Audit Interne ISO 27001

Définition

L'Audit Interne ISO 27001 est une évaluation systématique et documentée du Système de Management de la Sécurité de l'Information (SMSI), réalisée par l'organisation elle-même, généralement par une fonction indépendante du périmètre audité ou par un auditeur interne formé, afin de vérifier la conformité effective aux exigences de la norme ISO 27001 et l'efficacité réelle des contrôles de sécurité déployés au regard de l'analyse de risques et de la Déclaration d'Applicabilité. Cette exigence, formalisée à la clause 9.2 de la norme, impose une planification pluriannuelle couvrant l'intégralité du périmètre certifié sur un cycle défini, généralement aligné sur la durée du cycle de certification triennal, avec une fréquence et une profondeur d'audit proportionnées à l'importance et aux résultats des audits précédents pour chaque processus. L'auditeur interne évalue les preuves documentaires, mène des entretiens et observe les pratiques opérationnelles réelles pour identifier les non-conformités, qu'elles soient mineures, portant sur un écart ponctuel corrigible rapidement, ou majeures, révélant une défaillance systémique du SMSI. Les résultats alimentent directement la revue de direction et le processus d'amélioration continue exigé par le cycle Plan-Do-Check-Act de la norme. Les auditeurs de certification externes examinent systématiquement le programme d'audit interne et ses résultats comme preuve du bon fonctionnement autonome du SMSI.