Certification ISO 27001 Processus Audit

Périmètre du SMSI et sélection des contrôles

La définition du périmètre du SMSI est une décision stratégique : périmètre trop large (toute l'organisation) = charge de travail élevée, périmètre trop restreint (une seule application) = certification peu valorisante pour les parties prenantes. Le périmètre doit être clairement délimité (entités organisationnelles, localisations géographiques, systèmes d'information inclus) et documenté dans la politique du SMSI. Les interfaces et dépendances avec les systèmes hors périmètre doivent être gérées.

La Déclaration d'Applicabilité (DdA) est le document central du SMSI ISO 27001 : elle liste les 93 contrôles de l'Annexe A (ISO 27002:2022), indique pour chacun s'il est applicable (et pourquoi) ou exclu (avec justification), et son statut d'implémentation. La DdA doit être approuvée par la direction et mise à jour en cas de changement du périmètre ou des risques.

Audit interne et revue de direction

L'audit interne SMSI (exigence 9.2 de la norme) est réalisé par l'organisation avant l'audit de certification externe. Il vérifie la conformité du SMSI aux exigences de la norme et à la DdA, en utilisant un programme d'audit couvrant l'ensemble du périmètre sur le cycle de certification. Les auditeurs internes doivent être compétents et indépendants des activités auditées. Les non-conformités internes doivent être documentées et faire l'objet de plans d'action (PDCA — Plan-Do-Check-Act).

La revue de direction (exigence 9.3) est l'examen périodique (au moins annuel) du SMSI par la direction. Elle couvre : l'état des actions des revues précédentes, les changements des enjeux internes et externes, les résultats de performance (indicateurs KPI, résultats d'audits, statistiques d'incidents), les retours des parties intéressées (clients, partenaires, régulateurs), les résultats des évaluations des risques, et les opportunités d'amélioration continue. La revue de direction produit des décisions documentées sur les ressources nécessaires et les actions d'amélioration.

Coût et bénéfices de la certification ISO 27001

Le coût de la certification ISO 27001 varie selon la taille de l'organisation et l'état de maturité initial. Ordres de grandeur pour une PME (50-200 salariés) : consultant/accompagnement pré-certification 20-60k€, audit de certification (étape 1+2) 8-15k€, audits de surveillance annuels 4-8k€/an. Pour une grande entreprise (>1000 salariés), les coûts sont significativement plus élevés. En interne, le projet de certification mobilise typiquement un équivalent 0,5 à 2 ETP selon la durée et la taille du périmètre.

Les bénéfices incluent : différenciation commerciale (avantage concurrentiel lors des appels d'offres, notamment marchés publics et grandes entreprises), réduction des primes d'assurance cyber (certains assureurs offrent des réductions pour les assurés certifiés ISO 27001), conformité NIS2 facilitée (la certification ISO 27001 constitue une présomption de conformité partielle à NIS2 pour les domaines couverts), réduction du risque de violations de données (les organisations certifiées ont statistiquement moins d'incidents de sécurité graves), et amélioration de la confiance des clients et partenaires.