Certification multi-sites (ISO 27001)

Définition

La certification multi-sites, modalité particulière de certification prévue par les règles d'accréditation applicables à la norme ISO 27001, permet à une organisation disposant de plusieurs implantations géographiques distinctes d'obtenir un certificat unique couvrant l'ensemble de ces sites, plutôt que de devoir engager une démarche de certification séparée et indépendante pour chacun d'entre eux, à condition que ces sites soient soumis à un même système de management centralisé, disposant de politiques, procédures et processus de gouvernance communs. Cette approche présente un intérêt économique et organisationnel évident pour les groupes disposant de nombreuses filiales ou implantations, en mutualisant l'effort de préparation à l'audit et en réduisant le coût global de la certification comparé à une multiplication d'audits indépendants. L'organisme certificateur applique néanmoins une méthodologie d'échantillonnage rigoureuse, définissant un nombre représentatif de sites à auditer effectivement chaque année selon des critères tenant compte du nombre total de sites, de leur similarité fonctionnelle et de leur niveau de risque respectif, plutôt que d'auditer systématiquement l'intégralité des implantations à chaque cycle. Un site présentant des spécificités significatives par rapport au reste du groupe, par exemple en raison d'une réglementation locale distincte ou d'une activité particulièrement critique, peut nécessiter un traitement différencié voire une exclusion du périmètre de certification multi-sites au profit d'une certification autonome.