{"id":206525,"date":"2026-11-04T12:48:46","date_gmt":"2026-11-04T10:48:46","guid":{"rendered":"https:\/\/factorial.com\/blog\/?p=206525"},"modified":"2026-11-04T13:25:03","modified_gmt":"2026-11-04T11:25:03","slug":"audit-iso-27001","status":"publish","type":"post","link":"https:\/\/factorial.com\/blog\/fr\/audit-iso-27001\/","title":{"rendered":"Audit ISO 27001 : ce que v\u00e9rifie l\u2019auditeur et comment s\u2019y pr\u00e9parer"},"content":{"rendered":"

Lors d’un audit ISO 27001, un auditeur externe v\u00e9rifie que votre syst\u00e8me de management de la s\u00e9curit\u00e9 de l’information est conforme \u00e0 la norme. Pour cela, il passe en revue la documentation, interroge vos \u00e9quipes et demande \u00e0 voir, directement dans vos outils, la preuve que les mesures de s\u00e9curit\u00e9 sont appliqu\u00e9es au quotidien<\/strong>.<\/p>\n

Beaucoup d’entreprises abordent l’audit comme un simple contr\u00f4le documentaire. Elles arrivent avec des politiques irr\u00e9prochables et d\u00e9couvrent \u00e0 l’\u00e9tape 2 que l’auditeur veut consulter la trace du dernier d\u00e9part d’un salari\u00e9, la date du dernier test de restauration d’une sauvegarde ou le pourcentage de postes chiffr\u00e9s \u00e0 date.<\/p>\n

Dans cet article, vous verrez quels sont les diff\u00e9rents types d’audit ISO 27001<\/strong>, comment se d\u00e9roule le processus, combien de temps il dure, ce que l’auditeur contr\u00f4le pr\u00e9cis\u00e9ment et ce qui se passe s’il rel\u00e8ve des \u00e9carts.<\/p>\n

Qu’est-ce qu’un audit ISO 27001 ?<\/h2>\n

Un audit ISO 27001 est un processus m\u00e9thodique, ind\u00e9pendant et document\u00e9<\/strong> au cours duquel un auditeur recueille des preuves et les \u00e9value de mani\u00e8re objective pour d\u00e9terminer dans quelle mesure votre organisation respecte les exigences de la norme. Ce qui est audit\u00e9, c’est votre syst\u00e8me de management de la s\u00e9curit\u00e9 de l’information (SMSI)<\/a>, dans le p\u00e9rim\u00e8tre que vous avez d\u00e9fini, et non l’entreprise dans son ensemble.<\/p>\n

L’auditeur cherche \u00e0 r\u00e9pondre \u00e0 deux questions. D’abord, le SMSI respecte-t-il les exigences des chapitres 4 \u00e0 10 de l’ISO 27001<\/a>, qui couvrent le contexte, le leadership, la planification, le support, le fonctionnement, l’\u00e9valuation des performances et l’am\u00e9lioration ? Ensuite, les mesures de l’annexe A que vous avez retenues dans votre d\u00e9claration d’applicabilit\u00e9<\/a> sont-elles bien mises en \u0153uvre et efficaces ?<\/p>\n

Les diff\u00e9rents types d’audit ISO 27001<\/h2>\n

Une organisation certifi\u00e9e passe par plusieurs audits au cours de chaque cycle de trois ans. Certains sont men\u00e9s en interne, d’autres par un organisme de certification accr\u00e9dit\u00e9.<\/p>\n

\n\n\n\n\n\n\n\n\n
Type d’audit<\/th>\nQui le r\u00e9alise ?<\/th>\nQuand ?<\/th>\nQue couvre-t-il ?<\/th>\n<\/tr>\n<\/thead>\n
Audit interne<\/strong><\/td>\nL’entreprise elle-m\u00eame, via une personne ind\u00e9pendante ou un auditeur externe mandat\u00e9<\/td>\n\u00c0 intervalles planifi\u00e9s, et au moins une fois avant la certification<\/td>\nL’ensemble du SMSI sur la dur\u00e9e du programme d’audit<\/td>\n<\/tr>\n
Audit de certification<\/strong><\/td>\nOrganisme de certification accr\u00e9dit\u00e9<\/td>\nAnn\u00e9e 0, en deux \u00e9tapes<\/td>\nLa documentation \u00e0 l’\u00e9tape 1 et le fonctionnement r\u00e9el \u00e0 l’\u00e9tape 2<\/td>\n<\/tr>\n
Audit de surveillance<\/strong><\/td>\nOrganisme de certification accr\u00e9dit\u00e9<\/td>\nAnn\u00e9es 1 et 2 du cycle<\/td>\nUne partie du syst\u00e8me, les changements et les constats pr\u00e9c\u00e9dents<\/td>\n<\/tr>\n
Audit de renouvellement<\/strong><\/td>\nOrganisme de certification accr\u00e9dit\u00e9<\/td>\nAnn\u00e9e 3, avant l’expiration du certificat<\/td>\nL’ensemble du SMSI et son \u00e9volution sur le cycle<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/figure>\n

1. L’audit interne<\/h3>\n

L’exigence 9.2 de la norme impose de r\u00e9aliser des audits internes \u00e0 intervalles planifi\u00e9s<\/strong>, dans le cadre d’un programme qui fixe la fr\u00e9quence, les m\u00e9thodes, les responsabilit\u00e9s et le p\u00e9rim\u00e8tre de chacun. Leur objectif est de rep\u00e9rer les \u00e9carts avant l’organisme de certification. Et sans audit interne complet, impossible de passer l’audit de certification.<\/p>\n

L’auditeur interne doit \u00eatre comp\u00e9tent et impartial<\/strong>. Autrement dit, il ne peut pas auditer des processus qu’il a con\u00e7us ou qu’il pilote. Dans une entreprise de 40 personnes, c’est souvent un vrai casse-t\u00eate, car la personne qui conna\u00eet le mieux le SMSI est justement celle qui l’a construit. La solution la plus courante consiste \u00e0 confier l’audit interne \u00e0 un auditeur externe, qui apporte au passage un regard neuf sur les processus et l’appr\u00e9ciation des risques.<\/p>\n

En compl\u00e9ment de l’audit interne, l’exigence 9.3 impose la revue de direction<\/strong>. Les deux doivent \u00eatre r\u00e9alis\u00e9s et document\u00e9s avant l’\u00e9tape 1, et l’auditeur externe vous demandera ce qui en est ressorti.<\/p>\n

2. L’audit de certification<\/h3>\n

C’est l’audit qui ouvre la voie au certificat, et le plus exigeant<\/strong>, puisque c’est la premi\u00e8re fois qu’un regard ext\u00e9rieur examine l’ensemble du syst\u00e8me. Il se d\u00e9roule en deux \u00e9tapes.<\/p>\n

Lors de l’\u00e9tape 1<\/strong>, l’auditeur v\u00e9rifie que la documentation est compl\u00e8te et que l’organisation est pr\u00eate. Lors de l’\u00e9tape 2<\/strong>, il s’assure que ce qui est document\u00e9 est r\u00e9ellement appliqu\u00e9. Si l’audit est concluant, l’entreprise obtient un certificat valable trois ans. Le parcours complet pour en arriver l\u00e0 est d\u00e9taill\u00e9 dans notre guide sur comment obtenir la certification ISO 27001<\/a>.<\/p>\n

3. Les audits de surveillance<\/h3>\n

Pendant toute la dur\u00e9e de validit\u00e9 du certificat, l’organisme revient au moins une fois par an<\/strong>. Le premier audit de surveillance doit avoir lieu dans les 12 mois qui suivent la d\u00e9cision de certification. Plus courts que l’audit initial, ces audits ne couvrent pas tout le syst\u00e8me. L’auditeur s\u00e9lectionne une partie des mesures \u00e0 chaque visite et finit par toutes les passer en revue sur l’ensemble du cycle.<\/p>\n

Certains points sont toutefois v\u00e9rifi\u00e9s \u00e0 chaque visite.<\/p>\n