Les déclencheurs qui justifient de passer à un audit indépendant méritent leur propre réponse : nous les détaillons dans notre article sur la fréquence des audits informatiques. Un point à retenir ici : l’audit interne ne remplace jamais l’indépendant quand un tiers exige une preuve, et l’audit indépendant ne remplace pas non plus le suivi interne au jour le jour. Les organisations qui s’en tirent bien font les deux, à leur juste place.

Critère	Audit interne	Audit externe (sans exigence d’indépendance)	Audit indépendant
Coût	Le plus faible, absorbé par la masse salariale existante	Variable, souvent intégré à un contrat de services déjà en place	Le plus élevé au mandat, mais autonome de tout autre contrat
Objectivité	Limitée par la proximité avec l’équipe évaluée	Meilleure que l’interne, compromise si l’auditeur vend aussi la remédiation	La plus élevée : rien d’autre à vendre que le rapport
Opposabilité	Faible : rarement accepté seul par un tiers externe	Variable, contestable si un lien d’affaires existe avec l’organisation auditée	La plus forte : recevable auprès de CA, assureurs et tribunaux
Fréquence typique	Continue, intégrée aux opérations courantes	Ponctuelle, souvent liée à un mandat ou un contrat existant	Périodique, selon le secteur ou un déclencheur précis

Comment vérifier qu’un auditeur indépendant informatique l’est vraiment ?

L’indépendance ne se prend pas sur parole. Elle se vérifie avec quatre questions, posables à n’importe quel soumissionnaire avant de signer un mandat.

Vend-il aussi du matériel ou des licences que ses propres constats pourraient justifier d’acheter ?
Offre-t-il de l’infogérance ou des services gérés qui chevauchent l’environnement qu’il évalue ?
Ses recommandations mènent-elles, systématiquement, vers un contrat de remédiation avec lui-même ?
Touche-t-il une commission ou un rabais fournisseur sur les produits qu’il recommande ?

Une réponse affirmative à une seule de ces questions ne rend pas automatiquement l’audit inutilisable. Elle change la nature de ce que vous pouvez en faire : bon pour du suivi opérationnel, insuffisant pour un CA, un assureur ou un tribunal. C’est à vous de savoir dans quelle colonne vous vous trouvez avant de commander le mandat, pas après.

Le choix entre un audit interne ou externe informatique et un audit indépendant n’a rien d’idéologique : il dépend de qui doit pouvoir se fier au résultat, et pourquoi.

Chez Factero, la réponse aux quatre questions est structurelle, pas commerciale : pas de revente de matériel ni de licences, pas d’infogérance, aucune commission. Nous ne vendons rien d’autre que le rapport, ce qui veut dire que nos constats n’ont aucun intérêt à pencher dans un sens plutôt qu’un autre. Notre indépendance n’est pas un argument, c’est une structure : rien d’autre à vendre que les faits. Vérifiez-le, posez ces 4 questions à quiconque vous propose un audit informatique indépendant, nous y compris.

Planifier un appel exploratoire

Le choix entre un cabinet indépendant de petite taille et un grand cabinet comptable mérite sa propre réflexion, notamment sur la disponibilité et la connaissance de votre secteur : nous y consacrons un comparatif distinct. Le pilier complet sur le sujet, L’audit informatique : le guide complet du dirigeant québécois, couvre le reste du processus, du mandat jusqu’au rapport.

Pour aller plus loin avec Factero :

audit informatique indépendant des fournisseurs

Foire aux questions

Audit interne ou externe informatique : quelle différence avec un audit indépendant ?

L’audit interne est mené par vos propres employés, en continu, à faible coût. L’audit externe est mené par une entreprise extérieure à la vôtre, ponctuellement ou selon un contrat existant, sans que cela garantisse l’absence de lien d’intérêt. La vraie ligne de partage n’est pas l’origine de l’auditeur, mais ce qu’il a à vendre au-delà du rapport : c’est ce qui distingue un audit externe d’un audit indépendant.

Qui peut réaliser un audit informatique ?

N’importe qui : un employé, le fournisseur TI en place ou un cabinet externe peuvent tous mener l’exercice. Ce qui varie, c’est la valeur du résultat, pas la compétence technique de l’auditeur. Pour un suivi courant, chacun de ces choix convient. Devant un conseil d’administration, un assureur ou un tribunal, seule l’absence de lien d’intérêt de l’auditeur rend le rapport opposable, peu importe qui l’a signé.

Un fournisseur informatique peut-il auditer ses propres systèmes ?

Oui, rien ne l’en empêche techniquement, et le résultat peut être exact. Le problème est structurel : s’il facture ensuite les correctifs qu’il recommande, il devient juge et partie, même honnête. C’est utile pour un mandat technique ponctuel, insuffisant dès qu’un tiers exige une preuve d’absence de conflit d’intérêt. Nous détaillons ce cas dans Pourquoi votre fournisseur TI ne devrait pas s’auditer lui-même.

Qui exige un audit informatique indépendant ?

Le plus souvent, un conseil d’administration en exercice de surveillance, un assureur cyber au renouvellement d’une police ou au moment d’une réclamation, un acheteur ou un investisseur en vérification diligente, ou un tribunal dans un litige. Certains programmes de certification, dont la TGV dans le réseau de la santé québécois, l’exigent aussi formellement pour leurs prestataires.

Combien coûte un audit informatique ?

Cela dépend du modèle. L’audit interne n’ajoute aucun coût direct : il est absorbé par la masse salariale existante. L’audit externe s’intègre souvent à un contrat de services déjà en place. L’audit indépendant coûte le plus cher au mandat, parce que l’auditeur ne récupère pas sa marge ailleurs dans une vente de matériel ou de licences. Le bon calcul compare ce coût à celui d’un rapport qu’un tiers pourrait rejeter.

Audit interne, externe, indépendant : qui devrait examiner vos TI ?

Besoin d’aide sur ce sujet ?