Audit informatique PME : périmètre, livrables, méthode

Un audit informatique de PME fait l'inventaire du parc, des logiciels, des données et des accès, puis compare ce que le système est censé faire avec ce que les équipes font pour travailler. Il se termine par une liste d'actions classées : ce qu'on corrige tout de suite, ce qui relève d'un projet, ce qu'on laisse en l'état.

La différence avec un simple état du parc tient à ce second volet. Un inventaire dit ce qui est installé ; un audit du système d'information dit aussi où la donnée est saisie, recopiée, exportée, et qui en dépend.

Que couvre un audit du système d'information ?

Le guide de l'ANSSI La cybersécurité pour les TPE/PME en 13 questions ouvre sur la question que pose tout audit : connaissez-vous votre parc et vos actifs métier ? Il demande à chaque entreprise d'inventorier « ses matériels et ses logiciels ainsi que les données et les traitements qui constituent son patrimoine informationnel ». Un audit de SI reprend ce périmètre et l'étend aux usages :

Parc et services : postes, serveurs, box, imprimantes, messagerie, logiciels en ligne, avec leurs versions et leurs contrats.
Applications : ERP, paie, CRM, logiciels métiers, et pour chacune ce qui sert, à qui, et ce qui est contourné.
Données et flux : exports, imports, classeurs partagés, envois par courriel. C'est là que se lit l'architecture réelle, comme le détaille l'article Pourquoi nous demandons les fichiers avant les accès.
Accès et droits : comptes nominatifs ou partagés, comptes d'anciens salariés, droits d'administration.
Sécurité et sauvegardes : mises à jour, sauvegardes testées ou non, séparation des usages, réaction en cas d'incident.
Conformité et contrats : registre des traitements de données personnelles, contrats avec les sous-traitants, lieu d'hébergement et réversibilité (voir ce que veut dire héberger en France).

Selon l'Insee (Insee Première n° 2030, décembre 2024), 47 % des entreprises françaises de 10 salariés ou plus utilisent un progiciel de gestion intégré (ERP), et 43 % de celles de moins de 50 salariés. Le progiciel est donc en place dans près d'une entreprise sur deux, et l'audit regarde ce qui circule autour de lui.

Audit de sécurité ou audit du SI : quelle différence ?

L'audit de sécurité mesure l'écart à un référentiel. En France, le référentiel public de base est le guide d'hygiène informatique de l'ANSSI, qui présente 42 mesures et les décrit comme « le socle minimum à respecter ». Le choix des priorités peut s'appuyer sur les incidents observés : pour les entreprises et associations, Cybermalveillance.gouv.fr classe en 2025 le piratage de compte en première menace, avec 21 % des parcours d'assistance (en hausse de 52 %), devant l'hameçonnage (16 %) et la fraude au virement (13,5 %). La revue des comptes et des droits fait donc partie de tout audit, même centré sur les processus.

L'audit du SI ajoute ce que le référentiel de sécurité ne regarde pas : les doubles saisies entre l'ERP et les autres outils, le classeur partagé devenu référentiel, les extractions manuelles refaites chaque semaine. Les deux se mènent bien ensemble, car ils interrogent les mêmes personnes.

Par où commencer un audit informatique en PME ?

Rassembler les pièces avant les entretiens : liste des logiciels et des contrats, liste des comptes, et surtout les fichiers qui circulent (exports, tableaux de suivi, extractions), dans l'état où ils sont ouverts le lundi matin.
Suivre les processus qui font le chiffre d'affaires : de la commande à l'encaissement, de l'achat au paiement fournisseur, de l'embauche à la paie. Pour chacun, noter où la donnée est créée, où elle est recopiée, où elle est contrôlée.
Dessiner les flux : quelles données passent d'un outil à l'autre, et par quel moyen (interface, import, fichier, clavier). La méthode est détaillée dans cartographier les flux de données ; l'ANSSI publie de son côté un guide de cartographie du système d'information orienté sécurité.
Vérifier le socle de sécurité avec les 13 questions de l'ANSSI : inventaire, sauvegardes, mises à jour, mots de passe, messagerie, réaction à incident, usage du cloud.
Contrôler la documentation RGPD : le registre des activités de traitement prévu par l'article 30 du RGPD concerne tous les organismes. La CNIL précise que les entreprises de moins de 250 salariés bénéficient d'une dérogation, mais doivent y inscrire les traitements non occasionnels comme la paie ou la gestion des clients.
Restituer en comité de direction, avec des constats rattachés à des pièces (un fichier, un écran, un entretien) plutôt qu'à des impressions.

Quels livrables attendre d'un audit du SI ?

Un inventaire des matériels, logiciels, contrats et données, tenu à jour ensuite par l'entreprise.
Une cartographie des flux qui montre les ressaisies et les fichiers intermédiaires.
La liste des tâches manuelles récurrentes, avec leur fréquence et le temps constaté, pour pouvoir les chiffrer.
Un registre des risques : sécurité, dépendance à une seule personne, données en double qui divergent, contrats sans clause de réversibilité.
Des gains rapides réalisables sans projet (supprimer des comptes inutiles, tester une restauration, fermer un partage ouvert à tous).
Un portefeuille de projets classé valeur/effort, lisible par un comité de direction. C'est la deuxième étape de la méthode en quatre temps, avant toute plateforme de données.

Un rapport qui s'arrête aux constats, sans ordre de priorité ni estimation d'effort, laisse tout le travail de décision au dirigeant.

Qui mobiliser, et pendant combien de temps ?

La durée dépend du nombre de sites, d'applications et de processus audités, ce qui rend difficiles à comparer les forfaits annoncés sans visite. Côté entreprise, il faut au minimum le dirigeant pour arbitrer, le DAF ou le responsable administratif pour les processus financiers, le responsable informatique ou le prestataire d'infogérance pour les accès, et, pour chaque processus suivi, une personne qui fait le travail au quotidien. Ces derniers entretiens apportent le plus : ils montrent les écarts entre la procédure décrite et la pratique.

Quelles erreurs éviter ?

Auditer sur schéma : un schéma d'architecture dit ce qui a été acheté, pas ce qui est fait.
Confier l'audit à celui qui vendra la solution : les constats risquent d'être orientés vers son produit.
Réduire l'audit à la sécurité alors que les pertes de temps viennent des ressaisies et des fichiers parallèles.
Lancer un projet d'IA avant l'audit : un assistant branché sur des données en double et des processus contournés reproduit leurs défauts. Voir préparer ses données avant l'IA.

Agel Partners a mené chez Phodé un audit du système d'information suivi d'une feuille de route. Pour en parler sur votre périmètre, écrivez-nous.

Questions fréquentes

Un audit informatique est-il obligatoire pour une PME ?

Aucun texte général n'impose un audit du SI à une PME. Le RGPD impose en revanche de tenir un registre des traitements, et certains clients ou assureurs demandent un état de la sécurité.

Quelle différence entre audit informatique et audit du système d'information ?

L'usage courant réserve « audit informatique » au parc, au réseau et à la sécurité. L'audit du système d'information inclut en plus les processus, les données et les flux entre outils.

Faut-il donner les accès administrateur à l'auditeur dès le départ ?

Non. Les fichiers échangés, la liste des logiciels et les entretiens suffisent pour la première phase ; les accès se demandent ensuite, pour vérifier des points précis.

À quelle fréquence refaire un audit du SI ?

Après un changement d'ERP, une fusion, un déménagement ou un incident de sécurité, puis à un rythme fixé par la direction pour mesurer l'avancement du portefeuille de projets.

Sources

Tous les articles

Auditer le système d'information d'une PME