1- Ne pas lire la Lettre de mission
La lettre de mission constitue le point d’entrée de l’audit.
- Elle définit le périmètre audité,
- Elle présente l’équipe d’auditeurs légitimes à demander des éléments (considérez toute demande provenant d’un autre auditeur comme une tentative de fraude)
- Elle présente la période et la durée de la mission
Ces 3 éléments vous aideront à identifier l’impact de cet audit pour vos équipes : 10 auditeurs pendant 2 mois sur un périmètre très large vous solliciteront beaucoup plus que 2 auditeurs pendant 4 semaines sur un périmètre restreint.
N’hésitez-pas à contacter les auditeurs pour repréciser le périmètre audité s’il est imprécis (vos fournisseurs sont-ils concernés ?). Vous pourrez alors identifier les processus, les applications/serveurs, et donc les équipes impactées et les prévenir en amont.
2- Ne pas avoir de Coordinateur
Coordonner un audit est extrêmement chronophage. Bien que chacun soit responsable de répondre aux interviews et de fournir les éléments demandés, il est impossible de prendre de la hauteur sans un coordinateur indépendant des activités auditées. Ce coordinateur aura les missions suivantes :
- Préparer le kick-off, et prévenir chaque équipe concernée par le périmètre de l’audit
- Organiser les entretiens et s’assurer de la présence des bons interlocuteurs (qui ont la connaissance technique, ou responsabilité)
- Relayer les demandes de documents et les questions aux bonnes équipes
- Comprendre les questions et les réponses apportées pour faciliter la communication des parties-prenantes
- Avoir un oeil critique sur la gouvernance employée par l’auditeurs, le respect des règles, du périmètre, et les réponses apportées par les équipes
- Avec l’expérience, identifier les constats potentiels et préparer les équipes aux questions à venir
- Organiser les restitutions
3 - Mal connaître le périmètre audité
Les allers-retours entre auditeurs et audités font perdre du temps et de l’argent à l’entreprise (qui paye les audités mais aussi les auditeurs). Comme décrit dans le point précédent, le coordinateur a un rôle central pour faire avancer la mission efficacement. Il doit être le premier formé au périmètre étudié. Les auditeurs doivent également recevoir une présentation claire des intéractions, des responsabilités et du fonctionnement du système audité.
Une bonne connaissance du périmètre audité permettra à chacun de se concentrer sur la valeur ajoutée plutôt que les détails de fonctionnement. Les entretiens seront alors beaucoup plus efficaces.
4 - Ne pas prévoir de budget
Outre le financement des auditeurs et du coordinateur, la mission demande du temps, donc des ressources à tout le monde ;
- Les équipes auditées fournissent des preuves et répondent aux interviews
- Les auditeurs : mènent les entretiens, décortiquent les preuves reçues, préparent des conclusions et les présentent
- Le coordinateur a des activités variées, décrites en amont
- Le management reçoit les conclusions, les questionne, se les approprie puis finance les plans d’actions
En bref, ne voyez pas seulement le coût lié à la facture de l’auditeur, mais aussi le budget dont chacun aura besoin.
5 - Être mal outillé ou préparé
Que l'on me donne six heures pour couper un arbre, j'en passerai quatre à préparer ma hache"
Pour couper un arbre, deux choses sont donc primordiales : la préparation, et la hache.
Préparation de l'audit
Même avec les plus grands experts du monde, il est impossible qu’un audit se passe bien s’il est mal préparé. Voici quelques points à ne surtout pas négliger en phase de préparation :
- La lettre de mission à plusieurs
- Identifier les enjeux de l’audit
- Prévenir les équipes auditées et informer les autres (parfois le périmètre s’étend)
- Faire un kick off qui présente un agenda clair de la campagne
- Identifier une gouvernance à suivre pendant l’audit pour garder l’attention des équipes et du management
Outillage d'une gestion d'audit
Excel est un outil formidable, il sera votre meilleur allié. Voici mes conseils d’outillage :
- Listez les entretiens demandés (date de demande) et réalisés (date et heure) ainsi que les points importants abordés et les participants (comme un mini CR)
- (Optionnel) Listez les constats potentiels qui peuvent ressortir lors des entretiens
- Listez les demandes de documents et le statut (en cours, livré, …) ainsi que le nom du document effectivement livré
- Utilisez un moyen unique et sécurisé pour mettre à disposition les éléments
Les points 1 à 3 peuvent être suivis à travers un seul fichier Excel versionné
6 - Ne pas être factuel
Lors des interviews, il est important d’être factuel et précis. Lorsqu’une question est posée il faut répondre justement et précisément à la question. En d’autres termes :
- N’en dites pas trop (surtout sur les activités d’une autre équipe qui ne serait pas présente pour factualiser les informations)
- Ne répondez pas à côté de la question (sinon les auditeurs deviennent de plus en plus curieux)
- Ne dissimulez pas d’informations importantes
- Exigez un CR de l’auditeur suite à chaque entretien, il vous permettra d’identifier d’éventuelles mécompréhensions ou constats et de les corriger si possible.
Il n’y a pas que lors des interviews qu’il faut être factuel. Le suivi rapproché de l’audit présenté dans la section préparation & outillage vous permettra également de justifier d’éventuels retards de la mission et de prouver votre bonne foi et votre implication.
7 - Mal étudier les Constats & recos
À l’issue des investigations, un rapport préliminaire doit être communiqué par écrit. Il est indispensable de passer en revue les constats et les recommandations.
Points importants concernant les constats :
- Relire et valider avec les responsables des périmètres concernés afin de s’assurer de la véracité des conclusions
- S’assurer que les efforts déjà fournis sont présentés.
Points importants concernant les recommandations
- S’assurer qu’elles sont claires et précises, c’est à dire facilement compréhensibles
- Identifier et valider les éléments nécessaires à la clôture
- Vérifier qu’elles soient réalisables dans des délais raisonnables et ne pas être trop dépendantes d’éléments dont vous n’avez pas la maîtrise
- Les responsables de mise en oeuvre doivent les accepter (ou les ajuster)
- Elles répondent à un risque avéré ou apportent de la valeur à l’entreprise.
8 - Ne pas avoir le bon sponsor
Si vous n’êtes pas déjà convaincus avec les points précédents, une mission d’audit demande des moyens en temps, en personnes et en budget. L’adhésion de tous ne peut se faire que si la direction juge l’exercice nécessaire.
La direction doit donc sponsoriser personnellement cette activité afin de lui donner le mandat et les moyens d’apporter de la valeur à tous les niveaux.
Une implication trop faible des équipes pourra entrainer un retard dans les investigations. La mission pourrait durer plus longtemps, ce qui entraînerait un surcoût pour l’entreprise.