Annexe A ISO 27001 Excel : tableau de bord des contrôles

Lorsque vous démarrez un projet ISO 27001, l'une des premières livrables concrètes est la Déclaration d'Applicabilité (SOA) — un document qui recense les 93 contrôles de l'Annexe A, précise lesquels s'appliquent à votre organisation, et justifie les exclusions éventuelles. Sans un tableau structuré, gérer ce document devient rapidement chaotique.

Un tableau Excel bien conçu est l'outil le plus utilisé en pratique pour piloter l'Annexe A ISO 27001:2022. Il permet de suivre le statut d'implémentation de chaque contrôle, d'affecter des propriétaires, de lier les preuves de conformité, et de générer des indicateurs pour la revue de direction. Ce guide vous explique comment construire ce tableau, l'utiliser efficacement, et ce que les auditeurs de certification vérifieront dedans.

Structure recommandée du tableau Excel Annexe A ISO 27001:2022

Un tableau Annexe A efficace contient au minimum les colonnes suivantes. Chaque ligne correspond à un contrôle de l'Annexe A (93 lignes au total) :

Conseil pratique : ajoutez une colonne "Lié au risque n°" qui référence l'identifiant du risque correspondant dans votre registre de risques ou plan de traitement des risques (RTP). Cette liaison est ce que les auditeurs vérifient lors de l'examen de la SOA.

Organisation par domaines : 4 onglets ou 1 tableau filtrable ?

Deux approches sont utilisées en pratique :

Approche 1 — Tableau unique avec filtres (recommandée)

Un seul onglet Excel avec les 93 contrôles, et des filtres automatiques sur les colonnes Domaine, Statut, Propriétaire. Cette approche facilite le reporting consolidé et les revues de direction. Les tableaux croisés dynamiques permettent d'obtenir en un clic le % de contrôles implémentés par domaine.

Approche 2 — 4 onglets par domaine + 1 onglet dashboard

Un onglet par domaine (A.5, A.6, A.7, A.8) + un onglet "Dashboard" récapitulatif. Plus lisible pour les équipes opérationnelles, mais les formules de synthèse sont plus complexes à maintenir. Recommandé si différentes équipes gèrent différents domaines.

Mise en forme conditionnelle indispensable

Appliquez une mise en forme conditionnelle sur la colonne Statut : rouge pour "Non démarré", orange pour "Planifié", jaune pour "En cours", vert clair pour "Implémenté", vert foncé pour "Vérifié". En un coup d'œil, vous et les auditeurs voyez l'état d'avancement global.

Relier le tableau Annexe A à la Déclaration d'Applicabilité (SOA)

La clause 6.1.3 d'ISO 27001 exige une Déclaration d'Applicabilité documentée qui indique, pour chaque contrôle de l'Annexe A :

1. S'il est applicable ou non
2. La justification de son inclusion ou exclusion
3. S'il est implémenté (et dans quelle mesure)

En pratique, votre tableau Excel Annexe A peut être votre SOA — à condition de le structurer comme tel et d'y inclure les colonnes Applicable + Justification exclusion + Statut. Certaines organisations créent un document SOA formel séparé (Word/PDF) et gardent le tableau Excel comme outil de suivi opérationnel. Les deux approches sont acceptées par les auditeurs, à condition que les documents soient cohérents.

Point critique : chaque contrôle exclu doit avoir une justification solide. « Hors périmètre » ou « Risque non applicable car l'organisation n'effectue pas de développement logiciel » sont des justifications valides. « Trop complexe à implémenter » ne l'est pas.

Automatiser le suivi et le reporting Excel

Un tableau Annexe A Excel bien construit génère des indicateurs automatiques précieux pour le pilotage SMSI :

Formules de suivi COUNTIF

Dans un onglet Dashboard, utilisez ces formules :

• =COUNTIF(statut_col;"Implémenté")+COUNTIF(statut_col;"Vérifié") → contrôles implémentés
• =COUNTIF(applicable_col;"Oui") → contrôles applicables
• =COUNTIF(statut_col;"Implémenté")/COUNTIF(applicable_col;"Oui") → % d'avancement

Ces formules alimentent votre tableau de bord de conformité SMSI, utile pour les revues de direction (clause 9.3).

Graphique radar de maturité

Calculez le % d'implémentation par domaine (A.5, A.6, A.7, A.8) et créez un graphique radar. Visualisation immédiate des forces et faiblesses par domaine — idéal pour les présentations à la direction et les rapports d'audit interne ISO 27001.

Intégration dans la Revue de Direction

Exportez le graphique radar et le tableau de bord Excel dans votre template de revue de direction ISO 27001. La clause 9.3 exige que la direction soit informée de l'état du SMSI — votre tableau Excel Annexe A est la source de données principale pour cet exercice.

Alternatives Excel : outils SMSI dédiés

Excel reste le choix par défaut pour démarrer, mais des outils SMSI dédiés existent :

Egerie Risk Manager

Solution française intégrant EBIOS RM, ISO 27001 et conformité réglementaire (NIS 2, RGPD). Génère automatiquement la SOA et le plan de traitement des risques. Idéal pour les organisations avec des besoins multi-référentiels. Prix : sur devis, généralement 5 000–15 000€/an pour une PME.

Verinice

Outil open-source (version communautaire gratuite) spécialisé ISO 27001 et BSI IT-Grundschutz. Puissant mais courbe d'apprentissage élevée. Adapté aux équipes sécurité expérimentées.

MyISMS / SimpleMSI

Solutions SaaS françaises orientées PME. Interface plus accessible qu'Excel pour les équipes non techniques. Gestion documentaire intégrée. Prix : 100–500€/mois selon les modules.

Quand rester sur Excel ?

Excel est suffisant pour les organisations en première certification avec un périmètre limité (moins de 200 employés, un seul site). La migration vers un outil dédié se justifie lors du premier audit de surveillance (an+1) ou si l'équipe SMSI dépasse 3 personnes.

Utiliser votre tableau lors de l'audit de certification

L'auditeur de certification (Bureau Veritas, BSI, AFNOR, LRQA, SGS) consacre une partie significative du Stage 1 (audit documentaire) à l'examen de votre SOA et de votre tableau Annexe A. Voici ce qu'il vérifiera :

Cohérence SOA ↔ registre des risques

Chaque risque identifié dans votre appréciation des risques (clause 6.1.2) doit être traité par au moins un contrôle de l'Annexe A référencé dans votre SOA. L'auditeur suivra le fil : risque n°X → traitement retenu → contrôle Annexe A → statut d'implémentation → preuve. Votre tableau Excel est ce fil conducteur.

Justifications des exclusions

L'auditeur interrogera chaque contrôle marqué "Non applicable". Si vous avez exclu A.6.1 (sélection du personnel/screening) au motif que vous êtes une TPE de 5 personnes avec un processus de recrutement informel, vous devrez démontrer que le risque associé est bien documenté et accepté formellement.

Preuves d'implémentation

Pour chaque contrôle marqué "Implémenté" ou "Vérifié", l'auditeur demandera une preuve : une politique signée, un rapport de test, une capture d'écran de configuration, un compte-rendu de formation. La colonne "Preuves" de votre tableau doit pointer vers ces documents, stockés dans un espace documentaire accessible (SharePoint, GED, dossier partagé).

Consultez notre guide complet des 93 contrôles Annexe A ISO 27001 pour comprendre en détail les exigences de chaque contrôle avant de remplir votre tableau. Et pour être accompagné dans cette démarche, découvrez notre offre d'accompagnement ISO 27001.

Foire aux questions — Annexe A ISO 27001 Excel

Peut-on utiliser Google Sheets à la place d'Excel pour l'Annexe A ISO 27001 ?

Oui. Les auditeurs ISO 27001 acceptent tout format de SOA dès lors qu'il contient les informations requises (applicabilité, justifications, statut). Google Sheets offre l'avantage de la collaboration en temps réel. Vérifiez simplement que les droits d'accès au document sont correctement gérés (contrôle A.5.15).

Combien de contrôles Annexe A peut-on exclure ?

Il n'y a pas de limite réglementaire au nombre d'exclusions, à condition de justifier chacune. En pratique, les exclusions typiques concernent A.8.25–A.8.33 (sécurité du développement) pour les organisations qui n'effectuent pas de développement logiciel, et certains contrôles A.7 (sécurité physique) si le SI est entièrement cloud.

Faut-il mettre à jour le tableau Annexe A chaque année ?

Oui. La clause 9.1 exige une surveillance et une évaluation régulières du SMSI. Votre tableau Annexe A doit être revu a minima lors de chaque audit interne annuel (clause 9.2) et lors de la revue de direction (clause 9.3). Les audits de surveillance annuels de l'organisme certificateur vérifieront que le tableau a été mis à jour.

Comment gérer le tableau Annexe A en équipe sans qu'il devienne incohérent ?

Désignez un propriétaire SMSI unique responsable de la cohérence du tableau. Les propriétaires de contrôles individuels peuvent mettre à jour leurs colonnes (Statut, Preuves), mais seul le RSSI/SMSI modifie Applicable et Justification exclusion. Verrouillez ces cellules en écriture dans Excel avec un mot de passe.

Le tableau Annexe A Excel est-il suffisant ou faut-il un document SOA séparé ?

ISO 27001 exige une SOA "documentée" mais ne prescrit pas le format. Un tableau Excel bien structuré satisfait l'exigence. Certaines organisations préfèrent exporter un PDF formel signé par le RSSI à partir du tableau Excel pour chaque audit — ce qui est une bonne pratique pour les audits de certification, sans être obligatoire.

Modèle Excel Annexe A — guide ligne par ligne

Remplir un tableau Excel Annexe A ISO 27001 correctement est un exercice exigeant si l'on ne connaît pas la structure attendue. Voici un guide détaillé colonne par colonne pour construire votre tableau de référence SMSI.

Structure des colonnes recommandée

Un modèle Excel efficace pour l'Annexe A comprend au minimum 10 colonnes :

1. ID contrôle : numérotation officielle ISO 27001:2022, format A.5.1 à A.8.34. Toujours référencer la version 2022, qui regroupe 93 contrôles (contre 114 en 2013).
2. Titre officiel EN : intitulé anglais exact de la norme — utile si votre organisme de certification est international ou si vous travaillez avec des filiales étrangères.
3. Traduction FR : traduction française opérationnelle, adaptée à votre vocabulaire interne (évitez les traductions littérales qui perdent les opérationnels).
4. Domaine : Organisationnel (A.5), Personnes (A.6), Physique (A.7), Technologique (A.8). Utile pour filtrer par équipe responsable (IT, RH, Facilities, Direction).
5. Applicable (OUI/NON) : OUI si le risque associé existe dans votre contexte organisationnel. NON avec une justification documentée — les auditeurs vérifient que les exclusions sont justifiées et non arbitraires.
6. Justification d'exclusion : obligatoire pour tout contrôle marqué NON. Exemple : "A.7.4 (surveillance physique) — non applicable : le périmètre SMSI est 100% cloud, aucun datacenter en propre."
7. Statut d'implémentation : 5 états possibles — Non démarré / Planifié (avec date cible) / En cours (avec % avancement) / Implémenté / Vérifié par audit interne. Ne mélangez pas "Implémenté" et "Vérifié" : un contrôle peut être déployé sans avoir été audité.
8. Propriétaire : personne responsable de la mise en œuvre et du maintien du contrôle. Liez à la matrice RACI si elle existe. Un contrôle sans propriétaire nommé est systématiquement relevé en audit.
9. Date d'implémentation : date effective de mise en place, différente de la date de planification. Permet de calculer l'ancienneté du contrôle — un contrôle implémenté la veille de l'audit sera examiné avec attention.
10. Preuves disponibles : référence aux documents de preuve (procédures, screenshots, rapports, comptes-rendus, contrats). Format recommandé : [Type] [Référence doc] [Date]. Exemple : "Procédure PR-SEC-012 v2.1 (mars 2026)".

Colonnes avancées pour les organisations matures

Pour les ETI ou les organisations multi-certifications (ISO 27001 + SOC 2 + HDS), ajoutez :

• Niveau de risque résiduel : lié au registre des risques. Après traitement, le risque doit être accepté par la direction (clause 6.1.3). Utilisez une échelle cohérente avec votre méthodologie de gestion des risques (EBIOS RM, MEHARI, ISO 27005).
• Mapping autres référentiels : correspondance avec SOC 2 Trust Services Criteria, NIS 2, RGPD Article 32. Très utile pour les organisations soumises à plusieurs réglementations.
• Coût d'implémentation : estimation en jours/homme ou euros. Aide la direction à prioriser les investissements sécurité.

Exemple concret : remplir la ligne A.8.5 (Authentification sécurisée)

Voici comment remplir la ligne A.8.5 dans votre tableau Excel :

• ID : A.8.5
• Titre EN : Secure authentication
• Titre FR : Authentification sécurisée
• Domaine : Technologique (A.8)
• Applicable : OUI
• Statut : Implémenté
• Propriétaire : Responsable IT / RSSI
• Date : 2026-01-15
• Preuves : Politique MFA PR-IAM-003 v1.2 (jan. 2026) + rapport Entra ID Conditional Access export 2026-10-01 + capture Secure Score M365 (95/100 sur Identity) + PV revue d'accès Q3-2026
• Risque résiduel : Faible

Intégrer le tableau Excel dans votre SMSI au quotidien

Un tableau Annexe A n'est utile que s'il est maintenu à jour. Voici comment l'intégrer dans les processus SMSI réguliers.

Revue trimestrielle des contrôles

Planifiez une revue trimestrielle de votre tableau Excel avec les propriétaires des contrôles. L'ordre du jour type : (1) vérification des contrôles en statut "Planifié" dépassant leur date cible, (2) mise à jour des preuves pour les contrôles "Implémentés", (3) identification des nouveaux risques nécessitant de nouveaux contrôles, (4) préparation du reporting pour la revue de direction (clause 9.3).

Désignez un coordinateur SMSI (souvent le RSSI ou le consultant ISO 27001) pour animer ces revues et centraliser les mises à jour dans le fichier maître. Évitez les copies multiples du fichier : un dépôt centralisé sur SharePoint ou un outil de gestion documentaire conforme à la clause 7.5 s'impose.

Workflow de mise à jour lors de changements organisationnels

Chaque changement significatif dans l'organisation doit déclencher une revue du tableau :

• Nouveau projet informatique → vérifier si de nouveaux actifs entrent dans le périmètre et quels contrôles A.8 s'appliquent.
• Nouveau fournisseur ou sous-traitant critique → activer les contrôles A.5.19 à A.5.22 (sécurité chaîne d'approvisionnement) si ce n'est pas fait.
• Réorganisation ou départ d'employé clé → mettre à jour les propriétaires dans le tableau, appliquer A.6.5 (responsabilités après fin de contrat).
• Incident de sécurité → vérifier si le contrôle associé était marqué "Implémenté" et si l'incident révèle une défaillance nécessitant une action corrective (clause 10.1).

Connexion avec la revue de direction (clause 9.3)

Le tableau Excel Annexe A est un input direct de la revue de direction annuelle. Préparez un onglet "Tableau de bord" synthétisant : pourcentage de contrôles implémentés par domaine (graphique à barres), nombre de contrôles en retard, budget consommé vs planifié, et tendance des risques résiduels. Ce dashboard permet à la direction de prendre des décisions d'investissement éclairées.

Consultez notre modèle de revue de direction ISO 27001 pour structurer ce reporting, et notre guide sur la gestion documentaire SMSI clause 7.5 pour l'archivage des versions du tableau Excel.

Quand passer à un outil SMSI dédié ?

L'Excel devient limitant à partir d'un certain seuil de maturité :

• >200 employés : la coordination entre propriétaires de contrôles devient complexe avec un fichier partagé.
• Multi-sites ou multi-certifications : gérer ISO 27001 + HDS + SOC 2 dans un seul Excel est possible mais fastidieux.
• Audit interne fréquent : les outils SMSI dédiés (Egerie, Verinice, MyISMS) offrent des workflows d'audit intégrés avec génération automatique de rapports.
• Exigences réglementaires renforcées : secteurs banque, assurance, santé — les régulateurs (ACPR, ARS) demandent des traces d'audit horodatées que l'Excel ne garantit pas nativement.

Pour une PME de moins de 200 employés visant sa première certification ISO 27001, un Excel bien structuré est parfaitement suffisant. Découvrez notre accompagnement ISO 27001 pour PME pour être guidé dans la construction de votre SMSI.