{"id":816,"date":"2026-05-22T07:00:00","date_gmt":"2026-05-22T12:00:00","guid":{"rendered":"https:\/\/factero.ca\/blog\/?p=816"},"modified":"2026-09-04T13:01:47","modified_gmt":"2026-09-04T18:01:47","slug":"questions-avant-audit-ti","status":"publish","type":"post","link":"https:\/\/factero.ca\/blog\/questions-avant-audit-ti\/","title":{"rendered":"Les questions \u00e0 poser \u00e0 un auditeur TI avant de signer"},"content":{"rendered":"<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\"><p class=\"wp-block-paragraph\"><strong>En bref :<\/strong> <strong>Avant de mandater un audit TI, les questions \u00e0 poser \u00e0 un auditeur TI portent sur cinq points : ind\u00e9pendance envers votre fournisseur, m\u00e9thode, livrables, qui ex\u00e9cute le mandat, et la suite apr\u00e8s le rapport.<\/strong> Le prix et le choix entre cabinet ind\u00e9pendant et grand cabinet s&rsquo;ajoutent en pratique. Une r\u00e9ponse \u00e9vasive est le signal le plus fiable pour chercher ailleurs.<\/p><\/blockquote>\n\n<figure class=\"wp-block-image size-large has-custom-border\"><img decoding=\"async\" src=\"https:\/\/factero.ca\/blog\/wp-content\/uploads\/illustrations\/gouvernance_ti.png\" alt=\"questions \u00e0 poser \u00e0 un auditeur TI : ind\u00e9pendance, m\u00e9thode et livrables\" style=\"border-top-left-radius:7px;border-top-right-radius:7px;border-bottom-left-radius:7px;border-bottom-right-radius:7px\"\/><\/figure>\n\n<p class=\"wp-block-paragraph\">Mandater un audit TI engage votre budget, votre calendrier et parfois votre cr\u00e9dibilit\u00e9 devant un conseil d&rsquo;administration. La plupart des dirigeants signent pourtant apr\u00e8s une seule rencontre, sur la foi d&rsquo;une r\u00e9putation ou d&rsquo;une recommandation, sans poser les questions qui s\u00e9parent un audit utile d&rsquo;un exercice cosm\u00e9tique.<\/p>\n\n<p class=\"wp-block-paragraph\">Nous avons publi\u00e9 un <a href=\"https:\/\/factero.ca\/blog\/audit-ti-independant-guide\/\">guide complet de l&rsquo;audit informatique<\/a> qui couvre la d\u00e9marche du d\u00e9but \u00e0 la fin. Cet article va plus loin sur un point pr\u00e9cis : les questions \u00e0 poser \u00e0 un auditeur TI avant de signer, pour vous assurer que l&rsquo;auditeur que vous engagez travaille pour vous, pas pour quelqu&rsquo;un d&rsquo;autre.<\/p>\n\n<div class=\"wp-block-rank-math-toc-block\" id=\"rank-math-toc\"><h2>Dans cet article<\/h2><nav><ul><li class=\"\"><a href=\"#quelles-sont-les-questions-a-poser-a-un-auditeur-ti-avant-de-signer-un-mandat\">Quelles sont les questions \u00e0 poser \u00e0 un auditeur TI avant de signer un mandat ?<\/a><\/li><li class=\"\"><a href=\"#l-auditeur-est-il-independant-de-mon-fournisseur-ti\">L&rsquo;auditeur est-il ind\u00e9pendant de mon fournisseur TI ?<\/a><\/li><li class=\"\"><a href=\"#quelle-methode-et-quel-referentiel-l-auditeur-utilise-t-il\">Quelle m\u00e9thode et quel r\u00e9f\u00e9rentiel l&rsquo;auditeur utilise-t-il ?<\/a><\/li><li class=\"\"><a href=\"#quels-livrables-dois-je-exiger-et-sous-quelle-forme\">Quels livrables dois-je exiger, et sous quelle forme ?<\/a><\/li><li class=\"\"><a href=\"#qui-va-reellement-faire-le-travail-sur-mon-mandat\">Qui va r\u00e9ellement faire le travail sur mon mandat ?<\/a><\/li><li class=\"\"><a href=\"#que-se-passe-t-il-apres-la-remise-du-rapport\">Que se passe-t-il apr\u00e8s la remise du rapport ?<\/a><\/li><li class=\"\"><a href=\"#combien-coute-un-audit-ti-independant\">Combien co\u00fbte un audit TI ind\u00e9pendant ?<\/a><\/li><li class=\"\"><a href=\"#cabinet-independant-ou-grand-cabinet-comment-choisir-un-auditeur-informatique\">Cabinet ind\u00e9pendant ou grand cabinet : comment choisir un auditeur informatique ?<\/a><\/li><li class=\"\"><a href=\"#comment-reconnaitre-un-bon-signal-d-un-signal-d-alarme\">Comment reconna\u00eetre un bon signal d&rsquo;un signal d&rsquo;alarme ?<\/a><\/li><li class=\"\"><a href=\"#foire-aux-questions\">Foire aux questions<\/a><\/li><li class=\"\"><a href=\"#sources-citees\">Sources cit\u00e9es<\/a><\/li><\/ul><\/nav><\/div>\n\n<h2 id=\"quelles-sont-les-questions-a-poser-a-un-auditeur-ti-avant-de-signer-un-mandat\" class=\"wp-block-heading\">Quelles sont les questions \u00e0 poser \u00e0 un auditeur TI avant de signer un mandat ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Voici la liste, dans l&rsquo;ordre o\u00f9 elle devrait se d\u00e9rouler pendant votre premier appel avec un auditeur pressenti.<\/p>\n\n<ol class=\"wp-block-list\"><li>A-t-il un lien d&rsquo;affaires avec mon fournisseur TI actuel ?<\/li><li>Quelle m\u00e9thode et quel r\u00e9f\u00e9rentiel utilise-t-il pour \u00e9valuer mon environnement ?<\/li><li>Quels livrables vais-je recevoir, et sous quelle forme ?<\/li><li>Qui, pr\u00e9cis\u00e9ment, va faire le travail sur mon dossier ?<\/li><li>Que se passe-t-il une fois le rapport remis ?<\/li><li>Combien co\u00fbte la d\u00e9marche, et qu&rsquo;est-ce qui fait varier le prix ?<\/li><li>Un cabinet ind\u00e9pendant convient-il mieux qu&rsquo;un grand cabinet \u00e0 ma situation ?<\/li><\/ol>\n\n<p class=\"wp-block-paragraph\">Les sections qui suivent r\u00e9pondent \u00e0 chacune.<\/p>\n\n<h2 id=\"l-auditeur-est-il-independant-de-mon-fournisseur-ti\" class=\"wp-block-heading\">L&rsquo;auditeur est-il ind\u00e9pendant de mon fournisseur TI ?<\/h2>\n\n<p class=\"wp-block-paragraph\">V\u00e9rifiez si l&rsquo;auditeur pressenti a un lien d&rsquo;affaires avec le fournisseur qui g\u00e8re votre infrastructure : contrat de sous-traitance, revente de produits, commission sur des recommandations. V\u00e9rifiez aussi s&rsquo;il joue un r\u00f4le dans l&rsquo;exploitation de vos syst\u00e8mes. Un auditeur qui touche un pourcentage sur les correctifs qu&rsquo;il vous recommande n&rsquo;est pas ind\u00e9pendant, peu importe ce qu&rsquo;indique sa carte professionnelle.<\/p>\n\n<p class=\"wp-block-paragraph\">Posez la question directement, par \u00e9crit si possible : avez-vous un int\u00e9r\u00eat financier, direct ou indirect, dans les recommandations que vous allez me faire. Une r\u00e9ponse claire et rapide est bon signe. Une r\u00e9ponse qui tourne autour du pot en est un mauvais.<\/p>\n\n<p class=\"wp-block-paragraph\">Un fournisseur qui \u00e9value son propre travail, c&rsquo;est l&rsquo;\u00e9l\u00e8ve qui corrige son propre examen : le r\u00e9sultat n&rsquo;est pas n\u00e9cessairement faux, mais il n&rsquo;a aucune valeur probante devant un conseil d&rsquo;administration ou un client qui exige des garanties.<\/p>\n\n<p class=\"wp-block-paragraph\">Nous d\u00e9taillons les m\u00e9canismes de cette d\u00e9pendance, souvent invisibles au premier regard, dans <a href=\"https:\/\/factero.ca\/blog\/independance-audit-fournisseur-ti\/\">Pourquoi votre fournisseur TI ne devrait pas s&rsquo;auditer lui-m\u00eame<\/a>.<\/p>\n\n<h2 id=\"quelle-methode-et-quel-referentiel-l-auditeur-utilise-t-il\" class=\"wp-block-heading\">Quelle m\u00e9thode et quel r\u00e9f\u00e9rentiel l&rsquo;auditeur utilise-t-il ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Un audit s\u00e9rieux s&rsquo;appuie sur un r\u00e9f\u00e9rentiel nomm\u00e9, pas sur l&rsquo;exp\u00e9rience g\u00e9n\u00e9rale du consultant. Demandez lequel : ISO 27001, les contr\u00f4les CIS, un cadre propre \u00e0 votre secteur, ou une combinaison document\u00e9e. Demandez aussi comment les constats sont not\u00e9s, sur quelle \u00e9chelle, et si la m\u00e9thode a d\u00e9j\u00e0 servi ailleurs.<\/p>\n\n<p class=\"wp-block-paragraph\">Un fournisseur qui r\u00e9pond \u00ab notre exp\u00e9rience de vingt ans \u00bb n&rsquo;a pas de m\u00e9thode, il a une opinion. La diff\u00e9rence compte le jour o\u00f9 votre conseil d&rsquo;administration demande sur quoi le rapport se base.<\/p>\n\n<p class=\"wp-block-paragraph\">Le Centre canadien pour la cybers\u00e9curit\u00e9 publie des guides gratuits destin\u00e9s aux petites et moyennes entreprises, qui donnent un premier rep\u00e8re de ce \u00e0 quoi une \u00e9valuation structur\u00e9e doit ressembler. Utile pour se faire une id\u00e9e avant l&rsquo;appel, m\u00eame si un audit sur mesure devra aller plus loin.<\/p>\n\n<h2 id=\"quels-livrables-dois-je-exiger-et-sous-quelle-forme\" class=\"wp-block-heading\">Quels livrables dois-je exiger, et sous quelle forme ?<\/h2>\n\n<p class=\"wp-block-paragraph\"><strong>Le livrable d&rsquo;un audit TI s\u00e9rieux comprend trois \u00e9l\u00e9ments : des constats prioris\u00e9s, un plan d&rsquo;action et une restitution \u00e0 la direction.<\/strong> Exigez les trois avant de signer.<\/p>\n\n<ul class=\"wp-block-list\"><li>Constats prioris\u00e9s, pas une liste plate de cinquante lignes sans hi\u00e9rarchie.<\/li><li>Plan d&rsquo;action avec des responsables nomm\u00e9s et des \u00e9ch\u00e9ances.<\/li><li>Restitution \u00e0 la direction, pr\u00e9sent\u00e9e oralement, pas seulement d\u00e9pos\u00e9e dans une bo\u00eete courriel.<\/li><\/ul>\n\n<p class=\"wp-block-paragraph\">La priorisation est le test le plus r\u00e9v\u00e9lateur. Un rapport qui traite un mot de passe faible et une absence de plan de relance informatique sur le m\u00eame pied n&rsquo;a pas fait le travail d&rsquo;analyse qu&rsquo;on attend de lui. Demandez \u00e0 voir un exemple anonymis\u00e9 de rapport avant de vous engager : la qualit\u00e9 de la structure se voit en deux pages.<\/p>\n\n<p class=\"wp-block-paragraph\">La restitution orale m\u00e9rite qu&rsquo;on s&rsquo;y attarde. Un document technique de quarante pages remis sans accompagnement finit rarement lu au complet par la direction. Une heure de pr\u00e9sentation, o\u00f9 les constats sont traduits en d\u00e9cisions \u00e0 prendre, vaut souvent plus que le rapport lui-m\u00eame.<\/p>\n\n<h2 id=\"qui-va-reellement-faire-le-travail-sur-mon-mandat\" class=\"wp-block-heading\">Qui va r\u00e9ellement faire le travail sur mon mandat ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Demandez qui ex\u00e9cute concr\u00e8tement le mandat : l&rsquo;associ\u00e9 qui a sign\u00e9 la proposition, ou une \u00e9quipe sous-trait\u00e9e dont vous ne conna\u00eetrez jamais les noms. La sous-traitance n&rsquo;est pas un probl\u00e8me en soi, elle est courante dans le secteur. Ce qui compte, c&rsquo;est la transparence.<\/p>\n\n<p class=\"wp-block-paragraph\">Si des collaborateurs internes ou des sous-traitants en marque blanche interviennent sur votre dossier, vous devriez le savoir avant de signer, pas le d\u00e9couvrir en lisant les m\u00e9tadonn\u00e9es du rapport. Demandez aussi qui signe le rapport final et qui r\u00e9pond de son contenu si une question se pose six mois plus tard.<\/p>\n\n<h2 id=\"que-se-passe-t-il-apres-la-remise-du-rapport\" class=\"wp-block-heading\">Que se passe-t-il apr\u00e8s la remise du rapport ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Apr\u00e8s le rapport, la correction des lacunes appartient \u00e0 votre organisation, pas \u00e0 l&rsquo;auditeur. Un audit constate un \u00e9tat, il ne le corrige pas. Si l&rsquo;auditeur propose aussi de r\u00e9aliser lui-m\u00eame les correctifs qu&rsquo;il vient de recommander, la question de l&rsquo;ind\u00e9pendance revient par la porte d&rsquo;en arri\u00e8re.<\/p>\n\n<p class=\"wp-block-paragraph\">Le m\u00eame acteur qui identifie un probl\u00e8me ne devrait pas \u00eatre seul juge de sa propre solution. Ce n&rsquo;est pas une accusation de mauvaise foi, c&rsquo;est une question de structure : personne ne v\u00e9rifie bien son propre travail, aussi comp\u00e9tent soit-il.<\/p>\n\n<p class=\"wp-block-paragraph\">Ce qui devrait suivre le rapport, dans l&rsquo;ordre :<\/p>\n\n<ol class=\"wp-block-list\"><li>Priorisation des constats avec votre \u00e9quipe TI.<\/li><li>Attribution de chaque action \u00e0 un responsable nomm\u00e9.<\/li><li>\u00c9tablissement d&rsquo;un \u00e9ch\u00e9ancier r\u00e9aliste.<\/li><li>Point de suivi convenu d&rsquo;avance, pas laiss\u00e9 au hasard des disponibilit\u00e9s.<\/li><\/ol>\n\n<h2 id=\"combien-coute-un-audit-ti-independant\" class=\"wp-block-heading\">Combien co\u00fbte un audit TI ind\u00e9pendant ?<\/h2>\n\n<p class=\"wp-block-paragraph\"><strong>La r\u00e9ponse honn\u00eate est qu&rsquo;il n&rsquo;y a pas de chiffre unique.<\/strong> Le co\u00fbt d\u00e9pend de plusieurs facteurs :<\/p>\n\n<ul class=\"wp-block-list\"><li>La taille de votre organisation.<\/li><li>Le nombre de syst\u00e8mes couverts.<\/li><li>La profondeur de la v\u00e9rification, documentaire seulement ou avec tests techniques.<\/li><li>Le r\u00e9f\u00e9rentiel vis\u00e9.<\/li><\/ul>\n\n<p class=\"wp-block-paragraph\">M\u00e9fiez-vous d&rsquo;un prix donn\u00e9 avant que l&rsquo;auditeur ait pos\u00e9 une seule question sur votre environnement.<\/p>\n\n<p class=\"wp-block-paragraph\">Nous avons d\u00e9taill\u00e9 les fourchettes observ\u00e9es au Qu\u00e9bec, en dollars canadiens, dans <a href=\"https:\/\/factero.ca\/blog\/cout-audit-informatique-quebec\/\">Combien co\u00fbte un audit informatique au Qu\u00e9bec ?<\/a> La bonne question \u00e0 poser n&rsquo;est pas \u00ab combien \u00e7a co\u00fbte \u00bb, c&rsquo;est \u00ab qu&rsquo;est-ce qui fait varier le prix dans mon cas \u00bb. Un auditeur s\u00e9rieux r\u00e9pond \u00e0 la deuxi\u00e8me avant m\u00eame que vous posiez la premi\u00e8re.<\/p>\n\n<h2 id=\"cabinet-independant-ou-grand-cabinet-comment-choisir-un-auditeur-informatique\" class=\"wp-block-heading\">Cabinet ind\u00e9pendant ou grand cabinet : comment choisir un auditeur informatique ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Les questions restent les m\u00eames, mais les r\u00e9ponses attendues diff\u00e8rent selon la taille du cabinet. Un grand cabinet offre une marque reconnue et une profondeur de ressources ; un cabinet ind\u00e9pendant offre g\u00e9n\u00e9ralement un acc\u00e8s direct \u00e0 la personne qui signe le rapport, sans interm\u00e9diaire, et une structure de co\u00fbts adapt\u00e9e \u00e0 une PME.<\/p>\n\n<p class=\"wp-block-paragraph\">Ni l&rsquo;un ni l&rsquo;autre n&rsquo;est automatiquement le bon choix. Ce qui compte, c&rsquo;est de poser les m\u00eames sept questions aux deux et de comparer les r\u00e9ponses, pas les logos. Nous d\u00e9taillons les compromis r\u00e9els de chaque option dans <a href=\"https:\/\/factero.ca\/blog\/cabinet-independant-ou-big-4-audit\/\">Cabinet ind\u00e9pendant ou Big 4 : quel auditeur pour votre PME ?<\/a><\/p>\n\n<p class=\"wp-block-paragraph\">Si votre audit vise une certification pr\u00e9cise, comme la TGV en sant\u00e9 num\u00e9rique ou le programme de certification en cyberd\u00e9fense, une variante existe : l&rsquo;audit pr\u00e9-certification, pens\u00e9 pour rep\u00e9rer les \u00e9carts avant le jour officiel de la v\u00e9rification externe. Nous l&rsquo;expliquons dans <a href=\"https:\/\/factero.ca\/blog\/audit-pre-certification\/\">L&rsquo;audit pr\u00e9-certification : arriver pr\u00eat le jour officiel<\/a><\/p>\n\n<h2 id=\"comment-reconnaitre-un-bon-signal-d-un-signal-d-alarme\" class=\"wp-block-heading\">Comment reconna\u00eetre un bon signal d&rsquo;un signal d&rsquo;alarme ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Le tableau suivant r\u00e9sume, dimension par dimension, ce qu&rsquo;une r\u00e9ponse rassurante et une r\u00e9ponse pr\u00e9occupante ont l&rsquo;air en pratique.<\/p>\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th>Dimension<\/th><th>Signal rassurant<\/th><th>Signal d&rsquo;alarme<\/th><\/tr><\/thead><tbody><tr><td>Ind\u00e9pendance<\/td><td>Aucun lien d&rsquo;affaires avec votre fournisseur TI, r\u00e9ponse claire par \u00e9crit<\/td><td>Silence, r\u00e9ponse \u00e9vasive, ou lien non divulgu\u00e9 d\u00e9couvert apr\u00e8s coup<\/td><\/tr><tr><td>M\u00e9thode<\/td><td>R\u00e9f\u00e9rentiel nomm\u00e9, \u00e9chelle de notation expliqu\u00e9e<\/td><td>\u00ab Notre exp\u00e9rience \u00bb comme seule r\u00e9ponse<\/td><\/tr><tr><td>Livrables<\/td><td>Constats prioris\u00e9s, plan d&rsquo;action, restitution orale<\/td><td>Un document d\u00e9pos\u00e9 sans accompagnement<\/td><\/tr><tr><td>Ex\u00e9cution<\/td><td>Vous savez qui travaille sur votre dossier<\/td><td>Identit\u00e9 de l&rsquo;\u00e9quipe floue ou changeante<\/td><\/tr><tr><td>Apr\u00e8s le rapport<\/td><td>L&rsquo;auditeur ne s&rsquo;attribue pas les correctifs qu&rsquo;il recommande<\/td><td>L&rsquo;auditeur propose de corriger ce qu&rsquo;il vient de constater<\/td><\/tr><tr><td>Prix<\/td><td>Explique ce qui fait varier le co\u00fbt avant de le donner<\/td><td>Chiffre donn\u00e9 avant toute question sur votre environnement<\/td><\/tr><\/tbody><\/table><\/figure>\n\n<p class=\"wp-block-paragraph\">Poser ces questions ne prend pas plus de trente minutes, et cela avant de signer quoi que ce soit. C&rsquo;est exactement l&rsquo;objet d&rsquo;un <a href=\"https:\/\/factero.ca\/fr\/services\/audit-informatique\/\">appel exploratoire avec Factero<\/a> : passer en revue votre situation, comprendre ce que vous cherchez \u00e0 savoir, et d\u00e9terminer si un audit TI ind\u00e9pendant est la bonne r\u00e9ponse maintenant.<\/p>\n\n<div class=\"wp-block-buttons is-layout-flex wp-block-buttons-is-layout-flex\"><div class=\"wp-block-button\"><a class=\"wp-block-button__link has-custom-bleu-background-color has-background has-custom-font-size wp-element-button\" href=\"https:\/\/factero.ca\/fr\/services\/audit-informatique\/\" style=\"border-top-left-radius:7px;border-top-right-radius:7px;border-bottom-left-radius:7px;border-bottom-right-radius:7px;font-size:clamp(14px, 0.875rem + ((1vw - 3.2px) * 0.179), 16px);\">Planifier un appel exploratoire<\/a><\/div><\/div>\n\n<p class=\"wp-block-paragraph\"><strong>Pour aller plus loin avec Factero :<\/strong><\/p><ul class=\"wp-block-list factero-services-lies\"><li><a href=\"https:\/\/factero.ca\/fr\/services\/audit-informatique\/\">audit informatique ind\u00e9pendant de vos fournisseurs<\/a><\/li><li><a href=\"https:\/\/factero.ca\/fr\/services\/planification-strategique\/\">feuille de route TI apr\u00e8s le rapport d&rsquo;audit<\/a><\/li><\/ul>\n\n<div style=\"height:90px\" aria-hidden=\"true\" class=\"wp-block-spacer is-style-wide\"><\/div>\n\n<h2 id=\"foire-aux-questions\" class=\"wp-block-heading\">Foire aux questions<\/h2>\n\n<p class=\"wp-block-paragraph\">Les questions \u00e0 poser \u00e0 un auditeur TI reviennent aussi sous ces formes plus pr\u00e9cises.<\/p>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Dois-je signer une entente de confidentialit\u00e9 avec l&rsquo;auditeur ?<\/summary><p class=\"wp-block-paragraph\">Oui. L&rsquo;auditeur acc\u00e8de \u00e0 des donn\u00e9es sensibles sur votre infrastructure, souvent \u00e0 des renseignements personnels vis\u00e9s par la Loi 25. Une entente de confidentialit\u00e9 \u00e9crite, avec les modalit\u00e9s de destruction des donn\u00e9es \u00e0 la fin du mandat, doit \u00eatre sign\u00e9e avant le d\u00e9but des travaux, pas apr\u00e8s. Un auditeur qui h\u00e9site \u00e0 la signer avant m\u00eame de voir votre environnement envoie un signal \u00e0 prendre au s\u00e9rieux.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Un audit TI remplace-t-il un test d&rsquo;intrusion ?<\/summary><p class=\"wp-block-paragraph\">Non. Un audit TI \u00e9value la gouvernance, les processus et les contr\u00f4les sur un horizon de plusieurs semaines. Un test d&rsquo;intrusion v\u00e9rifie si un syst\u00e8me pr\u00e9cis r\u00e9siste \u00e0 une attaque technique r\u00e9elle, sur une port\u00e9e plus \u00e9troite. Les deux sont compl\u00e9mentaires : un rapport d&rsquo;audit sans validation technique laisse les vuln\u00e9rabilit\u00e9s concr\u00e8tes de vos syst\u00e8mes sans r\u00e9ponse, et l&rsquo;inverse est vrai aussi.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Un audit de s\u00e9curit\u00e9 informatique, est-ce la m\u00eame chose qu&rsquo;un audit TI ?<\/summary><p class=\"wp-block-paragraph\">Non, la port\u00e9e diff\u00e8re. Un audit de s\u00e9curit\u00e9 informatique se concentre sur les contr\u00f4les de cybers\u00e9curit\u00e9 : acc\u00e8s, pare-feu, correctifs, sauvegardes. Un audit TI couvre un terrain plus large, la gouvernance, la gestion des risques et les contr\u00f4les internes, la s\u00e9curit\u00e9 n&rsquo;en \u00e9tant qu&rsquo;une partie. Demandez \u00e0 l&rsquo;auditeur laquelle des deux port\u00e9es il propose avant de signer, elles ne r\u00e9pondent pas aux m\u00eames questions.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Combien de temps dure un audit TI type ?<\/summary><p class=\"wp-block-paragraph\">La dur\u00e9e varie selon la port\u00e9e : de quelques semaines pour un examen cibl\u00e9, \u00e0 plusieurs mois pour une organisation avec plusieurs syst\u00e8mes et sites. L&rsquo;auditeur devrait donner un calendrier r\u00e9aliste d\u00e8s l&rsquo;appel exploratoire, pas seulement apr\u00e8s la signature. Une estimation donn\u00e9e avant qu&rsquo;il ait pos\u00e9 une seule question sur votre environnement m\u00e9rite la m\u00eame m\u00e9fiance qu&rsquo;un prix donn\u00e9 trop vite.<\/p><\/details>\n\n<h2 id=\"sources-citees\" class=\"wp-block-heading\">Sources cit\u00e9es<\/h2>\n\n<ul class=\"wp-block-list has-small-font-size\"><li><a href=\"https:\/\/www.cyber.gc.ca\/fr\/petites-moyennes-entreprises\" target=\"_blank\" rel=\"noopener nofollow\">Guides pour petites et moyennes entreprises, Centre canadien pour la cybers\u00e9curit\u00e9<\/a><\/li><\/ul>\n\n<script type=\"application\/ld+json\">{\"@context\":\"https:\/\/schema.org\",\"@type\":\"FAQPage\",\"mainEntity\":[{\"@type\":\"Question\",\"name\":\"Dois-je signer une entente de confidentialit\u00e9 avec l\\u0027auditeur ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Oui. L\\u0027auditeur acc\u00e8de \u00e0 des donn\u00e9es sensibles sur votre infrastructure, souvent \u00e0 des renseignements personnels vis\u00e9s par la Loi 25. Une entente de confidentialit\u00e9 \u00e9crite, avec les modalit\u00e9s de destruction des donn\u00e9es \u00e0 la fin du mandat, doit \u00eatre sign\u00e9e avant le d\u00e9but des travaux, pas apr\u00e8s. Un auditeur qui h\u00e9site \u00e0 la signer avant m\u00eame de voir votre environnement envoie un signal \u00e0 prendre au s\u00e9rieux.\"}},{\"@type\":\"Question\",\"name\":\"Un audit TI remplace-t-il un test d\\u0027intrusion ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Non. Un audit TI \u00e9value la gouvernance, les processus et les contr\u00f4les sur un horizon de plusieurs semaines. Un test d\\u0027intrusion v\u00e9rifie si un syst\u00e8me pr\u00e9cis r\u00e9siste \u00e0 une attaque technique r\u00e9elle, sur une port\u00e9e plus \u00e9troite. Les deux sont compl\u00e9mentaires : un rapport d\\u0027audit sans validation technique laisse les vuln\u00e9rabilit\u00e9s concr\u00e8tes de vos syst\u00e8mes sans r\u00e9ponse, et l\\u0027inverse est vrai aussi.\"}},{\"@type\":\"Question\",\"name\":\"Un audit de s\u00e9curit\u00e9 informatique, est-ce la m\u00eame chose qu\\u0027un audit TI ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Non, la port\u00e9e diff\u00e8re. Un audit de s\u00e9curit\u00e9 informatique se concentre sur les contr\u00f4les de cybers\u00e9curit\u00e9 : acc\u00e8s, pare-feu, correctifs, sauvegardes. Un audit TI couvre un terrain plus large, la gouvernance, la gestion des risques et les contr\u00f4les internes, la s\u00e9curit\u00e9 n\\u0027en \u00e9tant qu\\u0027une partie. Demandez \u00e0 l\\u0027auditeur laquelle des deux port\u00e9es il propose avant de signer, elles ne r\u00e9pondent pas aux m\u00eames questions.\"}},{\"@type\":\"Question\",\"name\":\"Combien de temps dure un audit TI type ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"La dur\u00e9e varie selon la port\u00e9e : de quelques semaines pour un examen cibl\u00e9, \u00e0 plusieurs mois pour une organisation avec plusieurs syst\u00e8mes et sites. L\\u0027auditeur devrait donner un calendrier r\u00e9aliste d\u00e8s l\\u0027appel exploratoire, pas seulement apr\u00e8s la signature. Une estimation donn\u00e9e avant qu\\u0027il ait pos\u00e9 une seule question sur votre environnement m\u00e9rite la m\u00eame m\u00e9fiance qu\\u0027un prix donn\u00e9 trop vite.\"}}]}<\/script>","protected":false},"excerpt":{"rendered":"<p>Les questions \u00e0 poser \u00e0 un auditeur TI : ind\u00e9pendance, m\u00e9thode, livrables, qui ex\u00e9cute le mandat et la suite apr\u00e8s le rapport.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[26],"tags":[96,650,108,652,648],"class_list":["post-816","post","type-post","status-publish","format-standard","hentry","category-gouvernance_ti","tag-audit-informatique","tag-choisir-un-auditeur-informatique","tag-gouvernance-ti","tag-mandater-un-audit-informatique","tag-questions-a-poser-a-un-auditeur-ti"],"_links":{"self":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/816","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/comments?post=816"}],"version-history":[{"count":3,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/816\/revisions"}],"predecessor-version":[{"id":1309,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/816\/revisions\/1309"}],"wp:attachment":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/media?parent=816"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/categories?post=816"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/tags?post=816"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}