Un audit de certification ISO 27001, ce sont deux visites aux rôles différents. L’étape 1 examine vos documents pour vérifier que le système est conçu ; l’étape 2 teste s’il a réellement fonctionné. L’étape 2 échantillonne des enregistrements sur une période, généralement après environ trois mois d’exploitation. La plupart des projets préparent intensément la première et se font piéger par la seconde.
Ce guide couvre les deux étapes, la période de preuves, les non-conformités majeures et mineures, ce que les auditeurs acceptent, ce qui déraille et ce qui vient ensuite.
| Étape 1 | Étape 2 | |
|---|---|---|
| Question à laquelle elle répond | Le système est-il conçu ? | Le système a-t-il fonctionné ? |
| Méthode | Revue documentaire : à distance, sur site ou mixte | Échantillonnage, entretiens, traçage de bout en bout |
| Ce qui est examiné | Périmètre, déclaration d’applicabilité (DdA), appréciation des risques, politiques, rôles | Enregistrements sur une période, articles 9 et 10 |
| Historique nécessaire | L’audit interne et la revue de direction existent en tant que processus | Généralement environ trois mois d’exploitation |
| Constats | Généralement des points d’attention, clos avant l’étape 2 | Non-conformités majeures ou mineures, observations |
Que vérifie l’auditeur lors de l’audit d’étape 1 ?
L’étape 1 est une revue documentaire. L’auditeur établit si un SMSI existe sur le papier, s’il couvre ce qu’exige ISO 27001, et si l’étape 2 vaut la peine d’être programmée.
Ce qu’il demande :
- L’énoncé du périmètre et sa frontière, et si celle-ci est défendable
- La déclaration d’applicabilité (Statement of Applicability), avec une justification pour chaque mesure incluse et chaque mesure exclue
- La méthode d’appréciation des risques et l’appréciation des risques elle-même
- L’ensemble des politiques
- La preuve que le programme d’audit interne et la revue de direction existent en tant que processus, et non qu’ils ont déjà eu lieu
- Les rôles, les responsabilités, et qui, dans la direction, porte le sujet
Ce qu’il vérifie réellement, c’est si les documents décrivent un seul système cohérent. L’échec classique de l’étape 1 : un périmètre qui dit une chose, une appréciation des risques qui couvre un champ plus large, et une DdA qui exclut des mesures dont le périmètre a manifestement besoin. Si la frontière n’est pas arrêtée, l’auditeur ne peut pas établir ce qu’il devra tester à l’étape 2, et tout s’arrête là. C’est pourquoi le périmètre et la déclaration d’applicabilité méritent plus d’attention que l’ensemble des politiques.
Les constats d’étape 1 sont généralement des points d’attention plutôt que des non-conformités formelles, et vous devez les traiter avant l’étape 2. Les consultants savent produire des documents, donc l’étape 1 se passe généralement bien. C’est justement pour cela qu’elle prédit mal l’étape 2.
Que vérifie l’auditeur lors de l’audit d’étape 2 ?
L’étape 2 est le véritable audit. L’auditeur ne lit plus ce que vous avez écrit. Il teste si cela a eu lieu.
- Échantillonnage. Il choisit des mesures et demande des preuves sur une période. Pas une revue d’accès, mais une série de revues datées. Pas la politique de sauvegarde, mais le dernier test de restauration et son résultat.
- Entretiens. Il demande aux personnes nommées dans vos politiques ce qu’elles font réellement. Une politique rédigée par quelqu’un d’extérieur à l’entreprise échoue ici, car la personne qui y est nommée décrit autre chose.
- Traçage. Il suit un fil de bout en bout : un risque du registre, son traitement, la mesure, la preuve qu’elle a fonctionné et la revue qui a confirmé son efficacité.
- Articles 9 et 10. Résultats d’audit interne, comptes rendus de revue de direction, non-conformités relevées et actions correctives closes avec analyse des causes racines et vérification de l’efficacité. C’est là que l’enchaînement décrit dans audit interne et revue de direction porte ses fruits, ou non.
Combien de temps le SMSI doit-il fonctionner avant l’étape 2 ?
Généralement environ trois mois, car l’échantillonnage suppose un historique à échantillonner. C’est du temps calendaire, et il ne s’achète pas : c’est la contrainte au cœur de combien de temps prend réellement ISO 27001.
Quelle est la différence entre une non-conformité majeure et une non-conformité mineure ?
Il existe trois issues, et leurs coûts sont très différents.
| Issue | Ce que c’est | Bloque la certification ? | Ce que vous faites |
|---|---|---|---|
| Non-conformité majeure | Un élément requis est absent, ou une mesure a failli d’une manière qui compromet le système | Oui | Corriger et fournir les preuves. Comptez des semaines, pas des jours, et peut-être une nouvelle visite |
| Non-conformité mineure | Un manquement isolé dans un système qui fonctionne par ailleurs | En général non | Soumettre un plan d’actions correctives, généralement sous quelques semaines |
| Observation ou opportunité d’amélioration | Pas une non-conformité | Non | Aucune action corrective requise |
Un programme d’audit interne manquant est une non-conformité majeure. Tout comme un plan de traitement des risques sans aucun responsable désigné. Une revue d’accès manquée sur une année de revues est mineure, tout comme une évaluation de fournisseur non archivée. La clôture d’une mineure est vérifiée lors de l’audit de surveillance suivant, ou sur pièces avant l’émission du certificat.
Les équipes réagissent régulièrement de manière excessive aux observations, consacrent des efforts à les clore et arrivent à l’audit suivant en ayant traité un conseil comme une instruction.
Le nombre de constats compte bien moins que leur nature. Une étape 2 avec six mineures et aucune majeure est un bon audit. Une seule majeure et rien d’autre est un mauvais audit.
Quelles preuves les auditeurs ISO 27001 acceptent-ils ?
Trois schémas reviennent régulièrement.
Une mesure que vous avez décidé de ne pas mettre en œuvre, si la décision est documentée et justifiée. La DdA existe pour cela. Ce qu’ils n’acceptent pas, c’est une mesure marquée applicable, décrite dans une politique, et qui ne fonctionne pas.
Des preuves imparfaites produites sur le moment plutôt que des preuves parfaites produites après coup. Un relevé de correctifs avec des trous que vous pouvez expliquer vaut mieux qu’un tableur rétrospectif impeccable. Les auditeurs en ont vu énormément, et les métadonnées de fichiers ne sont pas subtiles.
« Nous le savons, c’est au registre, voici le traitement et la date ». Un risque ouvert avec un responsable et un plan, c’est un système de management qui fonctionne. Le même risque non documenté est un constat.
L’instinct de cacher les problèmes est à l’envers. Les non-conformités que votre propre audit interne a trouvées et closes prouvent que le système fonctionne. C’est précisément ce qui est certifié.
Pourquoi les audits de certification ISO 27001 déraillent-ils ?
Par ordre de fréquence :
- Les preuves n’existent pas pour la fenêtre d’échantillonnage. Les mesures ont été conçues, mais rien n’a enregistré leur fonctionnement.
- Le périmètre a été mal tracé et une partie du travail doit être refaite.
- Les politiques décrivent une entreprise qui n’existe pas. Les entretiens le révèlent en quelques minutes.
- L’article 9 est léger. Audit interne mené trop tard, revue de direction sans ses éléments d’entrée obligatoires.
- Des actions correctives closes sans cause racine, ou sans vérifier que la correction a fonctionné.
Chacun de ces points est un échec de préparation, pas un échec de sécurité. Aucun ne signifie que l’entreprise n’est pas sécurisée. Ils signifient que les enregistrements ne soutiennent pas l’affirmation.
Que se passe-t-il après l’audit d’étape 2 ?
L’auditeur recommande la certification, il ne l’accorde pas. La revue et le processus de décision propres à l’organisme de certification suivent, et le certificat est émis ensuite. Prévoyez ce délai plutôt que de promettre à un client un certificat pour la semaine suivant l’audit.
Le certificat suit ensuite un cycle de trois ans : audits de surveillance la deuxième et la troisième année, audit de renouvellement à la fin. Les coûts de ce cycle sont détaillés dans ce que coûte réellement ISO 27001 à une PME.
Pour savoir ce qu’une étape 2 trouverait avant d’en programmer une, faites un audit structuré en amont du programme. Il produit la même liste d’écarts classés par priorité, sans que le certificat soit en jeu.
Réussir l’étape 2 signifie-t-il que vous êtes sécurisé ?
Non. L’étape 2 teste la conformité, pas la sécurité. Cette distinction n’est pas de la pédanterie : c’est tout l’écart.
L’auditeur vérifie par échantillonnage si une mesure a fonctionné comme décrit. Il ne teste pas si elle est efficace. L’A.8.8 demande de gérer les vulnérabilités techniques, et un scan mensuel avec un rapport y satisfait même si les constats critiques de ce rapport datent de huit mois. L’A.8.15 demande la journalisation, et des journaux écrits sur un disque que personne n’interroge y satisfont. L’A.8.16 demande des activités de surveillance, l’écart le plus large de tous : une procédure documentée satisfait la mesure alors que rien ne surveille réellement.
Une étape 2 sans accroc dit à un client que votre système de management fonctionne. Elle n’a jamais été conçue pour lui dire si vous remarqueriez une intrusion. Cette question trouve sa réponse dans un outillage qui produit des constats en continu dans le même registre de preuves, pas dans un audit mieux préparé. L’argument complet se trouve dans les mesures de l’annexe A regroupées pour le travail réel, qui distingue les mesures qui consignent le travail de celles qui sont le travail.
Check-list des audits d’étape 1 et d’étape 2
- Vérifiez que le périmètre, l’appréciation des risques et la DdA décrivent le même système.
- Justifiez chaque mesure de la DdA, incluse ou exclue.
- Traitez les points d’attention de l’étape 1 avant l’étape 2.
- Lancez tôt l’horloge des preuves : prévoyez environ trois mois d’exploitation avant l’étape 2.
- Conservez des preuves datées produites sur le moment : revues d’accès, tests de restauration et leurs résultats.
- Demandez aux personnes nommées dans vos politiques ce qu’elles font réellement, et corrigez les politiques là où les réponses diffèrent.
- Menez l’audit interne et la revue de direction à temps, et clôturez les actions correctives avec analyse des causes racines et vérification de l’efficacité.
- Ne promettez pas de date de certificat à un client avant que l’organisme de certification ait pris sa décision.
Questions fréquentes
Quelle est la différence entre l'étape 1 et l'étape 2 dans ISO 27001 ?
L'étape 1 est une revue documentaire qui vérifie si le système de management est conçu et couvre ce que la norme exige. L'étape 2 teste si le système a réellement fonctionné, en échantillonnant des enregistrements sur une période, en interrogeant le personnel et en suivant des risques jusqu'aux preuves.
L'audit ISO 27001 d'étape 1 peut-il se faire à distance ?
Oui. L'étape 1 peut se dérouler à distance, sur site, ou en partie à distance et en partie sur site.
Combien de temps le SMSI doit-il fonctionner avant l'audit d'étape 2 ?
Généralement environ trois mois. L'auditeur échantillonne des preuves sur une période, il faut donc un historique à échantillonner, et ce temps calendaire ne s'achète pas.
Une non-conformité majeure signifie-t-elle l'échec de la certification ISO 27001 ?
Une non-conformité majeure bloque la certification jusqu'à ce que vous l'ayez corrigée et en ayez fourni la preuve, et selon la gravité l'auditeur peut devoir revenir. Comptez des semaines, pas des jours. Les non-conformités mineures ne bloquent généralement pas la certification.
Obtient-on le certificat ISO 27001 à la fin de l'étape 2 ?
Non. L'auditeur recommande la certification, il ne l'accorde pas. L'organisme de certification mène sa propre revue et son propre processus de décision, et le certificat est émis ensuite.
