Liste de contrôle d'audit du parc informatique de l'entreprise

Liste de contrôle d’audit pour le parc informatiquePresque toutes les entreprises avec plus de dix postes ont des équipements dont personne ne sait bien à quoi ils servent, des comptes utilisateurs de personnes qui ont déjà quitté l’entreprise et une copie de sauvegarde qui “ devrait bien fonctionner ”. Une vérification du parc informatique n’a pas besoin d’un consultant externe ni d’une semaine de travail : elle nécessite une liste, deux ou trois heures et de l’honnêteté dans les réponses. Voici la liste que nous utilisons lorsqu’on entre dans une nouvelle entreprise. Vous pouvez l’utiliser vous-même ou nous demander de la faire pour vous.

Avant de commencer : qu'est-ce qu'un audit du parc informatique

Il s'agit d'un inventaire systématique de ce que l'entreprise possède (équipements, logiciels, comptes, connexions), de son état et de ce qui manque pour travailler en toute sécurité. Ce n'est pas un rapport de vulnérabilités technique — c'est un portrait qu'un gestionnaire peut lire et qui sert de base pour décider où investir. Si la réponse à une question est “ je ne sais pas ”, notez-la telle quelle : c'est cette information qui est utile.

1. Inventaire des équipements

• Liste de tous les ordinateurs, ordinateurs portables, serveurs, imprimantes, commutateurs, points d'accès et pare-feu, avec la marque, le modèle, le numéro de série et l'emplacement.
• Âge de chaque équipement. Règle pratique : les ordinateurs portables et les postes de travail de plus de 5 ans et les serveurs de plus de 6 ans sont candidats à un remplacement planifié, et non à une réparation d'urgence.
• Équipements sous garantie ou disposant d'un contrat de support du fabricant — et la date de leur fin.
• Équipement qui existe physiquement mais n'apparaît sur aucune liste. Apparaît toujours.

2. Systèmes d'exploitation et logiciels

• Version du système d'exploitation sur chaque poste et serveur. Les postes encore sous Windows 10 n'ont plus de mises à jour de sécurité gratuites depuis octobre 2025 — découvrez quoi faire dans notre article sur la fin du support de Windows 10.
• Serveurs dans des versions sans support (Windows Server 2012 et antérieurs, ou 2016 avec fin de support en janvier 2027).
• Licences : quelles licences de Microsoft 365, antivirus, logiciels de gestion et autres existent, combien sont attribuées et combien sont payées sans être utilisées.
• Logiciel installé par les utilisateurs sans autorisation (outils d'accès à distance, gestionnaires de fichiers cloud personnels, convertisseurs en ligne).

3. Sauvegardes

• Ce qui est copié : serveurs, postes, e-mails et fichiers de Microsoft 365, bases de données du logiciel de gestion.
• À quelle fréquence, vers où et combien de versions sont conservées. S'il n'y a qu'une seule copie dans le même bâtiment, il n'y a pas de copie.
• Date du dernier test de restauration réussi. S'il n'a jamais été effectué, marquez-le comme le premier point à résoudre.
• Qui reçoit l'alerte lorsqu'une copie échoue — et si quelqu'un la lit.

Si ce bloc a obtenu des réponses faibles, commencez par ici : voici comment fonctionne le sauvegarde gérée avec des tests de restauration.

4. Comptes et accès

• Liste des utilisateurs actifs dans le domaine et dans Microsoft 365. Comparez-la avec la liste des employés actuels : les différences sont les comptes à désactiver aujourd'hui.
• Qui dispose des autorisations d'administrateur sur les postes de travail, les serveurs et dans Microsoft 365. Il doit s'agir d'un nombre restreint et connu.
• Authentification multifacteur active sur tous les comptes avec accès aux e-mails et aux fichiers — sans exceptions pour la direction.
• Comptes partagés (le “ compte de la réception ”, l“” utilisateur du magasin ») et qui connaît leurs mots de passe.
• Accès des fournisseurs externes : qui entre sur votre réseau, avec quelles identifiants et s'ils ont encore besoin de le faire.

5. Réseau et connexion Internet

• Schéma du réseau, même s'il est dessiné à la main : où se trouve le rack, quels commutateurs existent, comment arrive l'Internet et par où passe le Wi-Fi.
• Baie rangée et étiquetée, ou un entrelacs de câbles que personne ne veut toucher. La réponse en dit long sur le temps qu'une panne met à être résolue.
• Réseau d'invités séparé du réseau de l'entreprise. Équipements sensibles (serveurs, caméras, TPE) dans des segments propres.
• Connexion Internet : opérateur, débit contracté, s'il existe une seconde connexion de secours et combien de temps l'entreprise peut tenir sans Internet.

6. Sécurité

• Pare-feu : marque, modèle, s'il est mis à jour, qui le gère et quand la configuration a été révisée pour la dernière fois.
• Protection des postes et des serveurs : quel produit, s'il est actif sur tous les équipements et qui reçoit les alertes.
• Protection de la messagerie contre le hameçonnage et les factures falsifiées — le type de fraude le plus courant dans les entreprises portugaises.
• Plan de réponse aux incidents : si un poste est chiffré par un ransomware à 9h le lundi, qui fait quoi dans les 30 premières minutes ?

Pour approfondir ce bloc, utilisez notre liste de contrôle de cybersécurité pour PME.

7. Documentation et contrats

• Mots de passe d'administration des équipements (pare-feu, commutateurs, serveurs, routeur de l'opérateur) conservés dans un endroit sûr et connu de plus d'une personne.
• Contrats en cours : opérateur Internet, licences, support informatique. Délais, engagements de durée et ce qui est ou n'est pas inclus.
• Si l'informatique est assurée par un fournisseur externe : existe-t-il un SLA écrit ? Savez-vous ce qui se passe s'il disparaît demain ? Voyez ce que exiger dans un contrat informatique.

8. Personnes

• Qui est le point de contact interne pour l'informatique et que se passe-t-il lorsqu'il est en vacances.
• Quand a eu lieu la dernière session de sensibilisation au phishing et à la sécurité. Si la réponse est “ jamais ”, c'est l'investissement le moins cher avec le meilleur retour sur investissement de la liste.
• Procédure d'entrée et de sortie des collaborateurs : créer et désactiver des comptes, récupérer le matériel, révoquer les accès.

Que faire avec le résultat

Classez les pannes en trois groupes : ce qui expose l'entreprise à l'arrêt (copies sans test, serveur sans support, une seule connexion Internet), ce qui expose l'entreprise à une attaque (sans MFA, anciens comptes actifs, pare-feu sans gestion) et ce qui coûte de l'argent sans retour (licences excédentaires, équipement à réparer au lieu d'être remplacé). Les deux premiers groupes se résolvent en quelques semaines ; le troisième finance le reste. Si vous préférez que nous fassions l'état des lieux avec vous, c'est exactement ce que comprend notre conseil en informatique pour entreprisesvisite sur place et rapport écrit avec priorités, avant toute proposition.

Foire aux questions

Combien de temps prend un audit du parc informatique ?

Pour une entreprise comptant entre 10 et 50 postes, l'évaluation sur place prend une demi-journée et le rapport est prêt en quelques jours. Les entreprises disposant de plusieurs bureaux ou de leurs propres serveurs peuvent nécessiter davantage de visites.

Ai-je besoin d'outils spéciaux ?

Pas pour commencer. Une feuille de calcul et l'accès aux équipements suffisent. Les outils d'inventaire automatique aident dans les grands parcs, mais ils ne remplacent pas les questions sur les sauvegardes, les accès et les contrats.

À quelle fréquence faut-il le répéter ?

Au moins une fois par an, et chaque fois qu'il y a un changement majeur : changement de bureau, nouveau logiciel de gestion, fusion, départ du responsable informatique. Dans un contrat informatique géré, l'inventaire est tenu à jour en continu.

L'audit est-il la même chose qu'un audit de sécurité ?

Non. Un audit de sécurité (tests d'intrusion, analyse des vulnérabilités) est plus approfondi et plus technique. Cette liste de contrôle est l'étape précédente : savoir ce qui existe et dans quel état c'est. Sans elle, l'audit de sécurité reste incomplet.

Voulez-vous le relevé fait par ceux qui font cela chaque semaine ?

Nous visitons votre entreprise, parcourons cette liste avec vous et remettons un rapport écrit indiquant ce qui est en jeu et dans quel ordre le résoudre. Sans engagement. Voir notre conseil en informatique pour entreprises ou appelez le +351 211 459 950.