Préparer son audit de certification ISO 27001 : le guide pratique

Vous avez construit votre SMSI, vos mesures sont en place et votre déclaration d’applicabilité est prête : il est temps de passer l’audit. Ce moment inquiète souvent les équipes, alors qu’il se prépare très bien. Voici comment l’aborder sereinement.

Comment se déroule une certification

1. Choix d’un organisme de certification accrédité. En France, vérifiez l’accréditation COFRAC pour ISO/IEC 27001 (ou celle d’un organisme d’accréditation signataire des accords de reconnaissance européens et internationaux). Comparez les devis sur la base du nombre de jours d’audit, qui dépend notamment de vos effectifs et de la complexité du périmètre.
2. Audit d’étape 1 : revue de la documentation et de l’état de préparation.
3. Audit d’étape 2 : vérification de la mise en œuvre et de l’efficacité du SMSI.
4. Décision de certification et délivrance d’un certificat valable trois ans.
5. Audits de surveillance la première et la deuxième année, puis renouvellement la troisième année.

Avant de contacter l’organisme

Vérifiez que :

• le périmètre est stabilisé et décrit (sites, activités, systèmes, interfaces) ;
• le SMSI fonctionne depuis quelques mois, pour disposer de preuves de fonctionnement (revues d’accès, sauvegardes testées, incidents traités) ;
• un audit interne complet a été réalisé, ses constats traités ou planifiés ;
• une revue de direction a eu lieu et ses décisions sont tracées ;
• la déclaration d’applicabilité est approuvée et cohérente avec le plan de traitement des risques.

Les informations documentées attendues

La norme exige notamment de conserver ou de tenir à jour :

• le domaine d’application du SMSI (4.3) ;
• la politique de sécurité de l’information (5.2) ;
• le processus d’appréciation et de traitement des risques (6.1.2 et 6.1.3) et la déclaration d’applicabilité ;
• les objectifs de sécurité (6.2) ;
• les preuves de compétence (7.2) ;
• les résultats de l’appréciation et du traitement des risques (8.2 et 8.3) ;
• les résultats de la surveillance et de la mesure (9.1) ;
• le programme et les résultats d’audit interne (9.2) ;
• les résultats de la revue de direction (9.3) ;
• les non-conformités et les actions correctives (10.2).

S’y ajoutent les documents que vous avez jugés nécessaires : politiques thématiques, procédures, enregistrements des mesures de l’annexe A.

Étape 1 : la revue documentaire

L’auditeur vérifie que votre système est complet et cohérent, et que vous êtes prêts pour l’étape 2. Il peut relever des « points à traiter » avant l’étape suivante. Conseils :

• partagez un dossier clair et à jour plutôt qu’une arborescence de fichiers éparpillés ;
• préparez une présentation courte du contexte, du périmètre et de la méthode de risques ;
• vérifiez la cohérence entre analyse de risques, plan de traitement et déclaration d’applicabilité : c’est le premier point contrôlé.

Étape 2 : l’audit de mise en œuvre

L’auditeur interroge les personnes, observe les pratiques et échantillonne des preuves. Il peut demander : la dernière revue des accès, un ticket de changement, un rapport de test de restauration, le registre des incidents, une preuve de sensibilisation, un contrat fournisseur avec ses clauses de sécurité.

Ses constats peuvent être des non-conformités majeures (exigence non satisfaite, défaillance systémique), des non-conformités mineures, des observations ou des pistes d’amélioration. Une non-conformité majeure bloque la certification jusqu’à son traitement.

Traiter les non-conformités

Pour chaque écart, présentez dans le délai fixé par l’organisme :

1. la correction immédiate ;
2. l’analyse des causes (par exemple la méthode des 5 pourquoi) ;
3. le plan d’actions correctives, avec responsables et échéances ;
4. le moment venu, la preuve de l’efficacité des actions.

Après la certification

Le SMSI doit continuer à vivre : audits internes, revue de direction annuelle, mise à jour des risques, suivi des actions. Les audits de surveillance vérifient précisément cette continuité.

Votre checklist à J-30

• Déclaration d’applicabilité approuvée et à jour
• Plan de traitement des risques validé par les propriétaires des risques
• Audit interne réalisé, constats suivis
• Revue de direction tenue et compte rendu disponible
• Preuves récentes pour les mesures clés (accès, sauvegardes, vulnérabilités, incidents, formation)
• Interlocuteurs identifiés et disponibles les jours d’audit
• Accès de l’auditeur aux documents préparé

Comment OK-GRC vous aide

OK-GRC centralise tout ce que l’auditeur demande : déclaration d’applicabilité exportable en PDF, risques et plan de traitement, preuves datées et versionnées, programme d’audit interne, constats et actions correctives, revue de direction préparée automatiquement. Vous pouvez inviter votre auditeur avec un accès en lecture seule, gratuit et tracé.