En bref : Un mandat d’audit informatique est le document qui définit, avant l’appel d’offres, la portée de l’audit, les référentiels retenus, les livrables exigés et les clauses garantissant l’indépendance de l’auditeur. Un mandat mal rédigé produit des soumissions gonflées ou des rapports inutilisables. Un mandat précis produit des constats comparables, chiffrés, et un rapport que vous pouvez montrer à votre conseil d’administration.
Si vous êtes le DG, la DAF ou le responsable de l’approvisionnement d’une PME, d’une ETI, d’une municipalité ou d’un OBNL et que vous devez rédiger un mandat d’audit informatique, ce guide vous donne une structure réutilisable, trois clauses d’indépendance prêtes à copier et une grille pour évaluer les soumissions sans vous fier au seul prix. Pour la vue d’ensemble du processus, notre guide L’audit informatique : le guide complet du dirigeant québécois couvre le déroulement complet d’un audit. Celui-ci se concentre sur un maillon précis, souvent bâclé : le document qui précède tout le reste.
Dans cet article
Que doit contenir un mandat d’audit informatique ?
Un mandat complet répond à huit questions avant même qu’un soumissionnaire ne dépose une offre. Voici la structure, dans l’ordre où elle se rédige.
- Contexte et objectifs. Pourquoi cet audit maintenant : renouvellement de contrat, exigence d’un assureur, incident récent, obligation d’un donneur d’ordre, diligence raisonnable avant une transaction. L’objectif oriente tout le reste.
- Portée. Les systèmes, sites, fournisseurs et processus visés. Nommez ce qui est inclus et, tout aussi important, ce qui est exclu.
- Référentiels applicables. Le ou les cadres contre lesquels l’auditeur vérifie votre environnement. Selon votre secteur : ISO 27001, un cadre propre à l’industrie, la Trousse globale de vérification (TGV) et la page de certification des solutions numériques de Santé Québec pour un fournisseur en santé numérique, ou, à défaut d’un cadre imposé, un point de départ neutre comme les guides pour PME du Centre canadien pour la cybersécurité.
- Livrables attendus. Le rapport, mais pas seulement : précisez si vous exigez les constats bruts en annexe, une synthèse pour le conseil d’administration, un plan de remédiation priorisé.
- Calendrier et jalons. Date de début, durée prévue, date de dépôt du rapport, points de suivi intermédiaires.
- Modalités d’accès. Ce que l’auditeur pourra consulter : systèmes, documentation, personnel à interroger, et sous quelles conditions de confidentialité.
- Clauses d’indépendance. Ce qui empêche l’auditeur de juger son propre travail ou de transformer un constat en contrat de vente.
- Critères d’évaluation des soumissions. La grille qui départagera les offres reçues, communiquée aux soumissionnaires dès le départ.
Cette structure vaut peu importe le cabinet que vous choisirez au bout du compte. Un mandat qui répond à ces huit points élimine déjà la moitié des soumissions vagues.
Comment définir la portée d’un appel d’offres audit TI sans se faire vendre plus que nécessaire ?
La portée est l’endroit où un mandat mal rédigé coûte le plus cher, dans les deux sens. Trop large, et vous payez pour vérifier des systèmes qui n’ont rien à voir avec la question qui vous a menés à cet audit. Trop étroite, et le rapport final ne répond pas à la question que vous vous posiez vraiment.
La règle est simple à énoncer, plus difficile à appliquer sans expérience : la portée découle de l’objectif, pas l’inverse. Un audit motivé par l’exigence d’un assureur cible généralement la posture de sécurité et la gestion des incidents. Un audit motivé par le renouvellement d’un contrat avec un fournisseur TI cible la conformité de ce fournisseur à ses propres engagements. Un audit de diligence avant une transaction cible ce qui touche la valeur de l’entreprise achetée : dettes techniques, licences, contrats en cours.
Si vous manquez de repères pour situer l’ampleur raisonnable d’un mandat d’audit informatique par rapport à votre budget, notre analyse Combien coûte un audit informatique au Québec ? Fourchettes en dollars canadiens donne des ordres de grandeur utiles avant même de lancer l’appel d’offres. Un soumissionnaire qui propose un prix nettement en dehors de ces fourchettes, dans un sens ou dans l’autre, mérite une question avant une signature.
Une dernière précision, souvent oubliée : la portée doit préciser qui, dans votre organisation, tranche les questions d’interprétation en cours de mandat. Sans ce point de contact désigné, chaque zone grise devient une négociation.
Quelles clauses garantissent l’indépendance de l’auditeur ?
L’indépendance ne se présume pas, elle se rédige. Un cabinet qui vend aussi des services d’implantation, d’hébergement ou de gestion TI a un intérêt structurel à trouver des lacunes qu’il pourra ensuite corriger, facturé séparément. Ce n’est pas une accusation de mauvaise foi, c’est un conflit d’intérêts qu’un mandat d’audit informatique bien écrit neutralise à la source, peu importe les intentions du soumissionnaire.
Trois clauses, formulées pour être insérées telles quelles dans votre document d’appel d’offres.
Déclaration d’intérêts :
Le soumissionnaire déclare, avant le début du mandat, tout lien financier, contractuel ou d’affaires actuel ou passé avec [nom de l’organisation] ou avec l’un de ses fournisseurs de technologies de l’information. Toute omission constatée en cours de mandat entraîne la résiliation immédiate du contrat.
Interdiction de soumissionner sur la remédiation :
Le soumissionnaire retenu pour la réalisation de l’audit ne peut soumissionner, directement ou par une entité liée, sur les travaux de remédiation ou de correction découlant de ses propres constats, pour une période de [24] mois suivant le dépôt du rapport final.
Remise des constats bruts :
Le rapport final est remis à [nom de l’organisation] accompagné de l’ensemble des constats bruts ayant servi à sa rédaction, incluant les preuves collectées, les résultats de tests et les notes d’entrevue. Le rapport et ses annexes appartiennent exclusivement à [nom de l’organisation].
Cette troisième clause mérite un mot à part. Un rapport sans ses constats bruts est un résumé que vous devez croire sur parole. Avec les constats bruts en annexe, vous, votre conseil ou un second cabinet pouvez vérifier comment une conclusion a été tirée. Exiger cette annexe dès le mandat coûte peu et change beaucoup ce que vous pouvez faire du rapport une fois livré.
Comment évaluer les soumissions autrement qu’au prix ?
Un appel d’offres qui retient automatiquement la soumission la moins chère récompense le soumissionnaire qui a coupé le plus de coins, pas celui qui produira les constats les plus utiles. Une grille de pondération publiée dans le mandat, connue de tous les soumissionnaires avant le dépôt, corrige ce biais.
| Critère | Pondération indicative |
|---|---|
| Méthode d’audit proposée | 40 % |
| Expertise démontrée (références, expérience sectorielle, certifications pertinentes) | 30 % |
| Qualité du livrable proposé | 20 % |
| Prix | 10 % |
Cette répartition est un point de départ, pas une norme officielle : ajustez-la à votre contexte. L’essentiel est ailleurs, dans deux principes qui s’appliquent quelle que soit la pondération retenue.
Le prix ne devrait jamais compter pour plus du quart de la note globale. Un audit informatique produit un jugement professionnel, pas une commodité interchangeable d’un fournisseur à l’autre.
La méthode et l’expertise doivent être évaluées sur preuves, pas sur promesses. Avant de noter une soumission, exigez :
- Un exemple anonymisé de rapport antérieur.
- La liste des tests concrets prévus pour votre environnement.
- Les qualifications réelles de la personne qui mènera le mandat, pas seulement le nom du cabinet.
Audit TI municipalité SEAO : qu’est-ce qui change pour le secteur public ?
Les règles d’un appel d’offres public diffèrent de celles d’une PME privée sur plusieurs points, et elles s’appliquent peu importe que l’audit vise cinq postes de travail ou l’ensemble d’un parc municipal.
Au-delà d’un certain seuil, la loi impose de publier l’appel d’offres sur le Système électronique d’appel d’offres du Québec (SEAO), le portail où les organismes publics diffusent leurs besoins et où les fournisseurs déposent leurs soumissions. Le seuil exact et les modalités d’appel d’offres applicables à votre situation dépendent de la nature de votre organisme et du montant estimé du contrat : validez-les avec votre service des approvisionnements ou votre secrétaire-trésorier avant de rédiger le mandat, pas après.
Un organisme public doit aussi documenter davantage que le privé, à chaque étape. Le mandat doit préciser :
- Les critères d’admissibilité des soumissionnaires.
- La grille d’évaluation complète, et non un simple ordre de grandeur.
- Le processus de traitement des questions des soumissionnaires en cours d’appel d’offres.
- Les motifs de rejet d’une soumission non conforme.
Ce formalisme n’est pas de la bureaucratie superflue : il protège l’organisme contre une contestation d’un soumissionnaire écarté, et il protège les élus ou les administrateurs qui doivent pouvoir justifier le choix retenu.
Les clauses d’indépendance présentées plus haut ont, dans un contexte public, une importance encore plus grande. Un fournisseur TI déjà en contrat avec la municipalité qui soumissionnerait aussi sur l’audit de ses propres services pose un problème d’apparence de conflit d’intérêts qui dépasse la seule question de rigueur professionnelle.
Quelles erreurs de mandat produisent des rapports inutilisables ?
Certaines erreurs reviennent d’un mandat à l’autre, et elles se corrigent toutes avant la publication de l’appel d’offres, jamais après.
La portée reste vague. « Auditer notre sécurité informatique » n’est pas une portée, c’est une intention. Sans systèmes nommés, sans référentiel précisé, chaque soumissionnaire interprète le mandat à sa façon, et vous recevez des offres impossibles à comparer entre elles.
Aucune clause d’indépendance n’est incluse. Le fournisseur TI en poste soumissionne sur l’audit de ses propres services, personne ne s’en formalise, et le rapport confirme, sans surprise, que tout va bien.
Le mandat n’exige pas les constats bruts. Vous recevez un résumé de trois pages, sans preuve à l’appui, et vous devez faire confiance à une conclusion que vous ne pouvez pas vérifier vous-même. Notre article Rapport d’audit informatique : comment le lire, et ce que vous êtes en droit d’exiger détaille ce à quoi un rapport complet doit ressembler, et ce qu’il faut réclamer s’il en manque.
Le prix domine seuls les critères d’évaluation. Le soumissionnaire le moins cher gagne, produit un audit superficiel, et l’organisation se retrouve six mois plus tard à devoir en commander un second, plus sérieux, pour la même question.
Personne ne sait, à l’interne, à quelles questions poser au moment de choisir entre les soumissions reçues. Notre article Les questions à poser avant de confier votre audit TI recense les questions les plus utiles à cette étape : la plupart d’entre elles peuvent, et devraient, devenir des exigences écrites dans votre mandat plutôt que des questions posées en entrevue, où une bonne réponse orale ne vaut rien une fois le contrat signé.
Utilisez ces clauses et cette structure même si vous retenez un autre cabinet que le nôtre : un mandat d’audit informatique qui exige des faits, pas des promesses, protège votre décision avant même que l’audit commence. Si vous voulez en discuter d’abord, de dirigeant à dirigeant, sans engagement, vous pouvez planifier un appel avec Factero pour valider votre mandat avant de le publier.
Pour aller plus loin avec Factero :
Foire aux questions
Qui devrait rédiger le mandat d’audit informatique, la direction ou le service TI ?
La direction, avec le service TI en soutien technique, pas l’inverse. L’objectif de l’audit et les clauses d’indépendance relèvent d’une décision de gouvernance. Confier la rédaction du mandat entièrement au service TI, surtout s’il travaille avec le fournisseur susceptible d’être audité, réintroduit le conflit d’intérêts que le mandat est censé éliminer.
Existe-t-il un modèle de cahier des charges pour un audit informatique ?
Oui, dans la mesure où un mandat suit une structure standard : contexte et objectifs, portée, référentiels, livrables, calendrier, modalités d’accès, clauses d’indépendance, critères d’évaluation. Ce sont les huit sections détaillées plus haut dans ce guide. Un modèle générique reste un point de départ : adaptez chaque section à votre secteur et à l’objectif réel de l’audit avant de le publier.
Combien de temps prévoir entre la publication du mandat et le début de l’audit ?
Prévoyez des semaines, pas des jours, pour la période de soumission, l’analyse des offres reçues et la négociation finale avec le soumissionnaire retenu, avant même que l’audit ne débute sur le terrain. Un délai trop court élimine des cabinets sérieux, qui ne peuvent pas répondre à temps, et favorise ceux dont la soumission est déjà prête sur étagère.
Une municipalité doit-elle publier son mandat d’audit TI sur SEAO même pour un petit contrat ?
Pas nécessairement. La loi impose la publication sur le Système électronique d’appel d’offres du Québec (SEAO) seulement au-delà d’un certain seuil, qui varie selon le type d’organisme et le montant estimé du contrat. Sous ce seuil, un contrat peut être octroyé sans appel d’offres public, mais consultez votre secrétaire-trésorier ou votre service des approvisionnements avant de conclure qu’un audit TI y échappe : les règles internes de gestion contractuelle imposent souvent des exigences additionnelles.
Le prix le plus bas doit-il l’emporter dans un appel d’offres d’un organisme public ?
Non, sauf si votre mandat le prévoit ainsi, ce qui est déconseillé pour un audit. La loi encadrant les contrats publics permet des grilles d’évaluation qualité-prix, où la méthode et l’expertise pèsent davantage que le prix seul. Validez la formule exacte permise dans votre catégorie d’organisme avec votre service des approvisionnements avant de publier l’appel d’offres.
