Audit des systèmes d’information

Objectiver la situation de votre SI

Un audit SI permet d’objectiver une situation complexe : fonctionnement réel, organisation, outils, coûts, risques, dépendances et capacité à évoluer. Il fournit à la direction une base solide pour décider, prioriser et engager les transformations nécessaires.

L’analyse est indépendante : elle ne débouche sur la vente d’aucune solution, licence ou prestation technique. Ses conclusions portent sur vos besoins et vos contraintes, pas sur une offre à placer.

Quand réaliser un audit ?

• Avant une réorganisation ou une migration importante.
• Lors d’un changement de prestataire.
• Avant un projet de transformation.
• Après une phase de forte croissance.
• En cas de difficultés récurrentes du support ou de l’exploitation.
• Lorsque la direction manque de visibilité sur son SI.
• Lorsqu’il existe un écart entre les besoins métiers et les services délivrés.

Périmètre d’analyse

Le périmètre est fixé lors du cadrage : l’audit peut couvrir l’ensemble du système d’information ou se concentrer sur les domaines prioritaires pour la direction.

• Organisation, compétences, rôles et processus de la DSI.
• Applications, infrastructures, interconnexions et obsolescence.
• Qualité du support, de l’exploitation et de la documentation.
• Coûts, contrats, licences, fournisseurs et dépendances.
• Sécurité, sauvegardes, continuité et gestion des incidents.
• Adéquation entre besoins métiers et services informatiques.
• Gouvernance, projets et capacité de transformation.

Méthode

1. Cadrage du périmètre et des enjeux : définition, avec la direction, des questions auxquelles l’audit doit répondre, du périmètre retenu et des interlocuteurs à rencontrer.
2. Entretiens avec la direction, les métiers, les équipes informatiques et les prestataires, pour confronter les points de vue sur le fonctionnement réel du SI.
3. Analyse documentaire et collecte des éléments utiles : contrats, inventaires, procédures, documentation d’exploitation.
4. Identification des écarts, risques, points forts et opportunités, hiérarchisés selon leur importance pour l’activité.
5. Restitution exécutive et remise du plan d’actions.

Les travaux se déroulent principalement à distance ; une présence sur site peut être organisée ponctuellement.

Livrables

• Rapport écrit : analyse des forces et faiblesses, cartographie synthétique du SI, risques et dépendances identifiés.
• Présentation en comité de direction : restitution des constats et des priorités.
• Feuille de route à court, moyen et long terme, avec un plan d’actions priorisé.

Ces documents vous sont remis : ils servent de référence pour vos décisions et vos échanges avec vos prestataires.

Durée et référentiel

Un audit dure en général 4 à 8 semaines, selon le périmètre retenu lors du cadrage.

L’analyse peut s’appuyer sur le guide d’hygiène informatique de l’ANSSI ↗, qui rassemble les mesures de sécurité essentielles à tout système d’information.

Ce que l’audit n’est pas

• L’audit SI n’inclut pas de test d’intrusion. Lorsque ce besoin apparaît, je vous aide à le cadrer et à choisir un prestataire qualifié.
• Il ne délivre ni certification ni label.

Échanger sur votre besoin

Présentez votre contexte et vos questions : nous définirons ensemble le périmètre de l’audit le plus utile.