L'audit et le reporting du système d'information
La mission d'audit d'un système d'information, de la lettre de mission au suivi, la preuve et le constat en cinq parties, les référentiels COBIT, ITIL et ISO 27001, et le compte rendu à la direction : synthèse, priorités, plan d'action.
- 22 cartes
- 4 thèmes
- Gratuit
Le programme, thème par thème
Le poids de chaque thème suit celui que lui donne l'examen.
- Notions
- Questions
- Ranger et relier
- Mises en situation
Quelques cartes du deck
Audit externe : de quoi s'agit-il ?
Voir la réponse
Examen d'un système d'information mené par un intervenant indépendant de l'organisation examinée, qui juge ce qu'il observe au regard d'un référentiel.
Un audit interne est mené par un service de l'organisation elle-même, rattaché à la direction générale pour garder son indépendance ; l'audit externe vient de l'extérieur, comme un cabinet ou un organisme de certification.
Un responsable d'application affirme que les droits d'accès sont revus chaque trimestre. Quelle pièce constitue une preuve d'audit ?
- Les comptes rendus signés des trois dernières revues
- Sa déclaration, confirmée par un collègue du même service
- La politique de sécurité qui prévoit cette revue trimestrielle
- Une capture d'écran de l'application, sans date ni auteur
Voir la réponse
Les comptes rendus signés des trois dernières revues
La politique prouve que la règle existe, pas qu'elle est appliquée. Une déclaration, même répétée, reste un témoignage. Seuls les comptes rendus signés et datés montrent que les revues ont eu lieu.
Un constat d'audit s'écrit en cinq parties : la référence, le fait, la …, la … et la recommandation.
Voir la réponse
Un constat d'audit s'écrit en cinq parties : la référence, le fait, la cause, la conséquence et la recommandation.
La cause explique pourquoi l'écart existe, la conséquence dit ce qu'il risque de produire. Ces deux parties transforment une observation en décision possible.
Preuve d'audit : de quoi s'agit-il ?
Voir la réponse
Élément vérifiable et traçable, comme un extrait de journal, une liste de comptes ou un document signé, qui fonde ce que l'auditeur affirme.
Une déclaration orale ne suffit pas : elle se confirme par une pièce que quelqu'un d'autre peut revérifier. Sans preuve, un constat peut être contesté.
Un rapport d'audit de soixante pages est remis à la direction, qui ne le lit pas et ne décide rien. Quelle correction du compte rendu est la plus efficace ?
- Joindre en annexe toutes les preuves collectées, pour que la direction puisse tout vérifier
- Ouvrir par une synthèse d'une page : constats majeurs, priorités et plan d'action daté
- Détailler davantage le déroulement technique de chaque test, pour justifier chaque constat
- Envoyer le rapport complet à un plus grand nombre de destinataires dans l'entreprise
Voir la réponse
Ouvrir par une synthèse d'une page : constats majeurs, priorités et plan d'action daté
La direction décide à partir de la synthèse, des priorités et du plan d'action. Ajouter des pages ou des destinataires allonge le rapport sans rendre la décision plus facile.