Certification ISO 27001 multi-sites : périmètre et échantillonnage

Au sens de la certification, une organisation multi-sites exploite un seul système de management sur plusieurs sites. Une fonction centrale, qui n’est pas forcément le siège social, planifie et pilote ce système. Les sites réalisent tout ou partie des activités couvertes. Ils peuvent être permanents, temporaires ou virtuels : une équipe qui travaille entièrement dans un environnement cloud peut constituer un site virtuel.

Les sites n’ont pas à appartenir à une même entité juridique. Chacun doit en revanche avoir un lien juridique ou contractuel avec la fonction centrale, appliquer le même système de management et accepter que la fonction centrale lui demande des actions correctives.

Deux situations restent hors de ce cadre. Une organisation dont chaque site gère son propre système de management est traitée comme une série d’organisations distinctes. Des entreprises indépendantes regroupées sous un système commun par un tiers ne forment pas une organisation multi-sites.

Deux textes encadrent l’audit d’une organisation multi-sites pour ISO 27001.

Le document obligatoire IAF MD 1:2023 (édition 3, applicable depuis le 18 octobre 2023) s’applique à la certification accréditée de tous les systèmes de management. Il précise lui-même que les exigences multi-sites propres à un schéma priment sur les siennes, et cite ISO/IEC 27006 en exemple.

ISO/IEC 27006-1:2024 fixe les exigences applicables aux organismes qui certifient ISO 27001. Publiée en mars 2024, elle a remplacé ISO/IEC 27006:2015 et son amendement de 2020, avec une fin de transition fixée au 31 mars 2026. Elle n’a pas remplacé IAF MD 1 : elle contient ses propres règles multi-sites, qui s’appliquent en priorité, et IAF MD 1 complète ce qu’elle ne traite pas.

L’IAF a cessé ses activités le 1er janvier 2026. La Global Accreditation Cooperation, qui lui succède, maintient ses documents obligatoires en vigueur jusqu’à l’adoption de documents équivalents.

Un organisme certificateur peut auditer un échantillon de sites, et non chacun d’eux, si l’organisation remplit plusieurs conditions :

• tous les sites appliquent le même SMSI, administré et audité de façon centralisée ;
• ce SMSI fait l’objet d’une revue de direction centrale ;
• tous les sites figurent dans le programme d’audit interne de l’organisation ;
• la fonction centrale fait partie de l’organisation, n’est pas sous-traitée et a autorité pour modifier le système, analyser les données de tous les sites et engager des actions correctives.

Remplir ces conditions ne suffit pas. L’échantillonnage n’est admis que pour des sites qui exercent des activités très similaires. Un site qui exerce une activité propre, ou que l’analyse de risque de l’organisme désigne comme sensible, est audité à part entière. Une organisation peut ainsi combiner des sites échantillonnés et des sites audités systématiquement.

L’échantillon associe une part choisie et une part tirée au hasard. La part choisie vise les sites les plus différents entre eux au cours du cycle, de façon que toutes les activités du périmètre soient auditées. Les critères de choix portent notamment sur :

• les résultats des audits internes, des revues de direction et des audits précédents ;
• la taille des sites et la complexité de leurs systèmes d’information ;
• les écarts de pratiques, d’activités et de conception des mesures de sécurité ;
• les incidents de sécurité survenus sur un site ;
• les différences d’exigences légales, de langue ou de culture.

IAF MD 1 fixe un nombre minimal de sites à auditer, qui croît avec le nombre total de sites et diffère entre audit initial, surveillance et renouvellement. L’organisme doit l’augmenter lorsque son analyse de risque le justifie. La fonction centrale est auditée à chaque audit du cycle. Le nombre retenu et sa justification figurent dans le programme d’audit.

L’édition 2024 a revu le calcul de la durée d’audit pour les organisations multi-sites. La durée est déterminée à partir de l’effectif total couvert par le SMSI, y compris les personnes qui travaillent pour l’organisation sans en être salariées, puis répartie entre les sites selon leur rôle dans le SMSI, les activités qu’ils hébergent et leurs risques.

Les sites qui ne sont pas audités sur place restent couverts par la certification : ils sont vérifiés par l’audit de la fonction centrale et par l’échantillon des autres sites, au fil de chaque audit de surveillance ISO 27001.

L’échantillonnage repose sur l’idée qu’un seul système fonctionne partout. Une non-conformité relevée sur un site, par l’audit interne ou par l’organisme, oblige donc l’organisation à rechercher si d’autres sites sont touchés. Si l’écart révèle une défaillance du système, les actions correctives portent sur la fonction centrale et sur tous les sites concernés.

Au moment de la décision, une non-conformité majeure sur un seul site bloque la certification de l’ensemble de l’organisation jusqu’à son traitement. Retirer le site en cause du périmètre pour lever l’obstacle n’est pas admis pendant le processus de certification. Le certificat liste tous les sites couverts et leurs activités. L’ajout d’un site en cours de cycle passe par une extension de périmètre, décrite dans notre page sur les étapes de la certification ISO 27001.

Certi-Trust certifie ISO 27001:2022 sous accréditation COFRAC n° 4-0612 (portée consultable sur la page accréditations et agréments) et applique ces règles à chaque certification ISO 27001 multi-sites. Pour échanger avec un auditeur sur votre périmètre, contactez-nous.

Tous les sites doivent-ils être audités pour une certification ISO 27001 multi-sites ?
Pas forcément. Si les conditions d’échantillonnage sont réunies et que les sites exercent des activités très similaires, l’organisme audite un échantillon, complété à chaque audit par la fonction centrale. Les sites aux activités spécifiques ou à risque sont audités systématiquement.

Un groupe composé de plusieurs sociétés peut-il obtenir un seul certificat ?
Oui, si toutes les sociétés appliquent le même SMSI, piloté par une fonction centrale avec laquelle elles ont un lien juridique ou contractuel. Si chaque société gère son propre SMSI, chacune est auditée séparément.

Le télétravail crée-t-il des sites à auditer ?
IAF MD 1 définit le site virtuel comme un environnement en ligne depuis lequel l’organisation exerce ses activités, et le compte comme un site pour le calcul de la durée d’audit. Le traitement du télétravail dans le périmètre est apprécié par l’organisme lors de la revue de la demande.