Faire un état des lieux du système informatique de l'entreprise : c'est-à-dire réunir les documents de base indispensables à l'audit de sécurité informatique de l'entreprise. Soit une cartographie du parc informatique et du réseau interne, une documentation sur le fonctionnement des outils développés en interne et le règlement appliqué par l'entreprise quant à l'utilisation de son parc informatique.
Informer les utilisateurs du parc informatique de l'entreprise de la date et du déroulement de l'audit du système informatique de l'entreprise : un audit de sécurité comprend souvent une interview des différentes équipes qui composent l'entreprise. Cela concerne le DSI, les développeurs, le RSSI, les administrateurs système, ainsi que toutes les personnes qui ont accès aux systèmes d'information de l'entreprise. Toute résistance à cet exercice peut fausser les résultats de l'audit.
Préparer un budget conséquent pour l'audit : certains prestataires proposent un tarif d'audit forfaitaire incluant un rapport complet d'audit et quelques recommandations pratiques pour améliorer la sécurité du parc informatique de l'entreprise. D'autres cabinets d'audit appliquent un tarif journalier qui s'étend sur toute la durée de l'intervention. Dans certains cas plus complexes, ce type de tarification peut coûter cher à l'entreprise, d'où l'importance de se préparer à l'avance.
Demander le cahier de charges de l'auditeur : ce document est indispensable pour évaluer, en amont, la capacité de l'auditeur à atteindre les objectifs d'audit fixés par l'entreprise.