ISO 27001 · Audit interne · Lead Auditor
Audit interne ISO 27001 (audit blanc)
ISO 27001 impose un audit interne avant l'audit de certification, puis chaque année. Certifié ISO 27001 Lead Auditor et ancien auditeur chez PwC, je le conduis avec la méthode et l'exigence d'un organisme certificateur, pour que les écarts apparaissent avant l'audit et non pendant.
Pour qui
- Entreprises qui préparent leur audit de certification ISO 27001
- Organisations certifiées qui préparent un audit de surveillance ou de renouvellement
- Équipes qui ont construit leur système de management seules, ou avec un outil GRC, et veulent un regard extérieur avant l'auditeur
Contexte habituel
L'audit de certification approche. Le système de management est en place, mais personne n'a encore vérifié, avec les yeux d'un auditeur, que les preuves tiennent et que les équipes sauront répondre.
La norme (chapitre 9.2) exige un programme d'audit interne conduit par une personne objective et impartiale. Dans une petite structure, il est difficile de le confier à quelqu'un de l'équipe.
Déroulement
Un audit conduit selon les lignes directrices ISO 19011, sur le périmètre de votre certification.
Préparation
Revue documentaire (périmètre, déclaration d'applicabilité, analyse de risques, politiques), plan d'audit et échantillonnage des mesures de l'annexe A.
Entretiens et vérification des preuves
Entretiens en visioconférence avec la direction et les responsables de processus, examen des preuves par échantillon, comme le fera l'auditeur de certification.
Classement des écarts
Non-conformités majeures et mineures, observations et pistes d'amélioration, chacune rattachée à l'exigence de la norme concernée.
Restitution
Réunion de clôture, rapport d'audit et appui pour rédiger le plan d'actions correctives avant l'audit de certification.
Livrables
- Un plan d'audit et un programme d'audit interne conformes au chapitre 9.2
- Un rapport d'audit : non-conformités, observations et points forts
- Une appréciation du risque de non-conformité majeure lors de l'audit de certification
- Un appui à la rédaction du plan d'actions correctives
- Des équipes préparées aux entretiens avec l'auditeur
- Une restitution à la direction, réutilisable pour la revue de direction
Format et durée
- Format
- Forfait, entièrement à distance : revue documentaire, entretiens en visioconférence et réunion de clôture
- Durée indicative
- Selon le périmètre, en général 2 à 3 semaines
- Tarif
- Forfait, sur devisEstimer le budget de cette offre
- Indépendance
- Je ne réalise pas d'audit de certification : l'organisme certificateur doit rester indépendant de ceux qui vous ont accompagné. L'audit interne, lui, peut être confié à un intervenant extérieur.
Questions fréquentes
Pouvez-vous aussi réaliser l'audit de certification ?
Non. La certification est délivrée par un organisme accrédité, indépendant de ceux qui vous ont aidé à vous y préparer. Je conduis l'audit interne ; l'organisme de votre choix réalise l'audit de certification.
L'audit interne est-il obligatoire ?
Oui. Le chapitre 9.2 d'ISO 27001 impose un programme d'audit interne, et l'auditeur de certification vérifiera qu'il a été réalisé et suivi d'effets.
Et si vous pilotez déjà notre sécurité (vCISO) ?
La mission vCISO prévoit déjà un audit blanc. Cette offre s'adresse aux entreprises que je n'accompagne pas au quotidien : c'est ce qui garantit un regard objectif sur votre système de management.
Premier entretien
Un entretien de 30 minutes permet de préciser le périmètre, la date de votre audit de certification ou de surveillance, et le calendrier de l'audit interne.