Programme d'audit pluriannuel

Définition

Le programme d'audit pluriannuel est le document de planification établi par une organisation pour définir, sur plusieurs années, la fréquence, le périmètre et les ressources allouées à ses différentes missions d'audit interne, qu'elles portent sur la sécurité de l'information, la continuité d'activité, la protection des données ou d'autres domaines de conformité réglementaire, permettant une couverture progressive et cohérente de l'ensemble des sujets et périmètres relevant de la responsabilité de la fonction d'audit interne. La construction de ce programme repose généralement sur une approche fondée sur les risques, priorisant les audits des activités et systèmes jugés les plus critiques ou les plus exposés, tout en garantissant qu'aucun périmètre significatif ne reste durablement écarté de toute vérification indépendante, un déséquilibre fréquent observé dans les organisations où certains sujets bénéficient d'une attention disproportionnée au détriment d'autres domaines pourtant significatifs mais moins visibles ou moins médiatisés en interne. Ce programme doit également tenir compte des exigences réglementaires spécifiques imposant une fréquence minimale d'audit pour certains périmètres, comme les audits internes exigés annuellement par la norme ISO 27001 pour l'ensemble du système de management sur un cycle de trois ans, ou les contrôles renforcés attendus par le règlement DORA pour les entités financières les plus significatives, ce programme devant régulièrement être révisé pour tenir compte de l'évolution du contexte, des risques identifiés et des enseignements tirés des audits précédemment réalisés.