La plupart des audits ne se perdent pas le jour même. Ils se perdent dans les mois qui précèdent, quand la preuve qui aurait satisfait l'auditeur n'a jamais été enregistrée, ou quand le périmètre était si lâche que l'auditeur pouvait tout demander. Les quatre-vingt-dix jours qui précèdent un audit décident de la préparation, et ils sont bien plus utiles planifiés que passés à réagir.
Cette checklist suppose un audit de certification ou d'attestation face à un système de management ou un référentiel de contrôles : ISO 27001, ISO 42001, SOC 2 ou équivalent. Pour un audit de surveillance elle rétrécit, pour une première certification elle grandit.
Jour 90 à 61 : périmètre, responsables et l'écart
Fixer le périmètre par écrit. La déclaration de périmètre fixe ce que l'auditeur a le droit de demander. Nommez les entités juridiques, les sites, les services, les systèmes et les personnes dans le périmètre, et tout aussi important, ce qui en est exclu. Un périmètre qui dit « l'organisation » invite à des questions sur les ordinateurs portables des commerciaux. Un périmètre qui dit « la plateforme SaaS et les équipes qui la construisent et l'exploitent » ne le fait pas.
Nommer un responsable pour chaque mesure. Pas un service, une personne. L'auditeur va l'interroger. Si le même nom figure sur quarante mesures, cette personne est votre point de défaillance unique et votre goulot d'étranglement pendant l'audit.
Faire une analyse d'écarts face à l'édition en vigueur. Prenez le référentiel, mesure par mesure, et écrivez deux choses pour chacune : ce que nous faisons, et où se trouve l'enregistrement. Tout ce qui a un vide dans la seconde colonne est un écart, aussi convaincante que soit la première. Classez les écarts par effort et par visibilité pour l'auditeur.
Réserver l'auditeur. Les organismes de certification et les cabinets de CPA planifient des semaines ou des mois à l'avance. Confirmez les dates, l'équipe, le nombre de jours et la part à distance. Demandez ce qu'ils veulent en amont ; la plupart envoient une liste de documents demandés quelques semaines avant.
Décider ce que vous corrigez et ce que vous acceptez. Certains écarts se comblent en une semaine. D'autres demandent un budget et un trimestre. Pour les seconds, une acceptation de risque documentée ou un plan de traitement daté est en soi une preuve, et vaut mieux que de faire semblant que l'écart est comblé.
Jour 60 à 31 : prendre l'habitude de la preuve
Transformer chaque mesure « périodique » en entrée de calendrier. Revues d'accès trimestrielles, scans de vulnérabilités mensuels, revues de politiques annuelles, tests de restauration semestriels : chacune a besoin d'une date, d'un responsable et d'un élément. Ne remplissez rien rétroactivement ; démarrez le rythme maintenant pour qu'au moins un cycle soit enregistré avant l'audit.
Rassembler les populations. Un auditeur qui teste la gestion des changements demande la liste de tous les changements de la période et y échantillonne. Pour l'intégration, il demande tous les arrivants. Pour les incidents, tous les incidents. Sachez où se trouve chaque population, qu'elle est complète, et comment l'exporter avec des dates.
Revoir les politiques, pour de vrai. Chaque politique devrait porter un responsable, une version, une date de revue et une approbation. Si la dernière revue date de trois ans, revoyez maintenant et consignez la revue. Si la politique dit quelque chose que vous ne faites pas, changez la politique ou la pratique, mais ne laissez pas la contradiction à l'auditeur.
Réaliser l'audit interne. Les normes de système de management en exigent un avant la certification, et il doit être fait par quelqu'un d'indépendant du domaine audité. Un audit interne qui ne trouve rien est un signal d'alarme pour un auditeur de certification ; un qui trouve une poignée de points avec des actions correctives en cours est exactement ce qu'il attend.
Tenir la revue de direction. Le chapitre 9.3 d'ISO liste les éléments d'entrée. Tenez la réunion, prenez la liste comme ordre du jour et faites un compte rendu. Les décisions et les actions avec responsables sont ce que l'auditeur lit.
Tester quelque chose pour de vrai. Restaurez une sauvegarde et consignez le résultat. Faites un exercice sur table du processus d'incident. Parcourez le plan de continuité d'activité. Les auditeurs distinguent nettement un plan d'un plan testé.
Jour 30 à 8 : répéter
Répondre à la liste de demandes avant qu'elle n'arrive. Créez un dossier par mesure ou par critère, avec les preuves déjà dedans. Nommez les fichiers de façon que l'auditeur les trouve sans demander. Quand une preuve est une capture d'écran, veillez à ce que la date et le système soient visibles.
Préparer les personnes qui seront interrogées. Pas pour leur dicter un texte, mais pour qu'elles sachent ce que l'auditeur teste et où est la preuve. Les deux pires issues d'entretien sont le responsable qui ne trouve pas ses propres enregistrements, et celui qui improvise une réponse qui contredit la documentation.
Faire un audit blanc sur le domaine le plus faible. Demandez à quelqu'un qui n'a pas construit la mesure d'échantillonner et de demander la preuve, exactement comme l'auditeur le fera. Corrigez ce qui casse.
Revoir les constats du dernier audit. Pour une surveillance ou un renouvellement, chaque constat de la dernière fois doit montrer une action corrective close avec preuve. Un auditeur qui voit le même constat deux fois l'escalade.
Régler la logistique. Salles, accès à distance, partage d'écran, qui accueille l'auditeur, qui est l'interlocuteur unique, comment les demandes sont suivies pendant l'audit. Un suivi partagé des demandes avec statut et responsable fait gagner des jours.
Jour 7 à 1 : se poser
Geler ce qui peut l'être. N'introduisez pas un nouveau fournisseur d'identité la semaine qui précède l'audit. Si un changement doit avoir lieu, documentez-le comme un changement planifié avec une évaluation des risques ; c'est aussi une preuve.
Parcourir le périmètre physique. Bureaux propres, armoires fermées, registres de visiteurs, listes d'accès à la salle serveurs. Les contrôles physiques sont les plus faciles à auditer et les plus embarrassants à rater.
Relire sa propre déclaration d'applicabilité. Chaque mesure applicable devrait avoir un responsable qui sait qu'elle est applicable, et chaque mesure exclue une justification qui tient encore.
Fixer les attentes en interne. Les constats sont normaux. Les non-conformités mineures sont normales. L'objectif est un système crédible avec une réponse crédible à ce que l'auditeur trouve, pas une note parfaite.
Pendant l'audit
Répondez à ce qui est demandé, avec l'enregistrement, rapidement. Ne proposez pas de visite guidée hors du périmètre. Si vous ne savez pas quelque chose, dites-le et trouvez la réponse ; deviner faux coûte plus cher qu'un délai. Tenez le suivi des demandes à jour pour que les points ouverts de l'auditeur et les vôtres coïncident en fin de journée. Demandez un résumé quotidien pour qu'un constat ne soit jamais une surprise à la réunion de clôture.
Après
Clôturez chaque constat avec une cause, pas seulement une correction. Mettez les dates du prochain audit au calendrier dès maintenant. Et gardez l'habitude de la preuve ; la différence entre une organisation qui redoute les audits et une qui les traite en routine tient entièrement à ce que les enregistrements existent avant que quelqu'un ne les demande.