Pourquoi vérifier sur le terrain ce que décrivent les procédures du SI ?
D’après Audit du système d’information
Les procédures décrivent un fonctionnement attendu, mais elles ne suffisent pas à démontrer les pratiques réelles. Les vérifications de terrain servent à rapprocher les documents, les déclarations et les opérations observées.
Jusqu'à présent, l'auditeur a principalement examiné des documents (politiques, procédures, schémas d'architecture, rapports antérieurs), mené quelques entretiens préliminaires et établi une première cartographie des risques et des non-conformités potentielles.
Or, la documentation et les déclarations ne traduisent pas toujours fidèlement la réalité du terrain.
Les procédures peuvent exister sur le papier sans être appliquées, ou bien être partiellement obsolètes.
Les vérifications sur le terrain visent donc à mesurer l'écart entre le référentiel théorique (ce qui “devrait” être fait selon les documents et les standards) et la pratique (ce qui est réellement fait par les équipes, les utilisateurs, et les systèmes en production).
COBIT, par exemple, insiste sur la nécessité de démontrer non seulement l'existence d'une politique ou d'un processus, mais aussi leur mise en œuvre concrète et leur efficacité.