Maurice Müller
Responsable éditorial sénior
Maurice Müller est un journaliste et stratège de contenu bénéficiant d'une solide expérience dans les médias imprimés et numériques. Chez Formalize, il traduit des sujets complexes de conformité et de réglementation en contenus clairs et pratiques pour les professionnels de la conformité, des risques et de la sécurité à travers l'Europe.
Points clés:
Lors de nos échanges avec les équipes de conformité, nous constatons que les audits internes s'enlisent le plus souvent lors de la phase de suivi, lorsque personne ne s'approprie clairement la résolution.
Une constatation est clôturée lorsqu'elle est clairement décrite, qu'elle dispose d'un responsable et d'une date cible, et qu'elle nécessite une validation indépendante pour être considérée comme résolue.
Le nouveau module Audit de Formalize, disponible à partir d'octobre 2026, réalise des audits internes sur les contrôles et les preuves que vous gérez déjà, et suit chaque constatation jusqu'à sa validation finale.
Consigner une constatation ne prend que quelques minutes. La corriger peut prendre des mois, car le véritable travail ne commence qu'une fois le rapport publié: quelqu'un doit prendre la responsabilité de la résolution, travailler en visant une date précise et faire vérifier le résultat avant que la constatation ne soit considérée comme clôturée. ISO 27001, NIS2 et DORA exigent toutes ce suivi, et DORA le précise explicitement. Mener l'action à son terme repose sur quelques éléments essentiels dont chaque constatation a besoin, et aucun d'entre eux ne dépend d'un outil en particulier.
Pourquoi les constatations restent ouvertes
Lorsque nous demandons aux équipes de conformité comment une constatation est corrigée aujourd'hui, les réponses se ressemblent toutes. Quelqu'un relance le responsable par e-mail. Le statut est mis à jour à la main avant la réunion suivante. La constatation vit dans le dossier d'audit, et une fois le rapport publié, elle sort tout simplement du champ de vision.
Une seule question permet de révéler rapidement cette lacune : lorsque vous suivez les constatations dans un tableur, comment vous assurez-vous que quelqu'un valide la résolution avant qu'elle ne soit marquée comme clôturée ? Dans la plupart des organisations, rien ne permet de le garantir. La personne qui met à jour la cellule décide seule que la constatation est réglée.
Rien de tout cela ne signifie que l'audit a été mal réalisé. Le travail de terrain a tendance à être mené à bien, car il dispose d'une échéance fixe et d'une équipe dédiée. Le suivi, en revanche, ne bénéficie souvent ni de l'un ni de l'autre.
Ce dont une constatation a besoin pour être clôturée
Tout commence par la manière dont la constatation est rédigée. « Les revues d'accès doivent être améliorées » n'indique à personne ce qui s'est mal passé, pourquoi, ni ce qui est en jeu. Les normes mondiales d'audit interne de l'IIA (IIA Global Internal Audit Standards) en demandent davantage : les auditeurs comparent ce qui devrait se produire avec ce qui se produit réellement, puis déterminent la cause et l'effet de cet écart. Cela donne à chaque constatation quatre éléments:
Élément | Question à laquelle il répond | Exemple |
|---|---|---|
Critère | Que devrait-il se produire? | Les droits d'accès aux systèmes de production sont revus chaque trimestre, conformément à ce qu'exige la politique de contrôle des accès. |
Constat | Que se passe-t-il dans la pratique? | Deux des quatre dernières revues trimestrielles n'ont pas été documentées. |
Cause | Pourquoi y a-t-il un écart? | Le responsable de la revue a changé de poste et la tâche n'a pas été réattribuée. |
Effet | Pourquoi cela importe-t-il? | Les accès des personnes ayant changé de poste ou quitté l'entreprise sont peut-être restés actifs plus longtemps que ne l'autorise la politique. |
Rédigée de cette manière, une constatation pointe déjà vers sa résolution. Ici, la cause est une tâche sans responsable, et c'est aussi là que le suivi a tendance à rompre.
À partir de là, cinq vérifications déterminent si la constatation sera clôturée:
Un responsable nominatif unique: Une personne qui sait que la constatation lui incombe. Si elle change de poste, la constatation suit la responsabilité.
Une date cible adaptée à la sévérité: Une constatation critique ne doit pas partager la même échéance qu'une constatation mineure.
Une décision consignée: Toutes les constatations ne font pas l'objet d'une remédiation. Certains risques sont acceptés et certaines constatations sont contestées. Indiquez par écrit quelle option a été choisie, qui a décidé et pourquoi.
Une validation indépendante: La personne qui corrige une constatation ne doit pas être celle qui la clôture.
Une visibilité après l'audit: La constatation reste liée à l'élément qu'elle impacte, qu'il s'agisse d'un contrôle ou d'un fournisseur, afin de rester visible même après l'archivage du rapport.
Les normes de l'IIA soulignent le même point du côté de l'auditeur. La norme 15.2 exige des auditeurs internes qu'ils confirment que les recommandations ou les plans d'action ont bien été mis en œuvre.
Découvrez comment dérouler votre prochain audit dans Formalize
Réservez une démonstration, et nous vous présenterons le module Audit en nous appuyant sur votre prochain audit, de la planification jusqu'à la dernière constatation validée.
Pourquoi cela importe aujourd'hui: ISO 27001, NIS2 et DORA
La plupart des référentiels avec lesquels travaillent nos clients exigent des audits internes. Ils diffèrent néanmoins par le niveau de détail qu'ils accordent à la phase de suivi.
ISO 27001
La norme ISO/IEC 27001:2022 impose de réaliser des audits internes à des intervalles planifiés (clause 9.2). Lorsqu'un audit révèle une non-conformité, la clause 10.2 exige une action corrective ainsi qu'une vérification de l'efficacité de cette action.
NIS2
L'article 21(2)(f) de la directive NIS2 impose aux entités essentielles et importantes de disposer de politiques et de procédures pour évaluer l'efficacité de leurs mesures de gestion des risques de cybersécurité. Un audit interne assorti d'un suivi documenté constitue l'un des moyens de le démontrer. Les transpositions nationales pouvant varier, vérifiez les attentes spécifiques de votre autorité de tutelle.
DORA
Le règlement DORA est le plus explicite sur ce point. L'article 6(6) exige que les entités financières, à l'exception des micro-entreprises, fassent auditer leur cadre de gestion des risques TIC en interne de manière régulière. Les auditeurs doivent disposer des compétences TIC requises et d'une indépendance appropriée. L'article 6(7) va encore plus loin : sur la base des conclusions de l'audit, un processus formel de suivi doit être mis en place, assorti de règles précises pour vérifier et remédier aux constatations critiques dans des délais adaptés.
Son fonctionnement dans Formalize: une constatation, du début à la fin
Prenons la constatation relative à la revue d'accès mentionnée plus haut et suivons son parcours au sein du nouveau module Audit.
Pendant le travail de terrain, l'auditeur terrain (Field Auditor) qui évalue votre contrôle d'accès signale la constatation directement à cet endroit, sur le contrôle lui-même. Le critère, le constat, la cause et l'effet disposent chacun de leur propre champ, garantissant ainsi que la constatation soit complète avant même que quiconque ne la lisent.
La constatation se voit attribuer un niveau de sévérité selon votre propre échelle, ainsi qu'une décision consignée: la remédiation. Un plan d'action en découle directement, associé à un responsable nominatif et à une date cible. Le suivi n'a pas à attendre la publication du rapport d'audit: il peut débuter alors même que l'audit est encore en cours.
Lorsque le responsable a ré-attribué la revue trimestrielle et documenté la suivante, la résolution passe par un workflow d'approbation. La constatation n'est considérée comme résolue qu'une fois validée par une personne indépendante. D'ici là, elle reste associée au contrôle d'accès, visible par toute personne qui consulte ce contrôle. Elle ne disparaît pas au fond d'un dossier d'audit archivé — ce qui est précisément la raison pour laquelle une constatation peut finir par rester ouverte pendant trois ans.
Le reste de l'audit fonctionne de la même manière. Vous commencez par transformer le processus existant de votre équipe en un modèle d'audit réutilisable, intégrant les questions à traiter et les modalités de gestion des constatations. À partir de là, un audit peut être lancé sur la base d'un référentiel, d'un ensemble de risques, ou encore des actifs et fournisseurs que vous gérez. Il suit vos étapes habituelles, de la planification et du cadrage jusqu'au suivi, en passant par le travail de terrain et les conclusions, le tout structuré selon les normes mondiales d'audit interne de l'IIA (IIA Global Internal Audit Standards).
Les organisateurs d'audit (Audit Organizers) planifient l'audit, les auditeurs principaux (Lead Auditors) pilotent le processus et valident les conclusions, et les auditeurs terrain (Field Auditors) réalisent les évaluations : ainsi, chacun connaît parfaitement son rôle. Les preuves sont liées aux contrôles, aux risques, aux fournisseurs et à presque tout autre enregistrement que vous gérez dans Formalize, ce qui évite de devoir collecter à nouveau ce qui est déjà documenté. Votre propre équipe peut réaliser l'audit, ou un auditeur externe peut l'exécuter pour vous.
Le module Audit nous permet d'établir facilement des liens entre les sujets d'audit, les exigences, les contrôles et les preuves, et ce jusqu'au rapport d'audit final.
Erhard Christelbauer, Conseiller Senior GRC chez Bonafide
La première version est conçue pour les audits internes, et non pour les audits de certification tels qu'une certification ISO 27001 ou une attestation SOC 2. La possibilité de solliciter des preuves auprès de vos collègues directement depuis le module figure à notre feuille de route pour la suite.
À partir d'octobre 2026, le module Audit sera inclus dans les forfaits Infrastructure Standard et Infrastructure Avancée. Pour les autres forfaits, il sera proposé en tant que module complémentaire.