Auditeur certifié SI : CISA, CIA, ISO 27001 LA

L'auditeur certifié SI examine, de façon indépendante et formelle, les systèmes d'information d'une organisation pour vérifier leur conformité, leur sécurité et leur efficacité. Contrairement à l'auditeur financier (commissaire aux comptes), il intervient sur la technologie, les processus IT et les risques numériques.

Audit SI vs audit financier

• Audit financier : opinion sur les comptes (CAC, IFRS), méthodologie comptable.
• Audit SI : opinion sur les contrôles SI (CISA, COBIT), méthodologie ISACA/IIA.
• Convergence : audit des ITGC (IT General Controls) demandé par le CAC dans le cadre de la certification des comptes (SOX, LSF).

Le métier en quelques mots

• Audit interne ou externe des systèmes d'information.
• Plan d'audit annuel basé sur une cartographie des risques.
• Échantillonnage : sélection des contrôles à tester (statistique ou jugement).
• Réalisation des tests : entretiens, revue documentaire, observation, ré-exécution.
• Rapport d'audit : constats, risques, recommandations, plan d'action.
• Suivi des recommandations : preuve de remédiation.

Référentiels et frameworks

• COBIT 2019 : gouvernance et management de l'IT (ISACA).
• ISO 27001 / 27002 : sécurité de l'information.
• NIST CSF : cadre cybersécurité.
• ITIL 4 : gestion des services IT.
• COSO : contrôle interne global.
• IIA Standards : référentiel d'audit interne.
• SOX / LSF : conformité financière + ITGC.

Compétences clés

• Méthodologie d'audit : planification, exécution, reporting, suivi.
• Analyse de risques : likelihood, impact, scoring.
• Échantillonnage : statistique (taille, intervalle de confiance) et jugement.
• Entretien d'audit : posture, questionnement, recoupement.
• Rédaction de rapport : factuel, objectif, actionnable.
• Maîtrise des contrôles IT : access management, change management, backup, BCP/DRP.
• Indépendance et objectivité : pilier déontologique.

Certifications recommandées

• CISA (Certified Information Systems Auditor) — ISACA : la référence audit SI.
• CIA (Certified Internal Auditor) — IIA : référence audit interne global.
• ISO 27001 Lead Auditor : audit de SMSI.
• CRISC : risques IT.
• CISM : management sécurité.
• CGEIT : gouvernance IT.
• CFE : fraud examiner (pour le pénal financier).

Types de missions

• Audit ITGC dans le cadre de la certification des comptes.
• Audit interne SI annuel : plan triennal.
• Audit ISO 27001 : audit blanc avant certification.
• Audit RGPD / DORA / NIS2 : conformité réglementaire.
• Audit projet : revue indépendante de programme à risque.
• Audit fournisseur / cloud : SOC 2, ISAE 3402.
• Audit fraude SI : investigation post-incident.
• Mission de conseil post-audit : aide à la remédiation.

Évolution de carrière

1. Auditeur junior en cabinet (Big 4 ou spécialisé).
2. Senior auditeur : pilotage de missions.
3. Manager audit : gestion de portefeuille clients.
4. Senior manager / directeur audit ou passage en interne (Head of Internal Audit).
5. Associé cabinet ou CAE (Chief Audit Executive).

En conclusion

L'auditeur certifié SI est un profil rigoureux et indépendant, demandé par les grands groupes, les ETI cotées et le secteur public. Marché soutenu par les nouvelles réglementations (DORA, NIS2, CSRD).

Vous êtes auditeur certifié SI et cherchez votre prochaine mission ? Rejoignez ForTeam IT.