En bref : Le déroulement d’un audit informatique suit quatre temps : le cadrage et l’accès aux systèmes en semaine 1, les entrevues et la revue technique en semaines 2 et 3, la validation des constats avec votre équipe en semaine 4, puis la remise du rapport. Pour un mandat de type PME, comptez de trois à six semaines au total.
Vous avez une soumission sur votre bureau et une seule vraie question en tête : qu’est-ce que ça va exiger de mon équipe, et pendant combien de temps ? Ce guide répond dans l’ordre où les choses arrivent.
Dans cet article
Combien de temps dure un audit informatique ?
Un mandat de type PME se situe habituellement entre trois et six semaines, cadrage inclus. C’est une fourchette de planification, pas un engagement contractuel : la taille du parc informatique, le nombre de sites et la disponibilité de vos équipes pèsent tous sur le calendrier réel.
Il n’y a pas de durée universelle au-delà de cet ordre de grandeur. Un mandat qui porte uniquement sur la cybersécurité d’une PME à un seul site se règle généralement plus vite qu’un audit de gouvernance complet couvrant plusieurs établissements. Le tableau ci-dessous détaille le déroulement d’un audit informatique, étape par étape.
| Étape | Ce qui se passe | Ce qu’on attend de vous |
|---|---|---|
| Semaine 1 | Cadrage du mandat, accès en lecture aux systèmes, liste documentaire transmise | Un contact désigné, les documents existants, l’accès demandé |
| Semaines 2 et 3 | Entrevues, revue technique, revue de gouvernance | Quelques heures d’entrevues par personne, réponses aux questions de suivi |
| Semaine 4 | Validation contradictoire des constats avec votre équipe | Confirmer ou corriger les faits avant la version finale |
| Après | Remise du rapport final | La décision : quoi corriger, dans quel ordre, avec quel budget |
Si vous voulez d’abord une vue d’ensemble de ce qu’un audit informatique couvre et pourquoi une entreprise en fait un, notre guide complet de l’audit informatique répond à ces questions en amont de celui-ci.
Que se passe-t-il pendant la semaine 1 ?
La première semaine du déroulement d’un audit informatique ne touche à rien dans vos systèmes. Elle sert à cadrer le mandat et à ouvrir les portes.
La rencontre de cadrage fixe le périmètre : quels systèmes, quels sites, quels référentiels servent de grille de lecture. C’est aussi le moment de nommer un contact interne, généralement le responsable TI, qui coordonnera les demandes des semaines suivantes.
Suit la liste documentaire, celle qui démontre comment les choses fonctionnent réellement, pas comment elles devraient fonctionner sur papier :
- Politiques existantes de sécurité et de gouvernance
- Inventaire des actifs informatiques
- Diagramme réseau
- Registre des accès
- Journaux de sauvegarde
Plus cette liste est complète dès le départ, plus la semaine 1 se referme vite.
L’accès accordé à l’auditeur est en lecture seule. Personne d’externe ne modifie une configuration, n’installe un agent ni ne touche à un compte pendant un audit. Réunir ces documents avant même le coup d’envoi raccourcit d’autant cette première semaine : c’est exactement ce que couvre notre checklist de préparation à un audit informatique.
Que regarde l’auditeur pendant les semaines 2 et 3 ?
C’est le cœur du mandat, et il se déroule sur trois fronts en parallèle.
Les entrevues d’abord. Elles servent à comprendre comment les choses se passent au quotidien, pas seulement ce qui est écrit dans une politique. Le responsable TI y participe presque toujours ; selon la portée, une personne de la direction ou des ressources humaines peut être sollicitée pour les volets gouvernance et protection des renseignements personnels.
La revue technique ensuite, qui porte sur cinq volets :
- Configuration réseau
- Protections en place sur les postes de travail
- Gestion des correctifs
- Contrôle des accès
- Sauvegardes
Sur chacun, l’auditeur examine les preuves fournies et pose des questions ciblées quand une preuve manque ou surprend.
La revue de gouvernance enfin, qui couvre :
- Politiques de sécurité
- Plan de réponse aux incidents
- Registre des renseignements personnels
- Formation des employés
- Conformité à la Loi 25
Une bonne partie de cette revue est documentaire, pas technique, c’est d’ailleurs une des confusions les plus fréquentes chez les dirigeants qui abordent leur premier audit.
Selon la portée du mandat, l’auditeur mobilise un ou plusieurs référentiels reconnus comme grille de lecture : le NIST CSF, la norme ISO 27001, le programme CyberSécuritaire Canada, et systématiquement les exigences de la Loi 25. Ces référentiels structurent les constats, ils ne sont pas une certification en soi que le mandat viserait à obtenir.
Si votre mandat porte spécifiquement sur la cybersécurité plutôt que sur la gouvernance au complet, notre guide sur l’audit de cybersécurité pour PME détaille ce que cette portée couvre concrètement. Le Centre canadien pour la cybersécurité publie aussi des guides destinés aux PME, utiles en complément si votre priorité immédiate est la cybersécurité plutôt que la gouvernance TI dans son ensemble.
Est-ce que l’audit va déranger mes opérations ?
Non, pas dans le sens où vous le craignez. L’auditeur ne touche à aucune configuration, n’installe rien en production et n’a besoin d’aucun droit d’administrateur. L’accès demandé est en lecture, le temps qu’il faut pour vérifier ce qui est en place.
C’est pourtant la question que les dirigeants posent le plus souvent, rarement à voix haute avant la première rencontre.
Le vrai coût, c’est du temps de vos gens, pas de l’indisponibilité de vos systèmes. Le responsable TI y consacre généralement l’équivalent de quelques heures étalées sur les semaines 2 et 3, entre les entrevues et le suivi des questions documentaires. Les autres personnes interviewées, quand il y en a, y consacrent moins, souvent une seule rencontre d’une heure. Les entrevues se planifient autour de votre calendrier, pas l’inverse.
Un audit informatique n’est pas un test d’intrusion. Si un test d’intrusion fait partie du mandat, il se planifie et se confirme avec vous à l’avance, jamais à l’aveugle sur votre environnement de production.
Semaine 4 : comment les constats sont-ils validés avec vous ?
Avant que le rapport ne soit finalisé, les constats préliminaires vous sont présentés : votre équipe a l’occasion de confirmer les faits, ou de corriger une erreur factuelle, comme un système mal identifié, une politique qui existe mais qui n’a pas été transmise à temps, ou un contexte qui change la portée d’un constat.
C’est l’étape la moins connue du processus, et probablement la plus importante.
Ce contradictoire porte sur les faits, pas sur le ton. Personne ne négocie l’atténuation d’un constat parce qu’il dérange. L’objectif est un rapport qui décrit des faits tels qu’ils sont, confirmés avant d’être écrits, pas un rapport qui vous surprend à la lecture ou qui a été adouci en cours de route.
Et après la remise du rapport, que se passe-t-il ?
Le rapport final en main, la décision vous appartient entièrement. Ni ce rapport ni son auteur ne vous disent quoi acheter.
Un auditeur réellement indépendant n’a rien d’autre à vendre. Il ne conclut pas son mandat par une proposition de services gérés ni par la promotion d’un produit particulier, ce qui distingue un audit indépendant d’une évaluation menée par un fournisseur qui espère ensuite corriger lui-même ce qu’il a trouvé. Le rapport devient un outil de priorisation : quoi corriger d’abord, avec quel budget, sur quel horizon. Ces choix reviennent à vous et à votre équipe de direction.
Pour savoir exactement ce qu’un bon rapport d’audit doit contenir et ce que vous êtes en droit d’exiger d’un auditeur, consultez notre article sur comment lire un rapport d’audit informatique.
Déroulement d’un audit informatique : qu’est-ce qui allonge ou raccourcit le calendrier ?
Cinq facteurs expliquent la majorité des écarts entre un mandat de trois semaines et un mandat de six.
- La disponibilité des documents existants. Des politiques à jour et un inventaire des actifs déjà en main réduisent la semaine 1 à quelques jours ; leur absence l’étire, parce que documenter l’existant devient alors une partie du mandat lui-même.
- Le nombre de sites ou d’établissements couverts par le mandat.
- La portée retenue : un audit ciblé sur la cybersécurité se boucle généralement plus vite qu’une revue de gouvernance complète.
- La disponibilité réelle des personnes à interviewer pendant les semaines 2 et 3 : des entrevues reportées repoussent tout le reste.
- La présence ou non d’un test d’intrusion dans le mandat, qui ajoute son propre calendrier de planification et d’exécution.
Nous accompagnons des entreprises québécoises à chaque étape de ce déroulement d’un audit informatique, du cadrage initial jusqu’à la remise du rapport. Notre rôle reste celui d’un tiers indépendant : nous structurons, nous vérifions, nous documentons, vous décidez. Si une soumission ou une échéance client vous a mis un audit sur votre calendrier, vous pouvez planifier un appel exploratoire sur votre audit informatique pour situer, en trente minutes, la portée probable et le calendrier réaliste de votre mandat.
Pour aller plus loin avec Factero :
Foire aux questions
Un audit informatique est-il obligatoire au Québec ?
La Loi 25 n’exige pas explicitement un audit informatique. Elle impose un responsable de la protection des renseignements personnels, des mesures de sécurité proportionnelles au risque et un registre des incidents de confidentialité. L’audit reste l’outil le plus concret pour démontrer que ces obligations sont réellement en place, pas seulement écrites sur papier. Un client, un assureur ou un appel d’offres peut aussi l’exiger par contrat.
Qui peut réaliser un audit informatique indépendant ?
N’importe quel prestataire TI peut examiner votre environnement, mais « indépendant » a un sens précis : sans revente de produits, sans commission, sans lien avec les correctifs qui suivront. Un responsable TI interne peut faire un premier survol, mais il évalue alors son propre travail. Un auditeur externe qui n’a rien d’autre à vendre livre un diagnostic sur lequel vous pouvez vous appuyer sans arrière-pensée commerciale.
Quelle est la différence entre un audit informatique et un audit de cybersécurité ?
L’audit de cybersécurité est un audit informatique resserré sur un seul angle : la protection contre les intrusions, les accès non autorisés et la perte de données. L’audit informatique complet ajoute la gouvernance, les politiques, la formation du personnel et la conformité à la Loi 25. Le premier se boucle généralement plus vite. Notre guide sur l’audit de cybersécurité pour PME détaille ce que cette portée resserrée couvre.
Un audit informatique peut-il se dérouler à distance ?
Une grande partie du mandat ne demande pas de présence physique : l’accès aux systèmes se donne à distance et la majorité des documents s’échangent par voie électronique. Les entrevues se planifient selon votre disponibilité, en personne ou à distance, selon ce qui convient à votre équipe. Une visite sur place reste parfois utile pour un parc réparti sur plusieurs sites.
