Certificat ISO 27001 sans audit externe : ce qui est possible

Oui, un certificat ISO 27001 sans audit externe existe, mais il repose sur une auto-évaluation. Personne ne vient contrôler vos preuves sur place, et vos clients doivent le savoir.

Pour une PME, une agence ou une start-up qui veut montrer une démarche sérieuse en sécurité de l'information, ce format suffit souvent. Dès qu'un appel d'offres, un contrat ou un régulateur exige un audit sur place par un organisme de certification, il ne suffit plus.

Ce que « sans audit externe » veut dire

Dans le schéma classique, vous mettez en place un système de management de la sécurité de l'information (SMSI). Un organisme de certification l'audite, sur place ou à distance, délivre le certificat si l'audit est concluant, puis revient périodiquement pour surveiller le système.

La voie sans audit externe supprime l'auditeur. Vous évaluez vous-même votre organisation par rapport aux exigences de la norme, à l'aide d'un questionnaire structuré, et le certificat est émis sur la base de vos réponses.

Le document n'affirme donc pas qu'un tiers indépendant a constaté la conformité de votre SMSI. Il affirme que votre organisation a évalué sa propre maturité par rapport à l'ISO 27001:2022 et s'engage sur ses réponses. Notre guide sur la certification ISO sans audit décrit l'approche plus en détail.

Cette valeur est réelle, mais elle n'est pas la même. Elle dépend de votre honnêteté et de la qualité de votre travail interne.

Ce que la norme ISO 27001:2022 demande réellement

L'ISO 27001:2022 reprend la structure commune aux normes de management. Ses exigences se trouvent dans les clauses 4 à 10.

Les clauses 4 à 10

• Clause 4, Contexte de l'organisation : vous identifiez les enjeux internes et externes, les parties intéressées et le périmètre de votre SMSI.
• Clause 5, Leadership : la direction s'engage, fixe une politique de sécurité de l'information et attribue les rôles et responsabilités.
• Clause 6, Planification : vous évaluez les risques, décidez comment les traiter et fixez des objectifs de sécurité. Les points 6.1.2 et 6.1.3 portent sur l'appréciation et le traitement des risques.
• Clause 7, Support : ressources, compétences, sensibilisation, communication et informations documentées.
• Clause 8, Fonctionnement : vous appliquez concrètement les processus et le plan de traitement des risques.
• Clause 9, Évaluation des performances : surveillance, audit interne (9.2) et revue de direction (9.3).
• Clause 10, Amélioration : vous traitez les non-conformités et améliorez le système dans la durée.

Aucune de ces clauses n'est facultative si vous voulez vous déclarer conforme. Une auto-évaluation sérieuse les passe toutes en revue.

L'annexe A

L'annexe A de la version 2022 compte 93 mesures de sécurité, réparties en quatre thèmes : organisationnel, personnes, physique et technologique. Rien ne vous oblige à toutes les appliquer. Vous retenez celles qui correspondent à vos risques et vous le consignez dans une déclaration d'applicabilité, qui justifie chaque mesure retenue ou écartée.

Pour une petite structure, c'est un avantage. Une agence de dix personnes sans salle serveur ne documente pas les mêmes mesures physiques qu'un hébergeur, mais elle doit pouvoir dire pourquoi.

Quand une auto-évaluation suffit

Un certificat fondé sur l'auto-évaluation se défend dans les situations suivantes.

• Vous structurez votre sécurité pour la première fois. Le questionnaire vous force à traiter périmètre, risques, responsabilités, sauvegardes, accès et gestion des incidents.
• Vos clients demandent des garanties générales. Beaucoup de donneurs d'ordre veulent surtout savoir que vous avez une démarche, pas forcément un audit sur place.
• Vous préparez la voie classique avec un audit sur place par un organisme de certification. L'auto-évaluation sert de répétition générale : vous repérez les lacunes avant de payer un auditeur.
• Votre budget ou votre calendrier ne permettent pas un audit complet. Un audit sur place exige du temps de préparation et mobilise des équipes déjà réduites.
• Vous voulez un repère de maturité interne pour piloter l'amélioration d'une année à l'autre.

Si l'un de ces cas est le vôtre, la voie sans audit externe est cohérente. Les ordres de grandeur côté budget figurent sur la page tarifs de Zertify. Les coûts de la voie classique dépendent de la taille, du périmètre et de l'organisme choisi, et je ne les chiffre pas ici.

Quand la voie classique avec audit sur place reste le meilleur choix

Dans certains cas, l'auto-évaluation ne passe pas, et ce n'est pas une question de préférence mais d'exigence formelle.

• Un appel d'offres ou un contrat cite expressément une certification ISO 27001 obtenue après un audit sur place par un organisme de certification. Un certificat basé sur une auto-évaluation ne remplit pas la condition.
• Un régulateur ou un partenaire sectoriel impose un audit par un organisme de certification. C'est fréquent dans les secteurs très encadrés.
• Vous traitez des données très sensibles pour de grands clients, qui mènent leurs propres revues fournisseurs et attendent une preuve indépendante.
• Vous voulez pouvoir opposer une vérification par un tiers en cas de litige ou d'incident.

Lisez l'exigence au mot près. Si elle mentionne « organisme de certification » ou « audit sur place », il vous faut un audit externe.

En cas de doute, demandez à votre client ce qu'il attend. Un échange de dix minutes évite parfois des mois de travail inutile, dans un sens comme dans l'autre.

Checklist avant de vous auto-évaluer

L'auto-évaluation ne vaut que si vos réponses sont vraies. Réglez ces points avant de commencer.

• Vous avez défini le périmètre : quelles activités, quels sites, quels systèmes.
• Vous avez listé vos actifs d'information importants : données clients, code, documents financiers, accès cloud.
• Vous avez identifié vos principaux risques et décidé comment les traiter.
• Une politique de sécurité de l'information existe et la direction l'a validée.
• Les rôles sont attribués : qui décide, qui exécute, qui surveille.
• La gestion des accès est maîtrisée : comptes nominatifs, droits minimaux, authentification renforcée là où c'est possible.
• Les sauvegardes existent et vous avez testé une restauration.
• Les collaborateurs ont été sensibilisés aux risques courants, comme l'hameçonnage.
• Un processus de gestion des incidents est décrit, même sous forme simple.
• Vos fournisseurs critiques sont identifiés et leurs engagements de sécurité sont connus.
• Vous avez prévu un contrôle interne et une revue de direction, même annuels et brefs.
• Vous pouvez expliquer chaque réponse avec un document, une capture ou un exemple concret.

Plusieurs cases vides ne signifient pas un échec, seulement du travail à planifier. Mieux vaut le constater avant de vous déclarer conforme.

Comment Zertify s'inscrit dans cette démarche

Zertify est une plateforme en ligne qui émet des certificats ISO sur la base d'une auto-évaluation, sans audit sur place. Les certificats sont délivrés par G6 Agency AG sous licence du SICE (Swiss Institute of Certification and Education) et se vérifient publiquement sur zertify.ch.

Vous répondez à l'évaluation en ligne liée à la norme. Une fois l'évaluation réussie et le paiement effectué, le certificat est émis dans un délai de 4 heures.

Il est valable trois ans et confirmé chaque année par un court réaudit en ligne. Le modèle est un abonnement annuel : la première année au prix complet, les suivantes avec une redevance annuelle plus basse. Vous pouvez le résilier à tout moment pour la fin de l'année.

La page ISO 27001:2022 Management de la sécurité de l'information présente le périmètre, le déroulement et ce que le certificat atteste, et la page tarifs détaille les conditions. Si vous êtes prêt, vous pouvez démarrer l'évaluation.

Répondez comme si un client allait relire chaque réponse. Un certificat obtenu en cochant au hasard ne protège ni vos clients ni vous.

Comment présenter ce certificat à vos clients

Dites ce qu'il est, sans détour. Quelques règles :

• Nommez le type de certificat. Écrivez « certificat basé sur une auto-évaluation », pas simplement « certifié ISO 27001 ». La seconde formule laisse croire à un audit sur place.
• Joignez vos preuves si on vous les demande. Politique, déclaration d'applicabilité, registre des risques : montrez ce que vous avez réellement construit.
• Ne revendiquez pas ce que vous n'avez pas. Évitez toute mention qui suggère un audit sur place.
• Précisez votre trajectoire. Si vous prévoyez un audit sur place plus tard, dites-le.

Un malentendu découvert en phase d'achat coûte bien plus cher qu'une explication claire au départ.

Erreurs fréquentes à éviter

Confondre outils et système. Un antivirus ou un gestionnaire de mots de passe ne fait pas un SMSI. La norme demande une gestion organisée, avec des responsabilités, des risques évalués et une amélioration continue.

Fixer un périmètre trop flou. « Toute l'entreprise » sonne bien, mais chaque réponse devient plus difficile à justifier. Un périmètre clair et réaliste est préférable.

Oublier la direction. La clause 5 place la direction au centre. Sans engagement visible de sa part, le système reste théorique.

Ne rien documenter. Il ne faut pas des centaines de pages. Mais ce qui n'est pas écrit se prouve mal et se maintient mal.

Laisser le certificat vieillir. Nouveaux outils, nouveaux collaborateurs, nouveaux fournisseurs : votre organisation change, alors réévaluez-vous régulièrement.

En résumé

Le certificat ISO 27001 sans audit externe est honnête s'il est présenté pour ce qu'il est, le résultat d'une auto-évaluation. Il ne remplace pas l'audit sur place par un organisme de certification quand un client ou un régulateur l'exige par écrit.

Lisez d'abord les exigences de vos clients. Si elles ne demandent pas d'audit sur place, l'auto-évaluation est un bon point de départ. Si elles en demandent un, elle prépare l'audit.