Un audit de surveillance ISO 27001 est la vérification annuelle, par l’organisme de certification, que votre SMSI tourne toujours. Il a lieu au moins une fois par année civile, le premier dans les 12 mois suivant la décision de certification. Chacun dure environ un tiers du temps de l’audit initial et porte sur un échantillon du système. Si vous en manquez un, le certificat est suspendu.
Ce guide traite de la fréquence, de la durée, de ce que chaque visite doit couvrir, de ce qui est échantillonné, des preuves à tenir prêtes, des non-conformités, de la suspension et des raisons pour lesquelles la deuxième année se passe mal.
| Quand | Audit | Temps d’audit | Ce qu’il établit |
|---|---|---|---|
| Mois 0 | Étape 1 et étape 2, puis la décision de certification | 100 % | Le SMSI a été mis en place et il est opérationnel |
| Dans les 12 mois | Audit de surveillance 1 | environ 33 % | Il a continué de tourner après la fin du projet |
| Année civile suivante | Audit de surveillance 2 | environ 33 % | Il tourne toujours, sur un autre échantillon |
| Avant l’expiration à 36 mois | Audit de renouvellement | environ 67 % | Toutes les exigences, évaluées à nouveau |
À quelle fréquence a lieu l’audit de surveillance ISO 27001 ?
Au moins une fois par année civile, sauf les années de renouvellement. L’ISO/IEC 17021-1, la norme qui s’applique à tout organisme de certification accrédité, ajoute que le premier ne doit pas avoir lieu plus de 12 mois après la date de la décision de certification (article 9.1.3.3). Le cycle étant fixé par les règles d’accréditation, il est globalement le même quel que soit le pays où vous vous faites certifier. Les deux premières visites sont traitées dans les audits d’étape 1 et d’étape 2.
Les 12 mois courent à partir de la date de la décision de certification, pas du dernier jour de l’étape 2. European Accreditation a confirmé qu’une année civile sans audit est une exception que l’organisme doit justifier, pas une échéance qui peut glisser. Les entreprises qui traitent la date anniversaire comme un objectif souple sont celles qui finissent par expliquer une suspension à un client.
Combien de temps dure un audit de surveillance ISO 27001 ?
Environ un tiers du temps de l’audit initial, chaque année. L’ISO/IEC 27006-1, la norme d’accréditation des organismes de certification de SMSI, fixe la surveillance annuelle à environ un tiers du temps cumulé des étapes 1 et 2, et le renouvellement à environ deux tiers. L’IAF MD 5 applique les mêmes ratios aux audits qualité, environnement et santé et sécurité au travail.
Le temps d’audit initial dépend du nombre de personnes dans le périmètre du SMSI. Quelques tranches :
| Personnes dans le périmètre | Jours d’audit initial | Surveillance, par an | Renouvellement |
|---|---|---|---|
| 1 à 10 | 5 | environ 1,7 | environ 3,3 |
| 11 à 15 | 6 | environ 2 | environ 4 |
| 16 à 25 | 7 | environ 2,3 | environ 4,7 |
| 26 à 45 | 8,5 | environ 2,8 | environ 5,7 |
| 46 à 65 | 10 | environ 3,3 | environ 6,7 |
| 86 à 125 | 12 | environ 4 | environ 8 |
| 176 à 275 | 14 | environ 4,7 | environ 9,3 |
Ce sont des valeurs de base, avant l’ajustement que l’organisme applique selon la complexité. Vous devez informer l’organisme sans délai de tout changement important (ISO/IEC 17021-1, 8.5.3), et il peut ajouter du temps ou un audit supplémentaire. Les honoraires suivent les jours : voir le coût de la certification ISO 27001.
Plus court ne veut pas dire plus léger. L’auditeur arrive avec une liste fixe et moins de temps pour se laisser charmer.
Que couvre un audit de surveillance ISO 27001 ?
Les audits de surveillance ne portent pas nécessairement sur l’ensemble du système, mais l’ISO/IEC 17021-1 (9.6.2.2) énumère ce que chacun doit inclure :
- Les audits internes et la revue de direction.
- Les actions menées sur les non-conformités de l’audit précédent.
- Le traitement des plaintes.
- L’efficacité dans l’atteinte de vos objectifs et des résultats attendus.
- L’avancement des activités d’amélioration continue prévues.
- La maîtrise opérationnelle continue.
- La revue de tout changement.
- L’utilisation des marques et autres références à la certification.
L’ISO/IEC 27006-1 ajoute les points propres au SMSI : l’appréciation des risques et le maintien des mesures, les modifications des mesures et de la déclaration d’applicabilité (DdA), et les mesures retenues par le programme d’audit.
Les cinq points qui décident de la visite
En pratique, cinq points pèsent le plus.
- Les constats du dernier audit. Clos avec des preuves, pas marqués comme clos dans un tableur. Si l’étape 2 a relevé une non-conformité mineure sur les revues d’accès, l’auditeur veut voir les revues d’accès.
- L’audit interne. L’article 9.2 parle d’intervalles planifiés. Les auditeurs en attendent au moins un depuis la dernière visite, avec ses constats et leur suivi.
- La revue de direction. De vrais procès-verbaux, les éléments d’entrée de l’article 9.3, des décisions. Pas une entrée d’agenda.
- L’actualité de l’appréciation des risques. Nouveau bureau, nouvelle plateforme cloud, quarante nouveaux collaborateurs, une acquisition. Si l’entreprise a bougé et pas l’appréciation des risques, c’est un constat.
- L’action corrective comme routine. Des problèmes relevés et clos alors qu’aucun auditeur n’est attendu.
L’audit interne et la revue de direction sont souvent ceux que les entreprises oublient, et les deux qu’on ne peut pas produire après coup de manière crédible. La façon de mener les deux est décrite dans audit interne et revue de direction.
Le point oublié est l’utilisation des marques : la façon dont votre site web et vos réponses aux appels d’offres décrivent le certificat. Revendiquer un périmètre plus large que celui indiqué sur le certificat est un problème courant.
Qu’échantillonne l’auditeur, et pourquoi l’échantillon change-t-il ?
L’annexe A de l’ISO/IEC 27001:2022 compte 93 mesures, et votre déclaration d’applicabilité liste celles que vous appliquez. L’organisme ne les réaudite pas toutes à chaque visite. Il échantillonne selon un programme d’audit établi pour l’ensemble du cycle.
En pratique, l’échantillon fait l’objet d’une rotation, de sorte que toute la déclaration d’applicabilité soit couverte sur les trois ans. Hors constats ouverts, ce que l’auditeur a examiné la dernière fois a moins de chances d’être examiné la fois suivante. Une entreprise qui a corrigé exactement ce que l’étape 2 a échantillonné, et laissé le reste, s’est mise en position d’échouer au premier audit de surveillance.
L’échantillon penche aussi vers ce qui a changé. Les opérations ne sont jamais facultatives : European Accreditation a confirmé qu’un audit de surveillance ne peut pas porter uniquement sur le système de management. Et les auditeurs vérifient la proportionnalité après une croissance. Des mesures raisonnables à vingt-cinq personnes ne le sont souvent plus à quatre-vingts, et la hausse des effectifs est visible avant même qu’ils n’arrivent.
Comment se déroule un audit de surveillance ISO 27001 ?
- L’organisme demande l’effectif actuel, les sites, le périmètre et les changements, et ajuste le temps d’audit.
- L’auditeur principal envoie un plan qui nomme les articles, les mesures et les personnes qui seront échantillonnés.
- Réunion d’ouverture, entretiens, échantillonnage d’enregistrements, démonstrations sur les systèmes. Certaines parties peuvent se dérouler à distance, et l’ISO/IEC 27006-1 exige que le rapport indique dans quelle proportion.
- Réunion de clôture : les constats sont classés en non-conformités majeures ou mineures.
- Vous soumettez l’analyse des causes, les corrections et les actions correctives dans le délai fixé par l’organisme.
- L’organisme les examine et confirme le maintien de la certification.
Quelles preuves annuelles les auditeurs examinent-ils ?
La période examinée couvre tout l’intervalle depuis la dernière visite, pas la semaine qui la précède. Un dossier de preuves raisonnable :
DOSSIER DE PREUVES POUR L'AUDIT DE SURVEILLANCE ISO 27001
Période : depuis la dernière visite de l'organisme de certification
Système de management
[ ] Programme d'audit interne, rapports, constats, suivi
[ ] PV de revue de direction : éléments d'entrée 9.3, décisions
[ ] Registre des actions correctives : ouverture, cause, action,
clôture, date
[ ] Preuves de clôture de chaque constat du dernier audit
[ ] Objectifs et indicateurs de sécurité, avec résultats
[ ] Appréciation et plan de traitement des risques, revus après
changements
[ ] Déclaration d'applicabilité, avec historique des versions
[ ] Journal des changements : personnes, sites, fournisseurs,
systèmes, périmètre
[ ] Plaintes de sécurité des clients et des fournisseurs
[ ] Où et comment le certificat et la marque sont utilisés
Mesures (enregistrements datés sur toute la période)
[ ] Revues d'accès et retrait des accès des personnes parties
[ ] Évaluations des fournisseurs, nouveaux et critiques
[ ] Registres de formation et de sensibilisation
[ ] Scans de vulnérabilités et enregistrements des correctifs
[ ] Tests de restauration des sauvegardes
[ ] Registre des incidents et retours d'expérienceQue se passe-t-il en cas de non-conformité ?
L’ISO/IEC 17021-1 définit une non-conformité majeure comme une non-conformité qui affecte la capacité du système de management à atteindre les résultats attendus. Une non-conformité mineure ne l’affecte pas.
Dans les deux cas, vous analysez la cause et décrivez la correction et l’action corrective dans un délai défini. L’organisme les vérifie et indique s’il a besoin de documents, d’un audit complémentaire limité ou d’un audit complet. L’ISO/IEC 27006-1 précise que le délai accordé doit correspondre à la gravité et au risque pour la sécurité de l’information. Les délais exacts figurent dans le règlement de certification de votre organisme. Lisez-les avant la visite.
Beaucoup d’audits de surveillance donnent lieu à une ou deux non-conformités mineures. Vous convenez du plan, vous le mettez en œuvre, vous montrez les preuves. Rien de dramatique. Une non-conformité majeure non résolue à temps peut entraîner une suspension.
Que se passe-t-il si vous manquez un audit de surveillance ?
Attendez-vous à une suspension. L’ISO/IEC 17021-1 (9.6.5) impose la suspension lorsque, par exemple, le client ne permet pas la réalisation des audits de surveillance ou de renouvellement aux fréquences requises, ou que le système a failli de manière persistante ou grave à satisfaire aux exigences. Un certificat suspendu est temporairement invalide, et vous devez cesser d’en faire la promotion.
Résolvez le problème et l’organisme rétablit le certificat. S’il n’est pas résolu dans le délai fixé par l’organisme, la certification est retirée ou son périmètre réduit. La norme indique que la suspension ne dépasserait pas six mois dans la plupart des cas.
Pour un certificat sans interruption, le renouvellement doit être décidé avant l’expiration. Après l’expiration, l’organisme peut rétablir la certification dans les six mois si les activités en suspens sont menées à bien ; à défaut, il faut au minimum une nouvelle étape 2.
Pour la plupart des PME, le risque réaliste n’est pas le retrait. C’est une suspension qui tombe en plein appel d’offres.
Pourquoi la deuxième année se passe-t-elle souvent mal ?
La certification est un projet, avec une échéance, un budget et une personne désignée. Puis le projet se termine, la personne qui l’a mené retourne à son vrai travail, et le système n’a plus de responsable.
Onze mois plus tard, quelqu’un remarque la date de la surveillance. L’audit interne prévu au quatrième mois n’a pas eu lieu. La revue de direction s’est résumée à un point de quinze minutes sans procès-verbal. L’appréciation des risques décrit l’entreprise d’avant la nouvelle plateforme. Trois mois de revues d’accès manquent.
Rien de tout cela ne peut être fabriqué de façon convaincante, car tout est daté. C’est pourquoi des preuves qui se constituent d’elles-mêmes valent plus que des preuves préparées pour l’occasion. C’est aussi l’argument en faveur d’un responsable nommé qui dispose d’un vrai temps pour ce rôle.
La réalité technique : la surveillance vérifie que le système a tourné, pas qu’il a fonctionné
Un audit de surveillance vérifie que le système de management a tourné : les revues ont eu lieu, les audits ont été menés, les constats ont été clos, un échantillon de mesures est en place. Il teste la continuité des processus. Il ne teste pas si votre environnement informatique est défendable à un instant donné, et il n’est pas conçu pour cela.
L’auditeur échantillonne une fois par an. Un attaquant n’échantillonne pas. Une entreprise peut réussir plusieurs audits de surveillance consécutifs alors qu’un service exposé sur Internet reste sans correctif pendant la majeure partie du cycle, parce que rien dans le programme d’audit n’est conçu pour le trouver. L’argument plus large est développé dans certifié ne veut pas dire sécurisé.
Combler cet écart suppose de mesurer en continu ce que l’audit échantillonne une fois par an : un inventaire des actifs construit à partir de ce qui tourne réellement, un état des correctifs et de l’exposition visible plutôt que déclaré, des accès rapprochés de la liste des départs, des restaurations vérifiées plutôt que simplement planifiées. La surveillance cesse alors d’être un événement que l’on prépare. C’est ce que fait la plateforme CloudSoul, une plateforme automatisée où l’expertise humaine reste dans la boucle, et c’est ainsi que nous menons les programmes ISO 27001. Un audit de sécurité vous dira ce que le dernier échantillon n’a pas vu.
Liste de contrôle pour l’audit de surveillance ISO 27001
- Réservez les deux dates de surveillance la semaine où le certificat est émis.
- Planifiez l’audit interne au quatrième ou au cinquième mois, pas au onzième.
- Tenez la revue de direction comme une réunion à part entière, avec un procès-verbal qui consigne les décisions.
- Revoyez l’appréciation des risques et la déclaration d’applicabilité après chaque changement significatif, et consignez-le.
- Informez l’organisme de certification des changements importants avant la visite.
- Clôturez les constats de l’an dernier avec des preuves, pas avec un changement de statut.
- Faites en sorte que les preuves des mesures se constituent au fil de l’eau : revues d’accès, contrôles des fournisseurs, formation, restaurations.
- Vérifiez comment votre site web et vos réponses aux appels d’offres décrivent le périmètre du certificat.
Sources
- ISO/IEC 17021-1:2015, Exigences pour les organismes procédant à l’audit et à la certification des systèmes de management, articles 8.5.3, 9.1.3, 9.4, 9.6.2, 9.6.3 et 9.6.5, ISO.
- ISO/IEC 27006-1:2024, Exigences pour les organismes procédant à l’audit et à la certification des systèmes de management de la sécurité de l’information, article 9.6.2 et annexe C (temps d’audit), ISO.
- ISO/IEC 27001:2022, articles 9.2 et 9.3 et annexe A, ISO.
- IAF MD 5:2023 (édition 4, version 3), Détermination du temps d’audit des systèmes de management de la qualité, de l’environnement et de la santé et sécurité au travail, IAF.
- FAQ d’European Accreditation sur l’ISO/IEC 17021-1 : surveillance chaque année civile (37.12), maîtrise opérationnelle lors de la surveillance (44.2), temps d’audit après des changements notifiés (38.19), rétablissement de la certification après expiration (47.5).
- ANAB, ISO/IEC 27006-1:2024 : transition et changements.
Questions fréquentes
À quelle fréquence a lieu un audit de surveillance ISO 27001 ?
Au moins une fois par année civile, sauf l'année du renouvellement. Selon l'ISO/IEC 17021-1, le premier audit de surveillance doit avoir lieu au plus tard 12 mois après la date de la décision de certification.
Combien de temps dure un audit de surveillance ISO 27001 ?
Environ un tiers du temps de l'audit de certification initial, chaque année, selon l'ISO/IEC 27006-1. Une entreprise de 26 à 45 personnes dans le périmètre, avec 8,5 jours d'audit initial, doit prévoir un peu moins de trois jours d'audit de surveillance par an.
Que vérifie l'auditeur lors d'un audit de surveillance ISO 27001 ?
Chaque audit de surveillance doit inclure les audits internes et la revue de direction, les actions menées sur les non-conformités précédentes, les plaintes, l'efficacité, l'amélioration continue, la maîtrise opérationnelle, les changements et l'utilisation des marques de certification. Pour ISO 27001, l'auditeur vérifie aussi l'appréciation des risques, les modifications de la déclaration d'applicabilité et un échantillon de mesures.
Que se passe-t-il si vous manquez un audit de surveillance ISO 27001 ?
Selon l'ISO/IEC 17021-1, l'organisme de certification suspend le certificat lorsque le client ne permet pas la réalisation des audits de surveillance à la fréquence requise. Un certificat suspendu est temporairement invalide. Si le problème n'est pas résolu dans le délai fixé par l'organisme, la certification est retirée ou son périmètre réduit.
Un audit de surveillance est-il la même chose qu'un audit de renouvellement ?
Non. Un audit de surveillance échantillonne une partie du système de management et dure environ un tiers du temps de l'audit initial. Le renouvellement, avant l'expiration du certificat, évalue à nouveau toutes les exigences et dure environ deux tiers.
