Un audit informatique est l’état des lieux complet d’un système d’information : ce qui le compose, comment il est administré, où sont ses faiblesses, et ce qu’il faut corriger en priorité. La vraie question n’est pas de savoir s’il faut en faire un, mais qui doit le réaliser. Notre réponse est assumée et elle nous coûte du chiffre d’affaires : un tiers indépendant, qui n’est ni votre infogéreur, ni votre revendeur.
Ce que couvre un audit informatique
L’audit évalue trois dimensions, et un audit qui n’en couvre qu’une seule n’en est pas vraiment un.
- Technique. Inventaire du parc, architecture réseau, niveau de correctifs, configuration des serveurs et des postes, sauvegardes et leur restauration.
- Organisationnelle. Gestion des accès et des départs, procédures d’incident, contrats avec les prestataires, existence et application d’une politique de sécurité.
- Humaine. Le niveau réel de vigilance des équipes, qui ne se mesure pas dans une console.
Selon le périmètre visé, il prend la forme d’un audit organisationnel, d’un audit technique, d’un test d’intrusion, ou d’une combinaison des trois. Pour un examen centré sur les défenses et les vulnérabilités, voir spécifiquement l’audit de sécurité informatique.
Quelle forme d’audit pour quel besoin
| Forme | Ce qu’elle examine | Le livrable | Quand la choisir |
|---|---|---|---|
| Audit organisationnel | Procédures, accès, contrats, gouvernance, conformité de la documentation | Rapport d’écarts face à un référentiel, plan de mise en conformité | Avant une certification, un contrôle ou une réorganisation |
| Audit technique | Parc, réseau, configurations, correctifs, sauvegardes et leur restauration | Constats datés, hiérarchisés, avec preuves techniques | Reprise de parc, doute sur l’existant, préparation budgétaire |
| Test d’intrusion | La résistance réelle : un attaquant simulé cherche à entrer | Chemins d’attaque démontrés, criticité, correctifs prioritaires | Système déjà mature, exigence réglementaire ou client |
| Audit de sécurité complet | Les trois dimensions à la fois, volet humain compris | État des lieux global et feuille de route priorisée | Premier audit, rachat, mise sous conformité DORA ou NIS2 |
Cette page vous a aidé ? C’est notre métier.
- Support 8h-20h · 7j/7
- SOC 24/7
- < 10 min
- Équipe dédiée
Un ingénieur décroche · prise en charge moyenne < 10 min · 7j/7 de 8h à 20h · devis sans frais de mise en service. Standard fermé pour le moment (ouvert 7j/7 de 8h à 20h) : choisissez votre créneau, un ingénieur vous rappelle · devis sans frais de mise en service. Simuler mon devis en ligne : prix publics dès 55 € HT par poste, résultat immédiat, aucun formulaire →
Comment il se déroule
Le calendrier varie avec la taille de l’entreprise, mais la séquence ne change pas.
- Cadrage du périmètre. Réseau seul ou système d’information complet, sites concernés, applications métier incluses ou non. Écrit noir sur blanc avant de commencer.
- Cartographie du parc. On ne peut pas auditer ce qu’on n’a pas inventorié.
- Tests et collecte de preuves. Configurations, journaux, relevés, entretiens avec les équipes.
- Rapport écrit. Constats datés, hiérarchisés par gravité, avec les preuves à l’appui.
- Restitution et plan d’action. C’est l’étape qui distingue un audit utile d’un document rangé dans un tiroir.
Les points de vigilance d’un bon audit
- Un périmètre explicite. Ce qui n’est pas couvert doit être écrit autant que ce qui l’est.
- Un état des lieux ET un plan d’action. Un constat sans priorisation ne fait avancer personne.
- Un auditeur externe et indépendant. On ne peut pas être juge et partie.
- Un volet humain. La sensibilisation du personnel fait partie de l’évaluation.
- Une récurrence. Un audit ponctuel photographie un instant. La sécurité se vérifie dans la durée.
Est-il obligatoire ?
Pour la plupart des entreprises, non : il est fortement recommandé, sans plus. Mais la réponse change complètement pour un acteur financier régulé.
Depuis l’entrée en application de DORA en janvier 2025, les entités concernées doivent mener un programme de tests de résilience opérationnelle numérique, en tenir la trace et pouvoir la présenter. Ce n’est plus une bonne pratique, c’est une obligation dont l’ACPR demande la démonstration. Pour une société de gestion, la question n’est donc plus s’il faut auditer, mais à quelle fréquence et avec quelles preuves.
L’écart entre le déclaré et le réel est d’ailleurs documenté par les régulateurs eux-mêmes : dans son enquête 2024 auprès de 224 organismes d’assurance, l’ACPR relève que 27 % ne testent pas leur plan de continuité annuellement, et précise que les réponses déclaratives lui paraissent « plus optimistes que certaines réalités rencontrées en contrôle sur place ». C’est exactement ce qu’un audit sert à établir : la réalité, pas le déclaratif.
Pourquoi ITAIA ne réalise pas votre audit
C’est un choix d’indépendance, et il est constant : l’infogéreur qui sécurise votre système ne peut pas être celui qui juge si c’est bien sécurisé. Ce serait corriger sa propre copie. Un audit tire précisément sa valeur du fait qu’il est mené par un regard extérieur, sans conflit d’intérêts. Nous appliquons la même règle aux tests d’intrusion sur les environnements que nous exploitons. Cette position est détaillée sur notre page Transparence.
Ce que nous faisons, en revanche
Avant l’audit, nous préparons l’environnement : inventaire du parc à jour, documentation, journaux centralisés, comptes et accès propres. Et si vous voulez un premier aperçu sans attendre, notre pré-diagnostic gratuit montre en 30 secondes ce qu’un auditeur verra de l’extérieur. Un audit mené sur un système documenté coûte moins cher et va plus loin, parce que l’auditeur passe son temps à chercher des écarts plutôt qu’à chercher l’information.
Pendant, nous répondons aux auditeurs et fournissons les preuves techniques : journaux, configurations, traçabilité des actions.
Après, nous corrigeons les constats, du durcissement à la gestion des correctifs en passant par l’authentification forte et la sauvegarde immuable, et nous documentons chaque remédiation pour le contrôle suivant.
Pour les sociétés de gestion et les acteurs régulés AMF ou ACPR, ce partage des rôles, un tiers qui audite et un prestataire qui opère et corrige, correspond exactement à l’esprit du règlement. Notre FAQ conformité y consacre plusieurs réponses.
Vos questions sur l’audit informatique
Qu’est-ce qu’un audit informatique ?
Un état des lieux complet du système d’information, mené selon une méthode : cadrage du périmètre, cartographie, tests et collecte de preuves, rapport hiérarchisé, puis plan d’action. Il évalue trois dimensions à la fois : la technique, l’organisation et le facteur humain.
Combien coûte un audit informatique ?
Tout dépend du périmètre : quelques jours d’intervention pour un audit ciblé sur un réseau ou une messagerie, plusieurs semaines pour un système complet avec test d’intrusion. Le vrai levier d’économie n’est pas de négocier le tarif de l’auditeur, c’est d’arriver documenté : un parc inventorié et des journaux centralisés lui font gagner la moitié de son temps.
Quelle différence entre audit informatique et audit de sécurité ?
L’audit informatique couvre l’ensemble du système : architecture, exploitation, organisation, coûts. L’audit de sécurité en est le sous-ensemble centré sur les défenses : vulnérabilités, accès, détection, sauvegardes. Un test d’intrusion va un cran plus loin en tentant réellement d’entrer.
À quelle fréquence faut-il auditer ?
Un rythme annuel est la bonne base, complété après tout changement majeur : déménagement, migration, rachat, incident. Pour les entités financières soumises à DORA, la fréquence n’est plus un choix : le programme de tests de résilience se planifie, se trace et se présente au régulateur.
Qui doit réaliser l’audit ?
Un tiers qui n’a rien à vendre sur le périmètre qu’il évalue. Jamais votre infogéreur : il corrigerait sa propre copie. C’est notre position, écrite et constante, même quand elle nous coûte une mission : ITAIA prépare, répond aux auditeurs et corrige, mais ne juge pas son propre travail.
Avant ou après votre audit
Vous préparez un audit, ou vous venez d’en recevoir les conclusions et vous cherchez qui va les traiter ? Prenez 30 minutes avec un ingénieur : nous transformons les recommandations en plan d’action chiffré et priorisé, sans engagement.
