Indépendance de l'auditeur TI : 3 rôles à distinguer

En bref : L’indépendance de l’auditeur TI signifie que celui qui installe et gère vos systèmes n’est jamais celui qui évalue s’ils sont bien protégés. Ce n’est pas une question de compétence : c’est un principe d’audit. Celui qui opère un environnement a un angle mort structurel pour juger son propre travail, même quand ce travail est excellent.

Dans cet article

Fournisseur TI et conflit d’intérêts : qu’est-ce qui cloche quand il évalue son propre travail ?

Le cumul des rôles est le problème : un fournisseur qui installe vos pare-feu, gère vos sauvegardes et configure vos accès ne peut pas aussi être celui qui juge si ce travail est bien fait. Il connaît votre environnement mieux que quiconque, ce qui rend son jugement précieux pour opérer, mais inutilisable pour évaluer de façon indépendante.

Un audit pose une question simple : est-ce que ce qui a été fait respecte ce qui aurait dû être fait ? Quand la même organisation répond aux deux questions, la réponse devient prévisible. Personne ne se donne délibérément un mauvais rapport.

Le problème n’est pas la malhonnêteté. C’est l’angle mort. On ne voit pas ses propres angles morts, par définition.

C’est exactement ce que vise l’indépendance de l’auditeur TI : sortir la question hors de portée de qui a intérêt à y répondre d’une certaine façon.

Un fournisseur TI qui découvre une faille dans sa propre configuration fait face à un choix inconfortable : la corriger discrètement et ne rien dire, ou la documenter dans un rapport qui remet en question son propre travail. La plupart choisiront de corriger et de passer à autre chose, ce qui est même la bonne chose à faire sur le plan opérationnel. Le problème, c’est que ce choix vous prive de la visibilité que l’audit était censé vous donner.

Votre fournisseur TI est-il un mauvais fournisseur pour autant ?

Non. Rien dans ce principe ne dit que votre fournisseur TI ou votre fournisseur de services infogérés fait mal son travail.

Un excellent fournisseur reste un excellent fournisseur. Le problème n’est pas la compétence de qui opère, c’est le cumul des rôles. Personne ne demande à l’entrepreneur qui a construit un bâtiment d’être aussi l’inspecteur qui le certifie conforme au code de construction, même si c’est le meilleur entrepreneur en ville. Exiger un second regard indépendant ne remet pas en question sa compétence.

La séparation des rôles est un principe d’audit, pas un jugement sur les fournisseurs TI. Elle protège autant le fournisseur que le client. Un rapport produit par un tiers indépendant a une valeur que le fournisseur lui-même ne peut pas se donner, aussi sérieux son travail soit-il.

Les meilleurs fournisseurs TI le savent déjà. Ce sont souvent eux qui recommandent un audit externe à leurs clients, parce qu’un rapport indépendant qui confirme la qualité de leur travail vaut plus, aux yeux d’un conseil d’administration ou d’un assureur, que leur propre parole.

Pourquoi ce sujet devient-il pressant pour les dirigeants québécois ?

Trois pressions convergent en même temps :

La Loi 25 impose aux entreprises québécoises des mesures de sécurité raisonnables pour protéger les renseignements personnels qu’elles détiennent. Un dirigeant qui doit démontrer une diligence raisonnable, devant un client, un régulateur ou un tribunal, a besoin d’une preuve qui ne vient pas de la partie évaluée.
Les assureurs qui couvrent le risque cyber posent de plus en plus de questions précises sur la gouvernance TI avant d’émettre ou de renouveler une police. Une auto-évaluation transmise par le fournisseur ne répond pas toujours à ces questions de la même façon qu’une évaluation indépendante.
Les grands donneurs d’ordre, publics et privés, exigent de plus en plus de preuves de sécurité de la part de leurs fournisseurs et sous-traitants dans leurs appels d’offres et leurs contrats. Une lettre de votre propre fournisseur TI attestant que tout est en ordre ne pèse pas le même poids qu’un rapport signé par un tiers sans lien avec vous.

L’indépendance de l’auditeur TI s’applique-t-elle ailleurs qu’en informatique ?

Oui. Le principe existe depuis longtemps dans d’autres domaines. La firme qui tient les livres comptables d’une entreprise n’est généralement pas celle qui signe l’opinion d’audit sur ses états financiers. Ce n’est pas une image, c’est une pratique documentée depuis des décennies.

Le secteur de la santé numérique québécois applique la même logique. La certification TGV, la Trousse globale de vérification exigée pour tout produit technologique destiné au réseau de la santé, comprend une vérification externe confiée à une firme tierce choisie dans un bassin restreint de vérificateurs reconnus. Le fournisseur du produit ne choisit pas qui l’audite, et il ne peut certainement pas s’auditer lui-même. Le cadre est décrit dans l’orientation officielle du MSSS sur la certification TGV.

Le programme fédéral CyberSécuritaire Canada applique la même logique. Une entreprise qui prépare sa certification peut se faire accompagner par un consultant, mais la décision de certifier appartient à un organisme de certification accrédité, distinct de l’accompagnateur. Cette accréditation s’appuie sur la norme CAN/DGSI 104 du Digital Governance Standards Institute, et elle se vérifie publiquement : le répertoire IAF CertSearch permet de confirmer qu’un organisme de certification détient réellement l’accréditation qu’il revendique.

Dans les trois cas, comptabilité, santé numérique, cybersécurité, la logique est identique : celui qui prépare le dossier n’est pas celui qui le juge.

Comment reconnaître la séparation des rôles dans un audit TI indépendant ?

Trois rôles distincts entrent en jeu dans une démarche de sécurité TI bien structurée, et la confusion entre eux est la source la plus fréquente des faux sentiments de sécurité.

Rôle	Qui le joue habituellement	Ce qu’il fait	À qui il répond
Opérer	Votre fournisseur TI ou fournisseur de services infogérés	Installe, configure, maintient et corrige l’environnement au jour le jour	À vous, sur la base d’un contrat de service
Accompagner	Un consultant en gouvernance ou en conformité	Prépare le dossier, cartographie les écarts, structure la démonstration	À vous, sans pouvoir de décision sur le résultat final
Auditer ou certifier	Une firme ou un organisme indépendant, sans lien contractuel avec l’opérateur	Vérifie, teste et rend un verdict sur ce qui est en place	À un cadre normatif ou réglementaire, pas au fournisseur évalué

Le test le plus simple pour vérifier l’indépendance de l’auditeur TI dans votre propre démarche : demandez qui signerait le rapport si l’audit trouvait un problème sérieux. Si la réponse implique la même entreprise qui a configuré l’environnement, l’indépendance n’est pas au rendez-vous, peu importe le sérieux du travail accompli.

Faut-il changer de fournisseur TI pour faire auditer son environnement ?

Non, et c’est probablement le malentendu le plus répandu sur le sujet. Ajouter un audit indépendant ne remplace pas votre fournisseur TI. Ça ajoute un troisième rôle à une relation qui en compte déjà deux, vous et votre fournisseur.

Dans les faits, un bon audit indépendant profite à votre fournisseur autant qu’à vous. Il documente ce qui fonctionne et ce qui doit être corrigé, et il donne à votre équipe TI interne ou à votre fournisseur externe un mandat clair plutôt qu’une liste de reproches informelle.

Le seul changement, c’est l’ajout d’un regard qui n’a aucun intérêt dans le résultat, ni contractuel ni commercial. C’est ce qui donne au rapport sa valeur auprès d’un conseil d’administration, d’un assureur ou d’un client qui exige des preuves en marge d’un appel d’offres.

Comment structurer un audit indépendant sans perturber vos opérations ?

Trois gestes concrets, dans l’ordre.

Clarifiez le périmètre avec votre fournisseur TI actuel avant de lancer l’audit : quels systèmes, quelles données, quelle période couverte. Un fournisseur qui collabore rend l’exercice plus rapide et moins coûteux qu’un fournisseur qui se sent visé.
Choisissez un auditeur qui n’a aucun lien contractuel, commercial ou de sous-traitance avec votre fournisseur TI actuel. Posez la question directement : avez-vous une relation d’affaires avec mon fournisseur ?
Exigez un rapport qui identifie des écarts précis, classés par priorité, plutôt qu’une note globale. Un rapport qui se contente de dire que tout va bien vaut moins qu’un rapport qui documente cinq écarts concrets.

Le Centre canadien pour la cybersécurité publie des guides gratuits destinés aux PME pour amorcer cette réflexion avant même de structurer un premier mandat.

Chez Factero, l’indépendance de l’auditeur TI se traduit par une règle simple : travailler avec votre fournisseur TI en place, jamais à sa place. Nous cartographions votre environnement, documentons les écarts et remettons un rapport, vous décidez de la suite avec votre équipe. Si un cumul de rôles vous préoccupe dans votre propre environnement, planifier un appel exploratoire suffit pour situer le périmètre et les options.

Planifier un appel exploratoire

Pour situer cette démarche dans l’ensemble d’une stratégie d’audit TI, notre guide complet de l’audit informatique couvre les étapes, les livrables et les questions à se poser avant de choisir un auditeur. Le choix entre un cabinet indépendant et une grande firme comptable fait aussi une différence pour une PME, nous en discutons dans Cabinet indépendant ou Big 4 : quel auditeur pour votre PME ?. Et si votre produit vise le réseau de la santé québécois, la vérification externe de la certification TGV comprend des tests d’intrusion obligatoires que nous détaillons dans Vérification externe TGV : se préparer au test d’intrusion.

Pour aller plus loin avec Factero :

Foire aux questions

Quelle est la différence entre un audit interne et un audit externe ?

Un audit interne est mené par du personnel ou un fournisseur déjà lié à l’organisation, souvent celui-là même qui opère l’environnement évalué. Un audit externe est réalisé par un tiers indépendant, sans lien contractuel avec l’opérateur, dont le rapport ne dépend pas de la relation d’affaires en cours. La distinction ne porte pas sur la compétence, mais sur qui répond des conclusions.

Qu’est-ce que ça signifie d’être « juge et partie » en audit informatique ?

Être juge et partie signifie évaluer son propre travail. Un fournisseur TI qui installe et gère vos systèmes, puis se prononce lui-même sur la qualité de ce travail, occupe les deux rôles à la fois. L’expression vient du droit, où elle décrit une personne à la fois partie au litige et chargée de le trancher. En audit, la même logique s’applique : le résultat perd sa valeur probante.

Combien coûte un audit informatique indépendant pour une PME ?

Le prix dépend de la taille de l’environnement, du périmètre couvert et du niveau de preuve exigé par un assureur, un donneur d’ordre ou un régulateur. Aucun chiffre générique ne s’applique à toutes les PME. La façon la plus fiable de le savoir reste de situer son environnement lors d’un premier échange avec l’auditeur pressenti plutôt que de deviner un montant.

Comment vérifier qu’un organisme de certification est vraiment accrédité ?

Demandez le nom exact de l’organisme d’accréditation qui supervise le certificateur, puis confirmez cette accréditation dans un répertoire public plutôt que sur la seule parole du fournisseur. Pour une certification liée à la norme CAN/DGSI 104 comme CyberSécuritaire Canada, le répertoire IAF CertSearch permet cette vérification. Un organisme qui refuse de nommer son accréditeur ne devrait pas être retenu.

Indépendance de l’auditeur TI : le fournisseur ne s’audite pas

Besoin d’aide sur ce sujet ?