Revue de Direction ISO 27001

Exigences de la clause 9.3 d'ISO 27001

La clause 9.3 d'ISO 27001:2022 impose une revue périodique du SMSI par la direction. Cette revue doit couvrir les éléments d'entrée obligatoires : statut des actions issues des revues précédentes, évolutions du contexte interne et externe pertinentes pour le SMSI, retours sur la performance du SMSI (incidents, non-conformités, indicateurs), retours des parties intéressées, résultats de l'évaluation des risques et statut du plan de traitement, et opportunités d'amélioration continue.

Les éléments de sortie de la revue (décisions et actions) doivent être documentés et comprendre au minimum : les décisions relatives aux opportunités d'amélioration, les besoins de changement dans le SMSI, les ressources nécessaires, et les modifications éventuelles de la politique de sécurité ou des objectifs. Ces éléments de sortie sont vérifiés lors des audits de certification.

Préparation et animation de la revue

Le RSSI ou le responsable SMSI prépare le tableau de bord de sécurité : indicateurs de performance (KPIs), résultats des audits internes, état du plan de traitement des risques, incidents survenus et actions correctives, résultats des tests de sécurité, état des vulnérabilités et correctifs, et évolutions réglementaires pertinentes. Ce tableau de bord doit permettre à la direction de prendre des décisions informées sans entrer dans les détails techniques.

La revue de direction doit être animée par un membre de la direction (DG, COO, ou membre du comité exécutif) et implique les principaux responsables concernés : DSI, RSSI, DPO, DRH (pour les aspects ressources humaines), DAF (pour le budget). L'implication active de la direction, au-delà de la simple signature du compte-rendu, est un signal fort pour l'ensemble de l'organisation.

Lien avec l'amélioration continue

La revue de direction est le moteur de l'amélioration continue du SMSI (clause 10 d'ISO 27001). Les actions décidées lors de la revue alimentent le plan d'amélioration du SMSI, qui sera suivi et évalué lors de la prochaine revue. Ce cycle itératif garantit que le SMSI évolue en fonction des menaces, des risques et des objectifs de l'organisation.

Les auditeurs de certification accordent une importance particulière à la qualité des revues de direction : un compte-rendu formel, daté, signé par la direction, listant les éléments d'entrée examinés et les décisions prises est indispensable. Une revue superficielle ou non documentée est une non-conformité majeure pouvant bloquer la certification.