Que faut-il savoir sur « Élaboration d’un plan d’investigation ciblé » ?
Extrait de Audit du système d’information
L’analyse préliminaire se concrétise en général par la rédaction d’un document de travail interne à l’équipe d’audit comme une note de cadrage qui :
Recense les points forts identifiés (par exemple, la présence d’une documentation très complète sur la gestion des incidents).
Met en avant les points faibles ou douteux (documentation absente ou imprécise, processus pas clairement décrits, etc.).
Liste des questions ouvertes que l’équipe d’audit devra impérativement poser lors des entretiens ou des observations sur site.
Propose un calendrier d’entretiens plus précis, en tenant compte des sujets identifiés et de l’organisation (qui interroger pour lever tel doute, qui possède l’information manquante ? etc.).
Ainsi, la phase préliminaire ne se réduit pas à un simple regroupement de documents : elle aboutit à une synthèse opérationnelle qui va guider la suite de l’audit.
L’ISO 19011 met d’ailleurs l’accent sur la nécessité de « consolider les informations pour définir une liste de vérifications et de points d’attention avant de procéder à l’étape d’investigation sur le terrain ».