Que faut-il savoir sur « Communication et sensibilisation en amont » ?
Extrait de Audit du système d’information
Un audit peut parfois générer des craintes ou des incompréhensions au sein des équipes opérationnelles : certains y voient un risque pour leur position, d’autres craignent une surcharge de travail ou une remise en question de leurs pratiques.
C’est pourquoi, outre la charte ou le plan d’audit, il est conseillé de mettre en place une communication interne adaptée.
Présenter clairement les objectifs : souligner qu’il ne s’agit pas d’une “chasse aux sorcières”, mais d’une démarche d’amélioration ou de conformité.
Expliquer le périmètre : indiquer qui est concerné, quels systèmes seront audités, quelles données pourraient être examinées.
Décrire la méthodologie : mentionner brièvement les référentiels (COBIT, ISO 27001, etc.) et les grandes étapes, pour rassurer sur le sérieux de la démarche.
Indiquer les points de contact : désigner une personne (chef de projet audit, auditeur principal) à qui s’adresser en cas de question ou de besoin de clarification.
Cette sensibilisation en amont permet souvent de gagner en efficacité lors des étapes ultérieures, car les personnes sollicitées sauront pourquoi elles sont interrogées et dans quel but.
L’ISO 19011 mentionne que l’auditeur doit veiller à “établir et maintenir la confiance” avec les audités, ce qui passe par une communication honnête et transparente dès le début.