Certification ISO 22301
ISO 22301 durée : combien de temps faut-il vraiment ?
Par la voie classique avec audit sur site, comptez plusieurs mois entre le lancement du projet et le certificat. Avec Zertify, l'évaluation en ligne dure environ une heure et le certificat est émis dans les 4 heures après la réussite et le paiement. Cette page détaille chaque phase.
01: En bref
Combien de temps dure une certification ISO 22301 ?
Cela dépend de la voie choisie. La voie classique, avec audit sur site par un organisme de certification, s'étend sur 5 à 12 mois environ pour une PME qui part de peu. Ce sont des ordres de grandeur indicatifs. Le temps ne se perd pas dans l'audit lui-même, mais avant: bilan d'impact, plans de continuité, exercices.
La voie Zertify repose sur une auto-évaluation en ligne. Il n'y a ni dossier à déposer ni auditeur à convoquer, donc pas d'attente liée à un calendrier d'audit. Le travail de fond sur votre continuité d'activité reste le vôtre, et c'est lui qui détermine si vous réussissez l'évaluation.
02: Voie classique
Les phases de la voie classique avec audit sur site
Les durées ci-dessous sont indicatives. Elles varient selon la taille de l'entreprise, le nombre de sites et l'agenda de l'organisme de certification.
Préparation et analyse des écarts: 2 à 6 mois
Vous réalisez le bilan d'impact sur l'activité, fixez les RTO et RPO et appréciez les risques de perturbation. C'est la phase la plus longue, parce qu'elle demande des réponses de chaque service.
Documentation et organisation de crise: 1 à 3 mois
Vous rédigez les plans de continuité, désignez la cellule de crise et décrivez les stratégies de reprise pour les activités prioritaires.
Audit de stade 1: 1 à 2 jours
L'auditeur examine la documentation et vérifie que l'entreprise est prête pour le stade 2. Plusieurs semaines séparent souvent les deux audits.
Audit de stade 2: 2 à 5 jours
L'auditeur se rend sur place, interroge les responsables et demande des preuves de mise en oeuvre, notamment les comptes rendus d'exercices.
Écarts et décision de certification: 2 à 8 semaines
Vous corrigez les non-conformités relevées. L'organisme examine ensuite le dossier avant d'émettre le certificat.
03: Calendrier
Calendrier comparé: voie classique et Zertify
Le tableau met les deux parcours côte à côte, étape par étape.
| Étape | Voie classique (indicatif) | Zertify |
|---|---|---|
| Préparation et bilan d'impact | 2 à 6 mois | À faire chez vous avant l'évaluation, selon votre niveau de maturité |
| Documentation | 1 à 3 mois | Aucun dossier à déposer, vous répondez aux questions |
| Audit | Stade 1: 1 à 2 jours. Stade 2: 2 à 5 jours sur site | Évaluation en ligne, environ 1 heure |
| Examen et décision | 2 à 8 semaines | Examen de chaque évaluation par SICE |
| Certificat | Après la décision de l'organisme | Dans les 4 heures après la réussite et le paiement |
| Suivi | Audits de surveillance sur site | Court ré-audit en ligne chaque année |
La colonne Zertify suppose que votre bilan d'impact, vos RTO et RPO et vos plans existent déjà. Si ce n'est pas le cas, la durée dépend du temps que vous consacrez à les établir, pas de la procédure.
04: Facteurs de délai
Qu'est-ce qui rallonge le délai en pratique ?
Les mêmes obstacles reviennent d'une entreprise à l'autre.
- Le bilan d'impact sur l'activité
- Sans liste des activités prioritaires, rien d'autre ne peut avancer. Il faut interroger chaque service sur ce qui doit rester en marche en cas de panne.
- Les RTO et RPO
- Fixer un délai de reprise et une perte de données admissible exige l'accord de la direction. Il faut aussi vérifier que l'informatique et les fournisseurs peuvent tenir ces valeurs.
- Les exercices
- Un plan qui n'a jamais été testé ne prouve rien. Organiser un test de reprise informatique ou un exercice de crise prend des semaines de coordination.
- L'agenda de l'organisme
- Dans la voie classique, les auditeurs ne sont pas disponibles tout de suite. L'écart entre le stade 1 et le stade 2 s'allonge selon la période.
- Les écarts constatés
- Chaque non-conformité relevée à l'audit doit être corrigée et justifiée avant la décision.
05: Zertify
Comment Zertify raccourcit la procédure
L'auto-évaluation pour la norme ISO 22301 compte 34 questions à répondre par oui ou non. Treize d'entre elles sont éliminatoires: toutes doivent recevoir un oui. Parmi les 21 autres, il faut au moins 14 oui pour réussir. Ces questions couvrent les points centraux de l'évaluation, pas chaque exigence de la norme.
Une fois l'évaluation réussie et le paiement effectué, SICE examine votre évaluation et Zertify émet le certificat dans les 4 heures. Chaque certificat porte un numéro et un QR code, et n'importe quel client ou service achats le vérifie sur une page publique. Il est valable 3 ans et confirmé chaque année par un court ré-audit en ligne.
Le prix est de 749 CHF la première année, puis de 499 CHF par an, ré-audit en ligne inclus. L'abonnement est annuel et résiliable à tout moment pour la fin de l'année en cours. Aucun compte n'est nécessaire pour acheter.
06: Préparation
Que préparer pour tenir l'heure ?
L'évaluation dure environ une heure si les réponses sont à portée de main. Réunissez ces éléments avant de commencer.
La liste des activités prioritaires
Elle est issue de votre bilan d'impact. Notez pour chaque activité ce qui se passe si elle s'arrête.
Les RTO et RPO par activité
Un délai de reprise et une perte de données admissible, validés par la direction.
Les plans de continuité et la cellule de crise
Sachez qui décide, qui informe les clients et où se trouvent les plans en cas de panne informatique.
Le dernier exercice
Date, périmètre et enseignements tirés. Une réponse approximative ne suffit pas.
Si l'un de ces éléments manque, vous le verrez aux questions auxquelles vous ne pouvez pas répondre oui. Mieux vaut le combler avant de payer quoi que ce soit.
07: FAQ
Questions fréquentes sur la durée de la certification ISO 22301
Par la voie classique avec audit sur site, comptez 5 à 12 mois environ, selon la taille de l'entreprise et l'avancement de votre système de continuité. Ce sont des ordres de grandeur indicatifs. Avec Zertify, l'évaluation en ligne prend environ une heure et le certificat suit dans les 4 heures après la réussite et le paiement.
Environ une heure. Elle comprend 34 questions à répondre par oui ou non. Le temps dépend surtout de la rapidité avec laquelle vous retrouvez vos RTO, RPO et plans de continuité.
Dans les 4 heures après la réussite de l'évaluation et le paiement. SICE examine chaque évaluation avant l'émission, et Zertify délivre ensuite le certificat sous licence de SICE. Il se vérifie en ligne par son numéro ou son QR code.
Trois ans. Chaque année, un court ré-audit en ligne confirme le certificat. Le prix est de 749 CHF la première année, puis de 499 CHF par an, ré-audit inclus.
Partiellement. Commencez par le bilan d'impact, qui conditionne tout le reste, et planifiez vos exercices avant l'audit de stade 2. Réservez aussi tôt les dates auprès de l'organisme, car son agenda fixe l'écart entre les deux audits.
Les questions de l'évaluation portent sur un système qui fonctionne: bilan d'impact, RTO et RPO, plans documentés, exercices. Si ces éléments n'existent pas encore, leur mise en place constitue l'essentiel de votre délai, quelle que soit la voie choisie.
08: Guide
Pages liées
Mesurez votre avance en une heure
L'auto-évaluation ISO 22301 vous montre où vous en êtes sur le bilan d'impact, les RTO et RPO et les plans de continuité.
Gratuite et sans inscription.