Un lien piégé, un clic, une alerte. Et la tentation de désigner Michel, de la compta. Sauf que pour l’auditeur, Michel n’est pas le problème. Une chronique tirée de notre livre « Audit-moi si tu peux ».
Ce qui se passe
Pendant un audit, un constat tombe : un collaborateur a cliqué sur un lien d’hameçonnage (phishing) quelques semaines plus tôt. Réflexe immédiat de l’audité : « Ah oui, c’est Michel. Il est nouveau, il n’a pas fait attention. »
Variante tout aussi fréquente : « C’est l’administrateur système qui a oublié. »
L’audité pense avoir réglé la question. En réalité, il vient d’envoyer à l’auditeur un signal bien plus inquiétant que le clic lui-même.
Ce que l’auditeur regarde vraiment
Votre auditeur se fiche éperdument de savoir qui a cliqué. Ce qui l’intéresse, c’est de comprendre pourquoi le système a permis que l’erreur se produise, et qu’elle ait des conséquences.
Si Michel a cliqué, les vraies questions sont ailleurs :
- le filtre de messagerie aurait-il dû bloquer ce message ?
- Michel avait-il été sensibilisé, et depuis combien de temps ?
- la double authentification aurait-elle empêché l’attaquant d’utiliser son mot de passe ?
- l’incident a-t-il été signalé vite, et traité ?
C’est un principe central de notre façon d’auditer : on audite un système, pas des personnes. Les erreurs humaines arrivent, partout. Une organisation mature ne cherche pas un coupable, elle cherche la faille du processus qui a laissé passer l’erreur. Et elle remercie Michel d’avoir signalé son clic, au lieu de le lui reprocher.
Désigner un individu, c’est aussi s’interdire de progresser : si c’est « la faute de Michel », rien ne change… jusqu’au prochain Michel.
À vous de jouer
Trois questions à vous poser :
- Quand une erreur humaine survient, cherchons-nous d’abord un responsable, ou d’abord la cause dans nos processus ?
- Nos collaborateurs osent-ils signaler un clic douteux sans craindre d’être pointés du doigt ?
- Nos mesures techniques (filtrage, double authentification) sont-elles pensées pour tenir le jour où quelqu’un se trompe ?
La phrase à retenir : si Michel a cliqué, le problème n’est pas Michel.
Pour aller plus loin : les mythes sur les auditeurs (et la vérité derrière) sont dans notre livre « Audit-moi si tu peux ».
Chronique adaptée de notre livre « Audit-moi si tu peux : Chroniques (presque) véridiques de l’audit ISO 27001 » (KyNeo, 2026). Préparée avec l’aide d’une intelligence artificielle et validée par KyNeo.