Un vendredi soir, un client écrit à Sophie B. : « Concrètement, comment protégez-vous nos données comptables ? » Elle sait que son cabinet fait « à peu près » les choses correctement. Mais serait-elle capable de le démontrer, point par point, si on le lui demandait ? C'est exactement ce qu'un audit cybersécurité permet de poser à plat — non pour se faire peur, mais pour savoir enfin où l'on en est.
Un audit cybersécurité, ce n'est pas réservé aux grands groupes
Le mot « audit » impressionne. Dans les faits, un audit cybersécurité, c'est simplement passer en revue, de façon organisée, les protections qui entourent vos données et vos outils de travail. Pas un jugement, pas une note : une photo à l'instant T de ce qui est solide et de ce qui repose encore sur la confiance ou l'habitude.
Dans une fiduciaire d'une dizaine de personnes, sans informaticien à demeure, la sécurité tient souvent à deux choses : les réflexes de l'équipe et « le prestataire, qui gère ». Le problème, c'est que personne n'a de vue d'ensemble. Qui a accès au logiciel comptable, aujourd'hui, vraiment ? La sauvegarde de la nuit dernière a-t-elle fonctionné ? Le poste portable du collaborateur parti l'an dernier est-il encore actif quelque part ? Un audit répond à ces questions une par une, au lieu de les laisser en suspens.
Pour une fiduciaire, l'enjeu est particulier. Vous détenez ce qu'une entreprise a de plus confidentiel : sa comptabilité, ses salaires, ses données fiscales et bancaires. Le secret professionnel n'est pas une option, c'est le cœur du métier — et une fuite ne coûte pas seulement de l'argent, elle entame la confiance qui vous fait vivre. C'est précisément ce que protège un audit : pas les machines pour elles-mêmes, mais la relation avec vos clients.
C'est aussi le langage que parlent, de plus en plus, vos clients et leurs propres auditeurs. Quand une PME cliente vous confie ses salaires et sa comptabilité, elle attend — parfois par écrit — que vous puissiez décrire vos mesures de sécurité. Un audit, même modeste, transforme un « on fait attention » en quelque chose de vérifiable.
En clair (Camille, conseillère Cyber Passport). Un audit n'est pas un examen qu'on réussit ou qu'on rate. C'est une liste de questions simples auxquelles, aujourd'hui, vous répondez « oui », « non » ou « je ne sais pas ». Les « je ne sais pas » sont vos priorités : ce ne sont pas des fautes, ce sont des angles morts. Les éclairer, c'est déjà l'essentiel du travail.
Bon à savoir : un premier audit n'a pas besoin d'être mené par un cabinet externe ni de coûter plusieurs milliers de francs. La version la plus utile, pour commencer, c'est un auto-diagnostic honnête — une auto-évaluation où vous vous posez, à froid, les bonnes questions avant que les circonstances ne les posent pour vous.
Ce qu'il faut retenir
L'idée n'est pas de tout vérifier d'un coup, mais de couvrir les quelques domaines qui concentrent l'essentiel du risque pour une PME de services.
- Un audit répond à une question très concrète. Si un incident survenait demain — un e-mail piégé, un poste bloqué, un client qui réclame l'historique de ses données —, sauriez-vous immédiatement ce qui est protégé et ce qui ne l'est pas ? L'audit, c'est cette réponse préparée à l'avance, au calme, plutôt que dans l'urgence.
- Quatre domaines couvrent l'essentiel. Les accès (qui peut entrer, et où), les sauvegardes (peut-on vraiment tout récupérer), les mises à jour (les outils sont-ils encore soutenus et à jour) et l'humain (l'équipe reconnaît-elle un piège). À cela s'ajoute, pour une fiduciaire, la question des données sensibles au regard de la nLPD, la loi suisse sur la protection des données révisée, en vigueur depuis 2023.
- Commencer vaut mieux qu'attendre l'audit parfait. Une première passe imparfaite, faite cette semaine, vous apprend déjà plus que le rapport idéal qui n'arrive jamais. On note les angles morts, on ferme les plus urgents, puis on affine à intervalles réguliers.
Les gestes à installer cette semaine
Trois gestes, sans budget et sans compétence technique, pour transformer l'intention en premier audit réel.
1. Dresser la liste de qui accède à quoi
Prenez une feuille et listez les outils qui contiennent des données clients : messagerie, logiciel comptable, espace de partage de fichiers. En face de chacun, notez qui y a accès aujourd'hui. Presque toujours, deux ou trois surprises apparaissent : un ancien collaborateur encore actif, un compte partagé dont plus personne ne connaît vraiment le mot de passe, un accès « temporaire » jamais retiré. Rien qu'en fermant ces portes, vous réduisez le risque de façon très concrète. Profitez-en pour vérifier que les accès sensibles sont protégés par la double authentification (MFA) — en plus du mot de passe, une seconde preuve d'identité, par exemple un code reçu sur le téléphone.
2. Vérifier qu'une sauvegarde existe — et qu'on sait la restaurer
« On a des sauvegardes » est la phrase la plus trompeuse en la matière, parce qu'elle rassure sans rien prouver. Le vrai test tient en une question : si le logiciel comptable était inaccessible demain matin, en combien de temps — et à partir de quoi — seriez-vous de nouveau opérationnels ? Demandez à votre prestataire de vous montrer une restauration réelle, pas seulement de confirmer que « ça tourne ». Un bon repère, sans entrer dans la technique : la règle dite 3-2-1 — trois copies de vos données, sur deux types de supports différents, dont une conservée hors de vos locaux. L'important n'est pas de tout mettre en place ce lundi, mais de savoir où vous en êtes face à ce repère. Une sauvegarde qu'on n'a jamais testée en restauration n'est qu'une hypothèse, et le pire moment pour le découvrir, c'est le jour où vous en avez besoin.
3. Poser à l'équipe la question du « pire e-mail »
Réunissez l'équipe dix minutes et décrivez ensemble le scénario le plus crédible : une fausse facture d'un fournisseur habituel, ou un message urgent qui semble venir d'une associée et réclame un virement immédiat. Le hameçonnage (phishing) — ces e-mails frauduleux qui imitent un interlocuteur de confiance pour vous pousser à payer ou à cliquer — vise justement les métiers qui manipulent de l'argent et des données. Convenir à voix haute d'un réflexe simple (« en cas de doute sur un paiement, on raccroche et on rappelle sur un numéro connu ») protège mieux que n'importe quel logiciel, et ne coûte rien.
Où en êtes-vous vraiment ?
Ces trois gestes sont, littéralement, les premières lignes d'un audit cybersécurité. Ils vous donnent un aperçu — pas la photo complète. Pour aller plus loin sans vous noyer, l'auto-évaluation Cyber Passport reprend ces domaines question par question et les met en regard des référentiels reconnus : la nLPD pour vos obligations suisses, et des cadres structurants comme le NIST CSF 2.0 ou l'Annexe A de la norme ISO 27001:2022, que parlent vos donneurs d'ordre lorsqu'ils vous auditent.
Soyons clairs : Cyber Passport ne certifie rien et ne vous déclare pas « conforme ». Il fait autre chose, sans doute plus utile au quotidien : il vous montre, noir sur blanc, où votre cabinet est solide et où il repose encore sur la confiance interpersonnelle — puis vous donne de quoi en parler, sereinement, à vos clients comme à votre prestataire. C'est le point de départ d'un audit que vous menez, au lieu de le subir — et le premier pas pour répondre, la prochaine fois, sans hésiter à ce client du vendredi soir.
