Audit informatique à Paris et en petite couronne : un devis clair en 2 minutes

Un audit informatique est une analyse indépendante de l’existant. Il décrit le matériel, les logiciels, les réseaux, les accès, les sauvegardes et l’organisation qui fait tourner l’informatique, puis classe les constats selon leur niveau de risque. Le résultat n’est ni un devis ni une liste de travaux : c’est un diagnostic à partir duquel l’entreprise arbitre. Il interroge aussi les usages et la manière dont les décisions informatiques sont prises aujourd’hui, car beaucoup de fragilités tiennent davantage à l’organisation qu’à la technique.

Ce que l’audit recense

La première partie du travail est un inventaire : postes, serveurs, licences, comptes utilisateurs, contrats d’accès et de maintenance. Vient ensuite une cartographie des flux et des dépendances, c’est-à-dire ce qu’une application attend d’une autre et qui connaît réellement ces liens. Beaucoup de constats naissent de ces zones floues.

Ce qu’il ne couvre pas par défaut

Un audit ne répare rien et n’est pas un test de pénétration. Les tests d’intrusion, qui simulent une attaque, forment une prestation distincte, à demander explicitement lorsque le contexte le justifie. De même, la mise en conformité réglementaire ou la refonte d’un réseau relèvent d’autres missions, que l’audit peut recommander sans les réaliser.

Un audit se justifie rarement pour lui-même. Il répond le plus souvent à un événement précis ou à une incertitude qui pèse sur les décisions.

• Le prestataire part et emporte la connaissance. Personne en interne ne sait plus ce qui est installé, où se trouvent les accès d’administration ou comment restaurer une sauvegarde.
• L’entreprise est rachetée. Le repreneur doit savoir ce qu’il acquiert sur le plan informatique, avant que les premiers problèmes n’apparaissent.
• Un changement de prestataire approche. Un état des lieux neutre permet de transmettre un existant lisible et d’éviter de découvrir les dépendances au moment de la bascule.
• Les incidents reviennent sans explication. Coupures, lenteurs et pannes se répètent, faute d’historique et de documentation pour en trouver l’origine.
• Le budget doit être justifié. Sans inventaire ni priorités, il est difficile de défendre une dépense ou d’arbitrer entre plusieurs projets.
• Un assureur ou un questionnaire de sécurité attend des réponses. Ces réponses doivent reposer sur un constat vérifié, non sur une impression.
• Les coûts paraissent élevés sans qu’on sache pourquoi. Licences inutilisées, contrats redondants ou matériel en fin de vie passent souvent inaperçus.
• La documentation n’est plus à jour. Schémas, comptes et procédures datent et ne reflètent plus l’existant.

Un audit suit en général trois temps. Le calendrier se précise dans la proposition, selon le périmètre et la disponibilité des équipes.

Avant l’audit

La première étape fixe le périmètre : sites, systèmes, applications et personnes concernées. Il faut aussi réunir les documents existants, qu’ils soient à jour ou non, comme les contrats, les schémas et les listes de comptes. Un échange avec la direction permet de préciser les attentes et les points sensibles, notamment les obligations réglementaires ou contractuelles de l’entreprise.

Pendant l’audit

L’auditeur relève l’existant sur place et à distance, par des entretiens avec les équipes et des vérifications techniques. Il compare ce qui est déclaré à ce qui est réellement en service, car les écarts entre les deux sont souvent la source des constats les plus utiles. Les observations sont consignées au fil de l’eau, sans jugement sur les personnes : l’objectif est de décrire un fonctionnement, non de désigner un responsable.

Après l’audit

Le rapport classe les constats par risque et par urgence, puis propose un plan d’action ordonné. Une restitution devant la direction permet de poser les questions restées ouvertes et de valider les priorités. Le plan d’action sert ensuite de feuille de route, qu’il soit mis en œuvre en interne ou confié à un prestataire.

Deux propositions d’audit peuvent sembler proches et produire des livrables très différents. La première chose à comparer est la méthode annoncée : entretiens, relevés techniques, outils utilisés et périmètre décrit avec précision. Une offre qui ne dit pas ce qu’elle va examiner ne permet pas de savoir ce qui manquera au rapport.

Le second point est la lisibilité du document. Un rapport destiné à la direction sépare l’essentiel des détails techniques, qui restent en annexe. Chaque constat devrait indiquer son niveau de risque, la preuve sur laquelle il repose et la recommandation associée. Une simple liste d’anomalies ne dit pas par où commencer.

Il faut ensuite regarder la place de l’auditeur dans la suite du projet. Un audit mené par la structure qui réalisera les travaux peut conduire à minimiser certains constats ou à en surévaluer d’autres. Le plus simple est de demander, dès le départ, si l’auditeur intervient ensuite et comment cette question est traitée.

Enfin, l’offre doit prévoir ce qui se passe après la remise. Une restitution, un temps d’échange et la possibilité de faire un point quelques mois plus tard changent la valeur du document dans la durée.

Ces erreurs reviennent d’un projet à l’autre et se corrigent facilement dès la rédaction de la demande.

• Commander un audit sans périmètre. Le risque est un rapport vague. La parade consiste à lister les sites, systèmes et applications couverts avant de signer.
• Confondre audit et travaux. Un auditeur qui réalise ensuite les corrections se retrouve juge de son propre ouvrage. La parade est de séparer les deux missions ou d’en discuter l’indépendance par écrit.
• Remettre à la direction un rapport trop technique. La décision devient impossible à prendre. La parade est d’exiger une synthèse en langage clair, distincte des annexes.
• Ranger le rapport sans plan d’action. Le constat reste lettre morte. La parade consiste à exiger des actions ordonnées, avec un responsable identifié en interne.
• Croire qu’un audit suffit à sécuriser l’entreprise. Il s’agit d’une photographie à un instant donné. La parade est de prévoir une revue à intervalle régulier et un suivi des actions.

Quatre questions permettent de vérifier qu’un audit répondra au besoin réel. Le rapport est-il hiérarchisé et lisible par la direction ? Il est utile de demander un exemple anonymisé pour juger du niveau de détail et de la façon dont les constats sont classés. L’auditeur est-il indépendant des travaux qui suivront ? Une réponse écrite évite les malentendus sur ce point. Les tests d’intrusion sont-ils inclus ou non ? Ils doivent être mentionnés explicitement dans l’offre, avec leur périmètre. Enfin, une restitution est-elle prévue ? Un échange avec la direction clarifie souvent ce que le rapport laisse en suspens. Mieux vaut poser ces questions par écrit, avant la signature, pour que l’offre reflète exactement ce qui a été convenu. Des réponses floues sur l’un de ces points sont déjà une information utile sur la suite du projet.