Mis à jour le 28 août 2026
Lors d’un audit cybersécurité, l’absence de preuve ne signifie pas automatiquement que la mesure de sécurité n’existe pas. Une organisation peut appliquer un contrôle sans en conserver de trace exploitable. À l’inverse, elle peut posséder une politique ou une procédure très complète sans jamais l’exécuter.
L’auditeur doit donc distinguer au moins quatre situations : mesure appliquée et démontrée, mesure appliquée mais non démontrée, mesure documentée mais non exécutée, mesure inexistante. Cette distinction évite de transformer un manque documentaire en conclusion technique injustifiée, mais aussi de considérer un document comme une preuve suffisante d’effectivité.
La bonne question n’est pas seulement :
« Avez-vous une preuve ? »
mais :
« Que pouvons-nous réellement conclure sur la mesure à partir des éléments disponibles ? »
Un audit ne consiste pas à rechercher des fichiers pour remplir une colonne « preuve ».
Il consiste à comparer une situation observée à des critères déterminés.
La terminologie utilisée par l’ANSSI dans son référentiel PASSI décrit ainsi l’audit comme un processus systématique et documenté destiné à obtenir des preuves d’audit et à les évaluer objectivement. Une preuve d’audit correspond à des enregistrements, énoncés de faits ou autres informations reliés aux critères et vérifiables. La version 2.2 constitue aujourd’hui la version de référence du référentiel PASSI.
ISO 19011:2026 fournit également le cadre international actuel pour conduire les audits de systèmes de management de manière cohérente et structurée.
Cette logique a une conséquence importante :
une conclusion d’audit doit découler des éléments réellement obtenus, pas de ce que l’auditeur suppose.
Prenons quatre phrases :
« La procédure n’a pas été fournie. »
« La procédure n’existe pas. »
« Le processus n’est pas appliqué. »
« L’exigence n’est pas satisfaite. »
Elles peuvent sembler proches.
Elles décrivent pourtant quatre conclusions différentes.
Voici la matrice essentielle à utiliser lors d’une évaluation.
| Situation | Mesure appliquée ? | Preuve suffisante ? | Conclusion recommandée | Traitement |
| 1. Mesure appliquée + preuve disponible | Oui | Oui | Mesure démontrée | Vérifier périmètre, fraîcheur et qualité de la preuve |
| 2. Mesure appliquée + preuve absente | Oui ou vraisemblablement oui | Non | Mesure déclarée ou observée mais insuffisamment démontrée | Améliorer la traçabilité et rechercher d’autres éléments |
| 3. Document existant + mesure non exécutée | Non ou partiellement | Document uniquement | Mesure formalisée mais non effective | Corriger l’exécution du contrôle |
| 4. Mesure inexistante | Non | Non | Mesure non mise en œuvre | Créer une remédiation adaptée au risque |
La difficulté principale concerne évidemment la deuxième ligne.
Une absence de preuve ne doit pas automatiquement devenir une absence de mesure.
Mais elle ne doit pas non plus conduire l’auditeur à considérer la mesure comme satisfaisante sur la seule base d’une déclaration.
C’est la situation la plus simple.
Exemple :
Les comptes administrateurs doivent être protégés par une authentification multifacteur.
L’organisation affirme que le MFA est activé pour tous les administrateurs.
La mesure existe et les éléments permettent raisonnablement de soutenir la conclusion.
On peut alors écrire :
« Le MFA est activé sur les comptes administrateurs du périmètre examiné. L’export de configuration du 12 août 2026, rapproché de la liste des comptes privilégiés, permet de démontrer la couverture observée à la date de l’évaluation. »
La preuve n’est pas seulement présente.
Elle répond à la question posée.
La présence d’un fichier ne suffit jamais à elle seule.
Il faut toujours contrôler :
Une capture MFA concernant un seul compte ne permet pas nécessairement de conclure sur tous les administrateurs.
C’est précisément pourquoi il faut distinguer preuve présente et preuve suffisante.
C’est probablement le cas le plus fréquent dans une PME.
Lors de l’entretien, le responsable informatique explique :
« Lorsqu’un incident survient, je crée un canal Teams, j’appelle notre prestataire, puis nous traitons le problème ensemble. »
Plusieurs salariés confirment cette pratique.
L’entreprise a effectivement géré des incidents.
Mais elle ne conserve :
Pas nécessairement.
Des activités sont manifestement réalisées.
Non plus.
La formulation rigoureuse devient :
« La gestion des incidents existe opérationnellement et plusieurs interlocuteurs décrivent un processus similaire. Toutefois, aucun enregistrement suffisamment structuré n’a pu être fourni pour démontrer de manière durable l’exécution, la traçabilité et le suivi des incidents sur la période examinée. »
Cette rédaction est beaucoup plus précise que :
« Gestion des incidents inexistante. »
Le NIST distingue trois méthodes principales d’évaluation :
Ces trois méthodes peuvent contribuer à produire les éléments nécessaires à une conclusion.
Le NIST SP 800-171A Rev. 3 distingue également les spécifications - politiques, procédures ou architectures - des mécanismes techniques et des activités réalisées par les personnes.
Cela signifie qu’une absence de document n’empêche pas nécessairement toute conclusion.
Un contrôle peut parfois être démontré grâce à :
La nature des éléments nécessaires dépend du critère évalué.
C’est une nuance essentielle.
Si l’exigence évaluée porte uniquement sur le résultat :
« Les sauvegardes sont réalisées. »
une preuve alternative permettant de vérifier leur exécution peut éventuellement suffire.
Mais si le critère demande explicitement :
« Les résultats des tests doivent être documentés et conservés. »
alors l’absence d’enregistrement n’est plus seulement un problème de démonstration.
La traçabilité fait partie de l’exigence.
Dans ce cas, la conclusion peut porter directement sur ce manque.
Critère :
La revue des droits doit être réalisée et ses résultats doivent être conservés.
L’organisation explique avoir réalisé la revue.
Aucun résultat, export, compte rendu ou ticket n’est disponible.
Deux dimensions sont alors à distinguer :
Exécution de la revue : déclarée, mais insuffisamment démontrée.
Conservation des résultats : non satisfaite si cette conservation constitue explicitement un élément du critère.
Cette distinction évite deux erreurs opposées :
C’est l’erreur inverse.
L’organisation dispose d’une documentation très convaincante :
Procedure_Revue_Habilitations_v4.pdf
Le document précise :
Sur le papier, tout semble structuré.
L’auditeur demande alors :
« Pouvez-vous me montrer les quatre dernières revues ? »
Réponse :
« Nous n’avons pas encore eu le temps de les faire. »
La preuve documentaire démontre que le contrôle est défini.
Elle ne démontre pas qu’il est exécuté.
La conclusion doit donc être différente :
« Une procédure de revue trimestrielle des habilitations est formalisée et approuvée. Aucun élément ne permet toutefois de démontrer son exécution sur la période évaluée. Les entretiens confirment que les revues prévues n’ont pas été réalisées. »
Ici, le problème n’est pas principalement documentaire.
Le problème est opérationnel.
La distinction proposée par le NIST est particulièrement utile :
| Type | Exemple | Ce que cela permet d’évaluer |
| Spécification | Politique, procédure | Ce qui devrait être fait |
| Mécanisme | Configuration IAM, pare-feu | Ce qui est techniquement mis en place |
| Activité | Revue des droits | Ce qui est réellement exécuté |
| Individu | Responsable IAM | Qui comprend et applique le processus |
L’ANSSI adopte une logique comparable lorsqu’elle décrit l’audit organisationnel : celui-ci vise notamment à vérifier que les politiques et procédures complètent correctement les mesures techniques et sont efficacement mises en pratique.
Un document ne constitue donc pas une preuve universelle du fonctionnement réel du dispositif.
Dernière situation : aucun élément ne permet d’identifier un dispositif existant.
L’auditeur demande :
« Quand avez-vous réalisé votre dernier test de restauration ? »
Le responsable informatique répond :
« Nous n’en avons jamais réalisé. Nous vérifions simplement que les sauvegardes sont en succès. »
Aucun :
n’est disponible.
Ici, il ne s’agit plus simplement d’une preuve manquante.
L’activité elle-même n’est pas réalisée.
Le constat peut alors être formulé clairement :
« Aucun test de restauration n’est réalisé sur le périmètre examiné. La supervision des sauvegardes confirme leur exécution mais ne permet pas de vérifier la capacité réelle de restauration des données. »
La remédiation doit porter sur la mesure elle-même :
planifier, réaliser et documenter un test représentatif de restauration.
Utilisez quatre questions successives.
Recherchez :
Si oui, le contrôle peut être défini.
Cela ne prouve pas encore son exécution.
Recherchez :
Si oui, le contrôle peut être mis en œuvre.
Recherchez :
Si non, le contrôle peut être appliqué mais insuffisamment démontré.
Recherchez :
On passe alors de :
« le contrôle existe »
à :
« le contrôle fonctionne effectivement. »
Voici une matrice utilisable pendant un audit.
| Documentation | Mise en œuvre | Exécution démontrée | Conclusion possible |
| Oui | Oui | Oui | Défini, appliqué et démontré |
| Non | Oui | Oui | Appliqué mais insuffisamment formalisé |
| Oui | Oui | Non | Mis en œuvre mais insuffisamment démontré |
| Oui | Non | Non | Documenté mais non effectif |
| Non | Oui | Non | Pratique informelle / déclarée, faible démontrabilité |
| Non | Non | Non | Mesure inexistante ou non mise en œuvre |
Cette grille ne constitue pas une méthode officielle ISO, ANSSI ou NIST.
Elle sert à éviter une conclusion binaire :
preuve = conforme
pas de preuve = non conforme
qui simplifie excessivement la réalité d’un contrôle.
Une cinquième situation doit être distinguée des quatre cas précédents :
l’auditeur ne dispose tout simplement pas de suffisamment d’informations pour conclure.
Par exemple :
Dans ce cas, le bon statut peut être :
Non évalué
ou :
Conclusion impossible avec les éléments disponibles.
Ce statut n’est pas équivalent à :
mesure inexistante.
Il ne devrait pas non plus être transformé artificiellement en :
conforme.
Le NIST prévoit précisément que la profondeur et la couverture des méthodes d’évaluation puissent être adaptées, et que les conclusions reposent sur les éléments effectivement obtenus.
La formulation doit séparer trois éléments :
« L’entreprise ne réalise pas de revue des droits. »
Alors que l’auditeur sait seulement qu’aucun compte rendu n’a été fourni.
« L’organisation indique réaliser une revue périodique des habilitations. Les entretiens avec le responsable IAM et le responsable informatique décrivent un processus similaire. Aucun compte rendu, export annoté ou autre enregistrement permettant de démontrer l’exécution de ces revues sur la période examinée n’a toutefois pu être présenté. »
La conclusion devient ensuite :
« La mise en œuvre du contrôle est déclarée mais insuffisamment démontrée. »
La conclusion change :
« Une procédure de revue est formalisée, mais les entretiens confirment que les revues prévues n’ont pas été réalisées sur la période évaluée. »
Le problème n’est alors plus seulement la preuve.
La terminologie doit permettre au lecteur de comprendre immédiatement le niveau de certitude.
| Formulation | Signification |
| Démontré | Les éléments disponibles soutiennent suffisamment la conclusion |
| Observé | L’auditeur a directement constaté un mécanisme ou une activité |
| Déclaré | L’information provient principalement d’un entretien |
| Documenté | Un document définit ou décrit le processus |
| Non démontré | Les éléments disponibles ne permettent pas de soutenir suffisamment la conclusion |
| Non mis en œuvre | L’activité ou le mécanisme attendu n’existe pas ou n’est pas appliqué |
| Partiellement mis en œuvre | Une partie du périmètre ou du contrôle est couverte |
| Non évalué | L’audit n’a pas permis de conclure |
Ces termes peuvent être utilisés dans les commentaires même si la grille officielle du référentiel utilise d’autres statuts.
Ils apportent une information supplémentaire très utile au lecteur.
Une déclaration est un élément d’évaluation.
Elle n’a cependant pas toujours le même niveau de robustesse qu’un élément directement vérifiable dans un système.
Le NIST considère explicitement l’entretien comme l’une des trois méthodes permettant aux évaluateurs d’obtenir des éléments nécessaires à leurs conclusions.
Mais le poids à lui accorder dépend :
Pour comprendre :
« Qui est responsable des incidents ? »
un entretien peut être particulièrement pertinent.
Pour démontrer :
« Les sauvegardes ont été testées avec succès le mois dernier »
un rapport de test, un ticket ou une trace de restauration constitue généralement un élément beaucoup plus probant.
La bonne approche consiste donc souvent à croiser les sources.
Oui, si elle répond réellement au critère.
Prenons le MFA.
Une page montre :
MFA : EnabledElle ne permet pas d'identifier clairement :
Sa valeur probante est limitée.
Elle permet d’identifier :
Elle apporte davantage d’éléments.
Un export daté permet de comparer l’ensemble des comptes administrateurs à leur statut MFA.
Si l’exigence porte sur la couverture complète de la population, cet export sera généralement beaucoup plus adapté.
La question reste toujours :
La preuve correspond-elle à la portée de la conclusion ?
Prenons une PME disposant de Microsoft 365 et de plusieurs applications métiers.
Les droits sensibles doivent être revus périodiquement et les anomalies identifiées doivent être corrigées.
L’organisation fournit :
Mesure appliquée et démontrée.
Le DSI et l’administrateur expliquent qu’ils se réunissent chaque trimestre.
Ils montrent directement comment la revue est effectuée.
Mais aucun historique des revues précédentes n’existe.
Pratique existante et observable, mais exécution historique insuffisamment démontrée.
Conserver pour chaque revue :
Le document prévoit une revue trimestrielle.
Les entretiens confirment que la dernière revue date de deux ans.
Contrôle formalisé mais non exécuté selon la fréquence prévue.
Réaliser la revue puis l’intégrer au calendrier récurrent.
Aucune procédure.
Aucune revue.
Aucun responsable.
Les droits sont modifiés uniquement lorsqu’un utilisateur en fait la demande.
Mesure non mise en œuvre.
La remédiation nécessite de construire le processus, pas simplement de produire un document.
Une notation de maturité peut utiliser la qualité des preuves comme l’une de ses dimensions.
Mais il faut éviter la règle simpliste :
« pas de preuve = score 0 ».
Une pratique peut exister sans être suffisamment formalisée.
Un modèle interne peut par exemple examiner séparément :
L’objectif est de faire ressortir deux faiblesses différentes :
la mesure ne fonctionne pas
et
l’organisation ne sait pas démontrer qu’elle fonctionne.
Les deux doivent être corrigées, mais pas nécessairement avec la même action.
| Situation | Exemple de lecture de maturité |
| Rien n’existe | Maturité très faible |
| Pratique informelle sans preuve | Initiée |
| Processus défini et preuves disponibles | Structurée |
| Processus contrôlé régulièrement | Maîtrisé |
| Contrôle mesuré et amélioré | Niveau avancé |
Cette grille est illustrative et ne constitue pas une notation officielle ISO ou ANSSI.
Le type d’action doit correspondre au problème réellement constaté.
| Situation | Mauvaise remédiation | Remédiation adaptée |
| Mesure fonctionne, preuve absente | « Mettre en place la mesure » | Mettre en place une traçabilité |
| Mesure documentée mais non exécutée | « Rédiger une procédure » | Lancer réellement le processus |
| Mesure partiellement appliquée | Refaire tout le dispositif | Étendre la couverture |
| Mesure inexistante | « Fournir une preuve » | Construire et déployer la mesure |
| Preuve obsolète | Reconcevoir le contrôle | Actualiser ou renouveler la preuve |
| Audit impossible | Déclarer non-conforme automatiquement | Compléter l’évaluation |
Cette distinction évite les plans d’action incohérents.
Un consultant ne doit pas recommander :
« Mettre en place une procédure de revue des accès »
si la procédure existe déjà et que le véritable problème est son absence d’exécution.
La formulation influence fortement la perception de l’audit.
Comparez :
« Vous ne gérez pas les incidents. »
et :
« Vous gérez effectivement les incidents lorsqu’ils surviennent, mais le processus repose principalement sur les personnes et aucune trace consolidée ne permet de démontrer sa bonne exécution dans le temps. »
Le deuxième constat :
Il ne s’agit pas d’être moins exigeant.
Il s’agit d’être plus exact.
Cette précision améliore également la crédibilité du consultant auprès d’une direction.
C’est le raccourci principal à éviter.
Recherchez également :
Une procédure démontre d’abord qu’une règle a été définie.
Il faut encore examiner son exécution lorsque l’exigence porte sur la mise en œuvre.
Une déclaration doit rester identifiée comme telle.
N’écrivez pas :
« Revue trimestrielle réalisée. »
si votre seul élément est :
« Le responsable indique qu’il réalise normalement une revue chaque trimestre. »
Vous risquez de confondre :
L’absence de preuve ne permet pas de conclure à l’inexistence.
Elle ne justifie pas non plus automatiquement une conclusion positive.
Non démontré : la mesure a été examinée mais les éléments restent insuffisants.
Non évalué : l’audit n’a pas permis de conduire suffisamment l’évaluation.
Une preuve valide sur 80 % du parc ne démontre pas automatiquement les 20 % restants.
Parfois, le manque de preuve révèle une absence réelle d’exécution.
Il faut aller jusqu’à cette question.
Avant d’écrire :
« La mesure n’est pas mise en œuvre »
vérifiez :
Si rien ne permet d’identifier la mesure, la conclusion d’absence devient beaucoup plus solide.
Si plusieurs éléments montrent qu’elle existe mais qu’elle est mal tracée, le constat doit le refléter.
Chaque mesure évaluée devrait permettre de retrouver :
| Champ | Exemple |
| Critère | Revue périodique des accès |
| Situation | Revue déclarée trimestrielle |
| Documentation | Procédure disponible |
| Preuve d’exécution | Non fournie |
| Observation | Pratique décrite par deux interlocuteurs |
| Conclusion | Mise en œuvre déclarée mais non démontrée |
| Risque | Droits excessifs pouvant persister |
| Recommandation | Formaliser la trace des revues |
| Action | Réaliser et documenter la prochaine revue |
| Responsable | Responsable IAM |
| Échéance | Selon plan validé |
| Preuve de clôture | Compte rendu + population + anomalies |
Le rapport explique ce qui a été constaté.
Le plan d’action traite la cause réelle du problème.
CompliKey permet de conserver plusieurs informations séparées pour une même mesure :
score → preuve → commentaire → constat → remédiation → action.
Cette séparation évite de réduire toute l’évaluation à une simple case « conforme / non conforme ».
Lors d’un audit, le consultant peut qualifier la mesure et ajouter un commentaire expliquant :
La conclusion peut donc être contextualisée.
Une preuve est reliée à la mesure qu’elle contribue à démontrer.
Lorsqu’aucune preuve n’est fournie, cette absence reste visible sans imposer automatiquement de conclure que la mesure n’existe pas.
Le rapport d’audit de démonstration CompliKey applique déjà une règle explicite : lorsqu’une donnée de preuve n’est pas disponible, la colonne indique « Non fourni » plutôt que d’inventer ou d’extrapoler l’information. Il précise également que, dans sa méthode interne, les niveaux de notation à partir de 2 nécessitent qu’une preuve soit référencée.
Cette règle est propre à la méthode CompliKey : elle ne constitue pas une règle ISO ou ANSSI.
Deux mesures peuvent obtenir des scores proches mais pour des raisons différentes.
Pratique existante, peu formalisée et peu démontrable.
Procédure parfaitement documentée, mais jamais exécutée.
Le commentaire d’audit permet de conserver cette différence, indispensable pour construire la bonne remédiation.
Lorsque la mesure existe mais manque de preuve :
action → améliorer la traçabilité.
Lorsque le processus est écrit mais non exécuté :
action → mettre le processus en fonctionnement.
Lorsque la mesure n’existe pas :
action → concevoir puis déployer le contrôle.
Le plan d’action devient ainsi cohérent avec le constat d’origine.
Lors d’une nouvelle évaluation, la nouvelle preuve peut être rapprochée de la situation précédente.
Le consultant peut alors démontrer une trajectoire :
mesure informelle → preuve insuffisante → action → contrôle documenté → nouvelle évaluation.
CompliKey ne peut pas déterminer seul :
Cette décision dépend :
La plateforme sert à conserver les distinctions nécessaires pour rendre ce jugement traçable et défendable.
L’absence de preuve et l’absence de mesure sont deux problèmes différents.
Un audit rigoureux doit au minimum distinguer :
Ajoutez à cela un cinquième cas méthodologique :
l’audit n’a pas permis de conclure.
Cette distinction est essentielle parce que les remédiations ne sont pas les mêmes.
Une organisation qui applique déjà une mesure n’a pas forcément besoin de la reconstruire : elle peut avoir besoin de mieux la tracer.
Une organisation disposant d’une procédure non utilisée n’a pas besoin d’un nouveau document : elle doit faire fonctionner son processus.
Et une mesure réellement inexistante nécessite, elle, un véritable chantier de mise en œuvre.
L’ANSSI rappelle qu’un audit consiste précisément à confronter des preuves vérifiables aux critères d’audit, tandis que le NIST distingue l’examen documentaire, les entretiens et les tests comme plusieurs moyens complémentaires d’obtenir les éléments nécessaires à l’évaluation.
La règle à retenir est donc :
Ne transformez jamais automatiquement « je n’ai pas la preuve » en « la mesure n’existe pas ».
Cherchez d’abord à déterminer :
ce qui est défini, ce qui est appliqué, ce qui est démontré et ce qui ne l’est réellement pas.
Pas automatiquement. Une mesure peut être effectivement appliquée sans produire de trace suffisamment exploitable pour l’audit. Dans ce cas, il faut distinguer l’existence du contrôle de sa démontrabilité. En revanche, si le critère impose explicitement la conservation d’un enregistrement ou d’un résultat, l’absence de cette trace peut elle-même constituer un écart. L’auditeur doit donc revenir au critère précis avant de qualifier le constat.
Décrivez séparément ce qui a été déclaré, ce qui a été observé et ce qui n’a pas pu être démontré. Par exemple : « L’organisation indique réaliser une revue trimestrielle des accès. Aucun compte rendu ou export permettant de démontrer l’exécution de ces revues sur la période évaluée n’a toutefois été présenté. » Cette formulation évite d’affirmer que la mesure est inexistante tout en rendant clairement visible le manque de démonstration.
Oui. Le NIST identifie l’entretien comme l’une des trois principales méthodes d’évaluation, avec l’examen et le test. Sa valeur dépend néanmoins du critère et du niveau d’assurance recherché. Une déclaration peut être adaptée pour comprendre les responsabilités ou le fonctionnement d’un processus, mais elle gagne souvent à être corroborée par des enregistrements, observations ou tests lorsqu’il faut démontrer l’exécution réelle d’un contrôle.
Non, sauf si le critère évalué porte uniquement sur l’existence de cette procédure. Un document permet principalement de démontrer qu’une règle ou un processus est défini. Pour vérifier son fonctionnement, il faut généralement rechercher des éléments d’exécution : ticket, compte rendu, export, journal, test ou autre trace opérationnelle. L’ANSSI souligne d’ailleurs que l’audit organisationnel vise également à vérifier que les politiques et procédures sont effectivement mises en pratique.
« Non démontré » signifie que la mesure a été examinée mais que les éléments recueillis ne permettent pas de soutenir suffisamment la conclusion attendue. « Non évalué » signifie que l’audit n’a pas pu conduire l’évaluation avec une profondeur ou une couverture suffisante, par exemple faute d’accès ou de disponibilité du périmètre. Les deux statuts ne devraient pas être automatiquement assimilés à une mesure inexistante.
Commencez par déterminer si des éléments alternatifs permettent de vérifier la pratique : configuration, observation, journaux, entretiens ou tests. Si la mesure fonctionne réellement mais n’est pas suffisamment traçable, la remédiation doit généralement porter sur la création d’une preuve durable : compte rendu, export, ticket ou registre. Il est inutile de reconstruire entièrement un contrôle qui existe déjà si le véritable problème concerne sa démontrabilité.
Structurez les scores, preuves, commentaires et constats pour transformer chaque écart en une remédiation réellement adaptée.
Voir comment CompliKey structure les constats et les preuves d’audit
