Savoir où ça coince, avant l'auditeur
L'analyse d'écart passe vos documents en face de chaque exigence et signale ce qui n'est couvert par rien. Le mauvais moment pour l'apprendre, c'est en séance.
Préparation d'audit
La préparation d'audit se joue sur douze mois, pas sur trois semaines.
Un audit coûte cher surtout quand il se prépare au dernier moment. Le travail est le même, mais compressé, sous pression, et avec des preuves qu'il faut retrouver au lieu de simplement montrer.
Avant
Ce qui se joue avant que l'auditeur arrive.
La qualité d'un audit se décide dans les mois qui le précèdent. Le jour J ne fait que révéler ce qui a été tenu, ou pas.
Traiter les écarts pendant qu'il reste du temps
Chaque écart devient une action corrective assignée avec une échéance. La liste des actions en retard est la vraie liste des sujets à préparer.
Rattacher les preuves au fil de l'eau
Une preuve déposée et approuvée trois mois avant l'audit vaut mieux qu'un dossier partagé fouillé la veille.
Pendant
Le jour de l'audit, tout est déjà là.
Retrouver une pièce en quelques secondes
L'auditeur demande la preuve d'une exigence précise. Elle est rattachée à cette exigence, avec sa version approuvée et sa date.
Tenir le déroulé de l'audit
Périmètre, constats, écarts relevés : le déroulé se tient dans l'outil, pas dans un document parallèle qui divergera.
Montrer un état daté
Le rapport porte sa date et son périmètre. Ce que vous montrez correspond à ce que contient l'application au moment de l'export.
Le détail du rattachement des preuves est sur la page contrôles et preuves.
Après
Un audit ne se termine pas à la restitution.
Les constats deviennent un plan
Un constat d'audit sans action assignée finit oublié jusqu'au prochain audit. Ici il rejoint le plan de traitement avec un responsable.
Le suivi ne repart pas de zéro
L'audit suivant démarre sur l'état laissé par le précédent : exigences déjà évaluées, preuves déjà rattachées, actions en cours visibles.
Les rapports générés sont décrits sur la page rapports et exports, et la vision d'ensemble sur la page logiciel GRC.
Ce que l'outil ne fait pas
- Il ne réalise pas votre audit et ne le prépare pas à votre place.
- Il ne se substitue ni à l'auditeur ni à l'organisme certificateur.
- Il ne garantit aucun résultat d'audit.
Questions fréquentes
Préparer un audit, en pratique.
Comment préparer un audit ISO 27001 concrètement ?
En trois temps. D'abord établir où vous en êtes sur les 93 exigences de l'annexe A, une par une, sans supposer que ce qui est fait est prouvé. Ensuite traiter les écarts qui peuvent l'être dans le temps disponible, en assignant chaque action. Enfin rassembler les preuves, en vérifiant qu'elles sont approuvées et rattachées à la bonne exigence. Un logiciel de préparation d'audit sert surtout à ce que ces trois temps ne se déroulent pas dans trois outils différents.
Combien de temps faut-il prévoir ?
Cela dépend entièrement de votre point de départ et du référentiel visé, et personne ne peut sérieusement l'annoncer sans regarder votre situation. Ce qui change avec un outil, c'est la répartition : moins de temps passé à chercher et à consolider, plus de temps disponible pour traiter les écarts réels.
L'outil produit-il le rapport d'audit ?
Il produit un rapport d'audit interne depuis vos données : déroulé, constats, écarts, actions ouvertes, daté et exportable. Le rapport de certification, lui, reste l'affaire de l'organisme certificateur.
Est-ce que quelqu'un prépare l'audit à ma place ?
Non. Normetis est un logiciel en libre-service et ne vend aucune prestation d'accompagnement ou d'audit. L'outil structure le travail et signale les écarts, vous conduisez la préparation.