Pour que l'audit fonctionne bien, il faut une implication hiérarchique forte, de préférence au niveau de la direction générale, ou au moins une autorité reconnue. Il faut aussi que les personnes concernées (administrateurs des machines, services informatiques) soient impliqués dès le départ.

Un audit n'est pas seulement basé sur des informations techniques. Les procédures sont importantes : quand sont faites les sauvegardes ? Comment sont suivies les machines ? Une veille technologique en matière de sécurité est-elle mise en place? C'est pourquoi, il faut impliquer tout le monde et pas seulement les techniciens.

Il faut une quinzaine de jours de discussion pour préparer convenablement un premier audit. On peut certes envisager des interventions plus rapides, sous la forme d'audits " coup de poing " afin de sanctionner la non-application de consignes préalables. Mais ce n'est jamais agréable pour l'auditeur, et heureusement, on en fait peu. Le plus souvent, l'audit est vécu comme un vecteur de progrès. On consacre d'ailleurs du temps à expliquer notre démarche et à travailler à l'amélioration du système. Passé le premier audit, les suivants pourront être plus rapides. Ils demeurent toutefois nécessaires : c'est un processus et non une prestation unique !