Accompagnement et certification ISO 27001 : le rôle du cabinet de conseil et celui de l'organisme certificateur

Un projet de certification ISO 27001 fait intervenir deux types d’acteurs que la réglementation de la certification tient séparés. Le cabinet de conseil aide l’organisation à construire son système de management de la sécurité de l’information (SMSI). L’organisme certificateur évalue ensuite ce système et décide s’il est conforme à ISO/IEC 27001:2022.

Cette séparation découle d’ISO/IEC 17021-1:2015, la norme qui fixe les exigences applicables aux organismes qui auditent et certifient des systèmes de management. Pour ISO 27001, elle est complétée par ISO/IEC 27006-1:2024. Le COFRAC vérifie le respect de ces deux textes lorsqu’il accrédite un organisme.

Le recours à un cabinet reste un choix. Ni ISO/IEC 27001 ni ISO/IEC 17021-1 n’imposent d’être accompagné : une organisation peut conduire son projet avec ses propres équipes, et l’audit porte sur le même référentiel dans les deux cas.

ISO/IEC 17021-1 définit le conseil en système de management comme la participation à l’établissement, à la mise en œuvre ou à la tenue à jour d’un système de management. La norme cite deux exemples : préparer ou rédiger des manuels et des procédures, et donner des avis, des instructions ou des solutions spécifiques pour développer et mettre en œuvre le système.

Dans un projet ISO 27001, une mission de conseil porte souvent sur les travaux suivants :

• la définition du périmètre du SMSI ;
• la méthode d’appréciation et de traitement des risques ;
• la rédaction de la politique de sécurité, des procédures et de la déclaration d’applicabilité, qui justifie l’inclusion et l’exclusion de chacune des 93 mesures de l’annexe A ;
• la réalisation d’audits internes ou la formation des équipes.

Tout ce travail relève de l’organisation et de ceux qui l’aident. Aucun de ces livrables n’est certifié en tant que tel : c’est leur application réelle qui sera évaluée.

L’organisme certificateur intervient comme tierce partie. Il audite le SMSI en deux étapes, revue documentaire puis évaluation de la mise en œuvre, consigne ses constats et confie la décision de certification à une personne qui n’a pas réalisé l’audit. Le déroulé complet est décrit dans notre page sur les étapes de la certification ISO 27001.

Son rôle se poursuit pendant les trois ans de validité du certificat, au fil de l’audit de surveillance ISO 27001 annuel puis du renouvellement.

Lorsqu’il relève une non-conformité, l’auditeur décrit l’écart et l’exigence concernée. Il ne prescrit pas la correction : choisir et mettre en œuvre la réponse revient à l’organisation, avec ou sans son conseil.

ISO/IEC 17021-1 consacre plusieurs exigences à l’impartialité. Elles s’appliquent à l’organisme certificateur et à toute partie de la même entité juridique.

• L’organisme ne peut ni proposer ni fournir de conseil en système de management.
• Réaliser des audits internes chez ses clients certifiés constitue une menace importante pour l’impartialité, encadrée par le délai de deux ans présenté ci-dessous.
• Il ne peut pas sous-traiter ses audits à un organisme de conseil en système de management.
• Ses activités ne peuvent pas être présentées ni proposées comme liées à celles d’un cabinet de conseil.
• Il ne peut pas affirmer ni laisser entendre que la certification serait plus simple, plus facile, plus rapide ou moins coûteuse avec un cabinet donné. Il doit réagir si un cabinet tient ce discours à son sujet.

Ces règles protègent la valeur du certificat. Un organisme qui aurait conçu le système qu’il audite évaluerait son propre travail.

ISO/IEC 17021-1 fixe une référence de deux ans dans trois situations.

La règle vaut aussi pour les personnes qui ont encadré une mission de conseil sans y intervenir directement. L’organisme certificateur recense les liens de ses auditeurs avec ses clients pour l’appliquer.

Le certificat atteste que le SMSI de l’organisation, sur le périmètre indiqué, répond aux exigences d’ISO/IEC 27001:2022 au moment des audits. Il ne mentionne ni le cabinet qui a pu intervenir, ni la qualité de sa mission. L’audit applique les mêmes critères à une organisation accompagnée et à une organisation qui a mené son projet seule.

Certi-Trust est un organisme d’évaluation : il certifie ISO 27001:2022 sous accréditation COFRAC n° 4-0612 et ne conseille pas les organisations qu’il certifie. Ses engagements sont publiés dans sa politique qualité et déclaration d’impartialité, et le périmètre couvert est décrit sur la page certification ISO 27001. Pour échanger avec un auditeur sur votre périmètre, contactez-nous.

Faut-il obligatoirement passer par un cabinet de conseil pour être certifié ISO 27001 ?
Non. Aucune norme n’impose d’accompagnement. L’organisme certificateur évalue le SMSI tel qu’il est appliqué, quelle que soit la manière dont il a été construit.

L’organisme certificateur peut-il réaliser notre audit interne ?
ISO/IEC 17021-1 considère la réalisation d’audits internes chez un client certifié comme une menace importante pour l’impartialité. La mesure reconnue est de ne pas certifier le système pendant au moins deux ans après la fin de ces audits internes. En pratique, l’audit interne est réalisé par l’organisation elle-même ou par un tiers indépendant de l’organisme qui la certifie.

Une formation ISO 27001 est-elle considérée comme du conseil ?
Non, si elle reste générale. ISO/IEC 17021-1 précise qu’une formation n’est pas du conseil lorsque son contenu se limite à des informations génériques et accessibles publiquement. Une formation qui apporte des solutions propres à l’organisation relève du conseil.

Notre consultant peut-il ensuite devenir l’auditeur de notre certification ?
Pas pendant au moins deux ans après la fin de sa mission, selon ISO/IEC 17021-1. L’organisme certificateur doit vérifier ce point avant de constituer l’équipe d’audit.