Ces méthodes sont destinées à être publiques et vendues au prix coûtant par le Clusif. Il faut ensuite leur adjoindre des bases de connaissances spécifiques, que chaque utilisateur peut créer. Le Clusif a les siennes, et un certain nombre de sociétés qui se servent de ces méthodes ont développé les leurs. C'est toutefois dommage, car une base de connaissances faite par beaucoup d'experts est toujours préférable à une base propriétaire.

Non. C'est la valeur des auditeurs qui est essentielle, la partie technique est secondaire. Ce n'est pas en cachant ses bases de questionnaires que l'on va avoir un avantage décisif. Méhari est un guide méthodologique qui fait office de support à la démarche d'audit. Ensuite, il faut pouvoir en tirer les enseignements pertinents et c'est là que se situe la valeur ajoutée de l'auditeur. Un questionnaire brut de 800 questions n'est pas très utile, il faut savoir l'adapter aux besoins de l'entreprise, sur le terrain.

L'approche de Méhari s'effectue par le biais des enjeux spécifiques au métier de l'entreprise auditée. La méthode identifie les risques insupportables et l'informatique ne vient qu'après. C'est une approche plus opérationnelle où l'on commence par identifier les besoins des utilisateurs. L'idée est de faire ressortir de tous les risques potentiels ceux qui sont inacceptables pour l'entreprise.