Comment conduire les entretiens formels d’un audit informatique ?
D’après Audit du système d’information
Les entretiens avec les équipes (opérationnelles, métiers, dirigeantes) sont une méthode essentielle pour recouper les informations documentaires et clarifier les zones d'ombre.
Ils sont plus structurés que les entretiens exploratoires de la phase 3, car ils reposent sur un questionnaire ou un guide d'audit précis.
Objectifs : vérifier la compréhension et l'application des procédures, recueillir des retours d'expérience concrets, évaluer la cohérence entre plusieurs points de vue (DSI, RSSI, utilisateurs métiers).
Méthodologie : l'auditeur peut s'appuyer sur les référentiels (COBIT, ITIL, ISO 27001) pour lister les questions clés.
Par exemple, “Comment gérez-vous la demande d'un nouveau compte utilisateur ?” ou “Quel est le processus pour déclarer un incident majeur ?”.
L'ISO 19011 recommande de conduire ces entretiens de manière ouverte, en veillant à poser des questions non seulement sur “ce qui devrait se faire”, mais aussi sur “ce qui se fait vraiment en pratique”.
Les différences entre les déclarations des uns et des autres peuvent révéler des failles ou des malentendus qu'on devra vérifier autrement (ex. : observation, extraction de logs).