L’audit flash : « Arrivez comme le vent et partez comme l’éclair… » Sun Tzu, l’Art de la Guerre

 

Trop de dirigeants pensent pouvoir gérer exclusivement en interne toutes les situations auxquelles ils doivent faire face et ne prennent pas assez de recul. Au final, réaliser l’audit de son Système d’Information (SI) en interne peut coûter beaucoup plus cher que de solliciter un auditeur externe.

Cette phase d’audit (ou de manière plus appropriée à notre sens, d’exploration du SI) est trop souvent associée à une opération longue, et par conséquent lourde et coûteuse. Un diagnostic rapide de quelques jours, suivi de recommandations, est bien souvent préférable à un audit long.

Pourquoi un audit flash ?

L’audit flash n’est certainement pas un survol, le flash correspond à une focalisation sur un point particulier, l’exploration d’un pan spécifique du SI.

Un audit flash peut être commandé pour les raisons suivantes :

• Une recherche de conseil sur un sujet particulier. Où en suis-je ? Que faut-il faire dans cette situation ? Dans quelle direction dois-je m’orienter à court terme ? Par exemple si vous venez de reprendre le département CRM et avez des doutes sur la qualité de la solution
• Un contrôle préalable. Le département audit débarque le mois prochain, puis-je vérifier rapidement que tout est en place ?
• Une étude de rachat de société ou de rapprochement avec une autre entité du groupe. Les fondamentaux d’une saine gestion des SI sont-ils en place ? Le budget SI de ma cible tient-il la route compte-tenu du contexte ?

Il est important de veiller à ce qu’un audit flash ne soit pas le point d’entrée d’une mission longue. Il doit se limiter à la question initiale posée et doit aboutir à quelques préconisations concrètes que le client pourra décider de mettre en œuvre selon ses moyens disponibles (en interne ou en externe).

Un Audit flash gagne à devenir récurrent

Un audit de type flash peut être récurrent. Lorsque s’instaure une relation de confiance entre le DSI et son auditeur préféré (lequel connaîtra progressivement de mieux en mieux le SI), il pourra faire appel régulièrement à celui-ci et le questionner sur des points qui lui paraissent importants à partager.

Nous préconisons au DSI d’adopter cette démarche récurrente d’exploration de son SI, permettant de s’inscrire ainsi dans une stratégie de prévention et d’amélioration continue, et pas seulement comme une résultante de l’identification d’un problème particulier.

Où est la frontière avec l’audit long ?

Lorsque l’on lance un audit d’un système d’information, il est essentiel d’en préciser le périmètre et les contraintes d’intervention. N’oublions jamais qu’un audit doit répondre à une question préalable.

Il existe des situations où la mission d’exploration sera longue : périmètre couvert large, taille importante de l’entreprise, nombre important d’emplacements géographiques à auditer, et surtout niveau de détails demandé. N’oublions pas cependant que long n’est pas obligatoirement coûteux, il s’agit avant tout de prendre le temps de l’exploration.

La différence majeure se situe au niveau de l’échelle de temps sur laquelle la réponse à la question doit s’appliquer. L’exploration flash est la bonne manière d’adresser le court terme, visant ainsi une prise de décision rapide avec un impact opérationnel direct. Et cette exigence ne peut pas être couverte par une démarche qui s’inscrira plus longuement dans le temps. A l’inverse, pour le long terme, il est préférable de privilégier une exploration plus en profondeur et donc un audit long adressant un périmètre plus large tout en laissant le temps de mûrir les préconisations.

Pour éclairer une décision sur le moyen terme, les 2 approches d’exploration (flash ou longue) sont possibles. Nous préconisons cependant de privilégier une approche flash que nous pourrons qualifier d’orientation, et si nécessaire de déclencher ensuite un (ou plusieurs) audit(s) flash pour compléter l’éclairage de la décision à prendre.

N’oublions pas que la durée (longue ou courte) n’a rien à voir avec la qualité du service rendu, mais qu’elle s’ajuste directement en fonction de la question initiale posée.