On reçoit un questionnaire d’un client grand compte, une demande de certificat ISO, ou un courrier de la CNIL. Dans chaque cas, la première réaction est la même : rassembler des preuves, vérifier ce qui tient, repérer ce qui manque. C’est exactement le rôle d’un audit de conformité. Avant de dérouler une méthode, il faut comprendre ce qui a changé dans la manière de le conduire, parce que les référentiels récents ont déplacé le centre de gravité de l’exercice.
Audit de conformité et responsabilité de la direction : ce que NIS2 change concrètement
La plupart des guides sur l’audit de conformité décrivent un processus documentaire : on liste les normes, on vérifie les procédures, on rédige un rapport. Cette approche reste valable, mais elle ne suffit plus.
A lire en complément : Quels sont les risques de conformité ?
La directive NIS2 impose aux organes de direction d’approuver les mesures de gestion des risques cyber et de superviser leur mise en œuvre. Leur responsabilité peut être engagée en cas de défaillance. En pratique, cela signifie qu’un audit ne peut plus se contenter de vérifier l’existence d’une politique de sécurité signée il y a trois ans.
L’auditeur doit accéder aux arbitrages budgétaires, aux comptes rendus de comité et aux preuves de suivi par la direction. Si le directeur général n’a jamais vu le tableau de bord des risques, c’est un écart de conformité, même si la procédure existe sur le serveur partagé.
A lire aussi : Qu'est-ce qu'une obligation de conformité environnementale ?
Ce point change la dynamique de l’audit : on ne parle plus seulement aux équipes qualité ou IT, on interroge aussi la gouvernance.
Périmètre d’un audit de conformité : fournisseurs et sous-traitance numérique
Un audit limité aux contrôles internes peut manquer un risque majeur. NIS2 renforce les exigences de sécurité de la chaîne d’approvisionnement. Le règlement DORA, qui concerne les acteurs financiers, impose de documenter les prestataires TIC, de prévoir des droits d’audit contractuels et de tester des stratégies de sortie pour les fournisseurs critiques.
Concrètement, quand on prépare le périmètre d’un audit, on intègre désormais trois questions sur les tiers :
- Existe-t-il un registre à jour des fournisseurs qui traitent des données ou gèrent des infrastructures pour l’entreprise ?
- Les contrats prévoient-ils un droit d’audit ou, au minimum, la transmission régulière de rapports de conformité (type SOC 2 ou ISO 27001) ?
- Un plan de sortie documenté est-il disponible pour chaque prestataire qualifié de critique ?
Si l’organisation ne sait pas répondre à ces trois points, le périmètre de l’audit est incomplet, quel que soit le référentiel visé (RGPD, ISO 27001, Sapin 2).
Conduire l’audit sur le terrain : méthode opérationnelle
Une fois le périmètre fixé, on passe à la collecte de preuves. La méthode varie selon le référentiel, mais le processus suit une logique commune.
Cartographier les obligations applicables
On commence par lister les réglementations, normes et politiques internes qui s’appliquent à l’organisation. Pour une PME, cela peut se limiter au RGPD et à quelques normes sectorielles. Pour une entreprise financière, on ajoute DORA, les exigences de l’ACPR, éventuellement l’AI Act si des modèles d’intelligence artificielle interviennent dans les processus décisionnels.
Chaque obligation doit être traduite en critères vérifiables, pas en principes généraux. « Assurer la sécurité des données » n’est pas un critère d’audit. « Vérifier que les accès aux bases contenant des données personnelles sont journalisés et revus trimestriellement » en est un.
Collecter les preuves par entretien et par extraction
On combine deux sources : les entretiens avec les responsables de processus et l’extraction documentaire (logs, registres, comptes rendus, configurations techniques). Les retours varient sur ce point, mais l’expérience montre que les entretiens révèlent les écarts que les documents seuls ne montrent pas. Une procédure peut exister sans jamais être appliquée.
Pour chaque critère, on note le niveau de conformité observé : conforme, partiellement conforme, non conforme. On documente la preuve associée.
Prioriser les écarts et construire le plan d’action
Tous les écarts n’ont pas le même poids. Un défaut de journalisation des accès administrateurs représente un risque bien plus élevé qu’un retard dans la mise à jour d’une charte informatique. Le rapport d’audit doit hiérarchiser les constats selon leur impact (financier, réputationnel, réglementaire) et leur probabilité.
Le plan d’action qui en découle attribue un responsable, un délai et un indicateur de clôture à chaque écart. Sans cette granularité, le rapport finit dans un tiroir.
Gouvernance de l’IA et audit de conformité : un nouveau volet à anticiper
L’AI Act européen introduit des obligations spécifiques pour les systèmes d’intelligence artificielle à haut risque. Si l’entreprise utilise des algorithmes dans le recrutement, le scoring crédit ou la détection de fraude, l’audit de conformité doit désormais vérifier plusieurs points :
- La classification du système IA selon les catégories de risque de l’AI Act
- L’existence d’une documentation technique décrivant le fonctionnement du modèle et les données d’entraînement
- La mise en place d’une supervision humaine pour les décisions automatisées à fort impact
- La traçabilité des décisions prises par le système
Un audit qui ignore le volet intelligence artificielle devient vite obsolète dans les organisations qui déploient ces technologies. L’AI Act prévoit que les systèmes à haut risque déjà sur le marché devront se conformer aux nouvelles exigences dans les délais de transition fixés par le règlement.
Audit ponctuel ou conformité continue : quelle fréquence retenir ?
L’audit annuel reste la norme dans beaucoup de secteurs. Pour les entreprises financières soumises à DORA, cette approche ponctuelle ne suffit plus. Le programme d’audit devrait prévoir des revues périodiques, des tests de résilience et une actualisation régulière du registre fournisseurs.
En dehors du secteur financier, la question se pose aussi. Un audit unique donne une photo à un instant T, pas une garantie de conformité durable. Mettre en place des contrôles récurrents (revue trimestrielle des accès, vérification semestrielle des contrats fournisseurs, test annuel du plan de continuité) transforme l’audit en processus continu plutôt qu’en exercice subi.
L’écart entre les deux approches se mesure au moment où survient un incident ou une demande de régulateur. L’organisation qui monitore sa conformité en continu peut fournir des preuves récentes. Celle qui a fait un audit il y a onze mois doit tout reconstituer dans l’urgence, avec les approximations que cela implique.
