Audit technique : comment éviter qu'un rapport alarmant reste sans suite

L'information disponible se limite à un fait : un audit qualifié d'accablant sur la sécurité numérique du Louvre refait surface. Nous ne disposons ni de son contenu détaillé, ni du calendrier des suites qui lui ont été données. Ce que ce type de situation rappelle, en revanche, vaut pour toute organisation : entre le constat et la correction, il existe un espace où les recommandations se perdent.

Beaucoup d'entreprises commandent un audit à une agence ou à un cabinet, reçoivent un document de plusieurs dizaines de pages, en retiennent l'impression générale, puis passent à autre chose. Le rapport devient alors un objet de réassurance plutôt qu'un outil de pilotage. Le problème n'est pas la qualité de l'audit, il est dans l'absence de dispositif de suivi prévu dès la commande.

Première précaution : définissez le périmètre avant de commander. Un audit de sécurité, un audit de performance technique, un audit de référencement naturel et un audit d'accessibilité ne mobilisent ni les mêmes compétences ni les mêmes outils. Une prestation qui prétend tout couvrir pour un prix très bas traite généralement chaque sujet en surface, et vous laisse avec des constats trop génériques pour être actionnables.

Deuxième précaution : exigez un livrable structuré en actions, pas en observations. Chaque point relevé devrait comporter une gravité, un effort estimé, un responsable pressenti et une manière de vérifier que le problème est résolu. Un rapport qui se contente de lister des anomalies transfère sur vous tout le travail de priorisation, c'est-à-dire la partie la plus difficile.

Troisième précaution : posez la question de l'indépendance. Faire auditer un site par l'agence qui l'a conçu revient à lui demander de noter son propre travail. Ce n'est pas rédhibitoire pour un audit de performance courant, mais dès qu'il s'agit de sécurité, de conformité ou d'un litige potentiel, un regard extérieur au prestataire en place vous donne une base bien plus solide pour discuter.

Quatrième précaution : planifiez le suivi dans le contrat. Prévoyez un plan d'action daté, un point de revue à échéance fixe et une contre-vérification qui mesure ce qui a effectivement été corrigé. Sans contre-vérification, vous ne saurez jamais si la correction a été appliquée, ni si elle a introduit un nouveau problème ailleurs.

Cinquième précaution : gardez la trace. Conservez les rapports, les plans d'action et les preuves de correction dans un espace qui vous appartient, pas seulement dans les outils du prestataire. En cas de changement d'agence, de sinistre ou de contrôle, cet historique est ce qui vous permet de démontrer que vous avez agi avec sérieux.

Un audit utile se reconnaît finalement à un signe simple : six mois plus tard, vous pouvez dire précisément quelles recommandations ont été appliquées, lesquelles ont été écartées et pourquoi. Si vous ne pouvez pas répondre à cette question, c'est le dispositif de suivi qu'il faut revoir avant d'en commander un nouveau.