Préparer un audit ISO 27001 ou NIS2 : ce qu’un outil peut faire, et ce qu’il ne fait pas

En bref.
Deux familles d’outils se présentent sur la préparation d’audit, et elles ne font pas le même travail. Les unes surveillent des contrôles techniques en se connectant à vos environnements. Les autres produisent les réponses écrites que l’auditeur demande, à partir de vos documents. Confondre les deux mène à découvrir le manque au mauvais moment.

Deux familles, deux produits différents

La première famille se connecte à vos environnements techniques et vérifie en continu l’état de vos contrôles : configurations, droits d’accès, sauvegardes, journalisation. Elle produit un tableau de bord et des alertes quand un contrôle dérive.

La seconde travaille sur vos documents : politiques, procédures, certificats, comptes rendus d’exercice, réponses passées. Elle produit des réponses écrites, avec la référence du document qui les fonde.

Un audit demande les deux, mais à des moments différents. La surveillance sert toute l’année ; la production de réponses sert à la remise. Un outil de la première famille ne rédige pas votre réponse à une question de gouvernance, et un outil de la seconde ne vous dira pas qu’un bucket est ouvert.

La confusion vient de ce que les deux familles emploient le même vocabulaire — contrôles, preuves, conformité — pour désigner des objets différents. La question qui les sépare est simple : qu’est-ce que l’outil remet, concrètement, le jour de l’audit ?

Ce qu’un auditeur demande, et sous quelle forme

Un auditeur vérifie que chaque affirmation est étayée par un élément identifiable et daté. Une capture d’écran de tableau de bord répond pour un contrôle technique ; elle ne répond pas pour une question de gouvernance, de sous-traitance ou de conduite à tenir en cas d’incident.

Pour ces dernières, ce qui se présente est un document : une politique en vigueur, sa date de révision, le périmètre qu’elle couvre. Et le passage précis qui répond à la question posée, pas le document entier.

Une réponse accompagnée de sa source se vérifie en quelques minutes. Une réponse sans preuve déclenche une demande de clarification, un délai, et parfois un constat d’écart — non pas parce que la pratique est mauvaise, mais parce qu’elle n’est pas démontrée.

C’est la raison pour laquelle le sourçage n’est pas un confort : il déplace la charge de la vérification de l’auditeur vers l’outil, une fois pour toutes.

Le travail qui se fait avant de recevoir la grille

Le délai de préparation ne se joue pas à la réception du questionnaire d’audit, mais dans l’état du référentiel le jour où il arrive. Les pièces existent presque toujours ; ce qui manque, c’est un endroit unique où elles sont à jour et datées.

Un repère pour mesurer votre situation : si retrouver la version en vigueur d’une politique prend plus de dix minutes, la remise sera tendue. Si personne ne sait qui l’a révisée en dernier, elle le sera beaucoup plus.

Le rassemblement est ingrat et se reporte facilement, parce qu’il ne produit rien de visible. Il est pourtant le seul travail qui transforme la prochaine grille en relecture plutôt qu’en enquête interne.

Il révèle aussi ce qu’on préfère découvrir à froid : des pratiques réelles qui ne correspondent pas au document censé les décrire, et des politiques appliquées au siège mais pas dans une entité récemment intégrée. Une préparation qui ne révèle aucun écart n’a probablement pas été menée sérieusement.

Ce qu’Optivalue.ai produit, et ce qu’il ne produit pas

La plateforme appartient à la seconde famille. Elle ingère la grille dans son format d’origine, rapproche chaque question du référentiel documentaire, et propose une réponse avec sa source complète : document, version, numéro de page, valideur, date de validation. Un score de confiance de 0 à 100 concentre la relecture humaine.

Ce qui n’a pas de correspondance est signalé comme lacune, avec l’expert interne concerné, plutôt que comblé par une formulation vague. C’est un résultat, pas un échec : l’équipe sait où porter son effort au lieu de relire la grille entière pour le découvrir.

La plateforme est livrée avec 85 agents — 72 agents métier, 12 agents sectoriels et un bibliothécaire qui indexe le patrimoine documentaire — et Optivalue Watch surveille 193 juridictions en reliant les évolutions aux grilles concernées.

Ce qu’elle ne fait pas : surveiller vos configurations techniques, décider du périmètre déclaré, arbitrer ce que vous communiquez, ni remplacer la relecture. Une proposition sourcée reste une proposition ; elle accélère la vérification, elle ne la supprime pas.

Comment choisir sans se tromper de famille

Commencez par relire votre dernière grille d’audit et comptez : combien de questions appellent une preuve technique récupérable dans un environnement, et combien appellent un document et une phrase écrite ? La proportion vous dit laquelle des deux familles vous manque.

La plupart des organisations ont déjà quelque chose du côté technique, par la supervision ou l’outillage de sécurité existant, et rien du côté documentaire — où se trouve pourtant l’essentiel du volume de questions.

Soumettez ensuite un cas réel. Une grille déjà traitée, dont vous connaissez les réponses, avec deux questions volontairement sans réponse possible dans votre corpus. Ce que l’outil fait de ces deux-là vous en apprend plus que tout le reste de la démonstration.

Et vérifiez les trois couches de localisation — pays de l’éditeur, régions d’hébergement, modes de déploiement — sur la page sécurité de chaque candidat, en notant la date de consultation. Quand une mention est absente, écrivez « non annoncé » et la date.

Une IA peut-elle remplacer un auditeur ?
Non. Elle prépare le dossier et rattache chaque réponse à sa source. L’auditeur conserve son rôle de vérification indépendante, et vos équipes celui de la validation.

Faut-il un outil différent pour ISO 27001 et pour NIS2 ?
Les grilles diffèrent par le vocabulaire et le périmètre, pas par les pièces de fond. Ce sont elles qui coûtent, et elles se réutilisent d’un référentiel à l’autre.

Par où commencer si le référentiel documentaire n’existe pas ?
Par les trois ou quatre dernières grilles reçues : listez les questions, rangez-les par pièce appelée. Une vingtaine de pièces couvre généralement l’essentiel du volume.