L'auditeur en sécurité de l'information vérifie la conformité d'une organisation à un référentiel (ISO 27001, ISO 22301, NIS2 ou exigences internes). Mais auditer ne se résume pas à dérouler la norme : il faut l’interpréter dans le contexte de l’organisation, réunir des preuves et défendre ses constats d’écarts face aux audités, à la fois sur le plan réglementaire et pour l’intérêt général de l’entreprise.

Le métier repose autant sur la méthode d'audit, décrite par la norme ISO 19011, que sur l'expertise technique. Les formations d'auditeur couvrent ces méthodes, les référentiels concernés et la préparation aux certifications comme Lead Auditor ISO 27001. Pour un responsable sécurité ou qualité, se former à l'audit sert aussi à préparer sa propre organisation à être auditée, en sachant quelles preuves seront attendues.