La Journée Technique des Auditeurs 2026 a été l’occasion de réunir nos équipes d’audit autour d’une question essentielle :

Comment renforcer la confiance dans un environnement professionnel en constante évolution ?

Placée sous le thème :

L’auditeur au cœur de la confiance 

Cette rencontre s’est articulée autour de quatre conférences consacrées aux enjeux qui transforment les organisations et les pratiques d’audit.

Parmi les sujets abordés, les risques numériques occupent désormais une place incontournable.

Intervenants :

Quand la dépendance numérique devient un enjeu de management

Logiciels métiers, plateformes collaboratives, infrastructures informatiques ou solutions d’intelligence artificielle : les outils numériques interviennent aujourd’hui dans une grande partie des processus des organisations.

Cette dépendance soulève une question essentielle :

Quelles seraient les conséquences d’une indisponibilité prolongée de ces outils sur la réalisation des activités ?

Une interruption de service, une perte d’informations ou une défaillance technologique peuvent notamment perturber la production, compromettre la traçabilité des opérations ou affecter la qualité des prestations délivrées.

Pour les organisations engagées dans une démarche de certification, ces situations invitent à examiner la place du numérique dans la maîtrise des processus et l’atteinte des objectifs du système de management.

Anticiper les perturbations et préserver la continuité des activités

La prévention des cyberattaques reste essentielle, mais elle ne peut constituer l’unique réponse aux risques numériques. Les organisations doivent également prévoir les mesures nécessaires pour limiter les conséquences d’un incident et assurer la reprise de leurs activités.

Cette capacité d’adaptation et de rétablissement, appelée résilience numérique, prend une importance croissante dans les stratégies de gestion des risques.

Plusieurs dispositifs européens accompagnent cette évolution, avec des objectifs distincts :

• La directive NIS 2 en matière de cybersécurité,
• Le règlement DORA pour la résilience opérationnelle du secteur financier,
• L’AI Act concernant l’encadrement de l’intelligence artificielle.

NIS 2 : intégrer la cybersécurité dans la gestion des risques

Avec NIS 2, le cadre européen de cybersécurité s’étend à un nombre plus important d’organisations, notamment dans les secteurs de l’énergie, des transports, de la santé, de l’industrie et des infrastructures numériques.

La directive établit deux catégories, les entités essentielles et les entités importantes, auxquelles correspondent des modalités de supervision adaptées.

Au-delà de son périmètre d’application, NIS 2 met l’accent sur la mise en œuvre de mesures de sécurité opérationnelles. La gestion des accès, la fiabilité des sauvegardes, la sensibilisation des collaborateurs, le suivi des prestataires et la préparation à la continuité d’activité participent ainsi à la maîtrise des risques.

Pour les organisations concernées, ces dispositions impliquent une approche structurée, associant les moyens techniques, les processus internes et les responsabilités de chacun.

Une implication renforcée des dirigeants

La directive accorde également une place importante aux organes de direction, qui doivent approuver les mesures de gestion des risques de cybersécurité, superviser leur mise en œuvre et bénéficier d’une formation adaptée.

Elle prévoit par ailleurs, pour les entités concernées, des obligations de notification des incidents significatifs selon plusieurs étapes, depuis l’alerte initiale jusqu’au rapport final.

Ces dispositions renforcent la nécessité de définir des responsabilités claires et de disposer de procédures adaptées à la gestion des incidents

DORA : vérifier l’efficacité des dispositifs de continuité

Destiné au secteur financier, le règlement européen DORA renforce les exigences relatives à la gestion des risques liés aux technologies de l’information et de la communication (TIC).

Il s’applique notamment aux établissements bancaires, aux compagnies d’assurance et à différents prestataires de services financiers. Son objectif est de favoriser la continuité des services face aux perturbations numériques.

Deux dimensions méritent une attention particulière.

La première concerne l’évaluation de la résilience. Les organisations soumises au règlement doivent tester leurs dispositifs au moyen d’exercices adaptés, afin d’apprécier leur efficacité et d’identifier les améliorations nécessaires.

La seconde porte sur les relations avec les prestataires TIC. Lorsque des fonctions importantes reposent sur des services externalisés, leur maîtrise nécessite notamment un encadrement contractuel et un suivi des risques associés.

DORA illustre ainsi l’importance de dépasser la seule existence de procédures pour s’intéresser à leur application et à leur efficacité opérationnelle.

AI Act : une approche fondée sur les risques associés à l’intelligence artificielle (IA)

L’intégration progressive de l’intelligence artificielle dans les activités professionnelles soulève de nouvelles questions concernant la fiabilité des résultats, l’utilisation des données et les responsabilités liées aux décisions.

Le règlement européen sur l’intelligence artificielle, appelé AI Act, établit un cadre reposant sur le niveau de risque présenté par les systèmes concernés.

Il distingue notamment certaines pratiques interdites et des systèmes à haut risque soumis à des obligations spécifiques. Celles-ci peuvent porter sur la documentation, la qualité des données, la traçabilité, la robustesse des systèmes ou encore la supervision humaine.

Pour les professionnels de l’audit, ces évolutions rappellent l’importance de conserver une appréciation critique des informations produites par les outils numériques, notamment lorsqu’ils contribuent à l’analyse ou à la prise de décision.

Des exigences réglementaires qui interrogent les pratiques de management

Bien que NIS 2, DORA et l’AI Act poursuivent des objectifs différents, ils soulignent l’importance d’une organisation structurée pour maîtriser les enjeux numériques.

La définition des responsabilités, l’évaluation des risques, la surveillance des prestataires et le contrôle des mesures mises en place constituent autant de dimensions à prendre en compte.

Ces sujets trouvent naturellement leur place dans les démarches de management, qui permettent aux organisations de définir leurs objectifs, de piloter leurs processus et d’évaluer l’efficacité de leurs dispositions.

Quels référentiels pour structurer la maîtrise des risques numériques ?

Les systèmes de management offrent des méthodes pour identifier les risques, organiser les responsabilités et engager une démarche d’amélioration continue.

Trois normes internationales abordées lors de la conférence apportent des réponses adaptées à différents enjeux : la sécurité de l’information, la continuité d’activité et le management de l’intelligence artificielle.

ISO/IEC 27001 : organiser la sécurité de l’information

La norme ISO/IEC 27001 définit les exigences d’un système de management de la sécurité de l’information (SMSI). Elle accompagne les organisations dans l’identification et le traitement des risques susceptibles d’affecter leurs informations.

Sa démarche s’articule autour de trois principes fondamentaux :

• Préserver la confidentialité des informations,
• Garantir leur intégrité,
• Maintenir leur disponibilité.

L’organisation détermine les mesures de sécurité appropriées à partir de son analyse des risques. L’annexe A et la déclaration d’applicabilité contribuent à formaliser et justifier les mesures retenues.

L’audit du SMSI permet notamment d’apprécier la cohérence entre les risques identifiés, les dispositions mises en œuvre et les exigences du référentiel.

ISO 22301 : préparer l’organisation aux interruptions d’activité

La norme ISO 22301 s’intéresse à la capacité d’une organisation à faire face aux événements susceptibles de perturber son fonctionnement.

Elle permet de structurer un système de management de la continuité d’activité, en identifiant notamment les processus prioritaires, les ressources indispensables et les modalités de réponse aux interruptions.

La réalisation d’exercices et de tests constitue une dimension essentielle de cette démarche. Elle permet de vérifier que les solutions prévues sont adaptées aux besoins de l’organisation et de repérer les améliorations nécessaires.

ISO/IEC 42001 : structurer un usage responsable de l’IA

Face au développement des applications d’intelligence artificielle, la norme ISO/IEC 42001 propose un cadre de management dédié à ces technologies.

Elle s’adresse aux organisations qui développent, fournissent ou utilisent des systèmes d’IA, en tenant compte de leurs rôles et responsabilités.

La démarche vise notamment à identifier les systèmes concernés, à évaluer leurs impacts et à définir les mesures de maîtrise adaptées. Une attention particulière est portée à la gestion des données, aux biais potentiels et à la supervision humaine.

Cette norme permet ainsi d’inscrire le management de l’intelligence artificielle dans une démarche structurée d’évaluation et d’amélioration continue.

Quelle place accorder aux risques numériques lors d’un audit de certification ?

Les enjeux numériques ne se limitent pas aux référentiels spécialisés dans la sécurité de l’information ou la continuité d’activité. Ils peuvent également avoir une incidence sur les processus évalués dans le cadre d’autres certifications, notamment ISO 9001, ISO 14001 ou ISO 19443.

Prenons le cas d’une entreprise industrielle dont les activités reposent sur un logiciel de gestion intégré (ERP). Une indisponibilité prolongée de cet outil pourrait affecter le suivi des commandes, l’accès aux données de production ou encore la traçabilité des opérations.

Dans le cadre d’un audit ISO 9001, l’enjeu ne serait pas d’évaluer le niveau global de cybersécurité de l’entreprise, mais de déterminer si cette dépendance numérique peut compromettre la maîtrise des processus et la conformité des produits ou services.

L’auditeur peut ainsi être amené à examiner les moyens mis en œuvre par l’organisation pour garantir la disponibilité des ressources nécessaires à ses activités, dès lors que ces éléments relèvent des exigences applicables.

L’approche doit donc rester adaptée au référentiel audité.

Certains systèmes de management comportent des exigences directement consacrées au numérique, tandis que d’autres conduisent à examiner ces enjeux uniquement lorsqu’ils ont une incidence sur les processus concernés.

Cette distinction est essentielle pour préserver la pertinence et la rigueur des conclusions d’audit.

Des constats d’audit fondés sur les exigences du référentiel

Si les risques numériques peuvent concerner de nombreux processus, leur prise en compte lors d’un audit doit toujours être justifiée par les exigences du référentiel évalué.

L’auditeur doit pouvoir établir un lien entre les éléments observés, leurs conséquences éventuelles sur les activités et les exigences applicables.

Une vulnérabilité informatique ne constitue donc pas automatiquement une non-conformité dans le cadre d’un audit de système de management.

Cette approche permet de tenir compte des évolutions technologiques tout en respectant le périmètre et les objectifs de chaque certification.

Quatre points de vigilance pour les auditeurs

La conférence a permis de rappeler plusieurs principes utiles à la conduite des audits :

Faire évoluer les pratiques d’audit face aux enjeux numériques

L’évolution des technologies et des réglementations conduit les organisations à renforcer leur approche de la gestion des risques. La cybersécurité, la continuité d’activité et l’intelligence artificielle s’inscrivent désormais parmi les sujets susceptibles d’influencer le fonctionnement et la performance des systèmes de management.

Pour les auditeurs, ces transformations nécessitent une bonne compréhension des enjeux numériques, mais également une vigilance constante quant aux exigences réellement applicables à chaque mission.

Cette conférence organisée dans le cadre de la Journée Technique des Auditeurs 2026 a ainsi permis de partager des connaissances et d’alimenter les réflexions sur l’évolution des pratiques d’audit.

Un objectif qui s’inscrit pleinement dans le thème de cette journée :

« L’auditeur au cœur de la confiance ».