Audit de sûreté indépendant de vos sites
Collectivités, entreprises, santé, industrie : nous évaluons la sécurité de vos sites contre la malveillance (accès, intrusion, vidéoprotection, vidéosurveillance, organisation), visite de nuit et tests compris. Plan d'actions priorisé, sans lien avec aucun fabricant ni installateur. En Provence-Alpes-Côte d’Azur et partout en France.
Matériel vendu
Visites et tests
Zone d’intervention
Qu'est-ce qu'un
audit de sûreté ?
Qu'est-ce qui doit être protégé, et contre quelles menaces ?
Les mesures existantes sont-elles adaptées, fonctionnent-elles et sont-elles réellement exploitées ?
Quelles actions engager, dans quel ordre et avec quel ordre de grandeur d'investissement ?
L'essentiel
Les objectifs d'un audit de sûreté
- Identifier les actifs à protéger : personnes, biens, informations, continuité d'activité.
- Évaluer la menace selon l'environnement, l'activité et l'attractivité du site.
- Repérer les vulnérabilités et vérifier que les équipements fonctionnent et sont exploités.
- Hiérarchiser les actions selon le risque résiduel.
Trois niveaux d'analyse : technique, organisationnel, humain
Le niveau technique porte sur les équipements et leur état. Le niveau organisationnel porte sur les procédures et les rôles. Le niveau humain porte sur les comportements, la culture de sûreté et les contournements du quotidien. Un système performant mal exploité protège peu. Une procédure rigoureuse sans moyen de détection reste aveugle.
Les menaces prises en compte
Intrusion, vol interne ou externe, vandalisme, sabotage, agression du personnel, intrusion violente ou acte terroriste, captation d'informations sensibles, attaque informatique des équipements de sûreté. L'analyse retient les scénarios plausibles pour votre site, pas une liste générique.
Audit de sûreté, audit de sécurité,
diagnostic : quelles différences ?
Sûreté et sécurité
La sûreté vise la malveillance. La sécurité, au sens réglementaire, vise les risques accidentels comme l'incendie ou les accidents de personnes. Les deux se recoupent : une issue de secours doit rester libre pour l'évacuation et protégée contre l'intrusion.
Diagnostic de sûreté et audit de sûreté
Le diagnostic de sûreté est une première lecture du site, souvent fondée sur une visite visuelle. Les référents sûreté de la police et de la gendarmerie nationales en réalisent, notamment pour les communes. L'audit approfondit : il teste les équipements, cote les risques et estime l'ordre de grandeur des actions. Il peut ensuite alimenter un schéma directeur de sûreté qui planifie les investissements sur plusieurs années.
Audit de sécurité physique et audit de cybersécurité
L'expression « audit de sécurité » désigne aussi l'audit des systèmes d'information. L'audit de sûreté porte sur la sécurité physique des sites. Il inclut toutefois la cybersécurité des équipements de sûreté eux-mêmes : caméras, enregistreurs, contrôleurs d'accès et centrales d'alarme raccordés au réseau, en référence au guide de l'ANSSI sur la sécurisation des systèmes de contrôle d'accès physique et de vidéoprotection (version 2.2). Voir notre page cybersécurité des systèmes de sûreté.
Quand réaliser un audit
de sûreté ?
Nouveau site ou réaménagementIntégrer la sûreté dès la programmation évite des reprises coûteuses après la livraison.
Après un incidentL'audit établit comment l'intrusion, le vol ou la dégradation a été possible et ce qui aurait permis de le détecter plus tôt.
Changement d'organisationDéménagement, fusion, nouveaux horaires ou nouvelle activité modifient l'exposition du site.
Renouvellement d'un marchéAvant de relancer la maintenance, la télésurveillance ou le gardiennage, l'audit fonde le cahier des charges sur des besoins mesurés.
Exigence d'un assureur ou d'un donneur d'ordreUne garantie peut être conditionnée à un niveau de protection documenté.
Avant un investissementUn audit préalable évite d'acheter des caméras ou un système de badges qui ne répondent à aucun risque identifié.
Un audit de sûreté est-il obligatoire ?
le cadre de référence
- Employeur. L'article L. 4121-1 du Code du travail impose à l'employeur de prendre les mesures nécessaires pour assurer la sécurité et protéger la santé physique et mentale des travailleurs. Les risques d'agression ou d'intrusion auxquels le personnel est exposé entrent dans cette prévention.
- Projets d'aménagement. Au-delà de seuils fixés par décret, certains projets sont soumis à une étude de sécurité publique (Code de l'urbanisme, articles L. 114-1 et suivants). Elle porte au minimum sur les risques de délinquance et sur les mesures pour les prévenir.
- Vidéoprotection. Dans les lieux ouverts au public, les caméras sont soumises à une autorisation préfectorale, valable cinq ans, après avis de la commission départementale. Voir notre page conformité CNIL de la vidéoprotection.
- Directive NIS2. La directive (UE) 2022/2555 demande aux entités concernées une gestion des risques fondée sur une approche « tous risques », qui couvre aussi l'environnement physique des systèmes d'information (article 21).
- Assureurs et donneurs d'ordre. Ils peuvent exiger un niveau de protection démontré.
Les référentiels techniques mobilisés
Ces référentiels ne sont pas tous obligatoires. Ils donnent un langage commun et des niveaux de performance mesurables : NF EN 50131 (détection d'intrusion, par grades), NF EN 60839-11-1 (contrôle d'accès électronique), NF EN IEC 62676-4 de 2025 (vidéosurveillance), guide de l'ANSSI version 2.2 (cybersécurité de ces systèmes), ISO 31000 (management du risque) et ISO 19011 (lignes directrices pour l'audit), dont s'inspire la conduite de nos missions.
Le périmètre analysé
Menace et contexteEnvironnement du site, historique des faits, sensibilité des activités, horaires, flux de personnes et de véhicules.
PérimétrieClôtures, portails, éclairage extérieur, points d'escalade, zones de livraison et de stationnement.
Contrôle d'accèsLecteurs, badges, gestion des droits, serrurerie, accueil des visiteurs, procédures d'arrivée et de départ du personnel. Nous situons le système par rapport aux grades de la NF EN 60839-11-1. Voir notre page contrôle d'accès et détection d'intrusion.
Détection d'intrusion et télésurveillanceZonage, choix et implantation des détecteurs, grade au sens de la NF EN 50131, transmission, levée de doute, consignes et délais d'intervention.
VidéoprotectionCouverture, qualité d'image au regard des usages, enregistrement, exploitation et conformité. Un examen approfondi relève d'un audit de vidéosurveillance dédié.
Organisation et procéduresConsignes, gestion des clés, astreinte, traitement des alarmes, sensibilisation des équipes.
Réseau et cybersécurité des équipementsMots de passe par défaut, micrologiciels, cloisonnement, accès distants des prestataires, en référence au guide de l'ANSSI. Ce volet rejoint notre offre de cybersécurité des systèmes de sûreté.
Maintenance et exploitationContrat, disponibilité réelle des équipements, délais d'intervention, dossier des ouvrages exécutés, traçabilité des opérations.
Notre méthode d'audit de sûreté
en 5 phases
Cadrage
Une réunion de lancement fixe les objectifs, le périmètre, les sites concernés et les interlocuteurs. Nous identifions les actifs à protéger et les événements redoutés. Les modalités des tests sont validées par écrit.
Analyse documentaire
Nous étudions les plans, les synoptiques, les contrats de maintenance et de télésurveillance, les consignes, les rapports d'incident, les journaux d'alarmes et les éventuelles études antérieures. Cette étape oriente la visite vers les points faibles probables.
Visite et tests sur site, de jour et de nuit
Nous parcourons le site comme le ferait un intrus, depuis l'extérieur jusqu'aux zones sensibles. Nous testons les détecteurs, la transmission des alarmes, la qualité des images enregistrées et l'application des consignes. La visite de nuit est indispensable. Elle révèle les défauts d'éclairage, les caméras aveugles et les accès laissés ouverts.
Analyse et cotation des risques
Chaque scénario de menace est coté selon sa vraisemblance et sa gravité, dans une logique conforme à l'ISO 31000. Les mesures existantes sont évaluées au regard de ces scénarios. Le risque résiduel détermine la priorité des actions.
Restitution
Nous présentons les constats et le plan d'actions à la direction et aux équipes concernées. Les échanges permettent d'ajuster les priorités aux contraintes budgétaires et d'exploitation.
Le rapport d'audit de sûreté
et les livrables
Structure type d'un rapport d'audit de sûreté
- Synthèse pour la direction.
- Contexte, périmètre et méthode.
- Menace et scénarios retenus.
- Constats par domaine, appuyés par les tests.
- Matrice des risques et plan d'actions.
- Annexes : plans annotés, relevés, fiches de tests.
Exemple de tableau de priorisation, présenté à titre d'illustration. P1 désigne une action immédiate, P2 une action à programmer dans l'année, P3 une amélioration à moyen terme.
| Constat | Risque | Priorité | Action |
|---|---|---|---|
| Badges d'anciens salariés toujours actifs | Accès non autorisé aux bâtiments | P1 | Purge des droits et procédure de départ liée aux ressources humaines |
| Enregistreur vidéo accessible avec le mot de passe du constructeur | Prise de contrôle à distance, fuite d'images | P1 | Changement des identifiants, cloisonnement réseau, mise à jour |
| Portail de livraison ouvert en journée sans contrôle | Intrusion et vol en zone de stockage | P2 | Fermeture automatique et interphonie vidéo reliée à l'accueil |
| Caméras du parking sans éclairage nocturne suffisant | Images inexploitables en cas de dégradation | P2 | Éclairage d'appoint ou caméras adaptées, contrôle de la densité de pixels |
| Consignes de télésurveillance non mises à jour | Levée de doute inefficace, déplacements inutiles | P3 | Révision des consignes et de la liste d'appel |
La grille d'audit de sûreté
La visite s'appuie sur une grille adaptée au site. Une version de référence est publiée : grille d'audit de sûreté, check-list de 60 points.
Audit interne ou auditeur
externe indépendant ?
L'indépendance compte autant que la compétence. SURTYS ne fabrique, ne distribue, n'installe et ne maintient aucun équipement. Le cabinet ne perçoit aucune commission et ne répond jamais au marché de travaux dont il prépare le dossier. Les préconisations portent sur le besoin.
L'analyse croise le point de vue de l'exploitant, qui connaît les défaillances réelles des systèmes, et celui du maître d'ouvrage, qui doit traduire ses besoins en cahier des charges. Les recommandations sont donc exploitables et transposables dans un dossier de consultation. La mission peut se poursuivre en assistance à maîtrise d'ouvrage, jusqu'à la réception des installations.
Audit de sûreté
par type de site
La méthode reste la même d'un site à l'autre. La grille d'analyse, elle, s'adapte aux menaces, aux flux et aux contraintes d'exploitation propres à chaque activité.
Collectivités et bâtiments publicsMairies, écoles, équipements sportifs, centres techniques : intrusion, vandalisme, gestion des clés et des badges sur un parc dispersé. Sûreté des collectivités.
Santé et médico-socialHôpitaux, EHPAD, établissements sociaux et médico-sociaux : contrôle des accès, protection du personnel, alarmes d'agression, locaux sensibles. Sûreté des établissements de santé.
Entrepôts et sites logistiquesQuais, cours de camions, zones de stockage : prévention du vol de fret, contrôle des flux de véhicules, détection périmétrique.
Sites industriels et sensiblesUsines, sites classés, installations critiques : périmétrie, zones à accès restreint, protection des équipements vitaux. Sûreté des sites industriels.
Établissements recevant du publicCommerces, lieux culturels, sportifs ou de nuit : concilier l'évacuation et la protection contre l'intrusion. Sûreté des ERP.
Sièges et immeubles tertiairesAccueil et gestion des visiteurs, droits d'accès, salles serveurs, parkings, travail en horaires décalés. Sûreté des entreprises.
Vos questions
Les réponses aux questions que nous posent le plus souvent les maîtres d'ouvrage.
Combien de temps dure un audit de sûreté ?
La durée dépend du nombre de sites, de leur surface et des systèmes en place. Pour un site unique, la présence sur place se compte en jours, visite de nuit comprise. S'y ajoutent l'analyse documentaire en amont, puis la cotation et la rédaction du rapport. Le calendrier précis est arrêté lors du cadrage. Il tient compte de vos contraintes d'exploitation et de la disponibilité de vos interlocuteurs internes et de vos prestataires.
Combien coûte un audit de sûreté ?
Le coût dépend du nombre de sites, de leur configuration, des systèmes à examiner, des tests de nuit et du niveau de détail attendu pour l'estimation des actions. SURTYS établit un devis forfaitaire après un échange de cadrage. Ce devis précise le périmètre, les livrables et le calendrier. Il ne comporte aucune vente de matériel.
Un audit de sûreté est-il obligatoire ?
Aucun texte général ne l'impose. L'employeur doit toutefois prendre les mesures nécessaires pour protéger la santé et la sécurité des travailleurs (Code du travail, article L. 4121-1). Certains projets d'aménagement exigent une étude de sécurité publique. La vidéoprotection des lieux ouverts au public est soumise à autorisation préfectorale. Les entités concernées par la directive NIS2 doivent couvrir l'environnement physique de leurs systèmes. Les assureurs peuvent aussi exiger un niveau de protection documenté.
Quelle différence entre un audit de sûreté et un audit de sécurité ?
L'audit de sûreté traite la malveillance : intrusion, vol, vandalisme, agression, sabotage. L'audit de sécurité traite les risques accidentels, comme l'incendie ou les accidents de personnes. Le terme désigne aussi l'audit des systèmes d'information. Les trois démarches se rejoignent sur certains points, par exemple les issues de secours ou les équipements de sûreté connectés au réseau. Un audit de sûreté complet examine ces interfaces.
Qui peut réaliser un audit de sûreté ?
Un audit peut être conduit en interne, par un responsable sûreté ou les services techniques, ou confié à un auditeur externe. L'interne connaît le site mais s'habitue à ses failles. L'externe apporte un regard neuf et des tests méthodiques. L'essentiel est l'indépendance : un auditeur qui ne vend ni n'installe aucun matériel formule des préconisations fondées sur le seul besoin. Les référents sûreté de la police et de la gendarmerie proposent par ailleurs des diagnostics.
L'audit comprend-il des tests sur les installations ?
Oui. Nous testons le fonctionnement des détecteurs, la transmission des alarmes vers la télésurveillance, la qualité des images enregistrées et l'application des procédures. Les tests de franchissement ou de contournement sont convenus par écrit avec vous avant la visite. Le télésurveilleur et les équipes concernées sont prévenus. Cela évite toute intervention inutile et toute perturbation de l'exploitation du site.
Les résultats de l'audit sont-ils confidentiels ?
Oui. Le rapport décrit les vulnérabilités de vos sites. Il est traité en diffusion restreinte et remis aux seuls destinataires que vous désignez. Il n'est jamais communiqué à un tiers. Les documents qui nous sont confiés sont conservés de manière sécurisée pendant la mission. Les livrables sont remis dans un format modifiable et vous en conservez la pleine propriété.
Intervenez-vous partout en France et sur plusieurs sites ?
Oui. SURTYS intervient partout en France. Pour un parc de plusieurs sites, l'audit commence souvent par un échantillon représentatif : un site par typologie, par exemple une école, un équipement sportif et un bâtiment administratif. Les constats communs sont ensuite étendus au parc. Cette approche donne une vision d'ensemble cohérente et prépare un schéma directeur pluriannuel.
Où intervenons-nous ?
Partout en France et dans toute la région Provence-Alpes-Côte d’Azur : Marseille, Aix-en-Provence, Avignon, Toulon, Nice, Arles, Martigues, Aubagne, Istres, Cannes, Antibes, Fréjus, Gap, dans les Bouches-du-Rhône, le Vaucluse, le Var, les Alpes-Maritimes, les Alpes-de-Haute-Provence et les Hautes-Alpes. Voir nos zones d’intervention.
Parlons de votre site
Décrivez votre site, vos préoccupations et vos contraintes d'exploitation. Nous vous proposons un périmètre d'audit adapté et un devis détaillé, sans engagement et sans lien avec un fabricant ou un installateur.
Demander un audit de sûreté