Ce qu’un audit informatique examine dans une PME.
Un audit informatique (ou audit IT) de PME est un état des lieux structuré de l’environnement informatique : ce qui existe, qui l’utilise, qui l’administre et ce qui manque. Il ne sert pas à choisir des produits. Il établit des constats et classe les actions selon leur effet sur l’activité.
La démarche reste rare. L’étude PME Cybersécurité 2025 a interrogé 515 PME de 1 à 49 collaborateurs entre juin et août 2025, par l’intermédiaire de YouGov Suisse. À peine une entreprise sur cinq y déclare réaliser des audits de sécurité réguliers. Seules 42 % estiment leur protection suffisante en cas d’attaque, contre 55 % un an plus tôt.
Selon le périmètre convenu, un audit couvre en général tout ou partie des domaines suivants :
- l’inventaire des postes, des serveurs, des équipements réseau et des applications ;
- les comptes, les droits d’administration et les accès externes ;
- les sauvegardes et la capacité réelle à restaurer les données ;
- les mises à jour des systèmes et des logiciels ;
- les outils collaboratifs, comme Microsoft 365, et le rangement des documents ;
- les contrats, les licences et les engagements des prestataires.
Définir la question à laquelle l’audit doit répondre.
Commencez par formuler la question que l’audit doit trancher. Elle détermine ce qui sera observé et les personnes à associer.
Décrivez les conséquences concrètes sur le travail : temps perdu, document introuvable, accès mal identifié, dépendance à une application. Évitez de transformer le premier échange en liste de produits à acheter : le choix d’une solution vient après la compréhension de la situation.
La question de départ peut par exemple prendre l’une de ces formes :
- Pourquoi les mêmes incidents reviennent-ils ?
- Quels outils faut-il faire évoluer, et dans quel ordre ?
- Quels services doivent rester disponibles, et sont-ils protégés en conséquence ?
Rassembler les documents disponibles.
Réunissez ce qui existe déjà et signalez ce qui manque. Une information inconnue doit être notée comme telle, jamais remplacée par une supposition. Il est souvent plus utile de savoir qui peut retrouver un document que de passer plusieurs jours à reconstruire seul un inventaire.
N’inscrivez aucun mot de passe, code d’authentification ou clé de récupération dans cette liste. Les accès se transmettent séparément, selon une procédure convenue avec les personnes habilitées.
Pour la protection des comptes, le guide Sécuriser Microsoft 365 : comptes, MFA et accès détaille les réglages à relever avant l’audit.
| Élément à réunir | Où le chercher | Qui peut l’apporter |
|---|---|---|
| Liste des applications et services essentiels | Échanges avec les équipes, contrats et outils métier | Responsable d’activité et utilisateurs référents |
| Inventaire des postes, serveurs et équipements réseau | Outil d’inventaire ou documentation du prestataire | Responsable IT ou prestataire |
| Liste des comptes administrateur et des accès externes | Console d’administration et registre des accès | Administrateur habilité |
| Protection des comptes : MFA, comptes d’urgence | Console Microsoft 365 ou Entra ID, documentation de sécurité | Administrateur habilité |
| Contrats, licences et échéances | Dossiers fournisseurs et suivi administratif | Direction, achats ou administration |
| Organisation des sauvegardes et dernier test de restauration connu | Documentation et rapports de suivi | Responsable des sauvegardes ou prestataire |
| Incidents qui reviennent et difficultés des équipes | Tickets de support et retours des utilisateurs | Référents métier et support |
| Projets, contraintes horaires et changements prévus | Feuille de route et calendrier de l’entreprise | Direction et responsables de service |
Inviter les bonnes personnes.
Associez au moins un décideur, un utilisateur de terrain et la personne qui administre les outils. La direction fixe les priorités, mais elle ne voit pas toujours les difficultés rencontrées au quotidien.
Le prestataire actuel a souvent sa place dans la préparation. D’après le résumé de l’étude PME Cybersécurité 2025 (en allemand), 63 % des PME suisses font appel à un ou plusieurs prestataires informatiques externes. Le Cybersecurity-Check pour les PME rappelle que l’externalisation ne transfère pas la responsabilité. Même si un prestataire « s’occupe de tout », l’entreprise reste responsable, notamment de la sauvegarde et de la restauration des données.
Précisez enfin qui valide le périmètre et qui décide. Cela évite de demander à un utilisateur de trancher une question qui dépasse ses responsabilités. Chaque interlocuteur apporte une partie du contexte :
- la direction : objectifs, projets, budget et échéances ;
- les utilisateurs référents : difficultés récurrentes et usages réels ;
- le responsable des outils : configuration, comptes et documentation ;
- le prestataire actuel, si son intervention est utile et autorisée : contrats, interventions passées et points connus ;
- l’administration ou les achats : contrats, licences et dates de renouvellement.
Décrire les services essentiels et les dépendances.
Reliez chaque outil à l’activité qu’il permet. L’OFCS recommande de « recenser l’infrastructure TIC dans un inventaire aussi détaillé que possible » afin d’identifier les éléments à protéger et à surveiller. Ses recommandations de protection de base insistent aussi sur la sauvegarde et sur l’entraînement, de temps à autre, à la restauration des données.
Pour chaque service important, posez trois questions. Quelle application faut-il pour traiter une commande ? Où se trouvent les documents nécessaires ? De quels comptes ou connexions dépend le service ? Si vos fichiers sont répartis entre plusieurs espaces, le guide Teams, SharePoint, OneDrive : où ranger quoi ? aide à décrire qui est responsable de quoi.
Notez aussi les périodes où une intervention serait difficile : production, accueil du public, clôture comptable. Elles doivent être connues avant de planifier la moindre opération.
Cadrer les accès et les opérations autorisées.
Convenez par écrit de ce que l’audit peut faire et de ce qu’il ne fera pas. Une préparation documentaire ne vaut pas autorisation de modifier des comptes, de lancer des tests intrusifs ou de déplacer des données.
Un audit informatique n’est pas un test d’intrusion. Le Cybersecurity-Check décrit ce dernier comme une simulation d’attaques réelles, menée « de manière contrôlée et traçable » pour repérer les vulnérabilités. Ce type de test demande un mandat et des règles propres ; il ne s’improvise pas pendant un audit. Pour la protection des comptes et des usages, l’expertise en cybersécurité peut compléter le périmètre retenu.
Le document de cadrage peut tenir sur une page et préciser :
- les systèmes, sites et applications inclus, et ceux qui sont exclus ;
- les interlocuteurs habilités à ouvrir des accès et à valider les décisions ;
- la nature du travail : entretiens et observation, ou contrôles techniques précis ;
- le canal de transmission des accès, sans envoi de mot de passe par e-mail ;
- les plages horaires où une intervention est possible ;
- la révocation des accès temporaires à la fin de l’intervention.
Vérifier ce que vous recevrez après l’audit.
Avant de commencer, demandez sous quelle forme les résultats vous seront remis. Un constat établi, une hypothèse à vérifier et une action proposée doivent rester distincts. Une feuille de route associe ensuite chaque action à un objectif, à un responsable et à ses dépendances ; la gouvernance IT aide à arbitrer ces choix dans la durée.
Pour l’audit IT de Sunitech, le premier échange porte sur votre activité, vos difficultés et vos projets. Les services à examiner et les personnes à associer sont précisés avant les observations, et les livrables comme le calendrier sont convenus lors du cadrage. Un test intrusif ou une analyse approfondie fait l’objet d’un accord distinct, et ce premier échange n’engage pas à réaliser les projets recommandés.
Après la restitution, trois décisions vous reviennent : les actions à lancer en premier, la personne qui porte chacune d’elles et ce qui peut attendre. Fixez aussi la date d’un point de suivi pour vérifier l’avancement et revoir les priorités si l’activité change. Les sujets signalés comme hypothèses demandent une vérification avant toute dépense.
Quatre questions à poser avant de démarrer :
- Comment les constats seront-ils classés par priorité ?
- Les points qui demandent une analyse complémentaire seront-ils signalés comme tels ?
- Qui présentera les résultats, et à qui ?
- Sous quelle forme recevrez-vous la feuille de route ?
Se situer avant l’audit avec un outil public.
Deux ressources publiques et gratuites permettent d’arriver au rendez-vous avec une première vue d’ensemble. Elles ne remplacent pas l’audit, mais elles aident à formuler la question de départ.
Le Cybersecurity-Check pour les PME de l’Alliance Sécurité Digitale Suisse, révisé fin 2025 avec plusieurs partenaires dont l’OFCS, propose un autodiagnostic en quelques minutes. Il couvre l’organisation et les processus, la sensibilisation des collaborateurs, les mesures techniques, la protection des données, les prestataires externes et les tests d’intrusion. Il pose par exemple cette question : « Avez-vous entièrement identifié et documenté toutes les ressources informatiques et les processus critiques qui les soutiennent ? »
Le guide de cybersécurité pour PME de Trust Valley et du Centre national pour la cybersécurité, aujourd’hui l’OFCS, compte huit modules. L’un traite des contrats, des SLA et des audits ; un autre réunit des ressources pour mesurer la maturité cyber de l’entreprise.
Un exemple de préparation en équipe.
Scénario illustratif : une PME constate des problèmes d’accès aux dossiers partagés et prévoit plusieurs arrivées de collaborateurs. Avant le rendez-vous, la direction décrit le projet, un utilisateur rassemble les difficultés récurrentes et le responsable IT retrouve la documentation des comptes et des espaces.
La question de départ de l’équipe tient en une phrase : « Les nouveaux collaborateurs auront-ils accès aux bons dossiers dès leur premier jour, et seulement à ceux-là ? » Sa liste d’inconnues compte trois lignes : la date du dernier test de restauration, la liste à jour des comptes administrateur et les droits du prestataire sur les espaces partagés.
L’équipe convient ensuite du périmètre : les espaces de documents partagés et les comptes des services concernés, sans la comptabilité. Elle cherche une vue commune et des priorités, sans commencer par déplacer les dossiers ou modifier les droits.
Télécharger la check-list et préparer le premier échange.
Téléchargez la check-list d’audit IT Sunitech au format Excel pour préparer et suivre votre audit. Le classeur contient quatre onglets : tableau de bord, pièces à réunir, contrôles IT et plan d’actions. Vous pouvez aussi consulter l’aperçu PDF de la check-list avant de le compléter. Ne renseignez aucun mot de passe ni secret d’accès dans ces documents.
Gardez une colonne pour les points inconnus et une autre pour la personne à contacter. Avec cette version de travail, vous pouvez demander un premier échange, puis définir un périmètre et un calendrier adaptés à votre entreprise.
