Transférer sa certification ISO 27001 vers un autre organisme

Une organisation certifiée ISO 27001 peut changer d’organisme certificateur sans attendre la fin de son cycle de trois ans. Le transfert consiste, pour un organisme accrédité, à reconnaître une certification existante et valide délivrée par un autre organisme accrédité, puis à délivrer sa propre certification.

Les règles sont fixées par le document obligatoire IAF MD 2:2023 (édition 2, version 2), qui précise l’exigence d’ISO/IEC 17021-1:2015 sur le programme d’audit. Il définit des critères minimaux. Un organisme peut appliquer des règles plus strictes, à condition de ne pas restreindre de façon excessive le libre choix de l’organisme certificateur. L’IAF a cessé ses activités le 1er janvier 2026 au profit de la Global Accreditation Cooperation, qui maintient ses documents obligatoires en vigueur jusqu’à l’adoption d’équivalents.

La double certification, par deux organismes en même temps, n’entre pas dans cette définition. L’IAF ne l’encourage pas.

Seules les certifications délivrées sous une accréditation couverte par un accord de reconnaissance mutuelle, international ou régional comme celui d’EA en Europe, peuvent être transférées. Le certificat doit être valide. Un certificat dont on sait qu’il est suspendu n’est pas accepté.

Pour ISO 27001, la validité suppose aussi la bonne version de la norme. La transition vers ISO/IEC 27001:2022 s’est achevée le 31 octobre 2025 : un certificat encore établi selon la version 2013 n’est plus valide et ne peut pas être transféré.

Un cas particulier concerne les organismes qui cessent leur activité ou dont l’accréditation a expiré, été suspendue ou retirée. Le transfert doit alors intervenir dans les six mois, ou avant l’expiration du certificat si elle est plus proche. Le nouvel organisme en informe au préalable son accréditeur.

Une organisation dont le certificat ne remplit pas ces conditions n’est pas exclue : elle est traitée comme un nouveau client, avec un audit initial complet.

Avant de reprendre un certificat, l’organisme qui l’accepte procède à une revue documentée. Elle porte au minimum sur :

• l’inclusion de la certification dans la portée d’accréditation des deux organismes, et celle de l’organisme sortant dans le champ des accords de reconnaissance de son accréditeur ;
• les raisons de la demande de transfert ;
• la validité du certificat pour chacun des sites concernés ;
• le rapport de l’audit initial ou du dernier renouvellement, le rapport de la dernière surveillance et l’état des non-conformités ouvertes ;
• les plaintes reçues et les actions engagées ;
• les éléments utiles pour établir le plan et le programme d’audit ;
• toute procédure en cours d’une autorité de contrôle visant l’organisation, en lien avec le périmètre certifié.

La revue est documentaire. Une visite sur place s’y ajoute seulement si la revue en montre le besoin, par exemple en présence de non-conformités majeures non levées. Cette visite n’est pas un audit.

Si les rapports d’audit ne sont pas communiqués, ou si une surveillance ou un renouvellement n’a pas été réalisé selon le programme de l’organisme sortant, l’organisation est traitée comme un nouveau client. Vérifier en amont l’état d’un certificat est possible sur notre page vérifier la validité d’un certificat.

Le nouvel organisme ne délivre sa certification qu’après avoir vérifié la mise en œuvre des corrections et actions correctives pour toutes les non-conformités majeures ouvertes, et accepté les plans d’action proposés pour les non-conformités mineures.

La décision suit le processus habituel d’ISO/IEC 17021-1 : la personne qui décide n’est pas celle qui a conduit la revue préalable. Elle doit être prise avant tout nouvel audit de surveillance ou de renouvellement. Si la revue met au jour des problèmes qui empêchent le transfert, l’organisme traite l’organisation comme un nouveau client et lui en explique les raisons.

Lorsque la revue ne relève aucun obstacle, le cycle en cours se poursuit. Le nouvel organisme établit un programme d’audit pour la partie restante du cycle : la prochaine étape est l’audit de surveillance ISO 27001 prévu au calendrier, ou le renouvellement si l’échéance des trois ans approche. Le nouveau certificat peut mentionner la date de certification initiale, en précisant que l’organisation était auparavant certifiée par un autre organisme.

Si l’organisation a été traitée comme un nouveau client, un nouveau cycle commence à la date de la décision de certification. Les autres étapes du cycle sont présentées dans notre page sur les étapes de la certification ISO 27001.

L’IAF MD 2 impose une coopération entre les deux organismes. L’organisation autorise l’organisme sortant à transmettre les informations demandées, et celui-ci les communique à l’organisme repreneur. Il ne peut pas suspendre ni retirer la certification au seul motif que l’organisation annonce un transfert, tant qu’elle continue de satisfaire aux exigences.

Si les informations ne sont pas transmises, ou si la certification est suspendue ou retirée sans motif, l’organisme repreneur ou l’organisation peut saisir l’accréditeur de l’organisme sortant. Une fois la certification accordée, l’organisme repreneur en informe l’organisme sortant.

Certi-Trust certifie ISO 27001:2022 sous accréditation COFRAC n° 4-0612 (portée sur la page accréditations et agréments). Pour échanger avec un auditeur sur le transfert de votre certification ISO 27001, contactez-nous.

Faut-il refaire un audit initial pour changer d’organisme certificateur ?
Non, si le certificat est valide, accrédité et que la revue préalable ne relève pas d’obstacle. Le cycle en cours se poursuit. Un audit initial complet n’est requis que si l’organisation doit être traitée comme un nouveau client.

Peut-on transférer un certificat ISO 27001 non accrédité ?
Non. L’IAF MD 2 ne vise que les certifications accréditées par un signataire des accords de reconnaissance. Une organisation titulaire d’un certificat non accrédité est traitée comme un nouveau client.

Peut-on transférer un certificat suspendu ?
Non. Un certificat dont on sait qu’il est suspendu n’est pas accepté au transfert.

Peut-on changer d’organisme avec des non-conformités ouvertes ?
Oui, mais les non-conformités majeures doivent être traitées, et leur traitement vérifié, avant la décision. Pour les mineures, le nouvel organisme accepte un plan d’action dont il vérifiera la mise en œuvre.