Pour une entreprise de moins de 200 personnes sur un site unique, un audit interne ISO 27001 demande deux à trois jours d’entretiens et de collecte des preuves. Quand l’audit couvre aussi le référentiel HDS, comptez plutôt trois jours. Chez Protectam, le rapport est remis sous dix jours ouvrés après le dernier entretien.
Cette page détaille ce qui fait varier cette durée, propose un exemple de répartition des entretiens et décrit le calendrier complet de l’audit.
Sommaire
Ce qui détermine le nombre de jours
Pendant les entretiens, l’auditeur vérifie par échantillonnage que les exigences des chapitres 4 à 10 et les mesures de l’annexe A retenues dans votre déclaration d’applicabilité sont appliquées. Le nombre de jours dépend donc de ce qu’il y a à vérifier.
- L’effectif et l’organisation. Plus il y a d’équipes concernées, plus il y a de personnes à rencontrer.
- Le nombre de sites. Chaque site compris dans le périmètre demande ses propres vérifications.
- Le périmètre et les activités. Un éditeur de logiciel qui héberge lui-même sa plateforme a davantage de mesures à faire vérifier qu’une entreprise qui confie tout à des prestataires.
- Le référentiel HDS. Ses exigences propres, notamment sur les contrats d’hébergement et la restitution des données, ajoutent des vérifications. Notre page sur l’audit interne HDS les détaille.
Un exemple de répartition sur deux jours
Voici comment peuvent se répartir deux jours d’entretiens pour une entreprise d’une cinquantaine de personnes, sur un site unique. L’ordre s’adapte aux disponibilités de vos équipes.
Premier jour
- Réunion d’ouverture avec la direction et le pilote du système de management : le périmètre, le déroulé, les personnes à rencontrer.
- La direction : le contexte, les parties intéressées, la politique, les objectifs et la revue de direction.
- Le pilote du système de management : l’appréciation et le traitement des risques, la déclaration d’applicabilité, les indicateurs, le traitement des non-conformités.
- Les ressources humaines : l’arrivée et le départ des collaborateurs, la sensibilisation, les compétences.
Second jour
- Les équipes techniques : la gestion des accès, les sauvegardes, la journalisation, les vulnérabilités, le développement.
- Les achats et les relations fournisseurs : la sélection et le suivi des prestataires.
- La gestion des incidents : le registre, le traitement et les enseignements tirés.
- Réunion de clôture : les premiers constats, présentés et discutés avec les personnes concernées.
Chaque personne n’est sollicitée que sur les sujets qui la concernent. Le pilote du système de management, lui, est souvent présent sur l’ensemble des entretiens.
Le calendrier complet, de la commande au rapport
Les journées d’entretiens ne sont qu’une partie de l’audit. Le calendrier complet suit quatre temps.
- Avant les entretiens : les dates sont fixées ensemble, puis vous transmettez votre documentation à l’auditeur, notamment le périmètre, la politique de sécurité, la déclaration d’applicabilité, les objectifs de sécurité, le compte rendu de la dernière revue de direction et le dernier rapport de l’organisme certificateur. Vous recevez ensuite le plan d’audit et la liste des personnes à rencontrer.
- Les entretiens, sur deux à trois jours, à distance ou dans vos locaux.
- Le rapport, avec les constats classés en non-conformités majeures, non-conformités mineures et pistes d’amélioration. Chez Protectam, il est remis sous dix jours ouvrés après le dernier entretien.
- La restitution, à une date fixée ensemble, pour reprendre le rapport constat par constat.
À quel moment de l’année le prévoir
L’audit interne se tient en général une fois par an. Prévoyez-le suffisamment tôt avant l’audit de votre organisme certificateur pour avoir le temps de traiter les écarts relevés et de tenir la revue de direction, qui doit examiner les résultats de l’audit interne.
Notre offre d’audit interne ISO 27001 est un forfait à partir de 3 900 € HT. Notre page sur le prix d’un audit interne compare les fourchettes du marché.