L’ISO 27001 exige des audits internes (clause 9.2) et une revue de direction (clause 9.3), les deux à des intervalles planifiés que vous fixez vous-même. La norme ne fixe aucune fréquence. En pratique, les deux ont lieu au moins une fois par an, car l’étape 2 et chaque audit de surveillance annuel les examinent. Les audits internes demandent un programme écrit et des auditeurs objectifs. La revue comporte sept éléments d’entrée obligatoires.
Ce guide couvre les clauses, la fréquence des audits, l’indépendance de l’auditeur, les éléments d’entrée et la fréquence de la revue, un modèle d’ordre du jour, les constats fréquents, le calendrier, et ce qu’un audit sur pièces ne voit pas.
| Audit interne (9.2) | Revue de direction (9.3) | |
|---|---|---|
| Objet | Le SMSI est-il conforme, et fonctionne-t-il ? | Le SMSI reste-t-il pertinent, adéquat et efficace ? |
| Qui | Des auditeurs objectifs et impartiaux | La direction |
| Fréquence | Intervalles planifiés ; en pratique au moins une fois par an | Intervalles planifiés ; en pratique au moins une fois par an |
| Constat typique | Des audits réalisés, sans programme derrière | Des comptes rendus qui omettent des éléments d’entrée obligatoires |
Quelle clause de l’ISO 27001 exige l’audit interne et la revue de direction ?
La clause 9, Évaluation des performances. Elle comporte trois parties :
- 9.1 Surveillance, mesures, analyse et évaluation : ce que vous mesurez et qui l’évalue.
- 9.2 Audit interne : 9.2.1 Généralités et 9.2.2 Programme d’audit interne.
- 9.3 Revue de direction : 9.3.1 Généralités, 9.3.2 Éléments d’entrée de la revue de direction et 9.3.3 Résultats de la revue de direction.
La clause 10.2, Non-conformité et action corrective, boucle la boucle : corriger ce que l’audit trouve, traiter la cause, vérifier que la correction a fonctionné.
Les plannings de projet les présentent souvent comme deux tâches d’une journée vers la fin. Ce sont des systèmes qui doivent déjà fonctionner quand l’organisme de certification les examine lors de l’audit d’étape 2, et une cause fréquente de report de cet audit. Les deux coûtent peu à faire correctement, et cher à faire tard.
Qu’exige la clause 9.2 ?
On retient « à des intervalles planifiés ». Ce qui piège les projets, c’est le reste : la clause 9.2 demande un programme, pas un audit. En substance :
- Un objectif défini. Les audits montrent si le SMSI satisfait à vos propres exigences et à celles de la norme, et s’il est mis en œuvre et tenu à jour de manière efficace.
- Un programme d’audit. Fréquence, méthodes, responsabilités, planification et rapports, pondérés selon l’importance de chaque processus et les résultats des audits précédents. C’est ce que les auditeurs demandent en premier.
- Des critères et un périmètre pour chaque audit. Ce qui est examiné, par rapport à quoi, pour quels systèmes et quelle période.
- Des auditeurs objectifs. Des auditeurs sélectionnés, et des audits menés, de sorte que le processus soit objectif et impartial.
- Un compte rendu à la direction concernée. Les résultats parviennent aux personnes qui peuvent agir, et alimentent la revue de direction.
- Des informations documentées. La preuve que le programme a été mis en œuvre, et les résultats d’audit.
Trois rapports d’audit sans programme derrière, c’est une non-conformité. La compétence des auditeurs relève de la clause 7.2, pas de la 9.2 : en pratique, une connaissance de la norme, de l’audit et de la technologie du périmètre, consignée.
À quelle fréquence réaliser les audits internes ISO 27001 ?
La norme ne le dit pas. Votre programme fixe les intervalles, et rien n’oblige à auditer l’ensemble du SMSI tous les douze mois.
Ce sont les règles de certification qui fixent le minimum pratique. Selon l’ISO/IEC 17021-1, l’étape 2 couvre l’audit interne : un audit interne, en pratique sur le périmètre complet, doit donc avoir lieu avant la certification. Des audits de surveillance suivent au moins une fois par année civile, et chacun examine les audits internes et la revue de direction. Une année sautée se voit à la visite suivante.
Une approche raisonnable est un programme glissant : l’ensemble du SMSI couvert sur le cycle de trois ans, les domaines plus risqués et les constats antérieurs audités plus souvent. Si une partie reste non auditée pendant tout le cycle, attendez-vous à ce que l’auditeur en demande la raison. Beaucoup de petites entreprises mènent un audit complet par an ; celles qui évoluent plus vite auditent par tranches trimestrielles. La suite, après la certification, est décrite dans les audits de surveillance des années deux et trois.
L’auditeur interne peut-il être indépendant dans une petite entreprise ?
La clause 9.2.2 demande de « sélectionner des auditeurs et réaliser des audits qui assurent l’objectivité et l’impartialité du processus d’audit ». Le texte de 2022 ne dit pas « ne pas auditer son propre travail » en ces termes, mais c’est ainsi que les auditeurs de certification le lisent. L’ISO 19011, la norme de lignes directrices sur l’audit, fait de l’indépendance un principe. Son édition 2018 admettait que les auditeurs internes des petites organisations ne soient pas totalement indépendants, à condition que tout soit fait pour écarter les biais.
Dans une entreprise de quarante personnes, l’objectivité est un problème structurel. La personne qui a construit le SMSI est celle qui le comprend le mieux, c’est précisément pour cela qu’elle ne peut pas l’auditer, et souvent personne d’autre n’en serait capable. Trois options :
- Former une deuxième personne. La moins chère dans la durée, la plus lente à mettre en place, crédible seulement si cette personne est indépendante de ce qu’elle audite.
- Faire appel à une autre fonction ou entité du groupe. Fonctionne bien là où une fonction qualité audite déjà une autre norme.
- L’acheter à l’extérieur. Un audit interne externalisé pour le périmètre d’une PME coûte généralement 4 000 à 12 000 € par an, chaque année du certificat. Les budgets l’oublient souvent.
Quelle que soit la voie choisie, documentez pourquoi l’auditeur est indépendant. « L’auditeur n’a pas construit cette partie », écrit avant l’audit, vaut plus qu’une explication donnée après. En pratique, le responsable du SMSI est interne, et la direction ne peut pas déléguer la revue (clause 9.3.1) ; l’auditeur est le seul rôle qui s’externalise proprement, comme l’explique ISO 27001 sans équipe de sécurité.
Quels sont les éléments d’entrée de la revue de direction ISO 27001 ?
Selon la clause 9.3.1, la direction revoit le SMSI à des intervalles planifiés pour s’assurer qu’il reste pertinent, adéquat et efficace. La clause 9.3.2 énumère ce que la revue doit prendre en compte. Traitez cette liste comme l’ordre du jour. En substance :
- L’état des actions décidées lors des revues précédentes.
- Les changements des enjeux externes et internes pertinents pour le SMSI.
- Les changements des besoins et attentes des parties intéressées pertinentes.
- Les retours sur la performance de sécurité, y compris les tendances concernant les non-conformités et actions correctives, les résultats de surveillance et de mesure, les résultats d’audit et l’atteinte des objectifs de sécurité.
- Les retours des parties intéressées.
- Les résultats de l’appréciation des risques et l’état du plan de traitement des risques.
- Les opportunités d’amélioration continue.
L’élément 3 est nouveau dans l’édition 2022. Les éléments 2 et 3 reprennent les enjeux et les parties intéressées des clauses 4.1 et 4.2. Depuis l’amendement 1:2024, la clause 4.1 demande aussi si le changement climatique est un enjeu pertinent. Une approche raisonnable consiste à consigner la réponse, même « non pertinent », et à y revenir ici.
La clause 9.3.3 fixe le résultat : des décisions sur l’amélioration continue et sur les changements dont le SMSI a besoin, avec des preuves documentées.
L’élément 1 rend la première revue différente de toutes les suivantes. Il n’y a pas encore d’actions précédentes. Les revues suivantes sont jugées en partie sur la clôture des décisions antérieures, et des actions toujours nouvelles qui ne se ferment jamais forment un schéma que les auditeurs recherchent.
L’élément 4 suppose que vous avez mesuré quelque chose. Si les objectifs de la clause 6.2 ont été rédigés comme des aspirations plutôt que comme des éléments chiffrés, c’est lors de cette réunion que cela devient évident.
À quelle fréquence tenir la revue de direction ?
Là encore, des intervalles planifiés. Une fois par an est le minimum pratique, car chaque audit de surveillance l’examine. Deux fois par an ou chaque trimestre convient à un système d’information en évolution, et l’étape 2 voit alors une série plutôt qu’un événement isolé. Une réunion de direction ne peut l’accueillir que si elle couvre chaque élément d’entrée et consigne ses propres décisions.
REVUE DE DIRECTION DU SMSI Date :
Participants (direction) : Présidence :
1. Actions des revues précédentes : ouvertes, closes, en retard
2. Changements des enjeux externes et internes (4.1),
y compris la pertinence du changement climatique
3. Changements des besoins et attentes des parties intéressées
4. Performance de sécurité
4a. Non-conformités et actions correctives (tendance)
4b. Résultats de surveillance et de mesure
4c. Résultats des audits internes et externes
4d. Objectifs de sécurité : cible et réalisé
5. Retours des parties intéressées
6. Résultats de l'appréciation des risques, état du plan de traitement
7. Opportunités d'amélioration continue
DÉCISIONS
ID | Décision | Responsable | Échéance | Ressources
Changements nécessaires au SMSI (périmètre, politique, mesures) :
Approuvé par :Quels constats les auditeurs relèvent-ils sur les clauses 9.2 et 9.3 ?
Sur la clause 9.2 :
- Des audits réalisés, mais aucun programme d’audit.
- Une couverture incomplète sur le cycle, sans justification fondée sur les risques.
- L’indépendance de l’auditeur non documentée.
- Des actions correctives sans cause racine, ou closes sans vérifier leur efficacité. La clause 10.2 exige les deux.
- Des résultats jamais remontés à la direction, si bien que le lien vers la clause 9.3 est rompu.
- Des audits menés trop près de la certification pour corriger ce qu’ils trouvent.
Sur la clause 9.3 :
- Des comptes rendus qui omettent des éléments d’entrée obligatoires. Évitable en utilisant la liste comme ordre du jour.
- Des délégués présents à la place de la direction.
- Aucune décision documentée. Un compte rendu de discussion n’est pas un relevé de décisions.
- Des éléments d’entrée non préparés, si bien que la réunion échange des impressions au lieu de résultats d’audit et de données de risque.
Quand les programmer avant l’étape 2 ?
Un audit interne quinze jours avant l’étape 2 ne laisse pas le temps de corriger ce qu’il trouve. Ne rien trouver est pire : cela dit à l’auditeur que l’audit ne cherchait pas vraiment. Une séquence qui fonctionne :
| Quand | Quoi |
|---|---|
| Mois 1 | Rédiger le programme d’audit. Planifier les revues de l’année |
| À partir du mois 2 | Première revue de direction, même avec peu de données. Elle lance le suivi des actions |
| 3 à 4 mois avant l’étape 2 | Premier audit interne, périmètre complet, en s’attendant à des constats |
| 6 semaines suivantes | Actions correctives, avec cause racine et vérification de l’efficacité |
| 6 à 8 semaines avant l’étape 2 | Revue de direction couvrant ces résultats d’audit |
| Étape 2 | L’auditeur voit des constats relevés, des actions closes, une efficacité vérifiée |
Les non-conformités que votre propre audit a relevées et correctement closes sont un atout à l’étape 2. Les équipes les cachent, et ce réflexe est à l’envers. Le calendrier doit aussi s’accorder avec la période de preuves décrite dans combien de temps prend réellement ISO 27001.
La réalité technique : ce qu’un audit interne sur pièces ne voit pas
La clause 9.2.1 demande si le SMSI est mis en œuvre de manière efficace. La plupart des audits internes de PME répondent à une question plus étroite : la mesure existe-t-elle, et y a-t-il un enregistrement ?
Un auditeur peut confirmer que la mesure A.8.8, gestion des vulnérabilités techniques, dispose d’une procédure, de scans mensuels et d’un rapport, alors que des constats critiques restent ouverts pendant des mois. La mesure demandait un processus et l’a obtenu. La journalisation existe et personne ne l’interroge (A.8.15). Les sauvegardes tournent et personne n’en a jamais restauré une (A.8.13). Les revues d’accès sont signées et un ancien collaborateur a toujours un jeton (A.5.18). Chaque cas passe un audit sur pièces, et chacun est une façon courante, pour une entreprise de cette taille, de subir une intrusion ou de ne pas parvenir à se rétablir.
La solution n’est pas d’auditer davantage. Rédigez le programme de sorte que les mesures opérationnelles soient testées, pas seulement passées en revue : restaurer une sauvegarde et chronométrer l’opération, rechercher les identifiants encore actifs d’un ancien collaborateur, suivre un constat du scanner jusqu’à sa clôture.
La revue a la même faiblesse. L’élément d’entrée 4 ne vaut que ce que valent ses données. Des chiffres collectés à la main la semaine précédente sont un instantané ; des preuves collectées en continu depuis les systèmes, avec une personne qui examine les exceptions, sont une tendance, comme dans des preuves qui se constituent d’elles-mêmes. C’est ainsi que fonctionne la plateforme CloudSoul, une plateforme automatisée avec une expertise humaine dans la boucle, et c’est ainsi que nous menons les programmes ISO 27001.
Liste de contrôle : audit interne et revue de direction ISO 27001
- Rédiger un programme d’audit pondéré par les risques, couvrant l’ensemble du SMSI sur trois ans.
- Consigner pourquoi chaque auditeur interne est compétent et objectif.
- Mener le premier audit interne sur le périmètre complet trois à quatre mois avant l’étape 2.
- Clore les actions correctives avec une cause racine et une vérification de l’efficacité.
- Utiliser les sept éléments d’entrée de la clause 9.3.2 comme ordre du jour fixe de la revue, avec la direction présente.
- Consigner les décisions avec responsables et échéances, et les clore.
- Tenir au moins un audit interne et une revue de direction entre deux visites de certification.
Sources
- ISO/IEC 27001:2022, clauses 4.1, 4.2, 6.2, 7.2, 9.1, 9.2, 9.3 et 10.2, annexe A 5.18, 8.8, 8.13 et 8.15, ISO.
- ISO/IEC 27001:2022/Amd 1:2024, modifications liées à l’action climatique, ISO.
- ISO/IEC 17021-1:2015, exigences pour les organismes de certification, clauses 9.1.3.3 (fréquence de surveillance), 9.3.1.3 (étape 2) et 9.6.2 (contenu de la surveillance), ISO.
- ISO 19011:2018, lignes directrices pour l’audit, clause 4 (principes), remplacée par l’ISO 19011:2026 en mai 2026, ISO.
Questions fréquentes
Quelle clause de l'ISO 27001 exige les audits internes et les revues de direction ?
La clause 9, Évaluation des performances. La clause 9.2 exige des audits internes à des intervalles planifiés dans le cadre d'un programme d'audit, et la clause 9.3 exige que la direction revoie le SMSI à des intervalles planifiés sur la base d'une liste fixe d'éléments d'entrée.
À quelle fréquence faut-il réaliser les audits internes ISO 27001 ?
La norme ne fixe aucune fréquence, seulement des intervalles planifiés que vous définissez dans votre programme d'audit. En pratique, un audit sur le périmètre complet a lieu avant l'étape 2, et au moins un audit avant chaque audit de surveillance annuel, car l'organisme de certification examine les audits internes à chaque visite.
Qu'est-ce que la revue de direction ISO 27001 et à quelle fréquence faut-il la tenir ?
C'est une revue au cours de laquelle la direction vérifie que le SMSI reste pertinent, adéquat et efficace, et consigne ses décisions sur les améliorations et les changements. La norme parle d'intervalles planifiés. Une fois par an est le minimum en pratique, et deux fois par an ou chaque trimestre convient mieux quand l'activité évolue vite.
Quels sont les éléments d'entrée de la revue de direction ISO 27001 ?
La clause 9.3.2 en énumère sept : les actions issues des revues précédentes, les changements des enjeux externes et internes, les changements des besoins et attentes des parties intéressées, les retours sur la performance de sécurité, les retours des parties intéressées, les résultats de l'appréciation des risques et l'état du traitement des risques, et les opportunités d'amélioration continue.
Un auditeur interne ISO 27001 peut-il auditer son propre travail ?
La clause 9.2.2 exige de sélectionner les auditeurs de sorte que l'audit soit objectif et impartial. Les auditeurs de certification en déduisent qu'une personne ne peut pas auditer un travail qu'elle a elle-même réalisé : celui qui a construit un processus ne doit pas être celui qui l'audite.
