Dans un monde de conformité aux lois, règlements et normes, il peut être difficile de savoir s’il faut ou non faire confiance au rapport d’un auditeur.

La confiance est une valeur importante dans tous les contextes d’affaires. Le proverbe russe “Trust, but verify” prend tout son sens. Votre confiance repose sur le travail des auditeurs qui vérifie et confirme le respect des clauses de vos contrats ou obligations.

Que penseriez-vous d’un rapport “adapté” afin d’inclure systématiquement des recommandations d’achat de matériel supplémentaire?

Dans le contexte où certains s’autoproclament auditeurs sans pour autant avoir les compétences, l’expertise ou la profondeur nécessaires pour faire une telle évaluation, comment évaluer un rapport d’auditeur?

Comment évaluer le rapport d’un de ses fournisseurs qui démontre que celui-ci respecte ses engagements?

À la base, l’auditeur ainsi que son rapport doivent être impartiaux et objectifs. Cependant, il existe quelques éléments qui peuvent vous aider à déterminer si le rapport de l’auditeur est digne de confiance ou non.

Ne prenez pas la qualité d’un rapport pour acquis, évaluer celui-ci.

source: https://www.pexels.com

Valider l’indépendance de l’auditeur

Tout d’abord, l’indépendance de l’auditeur doit être déterminée en priorité. Ceci est essentiel afin d’évaluer si l’opinion d’audit est objective et impartiale.

Quels sont les intérêts de l’auditeur? A-t-il un intérêt en cas de découverte ou non d’un item non conforme lors de l’audit?

Évaluer les relations de l’auditeur

Déterminer ses relations et liens d’affaires. L’auditeur a-t-il un devoir de fidélité pouvant compromettre sa neutralité ou même son indépendance.

Par exemple s’il travaille pour une firme qui revend du matériel? Ou offre d’autres services connexe, il y a peut-être un avantage à faire d’autre vente de type “upselling”, promouvoir d’autres produits ou services. La valeur de son rapport devrait être dans le document lui-même et non dans ce qu’il peut accomplir de plus.

Dans un autre scénario, l’audité est-il le plus gros client de l’auditeur? L’auditeur n’aura pas les coudées franches pour contredire, ou dire les vérités qui dérangent à son client.

Compétence et réputation de l’auditeur

Afin d’évaluer la réputation et les compétences de l’auditeur, il y a plusieurs méthodes, par exemple il est possible d’évaluer directement son CV, s’il concorde avec les informations publiques (tel que LinkedIn).

Évaluer son expérience, ses connaissances, ses diplômes et la pertinence de ses certifications professionnelles.(CISA, CISSP, Lead Auditors, CPA)

Examiner de plus près ses travaux antérieurs afin de se faire une meilleure idée des capacités de l’auditeur.

Finalement, obtenir des références d’autres organisations qui ont utilisé les services de l’auditeur pour obtenir leurs commentaires. De cette manière, il sera possible d’évaluer la compétence de l’auditeur et de prendre une meilleure décision pour l’organisation.

Ne pas oublier d’évaluer les compétences de la firme qui l’embauche également.

Déterminer le processus de révision

Il faut se demander quel est le processus de révision du rapport lui-même. Quel est le chemin pris en termes d’assurance qualité des documents?

Mais surtout, qui fait l’assurance qualité, l’employeur de l’auditeur ou un tiers?

Il faut revoir le contenu du rapport en terme technique et de fiabilité de l’information, tout comme le contenant, sa présentation et si les choix de mots sont approprié.

Dans le cas d’un audit externe de type ISO, le rapport de l’auditeur est revu par la firme de certification en premier afin de déterminer si toute l’information ainsi que les preuves sont incluses dans le rapport et dans les notes de l’auditeur.

Puis ce rapport est contre-vérifié par l’organisme de certification du pays auquel la firme est rattachée. Exemple (ANAB ou UKAS, au Canada c’est le Conseil canadien des normes). En cas de problème avec le rapport de l’auditeur, la firme reçoit un avis de non-conformité du rapport et le client final ne peut recevoir son certificat de conformité à la norme ISO audité.

Revoir le type d’encadrement

Quel est le cadre dans lequel l’auditeur travaille. Par exemple, l’audit est-il réalisé vis-à-vis une norme ou un encadrement précis? Ce type d’approche permet de déterminé si on travail seras exhaustif ou simplement en surface.

Si l’auditeur n’utilise pas de cadre de référence, son travail pourrait ne dépendre de la compétence ou de l’incompétence de celui-ci.

Processus d’appel?

Si l’auditeur malgré toute la bonne volonté et ses compétences commet une faute, y a-t-il un processus de révision de son rapport ?

Dans certains cas, ce n’est que son superviseur qui révisera la plainte et prendre une décision finale. Ce modèle n’est pas idéal étant donné que c’est habituellement le superviseur qui fait l’assurance qualité du rapport, dans lequel celui-ci n’est pas indépendant pour juger de l’erreur et y apporter des correctifs si nécessaire.

Évaluer le rapport lui-même

Finalement, revoir le document reçu en lui-même comporte des indices de sa profondeur et du niveau d’assurance que nous pouvons avoir de sa qualité.

  • En cherchant si le rapport est d’un gabarit, et s’il respecte les normes/standards auditées.
  • Puis si les descriptions sont étoffées en documentation ou simplement quelques descriptions superficielles.
  • Un point est revenu durant mon expérience, à savoir si les mesures de sécurité auditées sont pertinentes vis-à-vis de l’entreprise auditée.
  • L’auditeur est-il identifié dans le rapport, avec ses coordonnés, a-t-il un numéro de permis d’auditeur?
  • Quelle est la procédure utilisée par l’auditeur pour faire son évaluation?
  • Si la portée et les exceptions ont été documentées correctement.

Quels sont les risques d’un mauvais rapport?

Vous êtes en droit de vous demander quels sont les risques de faire affaire avec n’importe quel auditeur, puisque, dans le fond, le but est d’obtenir un rapport SOC2 ou un certificat ISO.

Ces jours-ci, l’impact n’est pas si grand pour l’entreprise, je vous le concède, par contre, cela est le talon d’Achille du travail de conformité. Vos clients et fournisseurs pourraient perdre confiance dans votre approche et exiger d’avantage d’audit et de validation de votre part. Ainsi perdre tous les avantages associés au travail de conformité réalisé jusqu’à présent.