Comment formuler un constat d’audit de manière factuelle ?
D’après Audit du système d’information
Un constat doit distinguer ce qui a été observé de l'interprétation qui en est faite. Décrivez les faits vérifiables et les éléments qui les étayent avant d'exposer leurs conséquences.
La première tâche, dans la synthèse, est de formaliser les constats : qu'a-t-on réellement observé ou vérifié ?
Pour être crédibles et utiles, ces constats doivent être :
Clairs et précis : “Le fichier de configuration du pare-feu principal n'a pas été mis à jour depuis 12 mois”, plutôt que “la configuration est approximative”.
Objectifs : se baser sur des preuves tangibles (entretien, log, échantillon, test technique), pas de jugements de valeur ou d'exagérations.
Référencés : pointer, si possible, le ou les référentiels concernés (“Non-conformité vis-à-vis du contrôle A.9.2.2 d'ISO 27001”, “Écart par rapport à la recommandation ITIL de documenter les changements”).
Cela rejoint l'exigence d'impartialité prônée par l'ISO 19011.
L'auditeur doit démontrer qu'il ne se base pas sur des rumeurs ou des impressions, mais sur des éléments vérifiables.