En bref : Avant de mandater un audit TI, les questions à poser à un auditeur TI portent sur cinq points : indépendance envers votre fournisseur, méthode, livrables, qui exécute le mandat, et la suite après le rapport. Le prix et le choix entre cabinet indépendant et grand cabinet s’ajoutent en pratique. Une réponse évasive est le signal le plus fiable pour chercher ailleurs.
Mandater un audit TI engage votre budget, votre calendrier et parfois votre crédibilité devant un conseil d’administration. La plupart des dirigeants signent pourtant après une seule rencontre, sur la foi d’une réputation ou d’une recommandation, sans poser les questions qui séparent un audit utile d’un exercice cosmétique.
Nous avons publié un guide complet de l’audit informatique qui couvre la démarche du début à la fin. Cet article va plus loin sur un point précis : les questions à poser à un auditeur TI avant de signer, pour vous assurer que l’auditeur que vous engagez travaille pour vous, pas pour quelqu’un d’autre.
Dans cet article
Quelles sont les questions à poser à un auditeur TI avant de signer un mandat ?
Voici la liste, dans l’ordre où elle devrait se dérouler pendant votre premier appel avec un auditeur pressenti.
- A-t-il un lien d’affaires avec mon fournisseur TI actuel ?
- Quelle méthode et quel référentiel utilise-t-il pour évaluer mon environnement ?
- Quels livrables vais-je recevoir, et sous quelle forme ?
- Qui, précisément, va faire le travail sur mon dossier ?
- Que se passe-t-il une fois le rapport remis ?
- Combien coûte la démarche, et qu’est-ce qui fait varier le prix ?
- Un cabinet indépendant convient-il mieux qu’un grand cabinet à ma situation ?
Les sections qui suivent répondent à chacune.
L’auditeur est-il indépendant de mon fournisseur TI ?
Vérifiez si l’auditeur pressenti a un lien d’affaires avec le fournisseur qui gère votre infrastructure : contrat de sous-traitance, revente de produits, commission sur des recommandations. Vérifiez aussi s’il joue un rôle dans l’exploitation de vos systèmes. Un auditeur qui touche un pourcentage sur les correctifs qu’il vous recommande n’est pas indépendant, peu importe ce qu’indique sa carte professionnelle.
Posez la question directement, par écrit si possible : avez-vous un intérêt financier, direct ou indirect, dans les recommandations que vous allez me faire. Une réponse claire et rapide est bon signe. Une réponse qui tourne autour du pot en est un mauvais.
Un fournisseur qui évalue son propre travail, c’est l’élève qui corrige son propre examen : le résultat n’est pas nécessairement faux, mais il n’a aucune valeur probante devant un conseil d’administration ou un client qui exige des garanties.
Nous détaillons les mécanismes de cette dépendance, souvent invisibles au premier regard, dans Pourquoi votre fournisseur TI ne devrait pas s’auditer lui-même.
Quelle méthode et quel référentiel l’auditeur utilise-t-il ?
Un audit sérieux s’appuie sur un référentiel nommé, pas sur l’expérience générale du consultant. Demandez lequel : ISO 27001, les contrôles CIS, un cadre propre à votre secteur, ou une combinaison documentée. Demandez aussi comment les constats sont notés, sur quelle échelle, et si la méthode a déjà servi ailleurs.
Un fournisseur qui répond « notre expérience de vingt ans » n’a pas de méthode, il a une opinion. La différence compte le jour où votre conseil d’administration demande sur quoi le rapport se base.
Le Centre canadien pour la cybersécurité publie des guides gratuits destinés aux petites et moyennes entreprises, qui donnent un premier repère de ce à quoi une évaluation structurée doit ressembler. Utile pour se faire une idée avant l’appel, même si un audit sur mesure devra aller plus loin.
Quels livrables dois-je exiger, et sous quelle forme ?
Le livrable d’un audit TI sérieux comprend trois éléments : des constats priorisés, un plan d’action et une restitution à la direction. Exigez les trois avant de signer.
- Constats priorisés, pas une liste plate de cinquante lignes sans hiérarchie.
- Plan d’action avec des responsables nommés et des échéances.
- Restitution à la direction, présentée oralement, pas seulement déposée dans une boîte courriel.
La priorisation est le test le plus révélateur. Un rapport qui traite un mot de passe faible et une absence de plan de relance informatique sur le même pied n’a pas fait le travail d’analyse qu’on attend de lui. Demandez à voir un exemple anonymisé de rapport avant de vous engager : la qualité de la structure se voit en deux pages.
La restitution orale mérite qu’on s’y attarde. Un document technique de quarante pages remis sans accompagnement finit rarement lu au complet par la direction. Une heure de présentation, où les constats sont traduits en décisions à prendre, vaut souvent plus que le rapport lui-même.
Qui va réellement faire le travail sur mon mandat ?
Demandez qui exécute concrètement le mandat : l’associé qui a signé la proposition, ou une équipe sous-traitée dont vous ne connaîtrez jamais les noms. La sous-traitance n’est pas un problème en soi, elle est courante dans le secteur. Ce qui compte, c’est la transparence.
Si des collaborateurs internes ou des sous-traitants en marque blanche interviennent sur votre dossier, vous devriez le savoir avant de signer, pas le découvrir en lisant les métadonnées du rapport. Demandez aussi qui signe le rapport final et qui répond de son contenu si une question se pose six mois plus tard.
Que se passe-t-il après la remise du rapport ?
Après le rapport, la correction des lacunes appartient à votre organisation, pas à l’auditeur. Un audit constate un état, il ne le corrige pas. Si l’auditeur propose aussi de réaliser lui-même les correctifs qu’il vient de recommander, la question de l’indépendance revient par la porte d’en arrière.
Le même acteur qui identifie un problème ne devrait pas être seul juge de sa propre solution. Ce n’est pas une accusation de mauvaise foi, c’est une question de structure : personne ne vérifie bien son propre travail, aussi compétent soit-il.
Ce qui devrait suivre le rapport, dans l’ordre :
- Priorisation des constats avec votre équipe TI.
- Attribution de chaque action à un responsable nommé.
- Établissement d’un échéancier réaliste.
- Point de suivi convenu d’avance, pas laissé au hasard des disponibilités.
Combien coûte un audit TI indépendant ?
La réponse honnête est qu’il n’y a pas de chiffre unique. Le coût dépend de plusieurs facteurs :
- La taille de votre organisation.
- Le nombre de systèmes couverts.
- La profondeur de la vérification, documentaire seulement ou avec tests techniques.
- Le référentiel visé.
Méfiez-vous d’un prix donné avant que l’auditeur ait posé une seule question sur votre environnement.
Nous avons détaillé les fourchettes observées au Québec, en dollars canadiens, dans Combien coûte un audit informatique au Québec ? La bonne question à poser n’est pas « combien ça coûte », c’est « qu’est-ce qui fait varier le prix dans mon cas ». Un auditeur sérieux répond à la deuxième avant même que vous posiez la première.
Cabinet indépendant ou grand cabinet : comment choisir un auditeur informatique ?
Les questions restent les mêmes, mais les réponses attendues diffèrent selon la taille du cabinet. Un grand cabinet offre une marque reconnue et une profondeur de ressources ; un cabinet indépendant offre généralement un accès direct à la personne qui signe le rapport, sans intermédiaire, et une structure de coûts adaptée à une PME.
Ni l’un ni l’autre n’est automatiquement le bon choix. Ce qui compte, c’est de poser les mêmes sept questions aux deux et de comparer les réponses, pas les logos. Nous détaillons les compromis réels de chaque option dans Cabinet indépendant ou Big 4 : quel auditeur pour votre PME ?
Si votre audit vise une certification précise, comme la TGV en santé numérique ou le programme de certification en cyberdéfense, une variante existe : l’audit pré-certification, pensé pour repérer les écarts avant le jour officiel de la vérification externe. Nous l’expliquons dans L’audit pré-certification : arriver prêt le jour officiel
Comment reconnaître un bon signal d’un signal d’alarme ?
Le tableau suivant résume, dimension par dimension, ce qu’une réponse rassurante et une réponse préoccupante ont l’air en pratique.
| Dimension | Signal rassurant | Signal d’alarme |
|---|---|---|
| Indépendance | Aucun lien d’affaires avec votre fournisseur TI, réponse claire par écrit | Silence, réponse évasive, ou lien non divulgué découvert après coup |
| Méthode | Référentiel nommé, échelle de notation expliquée | « Notre expérience » comme seule réponse |
| Livrables | Constats priorisés, plan d’action, restitution orale | Un document déposé sans accompagnement |
| Exécution | Vous savez qui travaille sur votre dossier | Identité de l’équipe floue ou changeante |
| Après le rapport | L’auditeur ne s’attribue pas les correctifs qu’il recommande | L’auditeur propose de corriger ce qu’il vient de constater |
| Prix | Explique ce qui fait varier le coût avant de le donner | Chiffre donné avant toute question sur votre environnement |
Poser ces questions ne prend pas plus de trente minutes, et cela avant de signer quoi que ce soit. C’est exactement l’objet d’un appel exploratoire avec Factero : passer en revue votre situation, comprendre ce que vous cherchez à savoir, et déterminer si un audit TI indépendant est la bonne réponse maintenant.
Pour aller plus loin avec Factero :
Foire aux questions
Les questions à poser à un auditeur TI reviennent aussi sous ces formes plus précises.
Dois-je signer une entente de confidentialité avec l’auditeur ?
Oui. L’auditeur accède à des données sensibles sur votre infrastructure, souvent à des renseignements personnels visés par la Loi 25. Une entente de confidentialité écrite, avec les modalités de destruction des données à la fin du mandat, doit être signée avant le début des travaux, pas après. Un auditeur qui hésite à la signer avant même de voir votre environnement envoie un signal à prendre au sérieux.
Un audit TI remplace-t-il un test d’intrusion ?
Non. Un audit TI évalue la gouvernance, les processus et les contrôles sur un horizon de plusieurs semaines. Un test d’intrusion vérifie si un système précis résiste à une attaque technique réelle, sur une portée plus étroite. Les deux sont complémentaires : un rapport d’audit sans validation technique laisse les vulnérabilités concrètes de vos systèmes sans réponse, et l’inverse est vrai aussi.
Un audit de sécurité informatique, est-ce la même chose qu’un audit TI ?
Non, la portée diffère. Un audit de sécurité informatique se concentre sur les contrôles de cybersécurité : accès, pare-feu, correctifs, sauvegardes. Un audit TI couvre un terrain plus large, la gouvernance, la gestion des risques et les contrôles internes, la sécurité n’en étant qu’une partie. Demandez à l’auditeur laquelle des deux portées il propose avant de signer, elles ne répondent pas aux mêmes questions.
Combien de temps dure un audit TI type ?
La durée varie selon la portée : de quelques semaines pour un examen ciblé, à plusieurs mois pour une organisation avec plusieurs systèmes et sites. L’auditeur devrait donner un calendrier réaliste dès l’appel exploratoire, pas seulement après la signature. Une estimation donnée avant qu’il ait posé une seule question sur votre environnement mérite la même méfiance qu’un prix donné trop vite.
