En bref : Savoir quand faire un audit informatique tient à six déclencheurs d’affaires bien plus qu’à un calendrier fixe : renouvellement d’assurance, demande du conseil d’administration, transaction, incident de sécurité, certification visée, croissance rapide. Un cycle indicatif de 12 à 24 mois sert de repère par défaut, mais ces événements imposent un audit indépendant hors calendrier.
La question revient dans presque tous nos premiers appels avec un dirigeant : quand faire un audit informatique ? Il y a une vraie réponse, un cycle indicatif, mais elle compte moins que la question suivante, presque toujours ignorée jusqu’à ce qu’elle s’impose. Qu’est-ce qui, dans les prochains mois, va forcer la main de votre organisation, que vous soyez prêt ou non ?
Un renouvellement de police de cyberassurance, une demande d’un conseil d’administration exigeant, une transaction qui s’annonce, un incident qui vient d’arriver : ces événements ne demandent pas votre avis sur le calendrier. Ils imposent le leur.
Dans cet article
Quand faire un audit informatique en l’absence de déclencheur ?
Un repère raisonnable existe : un audit informatique complet tous les 12 à 24 mois, l’intervalle exact dépendant du profil de risque de votre organisation. Une entreprise qui manipule des renseignements personnels sensibles, qui vend à des clients réglementés ou qui a connu une croissance rapide de son infrastructure se rapproche du bas de cette fourchette. Une PME (petite ou moyenne entreprise) stable, avec peu de changements et un historique propre, peut espacer davantage.
Ce repère n’est pas une règle universelle. Aucun texte de loi québécois n’impose un cycle fixe d’audit informatique aux entreprises privées en général, les obligations diffèrent pour les organismes réglementés ou visés par une certification particulière. Le cycle sert de filet de sécurité pour les organisations qui n’ont aucun autre signal déclencheur. Dès qu’un événement précis survient, le calendrier passe au second plan.
C’est ce que détaille notre guide complet de l’audit informatique : ce que couvre un audit, sa durée typique, et si le budget vous préoccupe, notre article sur combien coûte un audit informatique au Québec donne des fourchettes en dollars canadiens. Le reste de cet article porte sur les six événements qui devraient faire sauter votre calendrier, peu importe où vous en êtes dans le cycle.
Le renouvellement d’assurance impose-t-il un audit TI cyberassurance ?
Directement, rarement. Indirectement, presque toujours. Au renouvellement de votre police de cyberassurance, l’assureur vous fait remplir un questionnaire de souscription qui porte, entre autres, sur :
- Authentification multifacteur en place
- Sauvegardes testées
- Segmentation du réseau
- Formation du personnel
- Plan de réponse aux incidents
Vous signez ce questionnaire. Vos réponses engagent votre responsabilité, pas la nôtre : nous ne donnons aucun conseil d’assurance, ce n’est pas notre rôle.
Ce que nous faisons, c’est documenter la réalité de votre environnement avant que vous répondiez. Un audit indépendant produit un constat factuel de ce qui est vraiment en place, distinct de ce que vous croyez être en place. L’écart entre les deux est exactement ce qui, en cas de sinistre, expose une déclaration inexacte au renouvellement, un motif classique de refus de couverture invoqué par les assureurs.
Un dirigeant qui signe un questionnaire de souscription sans vérification indépendante prend un risque qu’il ne mesure pas toujours : celui de découvrir, au moment de faire une réclamation, que sa police ne le couvre pas parce qu’une case cochée trop vite ne correspondait pas aux faits. Le renouvellement de la police est donc un déclencheur d’audit à part entière, avant la signature, pas après le sinistre.
Pourquoi un conseil d’administration ou un investisseur demande-t-il un audit indépendant ?
Un conseil d’administration (CA) qui exerce une diligence raisonnable pose tôt ou tard la question de l’état réel des technologies de l’information (TI) de l’entreprise qu’il gouverne. Ce n’est pas de la méfiance envers l’équipe TI, c’est un devoir. Les administrateurs répondent de leurs décisions, et une décision prise sans portrait indépendant de l’exposition numérique de l’organisation est difficile à défendre après coup.
Un investisseur qui s’apprête à injecter des fonds pose la même question pour une autre raison : il évalue un risque avant de l’acheter.
Dans les deux cas, la demande porte sur un rapport produit par une partie qui n’a rien à protéger dans le résultat, ni contrat de service à renouveler, ni matériel à vendre. C’est précisément la distinction que nous détaillons dans Audit interne, audit externe ou auditeur indépendant : qui devrait examiner vos TI : un audit interne informe la direction, un audit externe répond souvent à une exigence contractuelle, un audit indépendant sert d’abord la gouvernance, parce que personne, dans la chaîne, n’a d’intérêt financier dans la conclusion. Un conseil d’administration qui demande un audit veut cette dernière posture, pas une autre.
Que vérifier avant une fusion ou une acquisition ?
Acheter une entreprise, c’est acheter ce qu’elle montre et ce qu’elle cache. L’état de ses technologies de l’information fait partie de ce qui se cache le mieux dans un dossier de transaction, parce que peu d’acheteurs savent quoi demander, et parce que le vendeur n’a aucun intérêt à le montrer de lui-même.
Trois zones méritent une vérification précise avant de signer.
- La dette technique : des systèmes vieillissants, des licences non renouvelées, une infrastructure qui tient depuis des années sur des rustines internes que personne n’a documentées. Ce sont des coûts de remplacement que vous héritez, pas des avantages que vous achetez.
- La conformité à la Loi 25 : la cible détient-elle un inventaire de ses renseignements personnels, un registre des incidents, des ententes conformes avec ses sous-traitants ? Une lacune ici devient votre lacune le jour de la clôture, avec les obligations et les risques qui l’accompagnent.
- Les passifs invisibles : contrats de service mal négociés, dépendance à un fournisseur unique sans plan de sortie, accès et mots de passe partagés que personne n’a révoqués depuis des années. Rien de tout cela n’apparaît dans un bilan financier.
C’est un peu comme inspecter la structure d’une maison avant de signer l’offre d’achat : la peinture fraîche ne dit rien des fondations.
Un audit TI de préacquisition se lit comme n’importe quel autre volet de la diligence raisonnable : financier, juridique, technologique. Il devrait être commandé avant l’offre finale, pas après la clôture, quand il ne sert plus qu’à confirmer ce qu’il est trop tard pour négocier.
Faut-il un audit après incident de sécurité ?
Un incident de sécurité déclenche d’abord une intervention : contenir, restaurer, notifier si la loi l’exige. Un audit post-incident vient après, une fois la situation stabilisée, et répond à une question différente : qu’est-ce qui a permis que cela arrive, et qu’est-ce qui empêche que cela se reproduise ?
Ces deux exercices ne se remplacent pas. Une enquête d’incident répond à l’urgence. Un audit indépendant documente la cause, l’ampleur réelle et les correctifs, avec un niveau de rigueur que l’urgence ne permet pas toujours sur le moment.
Trois publics attendent cette documentation, chacun pour ses propres raisons :
- Votre assureur, pour traiter la réclamation
- Les autorités, parce que la Loi 25 impose des obligations de notification en cas d’incident de confidentialité touchant des renseignements personnels
- Un tribunal éventuel, une partie adverse ou un juge, parce qu’un dossier mal documenté au moment des faits est très difficile à reconstituer des mois plus tard
Sur ce dernier point, notre expérience comme témoin expert devant les tribunaux en matière de faux documents nous a montré la même chose à répétition : ce qui compte devant une cour, ce n’est pas ce qui s’est vraiment passé, c’est ce qui peut être démontré s’être passé. Un audit post-incident produit exactement ce type de preuve, documentée au moment où les faits sont encore frais et vérifiables. Attendre que le litige commence pour reconstituer le dossier, c’est déjà avoir perdu du terrain.
Quels signaux internes devraient déclencher un audit sans attendre ?
Certains signaux ne viennent d’aucun tiers, ni assureur, ni conseil d’administration, ni acheteur. Ils viennent de l’intérieur, et ils sont tout aussi sérieux.
Une croissance rapide du nombre d’employés ou de systèmes en est un. L’infrastructure qui suffisait à vingt personnes ne tient pas nécessairement à soixante, et personne ne teste cette limite avant qu’elle cède.
Le déploiement d’un nouveau système critique en est un autre : un progiciel de gestion, une plateforme client, un environnement infonuagique. C’est le moment où les décisions de configuration prises rapidement, sous pression de livraison, méritent une vérification indépendante avant de devenir des habitudes permanentes.
Une certification visée en est un troisième, comme la certification TGV pour la santé numérique québécoise ou le PCCC (Programme canadien de certification en cybersécurité), pour les entreprises visées par la Défense nationale. Un audit de préparation avant le dépôt officiel révèle les écarts pendant qu’il est encore possible de les corriger sans pression. Notre article sur l’audit pré-certification détaille comment structurer cette étape.
Si un de ces signaux vous parle en ce moment, nos audits TI indépendants commencent par un portrait honnête de la situation, pas par une liste de produits à vendre. Un assureur, un CA ou un acheteur vous demande des comptes ? Nous documentons la situation telle qu’elle est, vous décidez de la suite. Conseil de dirigeant à dirigeant.
Quels sont les six déclencheurs à retenir ?
En pratique, savoir quand faire un audit informatique se résume à ces six situations, résumées ci-dessous.
| Déclencheur | Qui l’exige | Ce que ça vous demande |
|---|---|---|
| Renouvellement d’assurance | Cyberassureur | Documenter les contrôles avant de signer le questionnaire de souscription |
| Demande du conseil d’administration | CA ou investisseur | Fournir un portrait indépendant pour la diligence raisonnable |
| Transaction (fusion, acquisition) | Acheteur ou ses conseillers | Faire vérifier la cible avant l’offre finale |
| Incident de sécurité | Assureur, autorités, tribunal éventuel | Documenter les faits, distinctement de l’intervention d’urgence |
| Certification visée | Organisme certificateur (TGV, PCCC, autres) | Passer un audit de préparation avant le dépôt officiel |
| Croissance rapide ou nouveau système | Personne en particulier, mais la réalité opérationnelle | Vérifier avant que les raccourcis deviennent permanents |
Le Centre canadien pour la cybersécurité publie des guides destinés aux PME qui recoupent plusieurs de ces repères, utiles en complément d’un audit indépendant, pas en remplacement.
Pour aller plus loin avec Factero :
- déclencher un audit informatique indépendant
- accompagnement cyberassurance au renouvellement
- reprise après incident et post-mortem factuel
Foire aux questions
Un audit informatique annuel est-il obligatoire au Québec ?
Non, pas de façon générale pour une entreprise privée. Le cycle de 12 à 24 mois est un repère de prudence, pas une obligation légale, sauf pour les organisations visées par une certification ou une réglementation sectorielle particulière. Les organismes publics et les secteurs réglementés répondent à des exigences distinctes, propres à leur cadre.
Mon assureur peut-il refuser une réclamation si mon audit informatique n’est pas à jour ?
Le risque ne vient pas de l’absence d’audit en soi, il vient d’une déclaration inexacte au moment de la souscription ou du renouvellement de la police. Un audit indépendant documente ce qui est réellement en place avant de répondre au questionnaire de l’assureur, ce qui réduit l’écart entre ce que vous déclarez et ce qui existe vraiment.
Combien de temps avant une transaction (fusion, acquisition, vente) faut-il commander un audit informatique ?
Le plus tôt possible dans le processus de diligence raisonnable, idéalement avant que l’offre finale soit déposée. Un audit commandé après la clôture ne sert plus qu’à confirmer ce qu’il est trop tard pour négocier. Un écart découvert à ce stade ne se négocie plus, il s’absorbe dans le prix ou dans les engagements qui suivent la transaction.
Un audit interne suffit-il pour répondre à une demande d’un conseil d’administration ou d’un investisseur ?
Ça dépend de ce que le conseil recherche. Un audit interne informe la direction et s’appuie sur la connaissance du contexte de l’organisation. Une demande de gouvernance ou de diligence cherche généralement une évaluation indépendante, sans lien contractuel ni intérêt financier dans le résultat, exactement ce que fournit un audit externe indépendant.
Un audit informatique et un test d’intrusion (pentest) sont-ils la même chose ?
Non. Un audit informatique évalue la configuration, les contrôles et la conformité de façon large, souvent sans tenter d’exploiter une faille. Un test d’intrusion, ou pentest, simule une attaque réelle pour vérifier ce qu’un attaquant pourrait concrètement faire d’une vulnérabilité trouvée. Un assureur ou un organisme certificateur peut exiger l’un, l’autre, ou les deux, selon le contexte.
