Comment préparer son audit ISO 27001

Préparer son audit de certification ISO 27001 en dix étapes

Un audit de certification ISO 27001 ne se prépare pas en constituant un dossier convaincant à la dernière minute. Il faut pouvoir montrer que le système de management de la sécurité de l'information, ou SMSI, fonctionne, traite les risques pertinents et progresse lorsqu'une faiblesse apparaît.

En novembre 2026, la préparation doit porter sur ISO/IEC 27001:2022 et son amendement applicable. La transition depuis l'édition 2013 s'est achevée le 31 octobre 2025, selon le document IAF MD 26. Une grille d'audit encore fondée sur l'ancien référentiel doit donc être actualisée.

Voici une méthode en dix étapes pour organiser le travail sans confondre conformité documentaire et efficacité opérationnelle.

Comprendre les deux étapes de certification

L'étape 1 sert à évaluer la préparation : périmètre, informations documentées, compréhension des exigences et conditions nécessaires à l'étape suivante. Elle ne se limite pas à vérifier la présentation des documents.

L'étape 2 examine la mise en œuvre et l'efficacité du SMSI, au moyen d'entretiens, d'observations et d'échantillons de preuves. Les modalités pratiques sont convenues avec l'organisme certificateur ; toutes les activités ne doivent pas être supposées systématiquement sur site.

La certification porte sur le système de management et son périmètre. Elle ne garantit ni l'absence de vulnérabilités ni l'impossibilité d'un incident.

Les dix étapes de préparation

1. Choisir un organisme certificateur adapté

Vérifiez que l'organisme dispose d'une accréditation appropriée pour la certification ISO/IEC 27001. Présentez votre activité, les implantations, le travail à distance, les prestations externalisées et la complexité technique du périmètre.

Convenez du calendrier selon les disponibilités et votre maturité réelle. Aucun délai de réservation générique ne remplace cet échange. Clarifiez également la confidentialité, l'accès aux preuves et les modalités de restitution des constats.

2. Définir un périmètre explicable

Décrivez les services, entités, sites et systèmes concernés. Identifiez les interfaces et dépendances, y compris lorsqu'elles relèvent d'une équipe ou d'un prestataire extérieur au périmètre.

Un périmètre étroit n'est pas nécessairement plus pertinent. Si une équipe exclue administre un service inclus, cette relation doit être maîtrisée. Vérifiez aussi que les communications commerciales ne laissent pas entendre que toute l'organisation sera certifiée.

3. Finaliser une documentation cohérente

Préparez les informations exigées par la norme et celles nécessaires au fonctionnement de vos processus : périmètre, politique, règles d'appréciation et de traitement des risques, déclaration d'applicabilité, objectifs et enregistrements utiles.

Cherchez la cohérence plutôt que le volume. Le plan de traitement correspond-il à la DdA ? Les responsables cités occupent-ils encore leur fonction ? Les collaborateurs trouvent-ils la procédure en vigueur ?

Une gestion structurée de la documentation et de ses versions facilite ce travail. Elle ne dispense pas de vérifier que le contenu décrit une pratique réelle et adaptée.

4. Réaliser un audit interne objectif

Planifiez un audit interne couvrant les exigences pertinentes et leur application dans le périmètre. Choisissez les auditeurs de façon à préserver l'objectivité et l'impartialité : une simple autoapprobation ne suffit pas.

Échantillonnez des dossiers réels. Suivez, par exemple, une arrivée de collaborateur depuis l'autorisation jusqu'à l'attribution des accès. Formalisez les constats, attribuez les actions correctives et conservez leur suivi. Un exercice de simulation ne remplace pas automatiquement le programme d'audit interne.

5. Tenir une revue de direction utile

Présentez les résultats, évolutions du contexte, risques, audits, actions correctives et possibilités d'amélioration. Faites ressortir les arbitrages nécessaires au lieu de transmettre uniquement des tableaux de bord.

Conservez les décisions, besoins en ressources et responsabilités, puis suivez leur exécution. Vérifiez également l'examen de la pertinence du changement climatique : l'amendement ISO de 2024 demande cette appréciation, sans imposer automatiquement un programme environnemental distinct.

6. Préparer chacun à ses responsabilités

Les collaborateurs doivent connaître les règles qui les concernent, leur contribution à la sécurité et le canal de signalement d'un problème. Les pilotes doivent pouvoir expliquer leurs risques, mesures et contrôles.

Adaptez la préparation aux fonctions : vérification d'identité pour le support, pratiques de développement pour les équipes techniques, approbation des accès pour les managers. Une attestation de formation constitue une trace utile, mais ne démontre pas à elle seule la compréhension des consignes.

7. Construire une chaîne de preuves

Créez un index reliant exigences ou mesures, responsables, sources et enregistrements. Les preuves peuvent inclure des revues d'accès, tests de restauration, évaluations fournisseurs, dossiers d'incident et actions correctives réalisées.

Vérifiez leur date, leur périmètre et leur origine. Un exemple favorable ne prouve pas que toute l'activité est maîtrisée. Organisez l'accès aux informations sensibles sans les diffuser inutilement.

Le module Contrôles & conformité de Domyno permet de structurer les preuves, plans d'action et DdA autour d'une bibliothèque commune. L'organisation des pièces facilite la préparation, mais leur contenu doit toujours refléter les opérations.

8. Simuler des entretiens sans réciter un texte

Entraînez les responsables à expliquer une pratique puis à montrer les traces correspondantes. Demandez : quel risque traitez-vous, que faites-vous, comment le vérifiez-vous et comment réagissez-vous en cas d'échec ?

Encouragez les réponses sincères. Lorsqu'une preuve manque, mieux vaut reconnaître la situation et présenter son traitement que réciter une politique sans rapport avec le fonctionnement réel.

9. Vérifier les mesures techniques pertinentes

Sélectionnez les vérifications selon les risques : suppression des accès, comptes privilégiés, configurations, vulnérabilités, journaux ou restauration des sauvegardes, lorsque ces sujets sont applicables.

Un message de sauvegarde réussie ne démontre pas la capacité de restauration. Un outil de détection installé ne prouve pas que ses alertes sont analysées. Reliez les exceptions aux décisions et actions de suivi au lieu de les reporter discrètement après l'audit.

10. Organiser la logistique et le traitement des constats

Confirmez les interlocuteurs, accès aux sites, espaces de réunion et modalités sécurisées de partage des preuves. Désignez un coordinateur et un remplaçant. Préservez aussi la continuité des activités pendant les entretiens.

Clarifiez avec le certificateur le traitement des non-conformités. Distinguez la correction immédiate de l'action sur la cause. Conservez les preuves de réalisation et évaluez l'efficacité : modifier une procédure ne résout pas nécessairement un problème opérationnel.

La dernière vérification avant l'audit

Effectuez cette revue courte :

1. Confirmer le périmètre et les responsabilités actuelles.
2. Échantillonner les liens entre risques, mesures et preuves.
3. Relire les résultats d'audit interne et de revue de direction.
4. Examiner les écarts ouverts avec leurs responsables.
5. Valider le planning et les accès sécurisés aux pièces.

Ne fabriquez pas d'enregistrements et ne rétrodatez pas d'approbations. Une lacune reconnue et traitée reste préférable à une piste d'audit non fiable.

Domyno associe une plateforme SaaS à un expert humain dédié : les agents préparent le travail, l'humain valide. Pour structurer votre préparation ISO 27001 autour de preuves exploitables, demandez une démonstration.