Qu'est-ce qu'un audit informatique ?

Le mot « audit » vient de la comptabilité, et ce n'est pas un hasard. Comme un commissaire aux comptes, un auditeur informatique ne vient pas réparer : il vient constater, mesurer et attester. La réparation, c'est l'étape d'après, et elle relève d'un autre métier.

Cette distinction compte, parce qu'elle explique la frustration la plus fréquente des dirigeants : on leur a vendu un « audit » qui s'est révélé être une liste de matériel vieillissant accompagnée d'un devis de renouvellement. Un inventaire n'est pas un audit. Un audit mesure un écart entre une situation observée et une exigence, puis en déduit un risque. Sans exigence de référence, il n'y a pas d'audit, seulement une description.

Audit informatique, audit du SI, audit IT : y a-t-il une différence ?

Dans l'usage courant en France, non. « Audit informatique », « audit du système d'information », « audit SI » et « audit IT » désignent la même démarche. La nuance est d'échelle : on parle plutôt d'audit du système d'information quand le périmètre inclut l'organisation, les processus et les usages, et d'audit informatique quand on reste sur la couche technique (serveurs, postes, réseau, sauvegardes, sécurité).

Deux termes voisins ne sont en revanche pas synonymes et il vaut mieux les distinguer avant de signer :

• Un test d'intrusion (pentest) cherche activement à exploiter des failles. C'est une épreuve offensive, pas un audit : son résultat est une liste de vulnérabilités exploitées, pas une évaluation d'ensemble.
• Une certification (ISO 27001, HDS) est délivrée par un organisme accrédité au terme d'un audit normé. Un audit informatique classique ne certifie rien et ne doit jamais être présenté comme tel.

Sur le marché français, un audit informatique de PME se situe généralement entre 1 500 et 8 000 € HT selon le périmètre, le nombre de sites et la profondeur des tests. Un audit de conformité réglementaire ou un audit incluant des tests d'intrusion se situe au-dessus de cette fourchette. Les trois facteurs qui font vraiment varier le prix sont le nombre de sites, le nombre d'applications métier spécifiques, et le fait de tester réellement les restaurations ou de se contenter de les déclarer.

Beaucoup de prestataires, dont Infranat, réalisent l'audit sans frais pour un prospect qui demande un devis, parce qu'il est de toute façon nécessaire pour chiffrer une offre d'infogérance sérieuse. L'arbitrage est simple : un audit gratuit est forcément lié à une proposition commerciale, un audit payant achète une neutralité. Les deux se défendent, à condition de savoir lequel on signe.

Quand faut-il lancer un audit ?

Il existe cinq déclencheurs légitimes, et un mauvais. Les légitimes : un changement de prestataire informatique, où l'audit sert d'état des lieux contradictoire ; une reprise ou une cession d'entreprise, où le SI fait partie de la valeur ; une exigence externe (assureur cyber, client grand compte, obligation NIS2) ; un incident qui a coûté cher et dont on veut comprendre la cause racine ; un projet structurant (migration cloud, ouverture de site, forte croissance d'effectif) qu'on ne veut pas bâtir sur une base inconnue.

Le mauvais déclencheur, c'est l'audit de confort annuel reconduit sans rien changer entre deux éditions. Un audit dont les constats de l'année précédente n'ont pas été traités ne mesure plus rien : il documente une inaction.