Audit ISO 27001 : audit interne, audit de certification et non-conformités

Les lignes directrices d'audit des systèmes de management (ISO 19011, dont la quatrième édition a paru en mai 2026) distinguent les audits selon qui les commande :

ISO/IEC 27007 complète ISO 19011 pour les SMSI : elle s'adresse à toute personne qui mène ou pilote des audits internes ou externes de SMSI. Sa version de 2020 est en cours de révision.

La norme demande de mener des audits internes à intervalles planifiés pour vérifier deux choses : que le SMSI est conforme aux exigences de l'organisation et à celles d'ISO 27001, et qu'il est mis en œuvre et tenu à jour efficacement. Concrètement, il faut :

• établir un programme d'audit : fréquence, méthodes, responsabilités, planification et rapports, en tenant compte de l'importance des processus et des résultats des audits précédents ;
• définir, pour chaque audit, ses critères et son périmètre ;
• choisir des auditeurs objectifs et impartiaux : on n'audite pas son propre travail ;
• rendre compte des résultats à la direction concernée ;
• conserver le programme et les résultats comme informations documentées.

La norme n'impose pas de tout auditer chaque année. En pratique, on répartit les audits pour couvrir l'ensemble du périmètre et des exigences sur le cycle de certification, en revenant plus souvent sur ce qui est le plus exposé. Les résultats nourrissent la revue de direction, qui arbitre les priorités et les moyens.

L'audit de certification est mené par un organisme accrédité, selon les règles d'ISO/IEC 17021-1 et d'ISO/IEC 27006-1. Il comprend l'audit initial en deux étapes, puis les audits de surveillance et de renouvellement (voir le chapitre certification). Il se déroule en général ainsi : réunion d'ouverture, entretiens et vérification de preuves selon un plan d'audit, puis réunion de clôture où l'auditeur présente ses conclusions.

Un audit compare des preuves à des critères. Chaque écart avéré à une exigence est une non-conformité. Les organismes de certification les classent généralement en deux niveaux :

• Non-conformité majeure : une exigence n'est pas satisfaite d'une façon qui met en doute la capacité du SMSI à atteindre ses résultats, par exemple l'absence d'audit interne ou de revue de direction. Elle doit être traitée avant que l'organisme ne puisse délivrer ou maintenir le certificat.
• Non-conformité mineure : un écart ponctuel qui ne remet pas en cause le système. Elle appelle un plan d'actions, que l'organisme vérifiera.

S'y ajoutent des observations ou pistes d'amélioration, qui ne sont pas des écarts. Les délais de réponse et le détail de la classification figurent dans le règlement de certification de chaque organisme.

Qu'elle vienne d'un audit interne, d'un audit externe ou d'un incident, la norme demande de traiter toute non-conformité de la même manière :

1. Réagir : maîtriser et corriger l'écart, et en traiter les conséquences.
2. Analyser les causes et vérifier si des écarts similaires existent ou pourraient survenir ailleurs.
3. Mettre en œuvre les actions correctives nécessaires pour supprimer la cause.
4. Vérifier l'efficacité des actions menées et, si besoin, faire évoluer le SMSI.
5. Documenter la nature de l'écart, les actions et leurs résultats.