En bref : Un audit informatique est un examen structuré de vos systèmes, de vos processus et de votre sécurité, mené par un tiers indépendant qui compare l’état réel de votre organisation à un référentiel reconnu ou à une exigence contractuelle. Il existe six grands types d’audit, chacun répondant à un besoin différent : cybersécurité, gouvernance, conformité, pré-certification, post-incident, diligence raisonnable.
Si un client, un assureur ou un appel d’offres vous demande « un audit TI (technologies de l’information) » sans plus de précision, la première question à vous poser n’est pas combien ça coûte, mais lequel. Les six types d’audit ne répondent pas au même besoin, ne mobilisent pas les mêmes ressources et ne produisent pas les mêmes livrables. Ce guide s’adresse à vous, dirigeant ou dirigeante, pas à votre équipe technique.
Dans cet article
Pourquoi faire un audit informatique ?
Un audit informatique en entreprise part presque toujours d’un déclencheur précis, jamais d’une simple curiosité.
Le plus fréquent est contractuel : un client, un partenaire ou un appel d’offres exige une preuve indépendante de votre posture TI avant de signer. Le deuxième est la gestion des risques : un conseil d’administration ou une direction financière veut savoir ce qu’il ignore, avant qu’un tiers le lui apprenne dans les pires circonstances.
Un audit précède aussi souvent une démarche de certification, qu’il s’agisse de la TGV pour le réseau de la santé québécois ou d’un autre référentiel reconnu. Il suit parfois un incident, quand il faut documenter ce qui s’est passé et corriger ce qui doit l’être. Il accompagne enfin les transactions commerciales, quand un acheteur ou un investisseur veut connaître l’état réel des systèmes qu’il s’apprête à acquérir.
Dans tous les cas, l’audit produit la même chose : un portrait daté, documenté et défendable de votre situation, signé par quelqu’un d’autre que vous.
Quels sont les types d’audit informatique ?
Six types d’audit TI reviennent le plus souvent chez les entreprises québécoises. Ils se distinguent par leur objectif, pas par leur rigueur : aucun n’est un audit au rabais.
| Type d’audit | Objectif principal | Moment typique |
|---|---|---|
| Cybersécurité | Évaluer l’exposition aux risques et la maturité des contrôles de sécurité | En continu, ou après un changement d’infrastructure |
| Gouvernance | Vérifier que les décisions TI sont encadrées par des politiques et des responsabilités claires | Croissance rapide, changement de direction |
| Conformité | Confirmer le respect d’une loi ou d’un règlement, notamment la Loi 25 sur les renseignements personnels | Obligation légale ou contractuelle |
| Pré-certification | Simuler l’évaluation d’un organisme certificateur avant le dépôt officiel | Avant une certification comme la TGV |
| Post-incident | Documenter les causes d’une brèche ou d’une panne et vérifier les correctifs | Après un incident de sécurité |
| Diligence raisonnable | Évaluer les systèmes d’une entreprise dans le cadre d’une acquisition ou d’un financement | Transaction commerciale |
Ces catégories se chevauchent parfois. Un audit pré-certification pour la TGV, par exemple, couvre une bonne partie des critères d’un audit de cybersécurité, avec en plus les exigences propres au référentiel visé. L’audit de cybersécurité pour PME : ce qu’il couvre vraiment détaille ce que ce type d’audit couvre concrètement, poste par poste.
Le Centre canadien pour la cybersécurité publie des guides destinés aux PME qui aident à situer les risques avant même de commander un audit. Ce n’est pas un substitut à l’audit, c’est un point de départ pour se poser les bonnes questions.
Qu’est-ce que garantit l’indépendance de l’auditeur ?
L’indépendance n’est pas un argument marketing, c’est une condition de validité. Un auditeur qui vend aussi les produits ou les services qu’il évalue a un intérêt direct dans le résultat de son propre audit. Ce n’est pas une question de bonne foi individuelle, c’est un conflit structurel.
Un fournisseur TI qui audite lui-même son infrastructure se retrouve dans cette position, même avec les meilleures intentions du monde. L’indépendance véritable exclut la vente de produits, la revente de licences et toute commission liée au résultat de l’audit ou aux recommandations qui en découlent.
Nous appliquons cette règle à notre propre pratique. Notre cabinet ne revend rien, ne touche aucune commission de fournisseur, et notre équipe a elle-même obtenu la certification CyberSécuritaire Canada de niveau 1, dans les mêmes conditions que celles que nous imposons à nos clients.
Un auditeur qui refuse de se soumettre au même exercice qu’il vous propose devrait, au minimum, susciter une question.
Quels sont les livrables d’un audit TI ?
Un audit qui se termine par une présentation orale et une poignée de mains n’est pas un audit, c’est un avis. Voici ce qu’un mandat sérieux doit produire.
- Un rapport écrit, daté et signé par l’auditeur, distinct de toute proposition commerciale.
- Une liste de constats classés par niveau de risque, pas un jugement global du type « vos systèmes sont sains ».
- Un plan de remédiation qui nomme un responsable et une échéance pour chaque constat.
- Les preuves à l’appui de chaque constat : journaux, captures d’écran, politiques examinées, pas seulement des affirmations.
- Une rencontre de présentation où vous pouvez poser des questions avant de signer quoi que ce soit.
Les questions à poser avant de confier votre audit TI couvre ce qu’il faut clarifier avant même de commander le mandat, pas seulement à la remise du rapport.
Comment la vérification TGV rejoint-elle les audits indépendants ?
La certification TGV (Trousse globale de vérification) du réseau de la santé québécois illustre bien ce que l’indépendance signifie dans les faits. Un fournisseur qui veut vendre un produit technologique au réseau doit faire vérifier sa conformité par une firme externe, avec un test d’intrusion obligatoire réalisé par un bassin restreint de firmes spécialisées, selon l’orientation officielle du MSSS sur la certification TGV (publication 24-715-38W).
Cette vérification externe n’est pas facultative et son résultat ne se négocie pas avec le fournisseur : c’est le Bureau de certification qui tranche, pas la firme qui a testé le produit. Vérification externe TGV : se préparer au test d’intrusion détaille comment se préparer à cette étape précise, et les critères se retrouvent aussi sur la page de certification des solutions numériques du réseau de la santé.
C’est un bon repère pour n’importe quel audit indépendant : plus le résultat compte, plus l’indépendance de qui le produit doit être vérifiable, pas seulement affirmée.
Cabinet indépendant, Big 4 ou équipe interne : qui choisir ?
La question n’a pas de bonne réponse universelle. Elle dépend de trois éléments : la taille de votre organisation, la nature de l’exigence et votre budget.
Une équipe interne peut réaliser un premier passage utile, mais elle ne remplace pas un tiers indépendant quand un contrat, un assureur ou un organisme certificateur exige une preuve externe. Un grand cabinet apporte une marque reconnue et une profondeur de ressources. Un cabinet-boutique apporte souvent un accès direct au consultant principal, des délais plus courts et une facture proportionnée à la taille de votre entreprise.
Cabinet indépendant ou Big 4 : quel auditeur pour votre PME ? compare ces options plus en détail, sans prétendre qu’une seule convient à toutes les situations.
Par où commencer ?
Trois gestes concrets, dans l’ordre.
- Identifiez le déclencheur réel. Une exigence contractuelle a une date de clôture, une démarche de certification a un référentiel précis, un incident a un périmètre à circonscrire. Le déclencheur détermine le type d’audit, pas l’inverse.
- Si vous visez une certification, prévoyez un audit pré-certification avant le dépôt officiel. L’audit pré-certification : arriver prêt le jour officiel explique comment structurer cette étape pour ne pas découvrir vos écarts le jour où ils comptent le plus.
- Avant de signer un mandat, posez les questions qui distinguent un auditeur sérieux d’un vendeur déguisé : qui signe le rapport, qui touche une commission, quelles preuves seront exigées.
Nous accompagnons des dirigeants québécois dans cette démarche, de la définition du bon type d’audit jusqu’à la remise du rapport. Vous pouvez planifier un appel exploratoire : trente minutes suffisent pour cerner le type d’audit qui correspond à votre situation.
Pour aller plus loin avec Factero :
Foire aux questions
Un audit informatique est-il obligatoire ?
Pas par défaut. Il le devient dès qu’un contrat, un assureur ou un organisme certificateur l’exige. La Loi 25 québécoise sur la protection des renseignements personnels pousse aussi de plus en plus d’entreprises vers un audit de conformité, sans l’imposer littéralement à toutes.
Quelle est la différence entre un audit interne et un audit externe ?
Un audit interne est réalisé par vos propres ressources ou par un consultant qui travaille sous votre direction. Un audit externe est réalisé par un tiers indépendant, sans lien de subordination avec vous. Seul le second a la valeur probante qu’exigent la plupart des contrats et des certifications.
Qui peut réaliser un audit informatique ?
Un cabinet spécialisé, un auditeur indépendant ou une firme comptable dotée d’une pratique TI. Le choix dépend du type d’audit et du référentiel visé : un audit pré-certification TGV, par exemple, exige des vérificateurs qui répondent aux critères du programme, pas n’importe quel prestataire TI.
Combien de temps faut-il prévoir pour un audit TI ?
La durée varie avec la portée. Un audit ciblé sur un système précis se boucle en quelques semaines, un audit pré-certification complet en demande davantage. La bonne pratique consiste à exiger un échéancier écrit avant de signer le mandat, pas une estimation verbale.
Combien coûte un audit informatique ?
Il n’existe pas de tarif fixe : le coût dépend du type d’audit, de la portée définie et de la profondeur de l’analyse, pas seulement de la taille de l’entreprise. Exigez un devis basé sur une portée écrite avant de signer un mandat. Un prix annoncé sans périmètre précis ne vaut rien, ni comme budget ni comme garantie de sérieux.
