Audit du parc informatique : la méthode en 5 étapes
De la connaissance à l’action – découvrez Timly maintenant!
L’audit du parc informatique dresse l’état réel du matériel, des logiciels, des licences et des accès d’une entreprise, puis le compare à ses besoins, à ses risques et à ses obligations. Ce guide détaille le périmètre de la démarche, les raisons de la lancer, le bon rythme, les cinq étapes de réalisation, le choix entre audit sur site, à distance ou hybride, et les outils qui allègent le travail.
Qu’est-ce que l’audit du parc informatique ?
Un état des lieux qui va plus loin que l’inventaire
- L’inventaire répond à la question « que possédons-nous ? ».
- L’audit du parc informatique ajoute : dans quel état, pour quel usage, avec quels risques et à quel coût ?
- Il part de l’inventaire, puis vérifie la conformité des licences, le niveau de sécurité, l’adéquation entre équipements et usages et la cohérence avec les contrats en cours.
- Il se conclut par un rapport et un plan d’action priorisé.
Le périmètre couvert
| Domaine | Points vérifiés |
|---|---|
| Matériel | Postes fixes et portables, serveurs, imprimantes, smartphones, équipements réseau : âge, état, garantie, utilisateur, localisation |
| Logiciels et licences | Versions, licences achetées et réellement utilisées, logiciels installés sans validation (Shadow IT), fins de support |
| Sécurité | Mises à jour, antivirus ou EDR, pare-feu, sauvegardes testées, chiffrement des postes nomades |
| Comptes et accès | Comptes à privilèges, comptes de collaborateurs partis, authentification |
| Contrats et coûts | Maintenance, location, abonnements cloud, dates de renouvellement |
Un audit partiel, limité aux postes ou aux licences, garde son intérêt à condition qu’il réponde à une question précise.
Pourquoi auditer son parc informatique ?
Les motivations d’un audit du parc informatique se recoupent souvent :
- Sécurité : l’ANSSI fait de la cartographie à jour de l’installation informatique l’une des premières mesures de son guide d’hygiène informatique. Un équipement inconnu ne reçoit ni correctif ni sauvegarde.
- Coûts : licences payées mais inutilisées, postes surdimensionnés, maintenance facturée sur du matériel déjà sorti du parc. L’audit du parc informatique relie chaque dépense à un actif réel, ce qui éclaire le coût total de possession (TCO).
- Renouvellement : repérer les équipements en fin de support permet de planifier les remplacements au lieu de subir les pannes.
- Conformité : une entreprise qui ne sait pas où sont ses données ni qui y accède peut difficilement justifier ses mesures de sécurité au titre du RGPD, ni répondre sereinement à un audit de licences d’un éditeur.
- Projets : un passage en infogérance, un déménagement, une fusion ou une migration cloud démarrent mieux sur la base fiable qu’apporte un audit du parc informatique.
Quand et à quelle fréquence auditer son parc informatique ?
Certains moments justifient un audit du parc informatique, quel que soit le calendrier prévu :
- avant de signer un contrat d’infogérance ou de changer de prestataire ;
- avant un plan de renouvellement ou une migration, comme lors de la fin du support de Windows 10 en octobre 2025 ;
- après un incident de sécurité, pour vérifier qu’aucun poste n’a échappé aux mesures correctives ;
- lors d’une fusion, d’un déménagement ou de l’ouverture d’un site ;
- avant une démarche de certification ISO 27001.
Pour le rythme courant, il est conseillé de réaliser un audit complet tous les deux à trois ans, avec des contrôles plus légers entre deux. Plus l’inventaire est tenu à jour au fil de l’eau (arrivées, départs, achats, mises au rebut), plus le prochain audit du parc informatique sera rapide.
Les 5 étapes de l’audit du parc informatique
La méthode varie selon les prestataires et les référentiels, mais un audit du parc informatique suit généralement ces 5 étapes.
Étape 1 : cadrer le périmètre et les risques
L’audit du parc informatique commence par la définition des objectifs, du périmètre, des critères et des contraintes : quels sites, quelles familles d’équipements, quels systèmes. Cette étape détermine aussi ce qui peut être vérifié à distance et ce qui exige une visite. Une évaluation fondée sur le risque guide ce choix : écarts relevés lors du précédent audit, exigences réglementaires, disponibilité de preuves numériques fiables.
Étape 2 : planifier et réunir la documentation
Le plan d’audit fixe l’agenda, le calendrier et les responsabilités. Il identifie les interlocuteurs (DSI, achats, comptabilité, ressources humaines pour les arrivées et départs) et liste les documents à fournir en amont : inventaire existant, factures, contrats, schéma réseau, extractions des consoles d’administration. Une liste claire des pièces attendues limite les échanges de dernière minute, surtout si une partie de l’audit du parc informatique se déroule à distance. Une documentation informatique déjà structurée raccourcit nettement cette phase.
Étape 3 : collecter les données et contrôler
La collecte des données de l’audit du parc informatique combine trois sources : la découverte automatique (agent d’inventaire, scan réseau, console de gestion des terminaux mobiles), les documents d’achat et les contrôles physiques par échantillonnage (numéro de série, étiquette, état, utilisateur réel). Les contrôles de sécurité portent sur les correctifs manquants, les comptes à privilèges, les sauvegardes et les logiciels non autorisés.
Étape 4 : analyser les écarts et échanger avec les équipes
L’analyse compare l’inventaire théorique au parc constaté et les usages aux équipements fournis. Des entretiens avec les utilisateurs et les responsables de service expliquent les écarts. Quelques indicateurs simples rendent les constats de l’audit du parc informatique lisibles par la direction.
Exemple hypothétique :
Une entreprise paie 200 licences d’une suite bureautique et en compte 140 actives. Taux d’utilisation = 140 ÷ 200 = 70 %. Les 60 licences restantes sont à réattribuer ou à résilier à l’échéance.
Étape 5 : rédiger le rapport et suivre le plan d’action
Le rapport réunit une synthèse pour la direction, les constats classés par criticité, des recommandations chiffrées et un plan d’action avec responsables et échéances. Le suivi gagne à se faire dans un outil partagé, pour que l’équipe informatique et la direction voient l’avancement en temps réel. Les enseignements sur la méthode (durée, outils, preuves difficiles à obtenir) servent à améliorer le prochain audit du parc informatique.
Audit sur site, à distance ou hybride : quelle formule choisir ?
Un audit à distance (remote audit) collecte et évalue les preuves au moyen d’outils numériques plutôt que par la présence physique de l’auditeur : visioconférence, partage d’écran, plateforme documentaire sécurisée, accès en lecture aux consoles. La norme ISO 19011, qui donne les lignes directrices de l’audit des systèmes de management, le traite comme une méthode d’audit à choisir selon les objectifs et le périmètre, et non comme un type d’audit à part. Pour les organismes de certification, le document IAF MD 4 encadre l’usage de ces technologies. Pour un audit du parc informatique, la vraie question porte donc sur la part de chaque format.
Ce que l’audit à distance permet
Le parc informatique se prête bien à l’audit à distance, car une grande partie des preuves est déjà numérique. Un audit du parc informatique mené à distance s’appuie sur les exports de configuration, les journaux (logs), les captures d’écran, les politiques de sécurité et les démonstrations en direct sur les consoles. Les thèmes typiques : gestion des accès et des identités, gestion des changements, sauvegarde et plan de reprise d’activité, supervision du réseau, sécurité des services cloud.
Les bénéfices sont concrets : moins de déplacements, des sites éloignés couverts sans surcoût, des experts mobilisés quelle que soit leur localisation. Ils supposent toutefois une préparation technique sérieuse : outils de visioconférence et de partage testés par les deux parties, canaux chiffrés, droits d’accès limités, règles de conservation puis de suppression des preuves partagées. Il faut aussi prévoir des pauses, car les sessions longues à l’écran fatiguent vite.
Ses limites et les cas où le terrain reste nécessaire
L’audit à distance voit mal l’état physique : étiquetage, salle serveur, matériel stocké dans un placard ou postes en prêt jamais restitués. Il dépend de la qualité des connexions et demande une validation plus stricte des preuves, qui pourraient être incomplètes ou retouchées. Les équipes peu habituées aux outils numériques s’y impliquent aussi plus difficilement.
Une visite reste donc conseillée pour un premier audit du parc informatique, pour un parc jamais inventorié, pour les sites à risque élevé ou ceux où le précédent audit a relevé des écarts importants.
| Critère | Sur site | À distance | Hybride |
|---|---|---|---|
| Présence de l’auditeur | Physique | Virtuelle | Virtuelle, avec visites ciblées |
| Coûts et déplacements | Les plus élevés | Les plus faibles | Intermédiaires |
| Preuves collectées | Observation directe, comptage, documents | Documents, exports, captures, visites vidéo | Les deux, selon le risque |
| Adapté pour | Premier audit, parc mal connu, sites sensibles | Contrôles réguliers, parc bien documenté | Entreprises multisites |
| Risque principal | Logistique lourde | Vision limitée du terrain | Coordination entre les deux volets |
Audit mené en interne ou par un prestataire externe ?
Une équipe interne qui mène l’audit du parc informatique connaît le contexte et coûte moins cher, mais elle manque souvent de temps, de recul et parfois de compétences en sécurité. Un prestataire apporte une méthode, des outils et un regard neutre, au prix d’une préparation interne qui reste indispensable.
Deux points de vigilance. Un audit offert en amont d’un contrat d’infogérance sert aussi à dimensionner l’offre commerciale : demandez la méthode et un exemple de livrable. Pour la partie sécurité, l’ANSSI qualifie des prestataires d’audit de la sécurité des systèmes d’information (label PASSI), utile pour les entreprises soumises à des exigences élevées. Une formule mixte fonctionne bien : inventaire et analyse des usages en interne, volet sécurité confié à un spécialiste.
Quels outils pour faciliter l’audit ?
Un audit du parc informatique bien outillé repose sur :
- une visioconférence chiffrée pour les entretiens et les visites virtuelles ;
- une plateforme documentaire sécurisée pour l’échange des preuves ;
- un outil de découverte réseau ou un agent d’inventaire ;
- un outil de suivi des constats et des actions correctives ;
- des étiquettes à QR code et un smartphone pour les vérifications physiques.
Le gain le plus important vient toutefois d’un logiciel de gestion de parc informatique tenu à jour en continu. Quand chaque équipement possède une fiche à jour, les auditeurs passent moins de temps à réconcilier des tableurs et plus de temps à évaluer les contrôles. Avec la solution basée sur le cloud de Timly, l’attribution, la localisation, les licences et l’historique de maintenance de chaque actif sont consultables en temps réel, y compris par un auditeur à distance, et une vérification terrain se fait en scannant le QR code de l’équipement.
Foire aux questions
Aucune loi ne l’impose en tant que tel. En revanche, l’article L123-12 du Code de commerce oblige tout commerçant à contrôler par inventaire, au moins une fois tous les douze mois, l’existence et la valeur de ses actifs, matériel informatique immobilisé compris. Le RGPD exige par ailleurs des mesures de sécurité appropriées, et les entités concernées par la directive NIS 2 doivent gérer leurs risques cyber : deux obligations difficiles à tenir sans connaître son parc.
La durée d’un audit du parc informatique dépend du nombre de postes, du nombre de sites et de l’état de l’inventaire de départ. Pour un parc informatique réparti sur plusieurs sites sans solution de gestion centralisée, il faut compter plusieurs semaines.
Rarement pour une certification initiale. Les organismes de certification appliquent le document IAF MD 4 et beaucoup exigent une visite lorsque les conditions physiques comptent pour la conformité, ce qui est le cas des locaux techniques et du matériel. Les audits de surveillance ou de renouvellement se prêtent davantage au distanciel, une fois une base solide établie.
Le plus sûr consiste à recueillir les preuves directement dans les systèmes pendant la session : partage d’écran en direct, exports lancés devant l’auditeur, journaux horodatés. Des règles écrites sur la façon de demander, transmettre et conserver les preuves, associées à une plateforme qui garde une trace des accès, réduisent encore le risque de manipulation.
Le matériel jugé obsolète lors de l’audit du parc informatique doit sortir du parc de façon traçable : effacement certifié des données, reconditionnement, don ou recyclage par une filière de déchets d’équipements électriques et électroniques (DEEE), puis mise à jour de l’inventaire et des immobilisations. Notre guide sur l’ITAD et la fin de vie du matériel informatique détaille ces étapes.
