Critères d'audit

Définition

Les critères d'audit désignent l'ensemble des exigences de référence auxquelles est comparée la preuve d'audit collectée par l'auditeur, permettant de déterminer si l'organisation auditée respecte ou non les obligations qui lui sont applicables, ces critères pouvant recouvrir simultanément des exigences normatives, comme les clauses et contrôles de l'annexe A de la norme ISO 27001, des exigences légales et réglementaires, comme les obligations du RGPD ou de la directive NIS2, ainsi que des exigences internes propres à l'organisation, comme ses propres politiques et procédures qu'elle s'est elle-même fixées. La définition précise des critères d'audit en amont d'une mission constitue une étape structurante souvent négligée, une confusion sur les critères réellement applicables conduisant fréquemment à des conclusions d'audit contestables, par exemple lorsqu'un auditeur évalue une organisation au regard d'une version obsolète d'une norme ou d'un référentiel réglementaire qui a entretemps évolué. Pour un audit de certification, les critères d'audit sont fixés par la norme concernée et par le référentiel d'accréditation applicable à l'organisme certificateur, tandis que pour un audit interne ou un audit de conformité réglementaire commandité en interne, l'organisation dispose d'une plus grande latitude pour définir précisément les critères retenus, en cohérence avec ses propres obligations et engagements applicables au périmètre audité.