Ce que l'audit doit permettre de décider
Un bon audit ne produit pas une liste générique de bonnes pratiques. Il permet d'arbitrer : quels risques traiter en premier, quelles dépenses sont justifiées, quelles capacités manquent et quelles actions peuvent être réalisées sans perturber la production.
Périmètre d'analyse
- architecture et flux critiques ;
- performance, capacité et disponibilité ;
- sécurité, accès et données sensibles ;
- qualité, lineage et gouvernance ;
- processus d'exploitation et gestion des incidents ;
- coûts, consommation et responsabilité ;
- organisation, compétences et dépendances.
Livrables
- synthèse exécutive orientée risques et décisions ;
- constats techniques documentés ;
- cartographie des risques et des dépendances ;
- backlog priorisé par valeur, effort et urgence ;
- trajectoire à 90 jours et feuille de route à moyen terme ;
- atelier de restitution avec la DSI et les équipes.
Déroulement
Le cadrage fixe les questions de décision. L'observation combine entretiens, configurations, métriques, workloads, code et procédures. Les constats sont contradictoires avec les équipes avant la restitution afin de distinguer les faits, les hypothèses et les choix assumés.