Qu'est-ce qu'un audit de conformité ?

C'est un examen documenté qui compare des pratiques et des preuves à des exigences identifiées. Il produit des constats limités au périmètre et un suivi d'actions, sans remplacer un conseil juridique.

Quelle différence entre audit de conformité et audit interne ?

L'audit de conformité se concentre sur le respect d'exigences déterminées ; un audit interne peut aussi évaluer l'efficacité d'un système ou d'un processus. Les deux exigent indépendance, preuves et limites explicites.

Comment définir le référentiel d'audit ?

Listez les textes, contrats, politiques et procédures applicables avec leur version et leur date. Faites valider l'interprétation des exigences sensibles par la fonction compétente.

Quelles preuves faut-il collecter ?

Croisez documents, enregistrements d'activité, observations et entretiens. Référencez source, date et échantillon, et ne collectez pas plus de données que nécessaire.

Peut-on enregistrer les entretiens d'audit ?

Ce n'est pas indispensable. Si une capture est autorisée et nécessaire, informez à l'avance, obtenez l'accord et fournissez une alternative pleinement équivalente avec notes manuelles et validation factuelle.

Quand clôturer une non-conformité ?

Après vérification de la correction, de l'action sur la cause et, lorsque pertinent, de son efficacité. Une promesse ou un document nouvellement rédigé ne suffit pas toujours à démontrer la maîtrise.

Audit de conformité : méthode, preuves et plan d'action

Un audit de conformité répond à une question limitée : les pratiques examinées satisfont-elles les exigences applicables retenues dans le référentiel ? Il ne certifie pas toute l’organisation et ne transforme pas l’auditeur en juge. La qualité repose sur la version des critères, la preuve et la formulation prudente des limites.

Cette page présente une méthode générale, pas un avis juridique. La portée d’une obligation dépend du secteur, du contrat, du territoire et des faits. Faites valider les interprétations sensibles par un juriste ou la fonction compétente.

Définir le mandat et le périmètre

Écrivez l’objectif, les entités, activités, sites, périodes et systèmes inclus. Nommez le commanditaire, les destinataires et les exclusions. « Vérifier la conformité RGPD » est trop large ; « examiner la gestion des demandes d’accès reçues au premier semestre » est auditable.

Indiquez le niveau d’assurance attendu et les ressources disponibles. Un échantillon ciblé peut détecter des écarts, mais ne prouve pas l’absence d’écart dans toute la population.

Construire un référentiel versionné

Listez chaque exigence avec source officielle, article ou clause, version et date d’effet. Ajoutez politiques internes et engagements contractuels lorsque ceux-ci font partie du mandat. Séparez le texte de l’interprétation opérationnelle.

Pour les données personnelles, le RGPD sur EUR-Lex, consulté le 18 juillet 2026, énonce notamment à l’article 5 les principes de finalité, minimisation et exactitude. Cette référence officielle ne suffit pas à qualifier seule un cas particulier.

Traduire les exigences en tests

Pour chaque critère, formulez ce qui devrait exister, la preuve attendue et la méthode de test. Une obligation d’information peut être testée par le modèle, le canal de remise et quelques dossiers ; une règle d’accès par la configuration, les habilitations et les journaux.

Critère	Test	Preuve	Limite
accès limité	comparer rôles et comptes	export d’habilitations	état à une date
durée respectée	échantillonner des dossiers	dates et suppressions	taille de l’échantillon
information fournie	suivre le parcours	écran, message, journal	variantes non testées

Le guide sur l’audit interne complète cette préparation par les principes d’indépendance et de programme d’audit.

Préparer un échantillon fondé sur le risque

Sélectionnez cas ordinaires, exceptions, changements récents, volumes élevés et situations sensibles. Documentez population, méthode et taille. Évitez de choisir uniquement des dossiers déjà connus comme bons ou mauvais.

Prévoyez les accès avant la mission et minimisez les copies. Un index de preuves peut référencer l’original contrôlé sans dupliquer toutes les données dans le dossier d’audit.

Conduire l’ouverture et les entretiens

Présentez mandat, critères, calendrier, confidentialité, méthode de contestation factuelle et personnes responsables. Expliquez que l’objectif est d’établir des constats, non d’attribuer automatiquement une faute.

Les notes manuelles sont le mode par défaut. Si une capture apporte une nécessité démontrable, informez les participants explicitement à l’avance, indiquez finalité, accès et suppression, puis obtenez l’accord. Toute personne doit pouvoir choisir une solution sans enregistrement pleinement équivalente : prise de notes, reformulation et validation du relevé.

En France, l’article 226-1 du Code pénal sur Légifrance, dans sa version affichée comme en vigueur depuis le 23 mars 2024 et consultée le 18 juillet 2026, vise notamment la captation sans consentement de paroles privées ou confidentielles. Le contexte concret exige une analyse compétente.

Recueillir et croiser les preuves

Utilisez quatre familles : documents, enregistrements d’activité, observation et entretiens. Une politique écrite prouve l’existence d’une règle, pas son application. Un témoignage explique un processus, mais doit être corroboré lorsque la conclusion est conséquente.

Conservez source, date, auteur, version et transformation. Le compte rendu d’entretien d’audit fournit une structure pour séparer déclaration, pièce montrée et point à vérifier.

Auditer la conformité des traitements de données

Commencez par la réalité opérationnelle, pas le nom du logiciel. La CNIL décrit le registre des activités de traitement, page datée du 13 avril 2018 et consultée le 18 juillet 2026, comme un outil devant refléter les traitements, leurs finalités, acteurs, données, destinataires, durées et mesures de sécurité.

Vérifiez un échantillon de traitements de bout en bout : collecte, information, accès, transfert, conservation et suppression. Pour les risques de sécurité, la fiche officielle d’analyse de risques de la CNIL, publiée le 14 mars 2024 et consultée le 18 juillet 2026, rappelle l’évaluation de la vraisemblance et de la gravité afin d’adapter les mesures.

Rédiger un constat défendable

Un constat contient : critère, preuve, observation, portée et risque. Écrivez « 2 dossiers sur 12 ne contenaient pas la validation prévue par P-04 » plutôt que « le service ignore la procédure ». Distinguez non-conformité, observation et amélioration selon les définitions annoncées.

Faites vérifier l’exactitude factuelle par les personnes concernées sans leur déléguer la classification. Un désaccord documenté ne doit être ni caché ni automatiquement tranché par une IA.

Protéger les données et utiliser les outils avec prudence

Limitez les accès, chiffrez selon le risque, séparez annexes sensibles et rapport de diffusion, puis fixez la suppression des fichiers de travail. Ne placez pas des données de santé, secrets ou identifiants complets dans une synthèse si une référence suffit.

Pour des entretiens en présentiel consentis, Kuno est un enregistreur physique avec IA conçu et développé à Munich. Le traitement et le stockage sont hébergés dans l’UE ; les fonctions principales commercialisées fonctionnent sans abonnement. Découvrir Kuno pour documenter un audit autorisé.

Kuno ne détermine pas la conformité et ne doit pas être présenté comme captant le son système d’appels, de WhatsApp ou de Google Meet. Une personne qualifiée vérifie transcription, contexte et conclusion avant tout usage conséquent.

Construire et suivre le plan d’action

Pour chaque écart, distinguez correction du cas, cause, action corrective, responsable, échéance, preuve attendue et contrôle d’efficacité. « Former l’équipe » ne suffit pas si la cause est un droit mal configuré ou une procédure contradictoire.

La structure du rapport d’audit qualité aide à présenter constats et suites. Vérifiez la mise en œuvre, puis l’efficacité après un délai adapté. Une action fermée administrativement peut rester inefficace sur le terrain.

Si les preuves restent contradictoires ou si le mandat doit établir une chronologie détaillée, adaptez la méthode du rapport d’enquête au référentiel et aux droits applicables.

Checklist de clôture

mandat, exclusions et référentiel versionnés ;
interprétations sensibles validées ;
échantillon et limites annoncés ;
chaque constat relié à une preuve ;
éléments contradictoires conservés ;
exactitude factuelle relue ;
données minimisées et protégées ;
actions attribuées et datées ;
efficacité planifiée ;
décision finale prise par une personne habilitée.

Pour réduire la ressaisie lors d’entretiens physiques explicitement acceptés, évaluer Kuno dans un processus d’audit contrôlé. La technologie prépare une matière vérifiable ; elle ne remplace ni le référentiel, ni l’analyse juridique, ni le jugement de l’auditeur.