Audit interne ISO 27001 : la clause 9.2 en pratique

L’audit interne ISO 27001 est obligatoire : la clause 9.2 de la norme demande de le mener à intervalles planifiés, en général une fois par an, par un auditeur compétent et indépendant de ce qu’il audite. L’auditeur y vérifie que votre système de management répond aux exigences de la norme et à vos propres règles, et qu’il est appliqué au quotidien. L’audit interne a lieu avant celui de votre organisme certificateur : vous avez ainsi le temps de corriger les écarts relevés.

Cette page explique ce que la clause 9.2 de l’ISO 27001 exige, comment mener l’audit de bout en bout, ce que contient le rapport, et ce que votre auditeur de certification regardera. Elle est écrite par Protectam, qui réalise des audits internes ISO 27001 et HDS depuis 2019.

Ce que la clause 9.2 exige, en quatre obligations

La clause 9.2 tient en deux paragraphes et se résume à quatre obligations.

Réaliser des audits internes à intervalles planifiés. Leur objet est de déterminer si le système de management de la sécurité de l’information est conforme à vos propres exigences, conforme aux exigences de la norme, et effectivement mis en oeuvre et tenu à jour. Les trois conditions comptent. Un système conforme sur le papier mais inappliqué est non conforme.

Établir un programme d’audit. Il fixe la fréquence, les méthodes, les responsabilités, les exigences de planification et le compte rendu. Il tient compte de l’importance des processus concernés et des résultats des audits précédents : un processus critique ou qui a déjà posé problème s’audite plus souvent.

Définir les critères et le périmètre de chaque audit, et garantir l’impartialité. L’auditeur est sélectionné de manière à assurer l’objectivité et l’impartialité du processus. C’est la seule contrainte que la norme pose sur la personne, et elle ne se négocie pas.

Communiquer les résultats à la direction concernée et en conserver la preuve. Le rapport d’audit et le programme sont des informations documentées : ils doivent exister, être conservés, et pouvoir être montrés.

Notez ce que la clause ne dit pas. Elle n’impose aucune fréquence chiffrée, aucun statut pour l’auditeur, aucune certification, aucun format de rapport. Tout ce qui est présenté ailleurs comme obligatoire sur ces quatre points est une pratique, pas une exigence.

Qu’est-ce qu’un audit interne ISO 27001 ?

Un audit interne ISO 27001 est un examen méthodique de votre système de management, mené pour votre compte, à partir de preuves. L’auditeur confronte trois choses : ce que la norme demande, ce que vos propres documents promettent, et ce que vos équipes font réellement. Chaque écart entre les trois devient un constat.

Le mot « interne » désigne le commanditaire, pas l’exécutant. Un audit interne reste interne même s’il est réalisé par un prestataire extérieur : c’est vous qui le commandez, vous qui en recevez le rapport, vous qui décidez de la suite. Cette confusion coûte du temps à beaucoup d’équipes qui croient devoir le mener en interne faute de budget.

L’audit se pratique par échantillonnage. Personne ne relit les mille dernières demandes d’accès : l’auditeur en tire quelques unes, remonte à la règle, et juge si le processus tient. Un rapport qui prétendrait à l’exhaustivité serait suspect.

Une précision pour les hébergeurs de données de santé : le référentiel HDS reposant sur l’ISO 27001, cette clause 9.2 s’y applique telle quelle, avec des exigences supplémentaires à couvrir. C’est l’objet de notre page sur l’audit interne HDS.

Ce que l’audit interne n’est pas

Ce n’est pas un test technique. Un audit interne n’est ni un test d’intrusion, ni un scan de vulnérabilités. Il peut constater que vous n’en faites pas alors que votre analyse de risques l’exigeait, mais il ne les remplace pas.

Ce n’est pas un audit de certification. L’audit de certification est mené par un organisme accrédité et aboutit à un certificat. L’audit interne n’aboutit à aucun document officiel, seulement à un rapport qui vous appartient. Il n’a pas non plus à en avoir le formalisme : c’est le moment d’échanger avec l’auditeur et de préparer votre équipe à l’audit de certification.

Ce n’est pas un audit à blanc. Un audit à blanc simule l’audit de certification pour mesurer votre niveau de préparation. L’audit interne est une exigence de la norme, avec son programme et ses critères. Ce qui les distingue, et les conditions dans lesquelles l’un peut tenir lieu de l’autre, sont détaillés dans notre page sur l’audit à blanc.

Ce n’est pas une revue de direction. La revue de direction de la clause 9.3 est une réunion de décision, alimentée entre autres par les résultats de l’audit interne. Les deux se suivent, elles ne se remplacent pas.

À quelle fréquence, et à quel moment le lancer

La norme demande des intervalles planifiés, sans fixer de chiffre. La pratique retenue par les organismes certificateurs est un cycle annuel : au moins un audit interne par an, et une couverture complète du périmètre entre deux audits de certification.

Deux organisations sont possibles. L’audit annuel complet couvre tout en une fois, sur deux à trois jours d’entretiens et de collecte des preuves pour une entreprise de moins de 200 personnes. Les audits partiels découpent le périmètre en plusieurs passages dans l’année, ce qui convient aux organisations qui changent vite, à condition de tenir le programme.

Le moment compte autant que la fréquence. Trois repères.

• Avant l’audit de certification initial, avec assez d’avance pour traiter les écarts. Deux à trois mois sont un minimum raisonnable : une action corrective doit être décidée, mise en oeuvre, et avoir produit une preuve.
• Chaque année ensuite, en amont de l’audit de surveillance, pour la même raison.
• Après un changement significatif : un nouveau périmètre, une acquisition, un changement d’hébergeur, un incident sérieux. Le programme d’audit doit tenir compte de l’importance des processus, et ces événements la modifient.

L’erreur classique consiste à programmer l’audit interne trois semaines avant l’audit de certification. Les constats arrivent alors trop tard pour être traités, et ils se transforment en non-conformités devant l’auditeur externe.

Les étapes clés pour réaliser un audit interne ISO 27001

1. Planification de l’audit

La planification produit deux documents distincts, souvent confondus.

Le programme d’audit couvre la période, en général l’année. Il dit quels processus sont audités, quand, par qui, selon quelles méthodes, et comment les résultats sont rapportés. C’est lui que l’organisme certificateur demande en premier.

Le plan d’audit couvre une mission. Il fixe les dates, les créneaux, les personnes à rencontrer, les processus vus dans chaque créneau. Il se construit avec les audités : un plan qui convoque un responsable technique en pleine mise en production ne sera pas tenu.

Ce que contient chacun des deux, la façon de couvrir votre périmètre sur le cycle de trois ans et ce que l’organisme certificateur contrôle sont détaillés dans notre page sur le plan et le programme d’audit.

Prévoyez la charge côté audité. Pour deux à trois jours d’entretiens, comptez une à deux heures par interlocuteur, plus le temps de retrouver les preuves demandées. Annoncer cette charge à l’avance évite la moitié des tensions.

2. Critères et périmètre de l’audit

Les critères d’audit sont la règle contre laquelle vous mesurez. Ils comprennent trois sources, et oublier la troisième est une erreur fréquente.

• Les chapitres 4 à 10 de l’ISO 27001, dont aucune exigence n’est exclue.
• Les mesures de l’annexe A que vous avez déclarées applicables, telles que votre déclaration d’applicabilité les décrit.
• Vos propres documents : politique, procédures, règles internes. Une procédure que vous avez écrite vous engage. Si elle prévoit une revue trimestrielle des accès et que la dernière date d’il y a huit mois, l’écart est réel même si la norme ne demande pas de trimestre.

Le périmètre, lui, reprend celui de votre système de management : les sites, les activités, les services concernés, tels que le domaine d’application de la clause 4.3 les définit. Un audit interne plus étroit que le périmètre certifié laisse une zone jamais vérifiée.

3. Sélection de l’auditeur

Deux qualités sont à établir, dans cet ordre.

L’impartialité vis-à-vis de ce qui est audité. Elle se juge processus par processus. Un ingénieur de production peut auditer le processus de recrutement, il ne peut pas auditer la gestion des accès qu’il administre. La personne qui a rédigé la politique et construit l’analyse de risques ne peut auditer ni l’une ni l’autre. Dans une entreprise de moins de 200 personnes, cette contrainte élimine en général la seule personne qui connaît la norme, d’où le recours à un tiers.

La compétence. Elle porte sur les exigences de la norme, sur les mesures de l’annexe A, et sur la méthode d’audit décrite par l’ISO 19011 : plan, échantillonnage, recherche de preuves, formulation des constats. La certification ISO 27001 Lead Auditor n’est pas obligatoire, mais elle évite les discussions sur la qualification de l’auditeur.

Un cas particulier mérite d’être connu : votre organisme certificateur ne peut pas réaliser votre audit interne. Les règles d’accréditation lui interdisent de fournir du conseil aux organisations qu’il certifie. Si un commercial vous propose les deux prestations, changez d’organisme.

Notre guide de choix d’un auditeur interne détaille les quatre types de prestataires possibles, leurs tarifs et les questions à poser avant de signer.

4. Conduite de l’audit

Une mission se déroule en quatre temps.

La réunion d’ouverture, courte, rappelle le périmètre, les critères et le déroulé. Elle précise aussi ce que l’audit examine : des processus et les preuves qu’ils produisent, jamais le travail d’une personne en particulier.

La revue documentaire vérifie que les documents obligatoires existent, sont à jour et approuvés. Elle se fait de préférence avant les entretiens : l’auditeur arrive alors en connaissant vos règles, et les entretiens servent à vérifier qu’elles sont appliquées plutôt qu’à les découvrir.

Les entretiens et les observations sont le coeur de l’audit. L’auditeur part d’une exigence et demande à voir. Pas « avez-vous une procédure de gestion des accès », mais « montrez moi les trois dernières arrivées et les accès qui ont été créés ». La preuve est une capture, un ticket, un registre, une date, un nom. Une affirmation orale n’est pas une preuve.

La réunion de clôture présente les constats à chaud, avant le rapport. Aucun constat ne doit surprendre l’audité à la lecture du rapport. Un écart expliqué de vive voix est un écart compris, et un écart compris se corrige. Un écart découvert dans un document, lui, commence par être contesté : les semaines qui suivent servent à défendre le constat au lieu de le traiter.

Chaque constat est ensuite classé à l’un de ces trois niveaux.

• Non-conformité majeure : une exigence de la norme n’est pas satisfaite, et cela met en cause la capacité du système de management à fonctionner.
• Non-conformité mineure : un écart ponctuel, qui ne remet pas le système en cause.
• Piste d’amélioration : aucun écart n’est constaté, l’auditeur signale une marge de progrès.

5. Rapport et suivi

Le rapport est remis à la direction. Chez Protectam, il l’est sous dix jours ouvrés, et il est présenté en réunion de restitution, constat par constat.

Le suivi est la partie que les organisations négligent le plus, et c’est la plus regardée. Chaque non-conformité suit le chemin de la clause 10.2 : réagir pour en maîtriser les conséquences, analyser la cause réelle, décider d’une action corrective, la mettre en oeuvre, puis vérifier qu’elle a produit l’effet attendu.

Ce dernier point est celui qui manque presque toujours. Une action corrective déclarée faite sans preuve de son efficacité reste une non-conformité ouverte. Prévoyez qui vérifie, quand, et sur quelle preuve, au moment où vous décidez l’action, pas six mois après.

Les résultats alimentent ensuite deux processus : la revue de direction de la clause 9.3, qui en tire des décisions, et le suivi des indicateurs de la clause 9.1, qui mesure dans le temps.

Ce que contient un rapport d’audit interne

La norme n’impose pas de format. La pratique, alignée sur l’ISO 19011, retient huit éléments. Un rapport qui en oublie un se fait remarquer.

1. Le périmètre et les critères effectivement audités, avec la version des documents de référence.
2. Les dates, les lieux, et les personnes rencontrées, fonction par fonction.
3. L’identité et la qualification de l’auditeur, plus la déclaration d’impartialité vis-à-vis des processus audités.
4. La méthode et l’échantillonnage : ce qui a été examiné, et dans quelle proportion.
5. Les constats, un par un, chacun rattaché à l’exigence concernée et appuyé sur une preuve datée.
6. Le classement de chaque constat : non-conformité majeure, mineure, ou piste d’amélioration.
7. Les points forts. Un rapport qui ne relève que des écarts est mal lu par les équipes, et il donne une image fausse à la direction.
8. Une conclusion sur l’aptitude du système à atteindre ses objectifs, qui est ce que la direction et l’auditeur de certification lisent en premier.

Un constat bien rédigé tient en trois parties : l’exigence, le fait observé, l’écart entre les deux. « La procédure PR-04 prévoit une revue trimestrielle des comptes à privilèges. La dernière revue enregistrée date du 12 février. Aucune revue n’a été réalisée depuis, soit deux échéances manquées. » Personne ne peut contester cela, et la correction est évidente.

Le plan complet du rapport, élément par élément, la classification des constats et d’autres constats rédigés sont détaillés dans notre page sur le rapport d’audit interne ISO 27001.

Les cinq non-conformités que nous relevons le plus souvent

Protectam réalise des audits internes ISO 27001 depuis 2019, plus de 50 à ce jour. Ces cinq situations reviennent dans presque tous les audits internes de PME que nous reprenons, et toutes se corrigent avant l’audit de certification.

L’auditeur n’était pas impartial. C’est celle que nous voyons le plus : le responsable sécurité a audité le système qu’il a construit. C’est une non-conformité sur la clause 9.2 elle même, et elle jette un doute sur tous les constats du rapport.

Le programme d’audit n’existe pas. Un rapport d’audit isolé ne suffit pas : la clause demande un programme, avec sa fréquence, ses méthodes, ses responsabilités. Nous trouvons souvent le rapport, rarement le programme.

Les actions correctives sont déclarées faites, sans preuve d’efficacité. Le tableau de suivi affiche « clôturé » et rien ne montre que la cause a disparu. C’est le point sur lequel nous demandons le plus de compléments, et la clause 10.2 demande explicitement cette vérification.

Le programme ne dit pas comment tout le périmètre est couvert. Un audit procède par échantillonnage, c’est normal et attendu. Ce qui manque souvent, c’est le document qui montre comment les exigences non vues cette année le seront l’année suivante, avant l’audit de certification suivant. Nous le reconstituons avec le client quand il n’existe pas.

Les documents vivent leur vie. Une politique approuvée il y a trois ans, une analyse de risques qui ignore la moitié de l’infrastructure actuelle, des procédures décrivant une organisation disparue. C’est le constat le plus fréquent chez les entreprises certifiées depuis plusieurs cycles. La norme demande des informations documentées à jour, c’est le sens de la clause 7.5.

Ce que votre organisme certificateur vérifie

L’auditeur de certification consacre à la clause 9.2 une demi-heure à une heure, et il suit toujours le même chemin. Le connaître permet de préparer les bonnes preuves.

1. Le programme d’audit. Existe-t-il, couvre-t-il l’ensemble du périmètre sur le cycle, tient-il compte de l’importance des processus et des résultats précédents ?
2. L’impartialité de l’auditeur. Qui a mené l’audit, quel est son lien avec ce qu’il a audité, et qu’est-ce qui l’atteste ?
3. La compétence de l’auditeur. Curriculum, certification, expérience : de quoi justifier que la personne savait ce qu’elle regardait.
4. La couverture réelle. Croisement du rapport avec la déclaration d’applicabilité, pour repérer les exigences jamais vues.
5. La communication à la direction. Le rapport a-t-il été transmis, et se retrouve-t-il en entrée de la revue de direction ?
6. Le suivi des constats. Chaque non-conformité a-t-elle une action, une cause analysée, une preuve d’efficacité ?

Un audit interne qui ne trouve rien attire l’attention plus sûrement qu’un audit qui documente des écarts et leur traitement. Un système réel produit des constats : c’est le signe que l’audit a eu lieu.

L’option d’utiliser un auditeur externe

Pour une entreprise de moins de 200 personnes, l’équation de l’impartialité se résout rarement en interne. La personne qui connaît la norme est celle qui a construit le système, et les autres n’ont ni le temps ni la compétence. Recourir à un auditeur extérieur est explicitement admis par la norme, et c’est le choix le plus courant à cette taille.

Ce que cela change, concrètement : l’impartialité est démontrable sans discussion, la compétence est documentée, le rapport est rédigé dans une forme que l’organisme certificateur reconnaît, et vos équipes ne perdent pas trois semaines à apprendre un métier qu’elles ne pratiqueront qu’une fois par an.

Une précaution, en revanche. La personne qui construit ou pilote votre système de management ne peut pas l’auditer, qu’elle soit salariée ou prestataire. C’est pourquoi, quand Protectam accompagne ou maintient un système, l’audit interne est mené par une autre personne, ou seulement une fois que votre équipe a repris le système en main.

Chez Protectam, nous menons l’audit interne comme un échange : nous expliquons ce que nous cherchons, et chaque écart est discuté avec les personnes concernées, pour que votre équipe sache ce que l’organisme certificateur attendra. Le choix de la correction reste le vôtre.

L’audit interne est un forfait à partir de 3 900 € HT, option HDS à 1 200 € HT, rapport remis sous dix jours ouvrés.

L’essentiel à retenir

La clause 9.2 demande quatre choses : des audits à intervalles planifiés, un programme qui les organise, un auditeur impartial et compétent, et des résultats communiqués à la direction puis conservés.

Trois points font la différence entre un audit interne qui sert et un audit interne qui coche une case. L’impartialité, parce qu’elle conditionne la valeur de tous les constats. La couverture, parce qu’une exigence que vous n’avez jamais auditée sera examinée pour la première fois par votre auditeur de certification. Et le suivi des constats, mené jusqu’à la preuve que l’action corrective a bien fait disparaître la cause, parce que c’est là que la plupart des systèmes de management s’arrêtent trop tôt.

Le reste est une question de calendrier : assez tôt avant l’audit de certification pour que les constats aient le temps de devenir des corrections.