Que faut-il savoir sur « Identification des « zones d’ombre » » ?
Extrait de Audit du système d’information
L’une des utilités de la phase préliminaire est de mettre en évidence les zones d’ombre, c’est-à-dire :
Les processus ou activités pour lesquels aucune documentation n’a été fournie.
Les incohérences flagrantes ou les contradictions entre plusieurs sources (ex. : un organigramme daté de l’an passé alors qu’un nouveau a été communiqué sans explication).
Les documents référencés mais inexistants au moment de la collecte (ex. : une « procédure de contrôle d’accès » mentionnée dans la PSSI, mais introuvable dans l’outil documentaire).
Ces « zones d’ombre » constitueront autant de pistes prioritaires pour les entretiens et les vérifications de terrain.
COBIT insiste sur le fait qu’une gouvernance efficace repose sur une documentation fiable et régulièrement mise à jour.
Ainsi, l’absence ou l’obsolescence d’un document est déjà le signe d’une potentielle faiblesse de gouvernance ou d’organisation.