Votre entreprise prépare sa certification ISO 27001. Un consultant vous accompagne, un auditeur interne vérifie votre système, puis un organisme externe délivre le certificat. Ces trois intervenants n’ont ni le même rôle, ni la même légitimité. Comprendre qui fait quoi évite de confier un audit à un acteur qui n’a pas l’autorité pour le mener.
Audit interne ISO 27001 : qui peut le conduire dans votre organisation
La clause 9.2 de la norme ISO 27001 impose des audits internes à intervalles planifiés. Leur but : vérifier que votre système de management de la sécurité de l’information (SMSI) respecte à la fois les exigences de la norme et vos propres règles internes.
Lire également : Quel est le salaire d'un RSSI ?
Qui s’en charge concrètement ? Toute personne objective et impartiale vis-à-vis de ce qu’elle audite. Un collaborateur du service qualité peut auditer le processus RH, mais pas son propre périmètre. L’exigence porte sur l’indépendance par rapport à l’activité auditée, pas sur un diplôme précis.
En pratique, trois profils reviennent souvent :
A lire aussi : Comment contrôler le parental ?
- Un salarié formé aux techniques d’audit, rattaché à un service différent de celui qu’il audite, ce qui garantit l’impartialité exigée par la norme.
- Un auditeur externe au forfait, consultant indépendant ou cabinet spécialisé, engagé spécifiquement pour l’audit interne annuel.
- Un auditeur mutualisé entre plusieurs entités d’un même groupe, qui audite un site auquel il n’est pas rattaché hiérarchiquement.
L’audit interne ne débouche pas sur un certificat. Il produit un rapport de constats (conformités, écarts, pistes d’amélioration) que la direction exploite pour corriger le SMSI avant l’audit de certification.
Organisme de certification accrédité : le seul habilité à délivrer le certificat ISO 27001
Vous avez peut-être croisé l’idée que « l’ISO » certifie les entreprises. C’est faux. L’ISO ne réalise aucun audit et ne délivre aucun certificat. Elle publie les normes. La certification est le travail d’un organisme tiers, indépendant de votre organisation.
Pour qu’un certificat soit reconnu sur le plan international, cet organisme doit être accrédité. En France, c’est le Cofrac (Comité français d’accréditation) qui vérifie la compétence des organismes certificateurs. L’accréditation repose sur deux référentiels : la norme ISO/IEC 17021-1, qui fixe les règles générales pour les organismes certifiant des systèmes de management, et la norme ISO/IEC 27006-1:2024, qui précise les exigences spécifiques à l’audit des SMSI.
Pourquoi l’accréditation change tout
Un cabinet de conseil peut auditer votre SMSI, repérer des écarts, produire un rapport détaillé. Il ne peut pas vous remettre un certificat ISO 27001 reconnu comme certification tierce partie. La différence ne tient pas à la compétence technique de l’auditeur, mais au statut de l’organisme qui l’emploie.
Un certificat émis par un organisme non accrédité n’a aucune valeur auprès de vos clients ou partenaires qui exigent une certification reconnue. Avant de signer, vérifiez que l’organisme figure dans la base de données du Cofrac ou de l’organisme d’accréditation de son pays.
Audit de certification ISO 27001 : déroulement en deux étapes
L’audit de certification se déroule en deux phases distinctes, menées par des auditeurs de l’organisme certificateur accrédité.
La première étape est une revue documentaire. L’auditeur examine votre politique de sécurité, votre déclaration d’applicabilité, votre analyse de risques et la documentation du SMSI. Il vérifie que le système est conçu pour répondre aux exigences de la norme. Cette étape peut se dérouler à distance.
La seconde étape est un audit sur site. L’auditeur interroge les équipes, observe les pratiques, teste l’application réelle des mesures de sécurité décrites dans la documentation. C’est à ce stade que les écarts entre le papier et la réalité apparaissent.
Les constats se classent en non-conformités majeures, mineures et pistes d’amélioration. Une non-conformité majeure bloque la délivrance du certificat tant qu’elle n’est pas corrigée. Une mineure doit être traitée dans un délai convenu, mais ne bloque pas la certification.
Surveillance et renouvellement après la certification
Le certificat ISO 27001 a une durée de validité de trois ans. Pendant ce cycle, l’organisme certificateur réalise des audits de surveillance (en général annuels) pour vérifier que le SMSI reste conforme et s’améliore. À l’issue des trois ans, un audit de renouvellement complet reprend le processus.
Les audits de certification doivent désormais porter sur l’édition 2022 de la norme. Un certificat encore fondé sur l’édition 2013 mérite une vérification auprès de l’organisme émetteur.
Compétences requises pour les auditeurs ISO 27001
La norme ne prescrit pas un diplôme unique. Elle exige des compétences en techniques d’audit, en sécurité de l’information et une connaissance du référentiel ISO 27001. Deux schémas de certification individuelle reviennent fréquemment :
- La certification IRCA (International Register of Certificated Auditors), qui valide la capacité à conduire des audits de systèmes de management selon des critères internationaux.
- La certification ICA délivrée par AFNOR Certification, spécifique au contexte français, qui atteste la compétence d’auditeur en sécurité de l’information.
- Des qualifications internes aux grands organismes certificateurs, qui forment et habilitent leurs propres auditeurs selon les exigences d’ISO/IEC 27006.
Pour l’audit interne, aucune certification individuelle n’est obligatoire. La norme demande l’objectivité et l’impartialité, pas un titre professionnel. Une formation aux techniques d’audit et une bonne connaissance du SMSI suffisent.
La distinction à retenir est simple : l’auditeur interne doit être compétent et impartial, l’auditeur de certification doit en plus appartenir à un organisme accrédité. Un consultant brillant qui ne travaille pas pour un organisme accrédité ne peut pas signer votre certificat. Gardez cette frontière en tête lorsque vous planifiez vos audits et choisissez vos interlocuteurs.
