L'audit de surveillance ISO 27001 : ce qui est vérifié chaque année

Un certificat ISO 27001 est délivré pour un cycle de trois ans. Il ne reste valable que si l’organisme certificateur vérifie, pendant ce cycle, que le système de management de la sécurité de l’information (SMSI) continue de fonctionner. C’est l’objet de l’audit de surveillance.

ISO/IEC 17021-1:2015 fixe le calendrier. Le programme d’audit comprend des audits de surveillance la deuxième et la troisième année, puis un audit de renouvellement la troisième année. Ce dernier est planifié et réalisé assez tôt pour que la décision de renouvellement intervienne avant la date d’expiration du certificat. Les surveillances ont lieu au moins une fois par année civile, sauf l’année du renouvellement. La première intervient au plus tard douze mois après la date de la décision de certification initiale, et non après la date de l’audit.

Le parcours complet, de l’audit initial au renouvellement, est présenté dans notre page sur les étapes de la certification ISO 27001.

Un audit de surveillance porte sur une sélection d’exigences et de processus, choisie de façon que l’ensemble du périmètre soit couvert sur le cycle. Certains points reviennent cependant à chaque visite. ISO/IEC 17021-1 en fixe la liste, et ISO/IEC 27006-1 la complète pour la sécurité de l’information.

Les obligations légales comprennent, pour les organisations concernées, celles de la directive NIS2 ou du règlement DORA. Elles relèvent de ces textes, mais l’auditeur les rencontre indirectement à travers la mesure A.5.31 de l’annexe A (exigences légales, statutaires, réglementaires et contractuelles).

La surveillance est plus courte que l’audit initial, car elle ne reprend pas l’ensemble des exigences à chaque visite. Sa durée est calculée selon les règles d’ISO/IEC 27006-1:2024, à partir de l’effectif couvert par le SMSI et de la complexité du périmètre, puis ajustée si le périmètre a changé. Le nombre de jours figure dans le programme d’audit établi pour le cycle, et il est revu lorsque le périmètre ou l’effectif évolue.

Une partie de l’audit peut être menée à distance lorsque les activités examinées s’y prêtent, selon les règles d’utilisation des technologies de l’information et de la communication définies au niveau international. La version 2024 d’ISO/IEC 27006-1 a supprimé l’accord préalable de l’accréditeur qui était requis au-delà de 30 % d’audit à distance.

Pour une organisation qui exploite plusieurs sites, tous ne sont pas audités chaque année : les règles d’échantillonnage sont détaillées dans notre page sur la certification ISO 27001 multi-sites.

Les constats suivent la même classification qu’à l’audit initial : non-conformité majeure, non-conformité mineure, opportunité d’amélioration. L’auditeur décrit chaque écart et l’exigence concernée, sans prescrire la solution, conformément à la règle d’impartialité qui sépare conseil et certification.

L’organisation propose ensuite ses corrections et ses actions correctives dans le délai fixé par l’organisme. Une non-conformité majeure doit être traitée, preuves à l’appui, pour que la certification soit maintenue. Le traitement des non-conformités mineures est vérifié lors de l’audit suivant. Le rapport consigne les constats et la conclusion de l’équipe d’audit sur le maintien de la certification.

ISO/IEC 17021-1 impose à l’organisme certificateur de suspendre la certification dans plusieurs cas, notamment lorsque :

• le client ne permet pas la réalisation des audits de surveillance ou de renouvellement à la fréquence requise ;
• le système certifié ne satisfait plus aux exigences, de façon persistante ou grave ;
• le client demande lui-même une suspension.

Pendant la suspension, la certification est temporairement invalide et l’organisation doit cesser de s’en prévaloir. Si les causes ne sont pas levées dans le délai fixé par l’organisme, la certification est retirée ou son périmètre réduit.

Le périmètre certifié peut évoluer en cours de cycle. Une extension à un nouveau site, une nouvelle activité ou de nouveaux systèmes d’information peut être auditée à tout moment, lors d’un audit d’extension distinct, ou à l’occasion d’un audit de surveillance ou de renouvellement.

Une organisation peut aussi changer d’organisme certificateur sans attendre la fin du cycle. Le nouvel organisme reprend le programme de surveillance là où il en était : les conditions sont décrites dans notre page sur le transfert de certification ISO 27001.

Certi-Trust réalise les audits de surveillance des certificats ISO 27001:2022 qu’il délivre sous accréditation COFRAC n° 4-0612 (voir la page certification ISO 27001). Pour échanger avec un auditeur sur votre périmètre et votre calendrier, contactez-nous.

Quand a lieu le premier audit de surveillance ISO 27001 ?
Au plus tard douze mois après la date de la décision de certification initiale, selon ISO/IEC 17021-1. Les surveillances suivantes ont lieu au moins une fois par année civile, jusqu’au renouvellement.

Que se passe-t-il si l’audit de surveillance n’a pas lieu à temps ?
L’organisme certificateur suspend la certification. Le certificat est alors temporairement invalide. Si la situation n’est pas régularisée dans le délai fixé, la certification est retirée.

L’audit de surveillance reprend-il toute la norme ?
Non. Il porte sur une sélection d’exigences, en plus des points examinés à chaque visite : audits internes, revue de direction, non-conformités précédentes, risques, changements et usage du certificat. Le programme d’audit couvre l’ensemble du périmètre sur les trois ans.

Peut-on profiter d’une surveillance pour étendre le périmètre du certificat ?
Oui. L’extension peut être évaluée lors d’un audit de surveillance, mais aussi à tout moment lors d’un audit d’extension distinct, ou lors du renouvellement. La durée de l’audit est alors ajustée.