Pour une entreprise de moins de 200 personnes sur un site unique, un audit interne ISO 27001 coûte de 2 000 à 8 000 € HT chez une structure spécialisée ou un consultant indépendant certifié Lead Auditor, et de 8 000 à 15 000 € HT dans un grand cabinet d’audit. Chez Protectam, l’audit interne est un forfait à partir de 3 900 € HT, avec une option HDS à 1 200 € HT.
Cette page détaille ce qui fait varier ces prix, ce que doit comprendre un forfait et comment comparer deux devis.
Sommaire
Les prix constatés sur le marché français
Ces fourchettes valent pour une entreprise de moins de 200 personnes, sur un site unique.
| Qui réalise l’audit | Prix constaté |
|---|---|
| Grand cabinet d’audit | 8 000 à 15 000 € HT |
| Structure spécialisée ou consultant indépendant certifié Lead Auditor | 2 000 à 8 000 € HT |
| Vos propres équipes | pas de coût direct |
L’écart à l’intérieur d’une même ligne tient surtout au nombre de jours vendus et à l’expérience réelle de la personne qui mène l’audit. Un écart de un à quatre entre deux indépendants ne dit pas lequel est cher : il signale en général deux prestations différentes.
Faire réaliser l’audit par un salarié est autorisé par la norme et ne coûte rien en facture. Mais l’auditeur doit être à la fois compétent et indépendant de ce qu’il audite. Dans une entreprise de moins de 200 personnes, la personne qui connaît assez le système pour l’auditer est en général celle qui l’a construit. Notre guide pour choisir son auditeur interne détaille ce point.
Ce qui fait varier le prix
Le prix d’un audit interne dépend de trois choses : le nombre de jours d’entretiens, le tarif journalier du prestataire et le contenu des livrables.
Le nombre de jours dépend de votre périmètre. Pour une entreprise de moins de 200 personnes sur un site unique, un audit interne demande en général deux à trois jours d’entretiens et de collecte des preuves. Notre page sur la durée d’un audit interne détaille ce qui la fait varier.
Quatre situations font monter le prix :
- plusieurs sites compris dans le périmètre ;
- le double référentiel ISO 27001 et HDS, audité dans la même mission ;
- un système de management récent ou peu documenté, sur lequel il faut davantage de temps pour réunir les preuves ;
- une couverture plus large que l’usage, quand vous demandez à l’auditeur de vérifier plus de preuves que ne le veut l’échantillonnage habituel, sur un périmètre sensible par exemple.
Ce que doit comprendre un forfait
Un audit interne complet produit les éléments que votre organisme certificateur vous demandera. Avant de comparer des prix, vérifiez que chaque devis comprend :
- le plan d’audit, envoyé avant les entretiens ;
- les entretiens, avec le nombre de jours annoncé ;
- la grille d’audit, avec les preuves examinées pour chaque exigence ;
- le rapport, avec les constats classés en non-conformités majeures, non-conformités mineures et pistes d’amélioration ;
- la réunion de restitution, où les constats sont expliqués.
Méfiez-vous des deux extrêmes. Une demi-journée pour couvrir les chapitres 4 à 10 et les mesures de l’annexe A ne laisse pas le temps de chercher des preuves : vous achetez un document, pas un audit. À l’inverse, une semaine complète pour une équipe de trente personnes signale un devis calibré pour une autre taille d’organisation.
Notre forfait
Chez Protectam, l’audit interne ISO 27001 est un forfait à partir de 3 900 € HT. Il couvre la préparation, les entretiens, la grille d’audit, le rapport et la réunion de restitution. Le rapport vous est remis sous dix jours ouvrés après le dernier entretien.
Si vous êtes hébergeur de données de santé, l’option HDS à 1 200 € HT couvre dans le même audit les exigences propres au référentiel HDS, avec une section dédiée dans un rapport unique.
Le détail de la mission, son déroulé et nos engagements sont sur la page de notre offre d’audit interne ISO 27001.
L’audit interne dans le budget de la certification
L’audit interne n’est qu’un des postes de la certification. S’y ajoutent l’accompagnement si vous en prenez un, le temps de vos équipes et les honoraires de l’organisme certificateur : de 10 000 à 15 000 € HT pour un cycle de trois ans, pour une entreprise de moins de 200 personnes sur un site unique.
Notre article Combien coûte une certification ISO 27001 détaille l’ensemble de ces postes.