L’ISO 9001 et l’ISO 27001 partagent la structure harmonisée, clauses 4 à 10, si bien qu’un système qualité certifié fait déjà tourner l’essentiel des mécanismes dont l’ISO 27001 a besoin : maîtrise documentaire, audit interne, revue de direction, action corrective. Ce qui est nouveau : l’appréciation et le traitement des risques de sécurité de l’information, la déclaration d’applicabilité et les 93 mesures de l’annexe A. Les audits intégrés font gagner au plus 20 % du temps d’audit.
Ce guide couvre la structure commune, ce que vous pouvez réutiliser, ce qui est nouveau, le piège des risques, les audits intégrés et le temps d’audit, l’ISO 9001:2026, la réalité technique et une liste de contrôle.
| Clause | Ce que l’ISO 9001 vous apporte déjà | Ce qu’ajoute l’ISO 27001 | Réutilisation |
|---|---|---|---|
| 4 Contexte | Enjeux, parties intéressées, périmètre | Un regard sécurité sur la même analyse | En grande partie |
| 5 Leadership | Engagement, politique, rôles | Politique et rôles de sécurité | En grande partie |
| 6 Planification | Risques et opportunités, objectifs | Appréciation des risques (6.1.2), traitement et DdA (6.1.3) | Faible |
| 7 Support | Compétences, sensibilisation, maîtrise documentaire | Un volet de sensibilisation à la sécurité | En grande partie |
| 8 Fonctionnement | Production de produits et prestation de services | Mise en œuvre de l’appréciation (8.2) et du traitement des risques (8.3) | Faible |
| 9 Évaluation des performances | Surveillance, audit interne, revue de direction | Indicateurs de sécurité, nouveau périmètre d’audit | En grande partie |
| 10 Amélioration | Non-conformité et action corrective | Rien de nouveau | Totale |
| Annexe A | Aucun équivalent | 93 mesures, chacune examinée | Aucune |
Comment l’ISO 9001 et l’ISO 27001 s’articulent-elles ?
Les deux suivent la structure harmonisée, le modèle que l’ISO impose aux normes de système de management qui fixent des exigences. Elle figure à l’annexe SL des Directives ISO/IEC, Partie 1, et fixe des numéros de clauses, des titres, un texte de base et des définitions de base identiques. Elle a été introduite en 2012 sous le nom de structure de haut niveau, puis révisée en 2021.
Ce n’est pas un argument marketing. Le texte de base des clauses 4 à 10 est presque identique : il diffère surtout selon que l’objet est la qualité ou la sécurité de l’information. Si vous le satisfaites pour l’une, les mêmes mécanismes le satisfont pour l’autre. Chaque norme ajoute ses propres exigences. La clause 8 de l’ISO 9001 porte sur la production de produits et la prestation de services ; celle de l’ISO 27001 porte sur la mise en œuvre de l’appréciation et du traitement des risques.
L’ISO/IEC 27001:2022 suit déjà la structure de 2021. L’ISO 9001:2015 a été rédigée sur la version de 2012, et l’ISO 9001:2026 adopte la plus récente : les deux normes sont donc désormais plus étroitement alignées.
Que pouvez-vous réutiliser de l’ISO 9001 pour l’ISO 27001 ?
Dans nos évaluations, les éléments suivants se transposent presque intacts :
- Maîtrise des documents et des enregistrements (7.5). Votre système de gestion des versions, d’approbation et de conservation fonctionne tel quel. Les politiques de sécurité s’y intègrent.
- Le programme d’audit interne (9.2). Même programme, nouveau périmètre, mêmes auditeurs s’ils sont compétents en sécurité de l’information. Voir audit interne et revue de direction.
- Revue de direction (9.3). Les éléments d’entrée diffèrent par leur contenu, pas par leur structure. Une seule réunion peut revoir les deux systèmes si l’ordre du jour couvre les deux listes d’éléments d’entrée.
- Non-conformité et action corrective (10.2). Le même processus. Vous le faites déjà tourner.
- Compétences et sensibilisation (7.2, 7.3). L’accueil des nouveaux arrivants, les enregistrements de formation et une matrice des compétences existent. La sensibilisation à la sécurité devient un volet de plus.
- Leadership et politique (clause 5). L’engagement de la direction et un circuit d’approbation existent.
- Contexte et parties intéressées (4.1, 4.2). L’analyse existe et demande un regard sécurité. Les deux normes ont été amendées en 2024 pour demander si le changement climatique est un enjeu pertinent ; une seule réponse vaut pour les deux.
- La relation avec l’organisme de certification. Vous savez comment se déroule un audit, comment les non-conformités sont classées et comment vous préparer. Cela vaut plus qu’il n’y paraît.
Ce point de départ est régulièrement sous-estimé par ceux qui chiffrent la mission. Vous avez déjà prouvé que vous savez faire vivre un système audité, ce que beaucoup d’entreprises trouvent le plus difficile.
Qu’ajoute l’ISO 27001 par rapport à l’ISO 9001 ?
La clause 6.1.1, l’obligation générale d’agir face aux risques et opportunités, est un texte commun. En dessous, l’ISO 27001 ajoute trois éléments. C’est là que se trouve tout le travail.
Appréciation des risques de sécurité de l’information (6.1.2)
Un processus défini qui fixe des critères de risque, dont les critères d’acceptation, et qui produit des résultats cohérents, valides et comparables lorsqu’il est répété. Il identifie les risques pesant sur la confidentialité, l’intégrité et la disponibilité des informations du périmètre, désigne un propriétaire pour chacun, apprécie les conséquences et la vraisemblance réaliste, et classe les résultats au regard de vos critères. La clause 8.2 le répète à intervalles planifiés et en cas de changement significatif. Aucune méthode fondée sur les actifs, les menaces et les vulnérabilités n’est exigée ; c’est une approche parmi d’autres. Ce que l’enregistrement doit contenir est détaillé dans le registre des risques qui résiste à un audit.
Traitement des risques et annexe A (6.1.3)
Vous choisissez les options de traitement, déterminez les mesures nécessaires et les comparez aux 93 mesures de l’annexe A pour qu’aucune mesure nécessaire ne soit omise. Les propriétaires des risques approuvent le plan de traitement et acceptent le risque résiduel, et la clause 8.3 exige que vous le mettiez en œuvre. Rien dans un système qualité ne vous y prépare. Cela prend des mois, car de nombreuses mesures décrivent des capacités techniques dont vous ne disposez peut-être pas encore.
La déclaration d’applicabilité
Un document unique qui liste les mesures nécessaires, la raison de l’inclusion de chacune, si elle est mise en œuvre, et la raison de l’exclusion de toute mesure de l’annexe A. L’ISO 9001 n’a aucun équivalent. En pratique, c’est généralement le premier document qu’ouvre un auditeur ISO 27001, et il oriente le reste de l’audit. Voir le périmètre et la déclaration d’applicabilité.
Votre processus de gestion des risques ISO 9001 couvre-t-il l’ISO 27001 ?
Non. D’après notre expérience, c’est l’hypothèse qui coûte le plus cher, et elle apparaît généralement à l’étape 1.
Un responsable qualité en conclut, raisonnablement, que le processus qui satisfait à la clause 6.1 de l’ISO 9001 répond par extension à l’ISO 27001. Ce n’est pas le cas. L’ISO 9001:2015 précise dans son annexe A.4 qu’il n’existe aucune exigence de méthodes formelles de management du risque ni de processus documenté de management du risque. L’ISO 27001 en prescrit les éléments : des critères, un processus reproductible, des propriétaires des risques, un plan de traitement, une acceptation documentée du risque résiduel. Un tableau de risques qualité ne sera pas accepté à ce titre.
En pratique, découvrir ce point à l’étape 1 coûte environ un mois. À l’étape 2, cela peut constituer une non-conformité majeure. Traitez le travail sur les risques de sécurité de l’information comme un chantier distinct dès le premier jour, et le problème disparaît.
L’ISO 9001 et l’ISO 27001 peuvent-elles être auditées ensemble ?
Oui, sans deux processus parallèles. L’IAF MD 11, la règle d’accréditation applicable aux audits de systèmes de management intégrés, couvre les audits selon deux normes ou plus en même temps et cite l’ISO/IEC 27001 parmi ses exemples. Les rapports peuvent être intégrés ou séparés, mais chaque constat doit pouvoir être rattaché à sa norme.
En pratique, deux conditions comptent :
- L’organisme doit être accrédité pour l’ISO/IEC 27001, pas seulement pour l’ISO 9001. L’accréditation est accordée schéma par schéma. Vérifiez le registre de l’organisme d’accréditation.
- Les auditeurs doivent être compétents dans les deux normes. Sinon, l’équipe s’agrandit et le gain diminue.
Rester avec votre organisme ISO 9001 vaut généralement la peine s’il détient l’accréditation SMSI. Un enchaînement raisonnable : certifier l’ISO 27001 en même temps qu’un audit de surveillance 9001, puis aligner les deux cycles lors du renouvellement suivant.
Combien de temps d’audit un audit intégré fait-il gagner ?
Moins qu’on ne l’espère. Selon l’IAF MD 11, l’organisme calcule séparément le temps d’audit de chaque norme, selon l’IAF MD 5 pour l’ISO 9001 et l’ISO/IEC 27006-1 pour l’ISO 27001, puis les additionne pour obtenir un point de départ. Il ajuste ensuite en fonction du degré d’intégration de votre système, de l’aisance de vos équipes avec les deux normes et de la compétence de l’équipe d’audit dans l’une et l’autre. Une réduction ne peut pas dépasser 20 % du point de départ, et la règle précise qu’un audit intégré peut aussi aboutir à davantage de temps.
Une illustration pour 40 personnes dans le périmètre, les deux en certification initiale :
| Norme | Jours d’audit |
|---|---|
| ISO 9001 (IAF MD 5, 26 à 45 personnes) | 4 |
| ISO 27001 (ISO/IEC 27006-1, 26 à 45 personnes) | 8,5 |
| Point de départ | 12,5 |
| Intégré, réduction maximale de 20 % | au moins 10 |
Ces deux chiffres s’entendent avant les autres ajustements. Même sans ce plafond, le gain ne pourrait pas approcher la moitié, car seules les clauses 4 à 10 se combinent. L’appréciation des risques, la déclaration d’applicabilité et l’annexe A, qui forment l’essentiel d’un audit ISO 27001, ne se combinent pas. Obtenez le nombre de jours par écrit ; le reste du budget est détaillé dans le coût de la certification ISO 27001.
Qu’entend l’organisme de certification par « intégré » ?
L’IAF MD 11 évalue l’intégration selon sept caractéristiques. La colonne de droite en donne une lecture pratique, pas le texte de la règle :
AUTODIAGNOSTIC D'INTÉGRATION ISO 9001 + ISO 27001
(caractéristiques issues de l'IAF MD 11, annexe 1)
Caractéristique Intégré en pratique quand O/N
------------------------- ---------------------------------------- ---
Documentation Un seul jeu documentaire, un seul
processus de maîtrise, des instructions
de travail qui couvrent les deux
Revue de direction Une seule revue couvre les deux listes
d'éléments d'entrée et la stratégie
globale de l'entreprise
Audit interne Un seul programme, des auditeurs
compétents dans les deux normes
Politique et objectifs Fixés, approuvés et suivis dans un seul
processus
Processus du système Processus partagés, p. ex. fournisseurs,
changements, compétences
Mécanismes d'amélioration Un seul processus d'action corrective et
un seul registre
Soutien de la direction Un seul jeu de rôles, une seule direction
et responsabilités responsable des deuxQue change l’ISO 9001:2026 pour un système intégré ?
L’ISO a publié l’ISO 9001:2026 le 16 septembre 2026. Elle adopte la dernière version de la structure harmonisée, accorde plus de poids au leadership, à la culture qualité et au comportement éthique, et distingue plus clairement la gestion des risques de la recherche d’opportunités. Global ACI, qui a remplacé l’IAF le 1er janvier 2026, a fixé une transition de trois ans : les certificats ISO 9001:2015 doivent passer à la nouvelle édition d’ici le 30 septembre 2029, et à partir du 31 mars 2028, les nouvelles certifications accréditées ne sont délivrées que selon l’édition 2026.
Le calendrier joue en votre faveur. Vous allez de toute façon retravailler le processus qualité de gestion des risques et opportunités. Une approche raisonnable consiste à le faire pendant que vous construisez la méthode de risque ISO 27001, à garder les deux démarches séparées et à demander à l’organisme de planifier les deux audits lors des mêmes visites.
Pourquoi les clients demandent-ils l’ISO 27001 aux entreprises certifiées ISO 9001 ?
Un mur de certificats ISO sans ISO 27001 dit deux choses à l’évaluateur sécurité d’un client. Vous savez faire vivre un système audité dans la durée, ce qui vous place devant de nombreux fournisseurs. Et la sécurité de l’information est la seule discipline que vous n’avez pas soumise à un examen externe, précisément la mauvaise lacune quand l’appel d’offres porte sur la sécurité. La demande vient donc des achats, avec une date à la clé. Confrontez-la à combien de temps prend réellement ISO 27001.
La réalité technique : un système qualité prouve le processus, pas la défense
Votre certificat qualité prouve que vous savez définir un processus, le suivre, l’auditer et le corriger quand il dérive. Cette compétence est réelle et elle se transfère. Elle ne vous dit pas si le compte administrateur d’une personne partie en mars fonctionne encore, si un service exposé sur internet a du retard dans ses correctifs, si vos sauvegardes ont déjà été restaurées, ou si un fournisseur a encore un accès réseau au titre d’un contrat qui a pris fin l’an dernier.
L’ISO 27001 vous demandera de déclarer que ces points sont maîtrisés. Elle ne vous dira pas, à elle seule, s’ils le sont réellement cette semaine. Ces mesures vivent dans le fournisseur d’identité, les outils de gestion des terminaux et les comptes cloud, et elles dérivent entre deux audits. C’est l’écart entre un système audité et un système défendable.
Le combler suppose de collecter ces preuves en continu depuis les systèmes, avec une personne qui examine les exceptions. C’est ainsi que fonctionne la plateforme CloudSoul, une plateforme automatisée avec une expertise humaine dans la boucle. Un audit de sécurité mesure l’écart par rapport à ce que vous avez déjà fait certifier, et la démarche complète est présentée sur la page ISO 27001.
Liste de contrôle pour intégrer l’ISO 27001 et l’ISO 9001
- Rapprochez vos procédures qualité des clauses 4 à 10 de l’ISO 27001 et marquez ce qui se transfère.
- Construisez séparément la méthode d’appréciation des risques de sécurité de l’information : critères, niveau d’acceptation, propriétaires.
- Menez le traitement des risques au regard de l’annexe A et rédigez la déclaration d’applicabilité.
- Étendez le programme d’audit et l’ordre du jour de la revue aux deux normes.
- Vérifiez que l’organisme est accrédité pour l’ISO/IEC 27001 ; obtenez par écrit le nombre de jours de l’audit intégré.
- Planifiez la transition vers l’ISO 9001:2026, à boucler d’ici le 30 septembre 2029, avec l’audit ISO 27001.
- Testez les mesures techniques dans les systèmes, pas seulement dans les documents, avant l’étape 2.
Sources
- ISO/IEC 27001:2022, clauses 4 à 10, 6.1.2, 6.1.3, 8.2, 8.3 et annexe A, ISO.
- ISO/IEC 27001:2022/Amd 1:2024, modifications relatives à l’action pour le climat, ISO.
- ISO 9001:2015, clause 6.1 et annexe A.4, et ISO 9001:2015/Amd 1:2024, ISO.
- ISO 9001:2026, publiée le 16 septembre 2026, ISO, et communiqué de presse de l’ISO, ISO.
- Directives ISO/IEC, Partie 1, Supplément ISO consolidé, annexe SL, appendice 2 (structure harmonisée des normes de système de management), ISO, et normes de système de management de l’ISO, ISO.
- IAF MD 11:2023, application de l’ISO/IEC 17021-1 aux audits de systèmes de management intégrés, clauses 2.1 et 2.4 et annexe 1, IAF.
- IAF MD 5:2023, temps d’audit des systèmes de management de la qualité, de l’environnement et de la santé et sécurité au travail, tableau QMS 1, IAF.
- ISO/IEC 27006-1:2024, exigences pour les organismes procédant à la certification des systèmes de management de la sécurité de l’information, ISO.
- Global ACI, exigences de transition pour l’ISO 9001:2026, 16 septembre 2026, Global ACI, et lancement le 1er janvier 2026, Global ACI.
Questions fréquentes
L'ISO 9001 et l'ISO 27001 peuvent-elles être intégrées dans un seul système de management ?
Oui. Les deux suivent la structure harmonisée de l'ISO : les clauses 4 à 10 partagent les mêmes titres et le même texte de base. La maîtrise documentaire, l'audit interne, la revue de direction et les actions correctives peuvent fonctionner une seule fois pour les deux, tandis que l'ISO 27001 ajoute sa propre appréciation des risques, son traitement des risques, sa déclaration d'applicabilité et les mesures de l'annexe A.
Que peut-on réutiliser de l'ISO 9001 pour l'ISO 27001 ?
La maîtrise des documents et des enregistrements, le programme d'audit interne, la revue de direction, la gestion des non-conformités et des actions correctives, les compétences et la sensibilisation, le leadership et l'approbation de la politique, ainsi que l'analyse du contexte et des parties intéressées. L'appréciation des risques de sécurité de l'information, le traitement des risques et les mesures de l'annexe A doivent être construits de toutes pièces.
Existe-t-il des organismes de certification qui auditent l'ISO 9001 et l'ISO 27001 ensemble ?
Oui. La règle d'accréditation IAF MD 11 permet un audit intégré selon les deux normes en même temps : vous n'avez pas besoin de deux processus parallèles. L'organisme doit être accrédité pour l'ISO/IEC 27001 en plus de l'ISO 9001, et l'intégration peut réduire le temps d'audit d'au plus 20 % de la somme des deux temps d'audit.
L'approche par les risques de l'ISO 9001 suffit-elle pour l'ISO 27001 ?
Non. L'ISO 9001:2015 précise qu'elle n'exige pas de méthodes formelles de management du risque. L'ISO 27001 exige des critères de risque définis, une appréciation reproductible des risques pesant sur la confidentialité, l'intégrité et la disponibilité, des propriétaires des risques nommément désignés, un plan de traitement et une acceptation documentée du risque résiduel.
L'ISO 9001 a-t-elle été révisée en 2026 ?
Oui. L'ISO 9001:2026 a été publiée le 16 septembre 2026 et conserve la structure harmonisée. Les organisations certifiées ont jusqu'au 30 septembre 2029 pour effectuer la transition, et à partir du 31 mars 2028, les nouvelles certifications accréditées ne sont délivrées que selon l'édition 2026.
