Un audit de certification ISO/IEC 27001 se déroule en deux étapes : une revue documentaire (étape 1), puis un audit de mise en œuvre (étape 2) au cours duquel l'auditeur vérifie que le système de management fonctionne comme documenté. Les écarts constatés sont classés en non-conformités majeures (une exigence absente ou un dysfonctionnement systémique, qui bloque la délivrance du certificat tant que la correction n'est pas vérifiée) et mineures (un écart ponctuel, qui appelle un plan d'action). Le nombre d'organisations qui passent cet exercice augmente d'année en année : l'ISO Survey recense de l'ordre de 96 700 certificats ISO/IEC 27001 valides dans le monde fin 2024. Cet article s'appuie sur les analyses de non-conformités publiées par des organismes de certification accrédités pour identifier les zones qui concentrent les écarts, et sur le texte de la norme pour décrire comment les traiter.
Ce que montrent les données publiées
Deux organismes ont publié des analyses chiffrées de leurs audits. DNV, sur plus de 1 700 entreprises certifiées ISO/IEC 27001 (données 2018, version 2013 de la norme), relève que 78 % des entreprises auditées ont eu au moins un constat et 40 % au moins un constat sérieux (non-conformité majeure ou mineure). Les constats sérieux se concentrent sur l'appréciation des risques (clause 6.1.2) et leur traitement (clause 6.1.3), suivis de la revue des droits d'accès et de l'inventaire des actifs. Près de 40 % des entreprises avaient par ailleurs des constats sur l'ancienne section A.12 (exploitation : gestion des systèmes, sauvegardes, journalisation, vulnérabilités techniques).
NQA, sur son portefeuille d'audits (version 2013 également), relève que l'audit interne (clause 9.2) génère plus de non-conformités que toute autre clause, et que la clause 4 (contexte de l'organisation) produit des écarts récurrents sur deux points : des enjeux internes et externes insuffisamment définis, et un périmètre absent ou incomplet.
Ces analyses portent sur la version 2013 ; la structure des clauses 4 à 10 est restée stable dans la version 2022, et les contrôles de l'ancienne section A.12 se retrouvent dans les mesures technologiques de l'annexe A révisée. Les zones de concentration restent donc lisibles pour un audit actuel, à défaut de pourcentages transposables tels quels.
Zone 1 : l'appréciation et le traitement des risques
C'est la mécanique centrale de la norme, et la première source de constats sérieux chez DNV. La clause 6.1.2 exige un processus d'appréciation défini (critères d'acceptation, méthode reproductible, propriétaires de risques identifiés) et la clause 6.1.3 un plan de traitement relié à la déclaration d'applicabilité (SoA). Les écarts typiques se déduisent des exigences : une analyse réalisée une fois puis jamais revue, des risques sans propriétaire, et surtout une chaîne rompue entre les risques identifiés, les mesures retenues dans la SoA et ce qui est réellement en place. La préparation consiste à maintenir un registre des risques vivant et une SoA dont chaque ligne se justifie par un risque ou une exclusion argumentée.
Zone 2 : l'audit interne et la revue de direction
L'audit interne (clause 9.2) arrive en tête chez NQA. La norme exige un programme d'audit planifié, des auditeurs objectifs et impartiaux, des résultats rapportés à la direction et des actions correctives suivies. Pour une PME, la difficulté est structurelle : personne en interne n'est à la fois compétent et indépendant du système audité. Les solutions admises sont un intervenant externe ponctuel ou un échange de bons procédés entre pairs, du moment que l'objectivité est démontrable. La revue de direction (clause 9.3) obéit à la même logique de preuve : la norme liste les éléments d'entrée et de sortie attendus ; un compte rendu qui les couvre, daté et suivi d'actions, suffit.
Zone 3 : le contexte et le périmètre
Les écarts sur la clause 4 relevés par NQA (enjeux mal définis, périmètre absent ou incomplet) se corrigent en amont, car tout le reste en dépend : un périmètre flou rend la SoA et l'appréciation des risques indéfendables. La norme demande de documenter les enjeux internes et externes (4.1), les parties intéressées et leurs exigences (4.2) et les limites du système avec leurs interfaces (4.3). Pour une PME mono-produit, quelques pages précises valent mieux qu'un chapitre générique : ce qui est dans le périmètre, ce qui n'y est pas, et pourquoi.
Zone 4 : l'exploitation courante
La concentration de constats sur l'ancienne section A.12 chez DNV pointe les mesures que l'organisation déclare appliquer au quotidien : sauvegardes testées, journalisation et supervision, gestion des changements, traitement des vulnérabilités techniques, revue périodique des droits d'accès, inventaire des actifs tenu à jour. L'auditeur y échantillonne des preuves d'exécution (un test de restauration daté, une revue de droits tracée) ; une procédure sans trace d'application produit une non-conformité au même titre qu'une procédure absente. C'est la déclinaison du principe décrit dans notre article sur la PSSI : l'écart est mesuré contre ce que l'organisation a déclaré faire.
Préparer l'audit depuis l'évaluation
Ces quatre zones correspondent au delta réel entre un socle de sécurité et un système de management certifiable : SoA, méthodologie de traitement des risques, audit interne, revue de direction. C'est précisément le périmètre que couvre l'espace de travail ISO 27001 de Komplyo : la readiness dérivée puis complète mesure l'écart clause par clause, la SoA s'exporte depuis la couverture calculée, et les questions delta (traitement des risques, audit interne, revue de direction) sont posées une seule fois, articulées avec l'évaluation CSF existante. Pour situer la certification par rapport aux autres cibles, voir ISO 27001 ou SOC 2 ; le diagnostic gratuit (23 questions, environ 5 minutes) donne un premier état du socle.