Audit interne ISO 27001
L’audit interne ISO 27001 prépare l’audit de certification. Nous évaluons votre SGSI, identifions les écarts et priorisons les corrections avant l’arrivée de l’organisme certificateur.
Ce qu’on voit trop souvent
Beaucoup d’organisations commandent un « audit interne » qui est en réalité un prédiagnostic, ou pire, un audit de certification déguisé. La clause 9.2 demande un audit planifié, indépendant autant que possible, avec des non-conformités suivies.
- aucun programme d’audit, ou un audit « on verra avant le certificateur »
- la même personne qui a écrit le SGSI s’auto-audite sans recul
- des constats flous, sans preuve, sans délai, sans responsable
- confusion entre audit interne, stage 1, stage 2 et pentest
- les non-conformités finissent dans un courriel, jamais dans un registre
De quoi s’agit-il
L’audit interne ISO 27001 vérifie si le SGSI est conforme aux exigences et à ce que vous avez déclaré faire. Il produit des constats, pas une certification. Il n’est pas l’audit de l’organisme certificateur (stage 1 et 2).
Nous planifions le programme, auditons sur preuves, et livrons un rapport actionnable : non-conformités, observations, délais. Si nous avons trop écrit le système, nous le disons : l’indépendance compte, et on ajuste le dispositif.
Où ça se situe dans ISO 27001
Le module couvre la clause 9.2. Il s’appuie sur ISO 19011 pour la méthode. Il ne remplace pas le stage 1 / stage 2, ni le prédiagnostic, ni l’analyse de risques.
Ce que comprend ce module
- Plan et périmètre d’audit interne
- Évaluation des clauses 4 à 10
- Échantillon des contrôles de l’Annexe A selon la SoA
- Entrevues, revue de preuves et rapport d’écarts
- Appui aux actions correctives
Comment on travaille
Programme et périmètre d’audit
Quoi auditer cette année, critères, indépendance. On ne prétend pas tout voir en une journée si le SGSI est large.
Préparation et preuves attendues
Plan d’audit, entretiens, artefacts. Vous savez à l’avance ce que nous viendrons chercher.
Exécution
Entrevues, échantillons, constats. On distingue non-conformité, observation et piste d’amélioration.
Rapport et suivi
Rapport, registre des constats, délais, revue avec la direction. Sans suivi, l’audit interne est du théâtre.
Ce que vous recevez
- Plan d’audit interne
- Rapport d’écarts avec gravité et preuves
- Plan d’actions correctives priorisé
- Synthèse pour la revue de direction
Pour qui
Organisations proches d’un stage 1 ou 2, ou qui doivent montrer un audit interne indépendant dans l’année.
Pour qui ce n’est pas
Ce module n’est pas la certification, ni un pentest, ni un remplacement du prédiagnostic si le SGSI n’existe pas encore. Il n’est pas non plus un audit de vos fournisseurs.
Durée type
3 à 10 jours d’intervention, selon la taille du périmètre.
Ce que vous devez fournir
Vous fournissez le périmètre déclaré, les documents du SGSI, l’accès aux personnes et aux preuves. Un interlocuteur direction est requis pour la clôture.
Limites de ce module
L’audit interne n’est pas un audit de certification. Certi360 n’émet pas le certificat et n’agit pas comme organisme certificateur.
Questions fréquentes
- Pouvez-vous auditer un SGSI que vous avez aidé à bâtir ?
- L’indépendance se gère. Si nous avons rédigé une pièce, un autre auditeur Certi360, ou un périmètre distinct, peut réaliser l’audit interne. Nous le disons avant de partir.
- Faut-il auditer tous les contrôles chaque année ?
- Le programme d’audit peut être pluriannuel, à condition de couvrir le SGSI de façon défendable. Nous le concevons avec vous.
- Quelle est la différence avec le prédiagnostic ?
- Le prédiagnostic est une photographie rapide pour démarrer. L’audit interne est plus formel, avec preuves, écarts et actions, souvent juste avant la certification.
- Peut-on acheter seulement ce module ?
- Oui. Chaque module se vend séparément. Vous n’êtes pas obligé de prendre le programme complet. Le prédiagnostic reste le point d’entrée le plus efficace si vous ne savez pas encore par où commencer.
- Faut-il commencer par le prédiagnostic ?
- Non, ce n’est pas obligatoire. Le prédiagnostic accélère le cadrage si vous n’avez pas encore de photo d’ensemble. Si vous savez déjà ce qui manque, on peut démarrer ce module directement.