Audit du cyber : concilier risques et exigences applicables

Un débat ancien, et légitime

Les arguments sont solides. La cybersécurité est un domaine trop vaste pour faire l'objet d'une opinion d'ensemble crédible en une mission. Elle englobe quantité de contrôles dont la défaillance n'aurait qu'un effet marginal sur les objectifs de l'organisation. Et surtout, une faiblesse technique peut être compensée par d'autres contrôles, manuels ou automatisés, situés ailleurs dans les processus : évaluer le risque informatique isolément conduit alors à surestimer l'exposition réelle.

Ce que le référentiel de l'IIA exige réellement

L'Institute of Internal Auditors (IIA) a publié le 5 février 2025 son référentiel thématique consacré à la cybersécurité (Cybersecurity Topical Requirement), entré en vigueur le 5 février 2026. Il constitue un socle minimal d'évaluation couvrant trois domaines : la gouvernance, la gestion des risques et les activités de contrôle en matière de cybersécurité.

Trois caractéristiques méritent l'attention, car elles sont souvent mal comprises :

• Il est obligatoire pour les missions d'assurance des fonctions se conformant aux Normes mondiales d'audit interne, et recommandé pour les missions de conseil.
• Il s'applique au niveau de la mission, pas du plan. Il se déclenche lorsque le sujet d'une mission figure au plan d'audit, lorsqu'un risque cyber est identifié en cours de mission, ou lors d'une demande de mission hors plan.
• Il admet les exclusions, à condition de les documenter. Chaque exigence doit faire l'objet d'une évaluation d'applicabilité ; lorsqu'une exigence est écartée, la justification doit être documentée et conservée.

Point important pour les évaluations qualité : la conformité aux référentiels thématiques en vigueur est examinée lors des évaluations postérieures à leur date d'effet.

Pourquoi l'opposition est en partie trompeuse

Présenter le sujet comme un choix — approche par les risques ou référentiel — ne résiste pas à la lecture du texte. Le référentiel ne dicte pas le contenu du plan d'audit : il ne contraint pas une fonction à inscrire une mission cyber, ni à se prononcer sur la totalité du domaine. Il définit ce qui doit être couvert lorsqu'une mission touche au risque cyber.

Autrement dit, la sélection des missions reste gouvernée par les risques les plus significatifs pour l'organisation. C'est le déroulement de la mission qui est encadré. Les deux logiques opèrent à des niveaux différents et se complètent : l'approche par les risques décide de ce que l'on audite, le référentiel structure comment on l'audite.

Le référentiel rejoint d'ailleurs la préoccupation des tenants de l'approche par les risques sur un point central : il demande d'apprécier si les processus d'évaluation des risques de l'organisation prennent en compte les menaces cyber et leur effet sur l'atteinte des objectifs stratégiques. Cette exigence interdit précisément une lecture en silo.

Ce que le cadre européen ajoute au Luxembourg

Pour les entités du secteur financier régulé, une troisième contrainte s'ajoute — et elle n'est pas négociable. Le règlement (UE) 2022/2554, dit DORA (résilience opérationnelle numérique), applicable depuis le 17 janvier 2025, impose un cadre de gestion du risque informatique relevant de l'organe de direction, un registre des accords avec les prestataires informatiques, des exigences contractuelles renforcées et un programme de tests de résilience. La Commission de Surveillance du Secteur Financier (CSSF) en assure le suivi.

Ces obligations existent indépendamment de tout arbitrage par les risques : une entité assujettie ne peut pas décider que le sujet ne mérite pas d'attention. En revanche, la profondeur et la priorité des travaux d'audit sur ces dispositifs relèvent bien, elles, du jugement fondé sur les risques.

Articuler les trois logiques en pratique

• Partir des risques métier. Identifier les défaillances informatiques susceptibles d'affecter réellement les objectifs de l'organisation, en tenant compte des contrôles compensatoires existants ailleurs dans les processus.
• Interroger d'abord l'évaluation des risques du management. Si celle-ci mesure l'exposition des actifs informatiques sans la relier aux objectifs de l'entreprise, c'est en soi un constat à porter à la direction et au comité d'audit.
• Cadrer les missions avec le référentiel. Dès qu'une mission touche au risque cyber, dérouler l'évaluation d'applicabilité de chaque exigence — et documenter les exclusions.
• Traiter DORA comme un socle, non comme une variable. Registre, contrats, gouvernance et tests doivent être couverts ; leur fréquence et leur profondeur s'ajustent au risque.
• Élargir le périmètre quand c'est nécessaire. Une mission engagée sur un risque cyber conduit souvent à examiner des contrôles métier situés en aval : mieux vaut l'assumer dans le cadrage que le découvrir en cours de route.

Écueils fréquents

• Traiter le référentiel comme une liste de vérification à dérouler intégralement, sans évaluation d'applicabilité — l'inverse de son esprit.
• Invoquer l'approche par les risques pour écarter des exigences applicables sans documenter la justification.
• Viser une opinion globale sur « la cybersécurité », alors que le domaine est trop vaste pour une assurance crédible en une mission.
• S'en remettre au seul référentiel technique du prestataire informatique, qui mesure l'exposition des actifs et non l'atteinte des objectifs.
• Négliger la documentation des arbitrages, examinée lors des évaluations qualité externes.

L'approche ARCAD

ARCAD conduit des audits IT et DORA fondés sur les risques métier de l'organisation, cadrés par les exigences applicables et documentés en vue des évaluations qualité. Notre point de départ est l'exposition réelle de l'entité — pas un catalogue de contrôles techniques déroulé indistinctement.