Le vrai problème : un audit sans plan d'action ne vaut rien
Vous venez de recevoir le rapport d'audit informatique de votre PME. Il fait 80 pages, liste 47 recommandations, et vous avez l'impression d'être assis sur une bombe à retardement. C'est précisément ce moment — les jours qui suivent la livraison du rapport — qui détermine si l'audit aura été un investissement rentable ou une dépense inutile.
Dans ma pratique de CIO Executive, j'ai vu les deux scénarios. Des entreprises qui ont utilisé l'audit comme levier de transformation réelle, avec des résultats mesurables sur la sécurité, la performance et les coûts 12 mois plus tard. Et des entreprises qui ont rangé le rapport dans un tiroir, remercié l'auditeur, et repris le cours normal des opérations jusqu'au prochain incident.
La différence entre ces deux scénarios n'est pas une question de budget, ni de taille d'entreprise, ni de complexité technique. C'est une question de méthode. Un plan d'action post-audit réussi repose sur trois piliers : une priorisation rigoureuse des recommandations, une gouvernance claire avec un sponsor au plus haut niveau, et un suivi régulier avec des indicateurs objectifs.
Ce guide est la suite logique de notre série sur l'audit informatique PME. Après avoir compris comment lancer un audit, comment le mener et combien il coûte, voici comment en tirer toute la valeur.
Les 3 erreurs qui font échouer le plan d'action post-audit
Avant de décrire la méthode qui fonctionne, il est utile de comprendre pourquoi tant de plans d'action post-audit échouent. Ces trois erreurs sont systématiques et évitables.
Traiter les recommandations par ordre de facilité
L'erreur la plus courante : les équipes IT commencent par ce qui est techniquement simple plutôt que par ce qui est stratégiquement critique. Résultat : trois mois plus tard, les 15 recommandations les plus faciles sont implémentées, mais les 5 recommandations critiques — qui nécessitent un budget, une décision de direction, ou une coordination inter-services — sont toujours en attente.
La règle : la criticité prime toujours sur la facilité. Une vulnérabilité critique exploitable doit être traitée en 72 heures même si c'est compliqué, avant une recommandation basse qui prendrait 2 heures à implémenter.
Déléguer intégralement à l'équipe IT sans sponsor direction
La mise en oeuvre du plan d'action touche presque toujours à des sujets transverses : budgets à débloquer, processus RH à modifier (départ d'employés, formation), politiques de sécurité à faire respecter par tous les utilisateurs, projets à déprogrammer ou à décaler pour libérer des ressources. Ces décisions ne peuvent pas être prises par l'équipe IT seule.
La règle : le plan d'action doit être présenté en comité de direction dans les 5 jours suivant la réception du rapport. Le DG ou le PDG doit explicitement valider les priorités et allouer les ressources. Sans ce mandat formel, le plan d'action restera bloqué.
Ne pas mesurer les progrès avec des indicateurs objectifs
Beaucoup de plans d'action se résument à une liste de tâches dans un tableur. Six mois plus tard, il est impossible de répondre à la question simple : "est-ce qu'on est vraiment plus sécurisé / plus performant qu'avant l'audit ?" Sans KPIs définis dès le départ, le plan perd son caractère objectif et devient une liste de projets IT parmi d'autres.
La règle : définissez 4 à 6 indicateurs mesurables dès la validation du plan. Ils doivent pouvoir être mesurés à J0 (état initial fourni par l'audit) et après 3, 6 et 12 mois d'implémentation.
La matrice de priorisation : structurer vos 3 horizons d'action
La première étape après la réception du rapport est de classifier l'ensemble des recommandations selon deux axes : la criticité de la recommandation (impact si elle n'est pas traitée) et l'effort requis pour la mettre en oeuvre. Cette classification produit trois horizons d'action distincts.
Horizon 1 : Actions immédiates (H-72)
Ces actions doivent être traitées dans les 72 heures suivant la validation du plan. Elles correspondent aux vulnérabilités critiques (CVSS score ≥ 9.0) ou aux risques à impact immédiat. Leur caractéristique commune : ne pas les traiter expose l'entreprise à une attaque potentiellement catastrophique à court terme.
Exemples typiques d'actions H-72
- Activation du MFA sur les comptes d'administration et la messagerie
- Fermeture des ports RDP, SMB ou Telnet exposés directement sur Internet
- Désactivation immédiate des comptes d'anciens employés encore actifs
- Patch d'urgence des CVE critiques exploitées activement (CVE publiées ≤ 30 jours)
- Changement des mots de passe d'administration sur les équipements réseau exposés
- Isolement réseau d'un système infecté ou compromis identifié lors de l'audit
Horizon 2 : Chantiers structurants (30-90 jours)
Ces chantiers ont un impact élevé sur la sécurité ou la performance du SI, mais nécessitent une planification, un budget et souvent des compétences spécialisées. Ils ne peuvent pas être traités en 72 heures mais doivent être lancés immédiatement après les actions H-72.
Exemples typiques de chantiers 30-90 jours
- Mise en place d'une segmentation réseau (VLANs, règles de filtrage inter-zones)
- Déploiement d'un plan de sauvegarde 3-2-1 avec test de restauration documenté
- Revue et nettoyage des droits d'accès Active Directory (moindre privilège)
- Déploiement d'un gestionnaire de mots de passe d'entreprise (1Password, Bitwarden)
- Mise en place d'un processus de patch management mensuel outillé
- Formation de sensibilisation cybersécurité pour tous les utilisateurs
Horizon 3 : Projets stratégiques (6-18 mois)
Ces projets transforment en profondeur le système d'information mais nécessitent des ressources importantes et une planification longue. Ils doivent être intégrés dans le budget IT annuel et dans la roadmap stratégique de l'entreprise.
Exemples typiques de projets stratégiques
- Migration d'un ERP obsolète vers une solution cloud moderne
- Déploiement d'un EDR (Endpoint Detection and Response) sur tous les postes
- Architecture Zero Trust pour les accès distants et les accès prestataires
- Refonte du SI pour supprimer les applications legacy non maintenues
- Mise en conformité NIS2 ou préparation à la certification ISO 27001
- Plan de reprise d'activité (PRA) complet avec tests de simulation
Une PME de taille moyenne peut identifier 5 à 10 projets stratégiques suite à un audit. Il est illusoire de vouloir tous les lancer simultanément. La direction doit arbitrer les 2 à 3 projets à lancer en priorité en fonction de l'exposition au risque, des contraintes budgétaires et des dépendances entre projets.
La gouvernance : qui fait quoi et comment piloter dans la durée
Un plan d'action post-audit réussi repose sur une gouvernance formalisée dès le départ. Dans les PME, cette gouvernance est souvent absente ou informelle, ce qui conduit à l'essoufflement du plan après les premières semaines. Voici le modèle que j'applique systématiquement dans mes missions.
Le Comité de Pilotage Stratégique (mensuel)
Réunion mensuelle de 45 minutes maximum avec le DG (ou PDG), le directeur financier si des budgets sont en jeu, et le responsable IT ou CIO. Ordre du jour fixe : tableau de bord des KPIs, avancement des chantiers, arbitrages budgétaires, décisions bloquantes. Ce comité maintient la pression stratégique et donne les mandats nécessaires à l'équipe opérationnelle.
Livrables : compte-rendu de décisions, tableau de bord mis à jour, liste des décisions prises et responsabilités associées.
Le Comité Opérationnel (bi-hebdomadaire)
Réunion bi-hebdomadaire de 30 minutes avec l'équipe IT interne et les prestataires en cours de mission. Suivi des actions en cours, identification des blocages, mise à jour du registre des actions. Ce comité maintient le rythme d'exécution et permet de débloquer rapidement les situations d'attente.
Livrables : registre des actions mis à jour, liste des blocages remontés au comité stratégique si nécessaire.
Le Référent Plan d'Action (rôle permanent)
Une personne unique nommée responsable du suivi global du plan d'action post-audit. Dans une PME avec une équipe IT, c'est généralement le responsable IT. Dans une PME sans IT interne, c'est le prestataire IT principal ou un DSI externalisé. Ce référent prépare les comités, met à jour le tableau de bord et relance les responsables en retard.
Responsabilités : suivi des délais, consolidation du reporting, escalade des blocages, interface avec l'auditeur pour les questions d'interprétation.
Point d'attention pour les PME sans DSI : si votre entreprise n'a pas de responsable IT interne, la gouvernance du plan d'action post-audit peut être externalisée à un CIO as a Service. Ce profil prend en charge la coordination des prestataires, le reporting à la direction et la priorisation des chantiers, pour un coût mensuel adapté à la PME — sans les contraintes d'un recrutement interne.
Les outils et la structure du registre de suivi
Le registre de suivi est l'outil central du plan d'action post-audit. Il doit être simple à maintenir, lisible par la direction (non-techniciens) et assez précis pour permettre le pilotage opérationnel. Voici la structure que j'utilise.
Structure du registre de suivi
| Champ | Description |
|---|---|
| ID / Référence | Identifiant unique de la recommandation (repris du rapport d'audit) |
| Intitulé | Description courte de la recommandation (version non-technique) |
| Criticité | Critique / Haute / Moyenne / Faible (issue du rapport) |
| Horizon | H-72 / 30-90 jours / 6-18 mois |
| Responsable | Personne ou prestataire en charge de l'implémentation |
| Date limite | Échéance cible pour la mise en oeuvre complète |
| Budget estimé | Coût estimé en euros (interne + prestataire) |
| Statut | À faire / En cours / Terminé / Bloqué / Reporté |
| Notes | Blocages, décisions prises, preuves de mise en oeuvre |
Quel outil choisir pour gérer le registre ?
Excel / Google Sheets
Simple, universel, aucune formation requise. Adapté aux PME avec moins de 30 recommandations à suivre. Limite : pas de notifications automatiques ni de visualisation avancée.
Recommandé pour TPE / petites PMENotion / Asana
Vues kanban, calendrier, notifications, assignation de tâches. Adapté aux équipes qui gèrent plusieurs chantiers simultanément. Coût : 10-20€/utilisateur/mois.
Recommandé pour PME 20-100 salariésJira / Azure DevOps
Intégration avec les outils IT, sprints, backlogs, reporting avancé. Adapté aux équipes IT structurées. Nécessite une configuration initiale et une adoption de l'équipe.
Recommandé pour ETI avec équipe ITL'outil importe moins que la discipline de mise à jour. Un tableur mis à jour chaque semaine vaut mieux qu'un Jira configuré à la perfection mais jamais utilisé. Choisissez l'outil que votre équipe utilisera réellement.
Les KPIs pour mesurer l'efficacité de votre plan d'action
Un plan d'action sans indicateurs de mesure est un plan d'action sans fin. Les KPIs permettent de répondre à la question que tout dirigeant a en tête : "Pour ce que j'ai dépensé dans cet audit et sa mise en oeuvre, suis-je vraiment dans une meilleure situation qu'il y a 6 mois ?" Voici les 6 indicateurs que je recommande systématiquement.
Taux d'implémentation des recommandations critiques
Mesure : (recommandations critiques implémentées / total recommandations critiques) × 100. Objectif : 100% à J+30. Pourquoi : c'est le KPI de survie — les vulnérabilités critiques non traitées exposent l'entreprise à un incident potentiellement fatal.
Nombre de vulnérabilités critiques ouvertes
Mesure : nombre absolu de CVE critiques non patchées + autres vulnérabilités critiques non résolues. Objectif : 0 à J+30, maintenu à 0 en continu. Suivi : scan automatisé mensuel avec Nessus, Qualys ou OpenVAS pour détecter les nouvelles CVE critiques.
Taux de couverture MFA sur les comptes critiques
Mesure : (comptes admin + messagerie + VPN avec MFA activé / total comptes admin + messagerie + VPN) × 100. Objectif : 100% à J+7 pour les admins, 100% à J+30 pour tous. Pourquoi : le MFA bloque 99,9% des attaques sur les comptes selon Microsoft.
Délai moyen de patch des CVE critiques
Mesure : nombre de jours entre la publication d'une CVE critique et son patch dans votre environnement. Objectif : moins de 7 jours pour les CVE CVSS ≥ 9.0, moins de 30 jours pour les CVE CVSS 7.0-8.9. Suivi : rapport mensuel du processus de patch management.
Taux d'avancement global du plan d'action
Mesure : (recommandations terminées / total recommandations) × 100, pondéré par criticité. Objectif : courbe de progression linéaire avec 100% des critiques à J+30, 70% des hautes à J+90, 50% des moyennes à J+180. Reporting : présenté au comité de direction mensuel.
Score de risque global (si l'auditeur le fournit)
Mesure : score de risque calculé par l'outil d'audit (Nessus, Qualys, etc.) à J0, J+90 et J+180. Objectif : réduction du score de risque global de 40% à 6 mois. Pourquoi : indicateur objectif, indépendant de votre auto-évaluation, qui permet de communiquer les progrès à votre assureur cyber et à vos partenaires.
Intégrer le plan d'action à votre budget IT et à votre roadmap
Le plan d'action post-audit ne doit pas être un projet parallèle au budget IT existant : il doit être intégré dedans. Cela évite les situations où des actions prioritaires sont bloquées parce que "le budget IT est déjà alloué". Voici comment structurer cette intégration.
En cours d'exercice budgétaire
Si l'audit est réalisé en cours d'année, identifiez les lignes budgétaires IT qui peuvent être réallouées vers les actions prioritaires. Les projets IT à faible impact stratégique peuvent être décalés pour libérer des ressources vers les chantiers post-audit critiques.
Outil : matrice de réallocation budgétaire présentée au comité de direction avec impact estimé de chaque décision.
Pour le prochain exercice budgétaire
Intégrez les projets H3 (6-18 mois) directement dans le processus de budget annuel. Chaque projet doit être présenté avec son coût estimé, son ROI calculé (coût évité vs. coût du projet) et sa priorité dans la roadmap IT globale.
Conseil : utilisez les chiffres de l'audit (exposition, probabilité d'incident, coût estimé d'un incident) pour justifier les investissements auprès de la direction financière.
La règle des 10% pour les PME
Une règle empirique utilisée par de nombreux CIO : allouez 10% du budget IT annuel au plan d'action post-audit pendant les 2 premières années suivant un premier audit. Ce pourcentage est suffisant pour traiter la majorité des chantiers structurants tout en maintenant les opérations courantes. Sur un budget IT de 200 000 euros, cela représente 20 000 euros dédiés à la remédiation — un investissement raisonnable comparé au coût moyen d'un incident de sécurité estimé à 87 000 euros pour une PME.
Pour aller plus loin : notre guide sur les coûts de l'audit informatique PME détaille la méthode de calcul du ROI qui peut être utilisée pour justifier les investissements post-audit auprès de la direction financière. Le coût total de l'audit + remédiation doit toujours être comparé au coût attendu d'un incident non prévenu.
L'audit de contrôle à 6 mois : valider objectivement les progrès
Six mois après le lancement du plan d'action, il est temps de commander un audit de contrôle. Cet audit n'est pas le même que l'audit initial : il est plus court (2 à 5 jours), moins coûteux (30% à 50% du coût de l'audit initial) et focalisé sur la validation des corrections implémentées.
Ce que vérifie l'audit de contrôle
Re-scan de vulnérabilités pour confirmer que les CVE critiques sont patchées. Vérification de la mise en oeuvre des mesures organisationnelles (MFA, droits d'accès, politique de mots de passe). Nouveau test sur les périmètres qui avaient révélé des failles critiques. Évaluation du score de risque global pour mesurer la progression objectivement.
Les livrables de l'audit de contrôle
Rapport de synthèse comparatif (état initial vs. état actuel) avec le taux de recommandations implémentées, les vulnérabilités restantes, les nouvelles vulnérabilités éventuellement apparues, et une mise à jour des priorités pour les 6 prochains mois. Ce rapport est un outil de communication précieux avec la direction et, le cas échéant, avec votre assureur cyber.
La fréquence d'audit recommandée après le premier cycle
Après le premier cycle audit complet + audit de contrôle, maintenez un rythme annuel d'audit complet et des scans de vulnérabilités automatisés trimestriels. Cette cadence est celle recommandée par les référentiels de sécurité (ISO 27001, ANSSI) et de plus en plus exigée par les assurances cyber. Pour les PME soumises à NIS2 ou traitant des données de santé, des audits ciblés supplémentaires peuvent être requis.
Pour comprendre les différentes étapes et livrables d'un audit informatique PME, consultez notre guide méthodologique complet qui détaille chaque phase, du cadrage au rapport final.
Tout le cluster Audit Informatique PME
Ce guide fait partie d'une série complète sur l'audit informatique PME. Retrouvez les autres articles du cluster pour avoir une vision exhaustive du sujet :
- Guide complet de l'audit informatique PME — types d'audit, périmètre, coûts et critères de choix du prestataire
- Les étapes d'un audit informatique PME — méthodologie détaillée, 5 phases et livrables attendus
- Coût d'un audit informatique PME — grille tarifaire, ROI calculé et leviers de négociation
- Audit de sécurité informatique PME — 10 vulnérabilités critiques, matrice de priorisation et budget
Vous avez reçu un rapport d'audit et souhaitez un accompagnement pour construire et piloter votre plan d'action ? Je propose un atelier de 2 heures pour prioriser vos recommandations et définir la gouvernance adaptée à votre PME.
30 minutes. Gratuit. Sans engagement.
Questions fréquentes
Que faire après avoir reçu le rapport d'audit informatique ?
Classez les recommandations en trois horizons (H-72, 30-90 jours, 6-18 mois), organisez un comité de direction dans les 5 jours pour valider les priorités et allouer les ressources, puis traitez immédiatement les vulnérabilités critiques sans attendre la validation de l'ensemble du plan. Le premier week-end après la réception du rapport doit déjà voir les actions H-72 en cours.
Comment prioriser les recommandations d'un audit informatique ?
Croisez deux axes : la criticité (impact si la vulnérabilité est exploitée) et l'effort de correction (temps, coût, complexité). Les éléments à haute criticité et faible effort sont vos quick wins immédiats. Les éléments à haute criticité et effort important sont vos chantiers prioritaires. Refusez toute logique de facilité qui ferait passer une recommandation faible mais facile avant une recommandation critique mais complexe.
Qui doit piloter la mise en oeuvre du plan d'action post-audit ?
Un référent unique avec un mandat formel de la direction générale. Dans une PME avec IT interne, c'est le responsable IT. Sans IT interne, c'est un CIO externalisé ou le prestataire IT principal. Sans sponsor au niveau DG, les chantiers qui nécessitent des budgets ou des décisions transverses (RH, achats, processus métier) resteront bloqués indéfiniment.
Combien de temps faut-il pour mettre en oeuvre les recommandations ?
De 6 à 18 mois selon la profondeur de l'audit. Les quick wins critiques en 72 heures, les chantiers structurants en 30 à 90 jours, les projets stratégiques en 6 à 18 mois. L'objectif du premier mois est de traiter 100% des vulnérabilités critiques et de lancer tous les chantiers H2. C'est la cadence de progression qui compte, pas la vitesse totale.
Comment mesurer l'efficacité du plan d'action post-audit ?
Définissez 4 à 6 KPIs mesurables dès le lancement : taux d'implémentation des critiques, nombre de vulnérabilités critiques ouvertes, taux de couverture MFA, délai de patch des CVE critiques, avancement global pondéré et score de risque global. Mesurez à J0, J+30, J+90 et J+180. Un audit de contrôle à 6 mois valide objectivement la progression et met à jour les priorités pour la suite.