Les étapes de la certification ISO 27001 : audit initial, surveillance, renouvellement

Tout commence par une demande, puis par une revue de recevabilité. L’organisme certificateur vérifie qu’il dispose des informations nécessaires et qu’aucun conflit d’intérêts ne l’empêche d’intervenir : il ne peut pas auditer un système de management qu’il aurait contribué à concevoir.

Cette phase arrête trois éléments : le périmètre qui figurera sur le certificat, le nombre de jours d’audit, et la composition de l’équipe d’évaluation. Le dimensionnement suit des règles d’accréditation fondées sur l’effectif concerné, le nombre de sites et la complexité du système d’information.

Un contrat formalise ensuite l’engagement des deux parties.

L’équipe d’audit examine les informations documentées du système : politique de sécurité, appréciation et traitement des risques, déclaration d’applicabilité, résultats des audits internes, comptes rendus de revue de direction.

L’objectif n’est pas de juger la conformité finale, mais de statuer sur la préparation de l’organisation à l’étape suivante. Trois situations se présentent. Le système est prêt, l’étape 2 est planifiée. Des éléments manquent, l’étape 2 est reportée le temps de les produire. Le système est trop incomplet, l’audit s’arrête.

Cette étape se déroule généralement sur un à deux jours, à distance ou sur site.

L’équipe évalue cette fois l’application réelle du système, par des entretiens avec le personnel, des observations de terrain et l’examen des preuves : enregistrements, journaux, traces de traitement des incidents, suivi des actions décidées.

C’est ici que se vérifie l’écart éventuel entre ce qui est écrit et ce qui est fait. Une documentation irréprochable ne suffit pas si les pratiques ne la suivent pas.

La durée dépend du périmètre : quelques jours pour une organisation d’une cinquantaine de personnes sur un site, davantage en cas de sites multiples ou d’activités complexes.

Les constats sont classés.

Une non-conformité majeure traduit une défaillance qui remet en cause l’efficacité du système : exigence de la norme non couverte, processus absent, défaut systémique. Elle bloque la certification tant qu’elle n’est pas levée, preuves à l’appui.

Une non-conformité mineure signale un écart ponctuel, sans effet d’ensemble. Elle fait l’objet d’un plan d’action dont la mise en œuvre est vérifiée, souvent lors de l’audit suivant.

Une opportunité d’amélioration n’est pas un écart : c’est une observation, sans caractère obligatoire.

L’organisation dispose d’un délai pour proposer des corrections et des actions correctives. Le refus de certification sanctionne l’absence de traitement des non-conformités majeures, non leur existence : en relever est le travail normal d’un auditeur.

Les constats sont consignés dans un rapport transmis à un Certification Manager, seul habilité à prononcer la décision. Cette séparation entre celui qui audite et celui qui décide est une exigence d’ISO/IEC 17021-1.

Le certificat délivré mentionne le périmètre, la norme et sa version, ainsi que la durée de validité.

Le certificat est valable trois ans, sous réserve d’audits de surveillance annuels. Le premier intervient dans les douze mois suivant la décision initiale.

Plus courts que l’audit initial, ils vérifient que le système continue de fonctionner : traitement des non-conformités précédentes, audits internes, revue de direction, évolutions du périmètre, incidents survenus depuis. Une surveillance non réalisée dans les délais entraîne la suspension du certificat.

À l’échéance des trois ans, un audit de renouvellement réévalue l’ensemble du système. Il est plus complet qu’une surveillance, sans reprendre l’intégralité du volume de l’audit initial lorsque le système est resté stable.

Le transfert de certificat permet de changer d’organisme certificateur en cours de cycle. L’organisme repreneur vérifie la validité du certificat en cours, l’absence de non-conformités ouvertes et la portée de l’accréditation. Il ne reprend pas l’audit à zéro.

Pour aller plus loin : la certification ISO 27001, le SMSI exigé par la norme et NIS2 et ISO 27001.