Un plan d’audit convenu à l’avance
Périmètre, critères et méthode fixés avec vous, pour que l’audit mesure ce qui compte pour vous et pour votre auditeur.
Audit interne
Audit interne cybersécurité pour les PME : un regard indépendant avant celui de l’auditeur.
Trouvez les écarts avant votre organisme de certification ou votre principal client. Un audit indépendant, un rapport clair et une liste de corrections que vos équipes peuvent mener.
Est-ce pour vous ?
Quand un audit interne s’impose.
- Votre audit de certification approcheISO 27001 exige un audit interne avant que l’organisme puisse vous certifier.
- Un client ou votre assureur demande des preuvesIl veut voir que votre sécurité fonctionne, pas seulement une politique écrite.
- Vous avez subi un incident, ou l’avez frôléEt vous voulez savoir quelles mesures ont tenu et lesquelles ont cédé.
- Personne n’a vérifié depuis 12 moisOu l’entreprise a changé : croissance, rachat, passage au télétravail.
Ce qui est en jeu
Vos documents disent une chose. La pratique peut en dire une autre.
Un audit interne vérifie que votre sécurité fonctionne comme vos documents le décrivent. Sans lui, le premier à trouver les écarts est votre auditeur de certification, le contrôleur d’un client ou un attaquant.
ISO 27001 exige un audit interne avant la certification, et NIS2 demande aux entreprises concernées de vérifier l’efficacité de leurs mesures. Un audit indépendant vous apporte cette preuve, et un plan pour combler les écarts.
Ce que vous obtenez
Un état des lieux honnête, et quoi en faire.
Un auditeur indépendant
L’audit est mené par un Lead Auditor qui n’a pas conçu les mesures auditées. L’objectivité est tout l’enjeu.
Des constats étayés par des preuves
Chaque constat est relié à une preuve et à l’exigence concernée.
Une synthèse lisible par la direction
Périmètre, constats et décisions à prendre, en langage clair.
Un plan d’actions correctives
Constats classés, avec responsables, délais et effort suggérés, pour que le rapport se traduise en actions.
Un dossier accepté par votre organisme de certification
Pour ISO 27001 : un dossier d’audit structuré pour les étapes 1 et 2 de votre organisme de certification.
Qui fait quoi
Nous auditons. Vos équipes corrigent, avec un plan clair.
Ce que nous pilotons
- Fixer avec vous le périmètre, les critères et le plan d’audit
- Examiner vos documents et interroger vos équipes
- Vérifier que les mesures fonctionnent en pratique
- Rédiger le rapport et le plan d’actions correctives
- Présenter les constats à la direction
Ce qui reste chez votre prestataire informatique
- Donner accès aux documents, aux systèmes et aux personnes
- Mener les actions correctives
- Conserver les preuves pour le prochain audit
Si nous avons aussi aidé à mettre en place vos mesures, un autre intervenant mène l’audit, et cette séparation est documentée.
Comment ça se passe
Quatre étapes, en trois à cinq semaines.
- 01
Périmètre et plan d’audit
Semaine 1
Nous fixons les objectifs, les textes ou référentiels, le périmètre et la méthode. Vous obtenez un plan d’audit que votre organisme de certification ou l’autorité reconnaîtra.
- 02
Revue documentaire
Semaines 1 et 2
Nous examinons vos politiques, procédures et preuves face aux exigences, et préparons les listes de contrôle de l’audit.
- 03
L’audit lui-même
Semaines 2 à 4
Entretiens, observations et vérification des preuves, pour confirmer que la pratique suit les documents. Sur site ou à distance.
- 04
Rapport et plan d’actions
Semaines 4 et 5
Le rapport complet, les constats et leurs preuves, et un plan d’actions correctives classé, présenté à la direction.
Pour commencer
Un forfait, fixé avant de commencer.
La moitié à la signature, l’autre à la remise du rapport. Le premier appel est gratuit. Des points trimestriels ou un cycle d’audit annuel sont possibles en option.
- Prix
- Forfait fixe
- Durée
- 3 à 5 semaines
- Votre temps
- Quelques entretiens, planifiés avec vous
Devis ferme après l'appel gratuit.
Réserver une consultation gratuite de 25 minutesPour votre DSI, DPO ou DAF
Sept cadres et réglementations externes, plus vos propres exigences.
CERTIFICATION
ISO 27001
Audit interne par rapport aux 93 contrôles de l'Annexe A et aux 10 clauses de management. Requis avant la certification Stage 2.
En savoir plus
CERTIFICATION · IA
ISO 42001
Audit interne par rapport aux 38 contrôles spécifiques à l'IA de l'Annexe A et aux 10 clauses de management du SMIA, conduit par un Lead Auditor PECB ISO/IEC 42001. Requis avant la certification Stage 2 — et couvre les preuves déployeur de l'Article 26 du Règlement IA dans la même mission.
En savoir plus
VIE PRIVÉE · CERTIFICATION
ISO 27701
Management de la vie privée, autonome depuis l’édition 2025 de la norme. Audité par rapport aux contrôles de protection de la vie privée et à leurs correspondances RGPD.
En savoir plus
LOI UE
NIS2
Mesures de gestion des risques, gouvernance, réponse aux incidents, chaîne d'approvisionnement et continuité d'activité par rapport à l'article 21 de NIS2.
En savoir plus
LOI UE
RGPD
Base légale, exactitude du registre des traitements, qualité des AIPD, droits des personnes, gestion des violations, contrats sous-traitants, durée de conservation.
En savoir plus
LOI UE · FINANCE
DORA
Gestion des risques TIC, classification et notification des incidents, tests de résilience opérationnelle, supervision des prestataires tiers.
En savoir plus
PAIEMENTS
PCI DSS
Périmètre de l'environnement des données titulaires, segmentation réseau, contrôles d'accès, chiffrement, tests de sécurité — par rapport à PCI DSS v4.0.1.
En savoir plus
Deux façons de mener un audit interne. Coût différent, résultat différent.
| Critère | Cyber-Management (indépendant) | Auditeur interne (salarié) |
|---|---|---|
| Coût | Forfait fixe, dimensionné au cadre et à la taille de l'organisation ; pas de coût d'emploi continu | Salaire + formation + outillage + temps de management ; difficile à justifier à l'échelle d'une PME |
| Délai de démarrage | 1–2 semaines après l'appel de cadrage | Plusieurs mois — recrutement, formation, certification au cadre |
| Objectivité | Pas de conflit d'intérêt — un constat est un constat | Même employeur que l'équipe auditée ; risque de biais inhérent |
| Certification | Lead Auditor PECB ISO/IEC 27001 et ISO/IEC 42001, détenue par l'auditeur sur chaque mission | Dépend de la personne ; souvent non certifiée au cadre |
| Étendue multi-référentiels | ISO 27001, NIS2, RGPD, DORA, PCI DSS — un même auditeur sur tous ces cadres | Souvent profond dans un cadre, mince dans les autres |
| Acceptation par les organismes certificateurs | Dossier d'audit structuré selon les exigences de preuve des organismes certificateurs | Variable — l'indépendance de l'auditeur est parfois remise en cause au Stage 2 |
FAQ
Ce que nous demandent DSI et responsables qualité sur l’audit.
Quelle est la différence entre un audit interne et un test d'intrusion ?
Question complètement différente. Un test d'intrusion répond à « quelqu'un peut-il s'introduire dans nos systèmes ? » — c'est un exercice technique d'exploitation. Un audit interne répond à « gérons-nous correctement la sécurité ? » — c'est une évaluation de gouvernance et de conformité par rapport à un cadre documenté. ISO 27001 exige des audits internes documentés et NIS2 une évaluation de l'efficacité des mesures ; ni l'un ni l'autre n'impose le test d'intrusion. La plupart des programmes sécurité matures font les deux, mais ils sont complémentaires, pas substituables.
Combien de non-conformités est-il acceptable de trouver ?
Il n'y a pas de limite prescrite, et zéro constat est en général le signe d'un audit pas assez rigoureux. La valeur d'un audit tient à trois choses : que les constats soient documentés avec preuves, que la cause racine soit correctement analysée, et que les actions correctives aient des responsables et des échéances. Un audit avec cinq constats bien documentés et un plan d'action serré vaut bien plus qu'un audit avec zéro constat et aucun suivi.
Pouvez-vous mener à la fois la mise en œuvre et l'audit ?
Oui — avec une gestion formelle de l'objectivité. La clause 9.2 d'ISO 27001 et NIS2 exigent l'indépendance de l'auditeur par rapport à la fonction auditée. Nous traitons cela en assignant à l'audit un praticien différent de celui qui a accompagné la mise en œuvre, et en documentant la séparation dans le programme d'audit. Les organismes certificateurs acceptent cet arrangement quand il est correctement attesté.
Quelle est la différence entre un audit interne (1ère partie) et un audit externe (3ème partie) ?
Un audit de première partie est votre organisation qui s'évalue elle-même (interne). Un audit de troisième partie est conduit par un organisme certificateur accrédité (externe). Les deux s'enchaînent : les organismes certificateurs exigent les preuves d'un audit interne avant de mener l'audit externe Stage 2. L'audit interne tourne aussi en continu — il fait partie du maintien année après année d'ISO 27001 après certification.
Combien de temps prend un audit interne pour une PME ?
Trois à cinq semaines en durée totale, du cadrage à la livraison du plan d'actions correctives. Le temps auditeur dans cette fenêtre dépend du périmètre : un audit serré (une réglementation, périmètre de processus restreint) prend 2–3 jours ; une mission PME typique tourne entre 5 et 10 jours auditeur étalés sur les semaines de mission. Nous confirmons les deux chiffres dans la proposition après l'appel de cadrage.
Quelles qualifications doit avoir un auditeur interne ?
ISO 27001 n'impose aucune qualification nommée ; la clause 9.2.2 exige des auditeurs qui garantissent l'objectivité et l'impartialité de l'audit. En pratique, les organismes certificateurs attendent une certification d'auditeur reconnue, comme Lead Auditor ISO/IEC 27001 de PECB (ou Lead Auditor ISO/IEC 42001 pour ISO 42001). Pour NIS2, RGPD, DORA et PCI DSS, l'exigence est une connaissance démontrable de la réglementation et une méthodologie d'audit crédible. Le consultant qui mène votre audit détient personnellement les deux certifications Lead Auditor ainsi que la certification Data Protection Officer RGPD ; la connaissance propre à chaque référentiel est documentée dans le programme d'audit.
Comment la mission est-elle facturée ?
Forfait fixe pour le projet d'audit, par jalons : appel de cadrage gratuit, puis 50 % à la signature, 50 % à la livraison du rapport. Optionnellement suivi d'un plus petit forfait si vous souhaitez des audits trimestriels de suivi ou un accompagnement annuel. Tous les montants sont fixés et communiqués dans la proposition après l'appel de cadrage. Pas de mauvaise surprise, pas de facturation horaire.