Qui devrait lire ceci : un industriel, un bureau d’études ou un fournisseur qui détient déjà ISO 9001, et peut-être ISO 14001, ISO 45001, AQAP 2110 ou TISAX, et à qui un client, un maître d’œuvre ou un appel d’offres demande désormais ISO 27001.
C’est une meilleure position de départ que celle de la plupart des entreprises, et ceux qui vous chiffrent le travail la sous-estiment systématiquement. Vous avez déjà prouvé que vous savez exploiter un système de management : maîtrise documentaire, programme d’audit interne, revue de direction qui produit des décisions, actions correctives qui se clôturent. C’est la partie la plus difficile pour les entreprises sans certificat, et vous l’avez faite il y a des années.
Ce qui suit est un compte rendu honnête de ce qui se transfère, de ce qui ne se transfère pas, et de l’endroit où se situe l’effort réel.
Pourquoi le recouvrement existe
Depuis 2012, toute norme ISO de système de management est écrite sur un modèle commun, appelé à l’origine Annexe SL et aujourd’hui Structure harmonisée. Elle fixe les mêmes dix chapitres dans le même ordre pour ISO 9001, ISO 14001, ISO 45001, ISO 22301 et ISO 27001.
- Domaine d’application
- Références normatives
- Termes et définitions
- Contexte de l’organisme
- Leadership
- Planification
- Support
- Réalisation des activités opérationnelles
- Évaluation des performances
- Amélioration
Ce n’est pas une ressemblance marketing. Le texte des exigences des chapitres 4, 5, 7, 9 et 10 est presque identique d’une norme à l’autre, la différence portant surtout sur l’objet : la qualité ou la sécurité de l’information. Si vous les satisfaites pour l’une, la mécanique les satisfait pour l’autre.
Ce qui se transfère réellement
Dans les évaluations que nous menons pour des entreprises dans cette situation, les éléments suivants passent presque intacts :
- Maîtrise des documents et des enregistrements. Votre système de versionnement, d’approbation et de conservation fonctionne tel quel. Les politiques de sécurité de l’information s’y insèrent.
- Le programme d’audit interne. Même programme, mêmes auditeurs s’ils sont compétents sur le sujet, nouveau périmètre. Le chapitre 9.2 est la même exigence.
- La revue de direction. Les données d’entrée du chapitre 9.3 diffèrent par le contenu, pas par la structure. Une seule réunion peut couvrir les deux systèmes si l’ordre du jour traite correctement les deux séries d’entrées.
- Actions correctives et non-conformités. Le chapitre 10.2 est le même processus. Vous le pratiquez déjà.
- Compétence, sensibilisation et formation. Chapitres 7.2 et 7.3. Vous avez l’accueil, les enregistrements de formation et une matrice de compétences. La sensibilisation à la sécurité devient un volet de plus.
- Leadership et politique. Le chapitre 5 exige l’engagement de la direction et une politique documentée. Vous en avez l’habitude et le circuit d’approbation.
- Parties intéressées et contexte. Chapitre 4. L’analyse existe, il faut y ajouter le prisme sécurité de l’information.
- La relation avec l’organisme de certification. Vous savez comment se déroule un audit, comment les non-conformités sont graduées et comment s’y préparer. Cela vaut davantage qu’il n’y paraît.
Pour une entreprise dotée d’un système qualité mature, c’est effectivement l’essentiel du travail de système déjà fait.
Ce qui ne se transfère pas du tout
Trois choses. Ce sont elles, le travail.
Chapitre 6.1.2, appréciation des risques de sécurité de l’information. La pensée risque d’ISO 9001 porte sur ce qui menace la conformité du produit et du processus. Le risque ISO 27001 porte sur la confidentialité, l’intégrité et la disponibilité de l’information, apprécié au regard d’actifs, de menaces et de vulnérabilités, avec des critères définis et des propriétaires de risque. Ce ne sont pas les mêmes exercices, et un tableau de risques 9001 ne sera pas accepté. Le détail de ce que cet enregistrement doit porter est dans le registre des risques qui résiste à un audit.
Chapitre 6.1.3 et Annexe A. Quatre-vingt-treize mesures en quatre thèmes, chacune à considérer, puis à appliquer ou à exclure avec justification. Rien dans un système qualité ne vous y prépare. C’est la partie qui prend des mois, parce qu’un bon nombre de ces mesures décrivent des capacités techniques que vous n’avez peut-être pas. Le regroupement qui rend l’exercice tenable est dans les 93 mesures de l’annexe A regroupées pour le travail réel.
La déclaration d’applicabilité. Un document unique listant les quatre-vingt-treize mesures, leur applicabilité, sa justification et l’état de mise en œuvre. ISO 9001 n’a pas d’équivalent. C’est le document qu’un auditeur ISO 27001 ouvre en premier et celui qui détermine la forme du reste de l’audit. Comment l’écrire sans s’y noyer : périmètre et déclaration d’applicabilité, sans jargon.
Le piège : croire que votre processus risque couvre déjà le sujet
C’est l’hypothèse la plus coûteuse que nous rencontrions, et elle apparaît généralement à l’étape 1.
Un responsable qualité conclut raisonnablement que, le système qualité disposant d’un processus risques et opportunités satisfaisant au chapitre 6.1 d’ISO 9001, l’exigence ISO 27001 est satisfaite par extension. Elle ne l’est pas. ISO 9001 n’impose délibérément aucune méthode formelle d’appréciation. ISO 27001 l’impose : critères définis, processus reproductible, propriétaires de risque identifiés, plan de traitement, acceptation documentée du risque résiduel.
Les entreprises qui le découvrent à l’étape 1 perdent un mois. Celles qui le découvrent à l’étape 2 récoltent une non-conformité majeure. Traitez le volet risque sécurité comme un chantier distinct dès le premier jour et le problème disparaît.
Ce qu’un audit combiné fait vraiment économiser
Les organismes de certification auditent plusieurs normes ensemble et les chapitres communs sont évalués une fois. Moins de jours que deux audits séparés, oui. La moitié, non.
La raison est que l’auditeur doit toujours couvrir l’Annexe A, et l’Annexe A constitue l’essentiel d’un audit ISO 27001. Ce qui se combine, ce sont les chapitres 4 à 10. Ce qui ne se combine pas, ce sont les quatre-vingt-treize mesures, l’appréciation des risques et la déclaration d’applicabilité. Attendez-vous à une remise significative par rapport à deux audits autonomes, pas à une remise spectaculaire, et demandez le nombre de jours par écrit avant de supposer un chiffre. L’ordre de grandeur du coût est dans ce que coûte réellement ISO 27001 à une PME, et le calendrier dans combien de temps prend réellement ISO 27001.
Un point pratique : utiliser le même organisme pour les deux vaut généralement le coup même à un tarif journalier légèrement supérieur, car l’audit combiné suppose une accréditation sur les deux normes et une seule visite à planifier.
Ce que votre mur de certificats dit à un client
Il faut être direct, car cela coupe dans les deux sens.
Cinq certificats et pas d’ISO 27001 dit deux choses à la fois au responsable sécurité d’un client. Que vous êtes un organisme capable de tenir un système audité, ce qui est rassurant et vous place devant la plupart des fournisseurs qu’il évalue. Et que la sécurité de l’information est la seule discipline que vous n’avez pas soumise à un examen externe, ce qui, dans un appel d’offres qui porte sur la sécurité de l’information, est exactement la mauvaise lacune.
C’est pourquoi la demande vient des achats plutôt que d’un technicien, et pourquoi elle arrive avec une date. La mécanique de cette répercussion est dans la sécurité de la chaîne d’approvisionnement NIS2, et le rapport entre certificat et directive dans NIS2, normes de certification et ISO 27001.
La réalité technique : un système qualité certifié prouve le processus, pas la défense
Voici ce qu’il faut dire clairement à qui exploite un système certifié depuis dix ans.
Votre certificat qualité prouve que vous savez définir un processus, le suivre, l’auditer et le corriger quand il dérive. Cette compétence est réelle et transférable. Elle ne vous dit pas si un compte administrateur appartenant à une personne partie en mars fonctionne encore, si un service exposé accuse du retard de correctifs, si vos sauvegardes ont déjà été restaurées, ou si un fournisseur conserve un accès réseau au titre d’un contrat clos l’an dernier.
ISO 27001 vous demandera de déclarer que ces points sont maîtrisés. Elle ne vous dira pas, à elle seule, s’ils sont vrais cette semaine. C’est l’écart entre un système audité et un système défendable, et c’est pourquoi le certificat et la posture doivent se construire en un seul chantier et non deux. L’argument complet est dans certifié n’est pas sécurisé, et la voie pratique sans équipe sécurité dans ISO 27001 sans équipe de sécurité.
Si vous voulez cet écart mesuré à partir de votre système déjà certifié plutôt qu’estimé, un audit de sécurité indépendant part de l’existant, et la page ISO 27001 décrit la suite du parcours.
