Ce qu'un auditeur veut vraiment voir

Un malentendu tenace entoure les audits : l'auditeur viendrait vérifier que tout est parfait. Ce n'est pas le cas. Un auditeur vient vérifier si votre organisation sait où elle en est, si les choix sont étayés et si les preuves correspondent au récit. Démontrer, la dernière phase du modèle, ne relève donc pas de la perfection mais de la traçabilité.

La preuve doit résider auprès du jugement

Le problème classique de l'audit n'est pas que les preuves manquent, mais qu'elles se trouvent partout et nulle part : dans des dossiers, des boîtes mail et la tête des collègues. La solution est une simple règle de domiciliation : chaque preuve réside auprès du jugement qu'elle étaye. Une capture d'écran des réglages MFA est rattachée à la mesure de contrôle d'accès, la politique signée est rattachée à l'exigence de gouvernance. Qui s'en tient à cette règle transforme la préparation de l'audit, qui prenait des semaines de recherche, en une simple vérification de ce qui est déjà en place.

La déclaration d'applicabilité comme export

La déclaration d'applicabilité est le premier document que tout auditeur réclame, et dans beaucoup d'organisations elle donne lieu à une reconstruction annuelle a posteriori. On peut faire l'inverse : lorsque vous tenez à jour, pour chaque mesure, le statut, la justification et la preuve, la déclaration devient un tirage de l'état actuel, avec la version de la norme. Il en va de même pour les autres référentiels, de la loi du 26 avril 2024 aux exigences propres à vos clients. Là aussi, un seul clic suffit pour obtenir un aperçu daté.

La chaîne demande plus souvent que l'autorité de contrôle

Qui ne pense qu'à l'autorité de contrôle sous-estime la fréquence à laquelle la démonstrabilité est demandée. Les évaluations fournisseurs de grands clients, les appels d'offres, les assureurs et les parcours de certification posent tous la même question sous un autre habillage : montrez que vous maîtrisez la situation. Chaque demande à laquelle vous répondez en une journée est une avance commerciale, car le concurrent qui doit chercher pendant trois semaines suscite précisément le doute que vous dissipez.

Et la direction ?

Démontrer se tourne enfin aussi vers l'intérieur. NIS2 confie la responsabilité expressément à l'organe de direction, et une direction ne peut assumer la responsabilité que de ce qu'elle peut voir. Un rapport de gestion présentant les risques ouverts, l'avancement sur les référentiels et la tendance des incidents transforme l'entretien trimestriel sur la sécurité en une conversation sur les faits. Ainsi se referme la boucle du modèle : ce que vous détectez, évaluez et résolvez, vous pouvez le démontrer, et ce que vous démontrez oriente le tour suivant.