Qui devrait lire ceci : la personne qui porte le planning ISO 27001 et qui a inscrit « audit interne » et « revue de direction » comme deux tâches d’une journée, quelque part vers la fin.
Ce ne sont pas deux tâches vers la fin. Ce sont deux systèmes qui doivent avoir fonctionné, et ce sont les causes les plus fréquentes de décalage d’un audit d’étape 2. Les faire correctement coûte peu. Les faire tard coûte cher.
L’article 9.2 demande un programme, pas un audit
La formulation que tout le monde retient est que l’organisation doit réaliser des audits internes à intervalles planifiés. Celle qui piège les projets est ce qui l’entoure.
L’article 9.2 exige cinq choses, dont quatre ne sont pas l’audit lui-même :
- Un programme d’audit. Un document permanent fixant fréquence, méthodes, responsabilités, exigences de planification et modalités de compte rendu. Les auditeurs le demandent en premier. Produire trois rapports d’audit sans programme derrière constitue une non-conformité, et c’est l’une des plus fréquemment relevées.
- Des critères et un périmètre définis pour chaque audit. Ce qui est examiné, au regard de quoi, sur quels systèmes, sites et périodes.
- Compétence et objectivité des auditeurs. Connaissance de la norme, de l’audit et des technologies concernées. Et la règle qui fait le plus de dégâts : les auditeurs ne doivent pas auditer leur propre travail.
- Un compte rendu à la direction concernée. Les résultats doivent atteindre ceux qui peuvent agir, et ils alimentent directement la revue de direction.
- Des informations documentées conservées. Programme, plans, documents de travail, rapports, actions correctives.
Notez ce qui n’est pas exigé. Rien n’oblige à auditer l’intégralité du système de management tous les douze mois. Un programme glissant qui couvre l’ensemble sur le cycle, pondéré vers les zones à risque élevé, est conforme et généralement plus utile. Ce qui n’est pas acceptable, c’est un programme laissant des pans du SMSI non audités sur tout le cycle de certification sans justification documentée.
La règle d’indépendance est le vrai coût
« Les auditeurs ne doivent pas auditer leur propre travail » est une ligne dans la norme et un problème structurel dans une entreprise de quarante personnes.
La personne qui a construit le système de management le comprend le mieux. C’est précisément pourquoi elle ne peut pas l’auditer. Dans une entreprise sans équipe sécurité, c’est habituellement la seule personne qui pourrait l’auditer avec compétence, ce qui laisse trois options :
- Former une deuxième personne. Le moins cher dans la durée, le plus lent à mettre en place, et cela ne fonctionne que si cette personne est suffisamment indépendante du SMSI pour être crédible.
- Recourir à une autre fonction ou à une autre entité du groupe. Fonctionne bien lorsqu’une fonction qualité conduit déjà des audits internes pour une autre norme.
- L’acheter. Un audit interne externalisé sur un périmètre PME coûte 4 000 à 12 000 € par an. Notez le « par an ». C’est un coût récurrent pour toute la durée du certificat, et l’une des lignes absentes de la plupart des budgets, comme détaillé dans ce que la norme ISO 27001 coûte réellement à une PME.
Quelle que soit la voie choisie, documentez pourquoi l’auditeur est indépendant. « Cette personne n’a pas construit cette partie » écrit avant l’audit vaut mieux qu’une explication fournie ensuite à l’auditeur de certification.
L’article 9.3 a un ordre du jour fixe, et ce n’est pas un point d’avancement
La revue de direction est l’endroit où les projets perdent le plus de temps pour le moins de raisons, car l’exigence est inhabituellement précise et facile à satisfaire si on la lit d’abord.
L’article 9.3.2 énumère ce que la revue doit prendre en compte. Traitez-le comme un ordre du jour obligatoire :
- L’état des actions décidées lors des revues précédentes.
- Les changements des enjeux externes et internes pertinents pour le système de management.
- Les changements dans les besoins et attentes des parties intéressées.
- Les retours sur la performance de la sécurité de l’information : tendances des non-conformités et des actions correctives, résultats de surveillance et de mesure, résultats d’audit, atteinte des objectifs de sécurité.
- Les retours des parties intéressées.
- Les résultats de l’appréciation des risques et l’état du plan de traitement.
- Les opportunités d’amélioration continue.
L’article 9.3.3 fixe la sortie : des décisions relatives aux opportunités d’amélioration continue et aux besoins de changement du système de management, avec conservation d’informations documentées comme preuve.
Deux conséquences à anticiper.
Le point 1 rend la première revue structurellement différente de toutes les suivantes. Il n’y a pas d’actions antérieures à examiner. Chaque revue ultérieure est jugée en partie sur le suivi jusqu’à clôture des décisions de la précédente. Une série de revues qui soulèvent à chaque fois de nouvelles actions sans jamais clore les anciennes forme un motif visible, et les auditeurs le cherchent.
Le point 4 suppose que vous ayez mesuré quelque chose. Les retours sur la performance et l’atteinte des objectifs supposent que des objectifs existent avec des mesures associées. Si les objectifs de l’article 6.2 ont été écrits comme des intentions plutôt que comme des grandeurs chiffrées, c’est dans cette réunion que cela devient visible.
La norme dit « à intervalles planifiés » sans fixer de fréquence. L’annuel est courant et constitue le minimum accepté par la plupart des auditeurs. Le trimestriel est préférable dans une entreprise dont le parc évolue, et il présente au premier audit de certification un motif plutôt qu’un événement isolé.
Ce que les auditeurs relèvent réellement
Les constats sur ces deux articles sont assez constants pour être listés dans l’ordre.
Sur le 9.2 :
- Des audits réalisés sans document de programme d’audit.
- Une couverture des mesures incomplète sur le cycle, sans justification fondée sur le risque.
- L’indépendance de l’auditeur non documentée.
- Des actions correctives enregistrées sans analyse des causes profondes, ou closes sans vérifier leur efficacité.
- Des résultats d’audit jamais formellement communiqués à la direction, rompant le lien vers le 9.3.
- Des audits conduits si près de la visite de certification que les constats ne peuvent pas être traités à temps.
Sur le 9.3 :
- Un compte rendu ne couvrant pas les sept entrées obligatoires. C’est le constat le plus fréquent, et il s’évite entièrement en utilisant la liste ci-dessus comme modèle d’ordre du jour.
- Une participation par délégation plutôt que par la direction. La norme vise les personnes qui ont autorité sur les ressources.
- Aucune décision documentée. Un compte rendu de discussion n’est pas un compte rendu de décisions.
- Des actions antérieures non suivies jusqu’à clôture.
- Des entrées non préparées, si bien que la réunion discute d’impressions au lieu des résultats d’audit et des données de risque qu’elle est censée examiner.
Séquencement : l’erreur qui coûte un trimestre
Le dernier constat de la liste 9.2 est le plus coûteux. Des audits internes programmés quinze jours avant l’étape 2 ne laissent pas le temps de corriger ce qu’ils trouvent, et ne rien trouver est pire, car un audit interne vierge juste avant la certification indique à l’auditeur que l’audit interne ne cherchait pas.
Une séquence qui fonctionne pour une première certification :
| Quand | Quoi |
|---|---|
| Mois 1 | Rédiger le programme d’audit. Fixer les revues de l’année |
| À partir du mois 2 | Première revue de direction, même avec peu de données. Elle amorce la piste d’actions |
| 3 à 4 mois avant l’étape 2 | Premier audit interne, périmètre complet, en attendant des constats |
| Les 6 semaines suivantes | Actions correctives, avec causes profondes et vérification d’efficacité |
| 6 à 8 semaines avant l’étape 2 | Revue de direction couvrant ces résultats d’audit |
| Étape 2 | L’auditeur voit des constats soulevés, des actions closes, une efficacité vérifiée |
Cette dernière ligne est tout l’enjeu. Un système de management qui a trouvé et corrigé ses propres problèmes est exactement ce que l’étape 2 recherche. Des non-conformités soulevées par votre propre audit interne et correctement closes sont un atout dans l’audit, pas un handicap. Les équipes les dissimulent, et cet instinct est à l’envers.
Ce calendrier doit également tenir dans la période de preuves, l’autre contrainte incompressible. Les deux sont exposées dans combien de temps prend réellement ISO 27001.
Qui s’en charge dans une entreprise sans fonction sécurité
Concrètement, trois rôles doivent exister et un seul se sous-traite proprement.
Le responsable du SMSI prépare les entrées et pilote les actions correctives. Ce rôle doit rester interne. La direction assiste à la revue et prend les décisions ayant des implications de ressources. Cela ne se délègue pas, et un auditeur vérifiera qui était présent. L’auditeur interne doit être indépendant du travail audité, et c’est le rôle que l’on achète couramment.
Lorsqu’une entreprise n’a personne pour tenir le premier rôle, c’est généralement le déclencheur d’un responsable sécurité nommé en temps partagé plutôt que d’un recrutement, car le travail représente quelques jours par mois une fois le système en marche, pas un poste à temps plein. La version élargie de cette décision figure dans ISO 27001 pour une entreprise sans équipe de sécurité.
La réalité technique : ce que manque un audit interne documentaire
Voici la limite honnête de l’article 9.2 tel que la plupart des PME l’appliquent.
Un audit interne vérifie la conformité : la mesure existe-t-elle, est-elle documentée, y a-t-il une trace. Il ne vérifie pas si la mesure fonctionne. Un auditeur peut confirmer que l’A.8.8 est couverte par une procédure de gestion des vulnérabilités, que des analyses tournent mensuellement et qu’un rapport est produit. Chacune de ces affirmations peut être vraie pendant que des constats critiques restent non traités des mois durant, car la mesure demandait un processus et en a obtenu un.
Il en va de même sur toutes les mesures opérationnelles. La journalisation existe et personne ne l’interroge. Les sauvegardes tournent et personne n’a jamais restauré. Les revues d’accès sont signées et le partant conserve un jeton actif. Tout cela passe un audit interne mené sur la documentation, et ce sont aussi, dans cet ordre, trois des façons les plus courantes dont une entreprise de cette taille se fait compromettre. Le regroupement présenté dans les mesures de l’annexe A regroupées pour le travail réel sépare les mesures qui consignent un travail de celles qui sont un travail d’ingénierie, et c’est dans le second groupe que se loge cet écart.
Le remède n’est pas plus d’audits. C’est de rédiger le programme d’audit de sorte que les mesures opérationnelles soient testées plutôt que passées en revue : restaurer une sauvegarde et la chronométrer, choisir un partant et chercher des accès encore actifs, prendre un constat du scanner et le suivre jusqu’à sa clôture. L’audit interne cesse alors d’être un exercice de paperasse pour devenir ce qui trouve les problèmes avant un attaquant ou un auditeur, ce qui était bien l’objet de l’article 9.2.
