📞 0612592374
Diagnostic gratuit

Audit interne ISO 27001

Vérifiez la cohérence de votre appréciation des risques, la mise en œuvre réelle des mesures de sécurité retenues et l’efficacité de votre système de management de la sécurité de l’information. Cette prestation est indépendante de l’audit de certification.

Planifier un audit interne

Un regard indépendant sur votre SMSI

Un audit adapté à votre système d’information, à vos risques et à votre niveau de maturité, réalisé avec impartialité et confidentialité.

Un audit interne structuré en 4 temps

La mission est préparée avec votre équipe afin de cibler les périmètres, les processus et les mesures prioritaires. L’audit repose sur des entretiens, l’examen des configurations et enregistrements et l’analyse de preuves objectives.

Demander un cadrage de mission

1. Préparation et programme d’audit

Définition du périmètre, des critères, des interlocuteurs, du planning et des documents à examiner.

2. Audit des processus et des mesures

Entretiens, examen des enregistrements, échantillonnage et vérification de la mise en œuvre effective des mesures de sécurité retenues.

3. Restitution et rapport exploitable

Présentation des constats, points forts, écarts, risques et pistes d’amélioration avec une restitution claire.

Audit complet du SMSI

Revue de l’ensemble des exigences ISO/IEC 27001 et du périmètre déclaré de votre système de management.

Audit ciblé

Évaluation approfondie d’un thème sensible : gestion des accès, sauvegardes, incidents, prestataires, développement, continuité d’activité ou sécurité physique.

Audit de la déclaration d’applicabilité

Vérification de la cohérence entre les risques appréciés, les mesures retenues ou exclues et leur état réel de mise en œuvre.

Pourquoi réaliser un audit interne ISO/IEC 27001 ?

L’audit interne permet de vérifier la conformité et l’efficacité du système, d’évaluer la mise en œuvre réelle des mesures de sécurité et de détecter les opportunités d’amélioration. Il est exigé par l’ISO/IEC 27001, mais il ne délivre aucune certification : la certification relève exclusivement d’un organisme certificateur indépendant.

Des livrables conçus pour passer à l’action

La restitution ne se limite pas à une liste d’écarts. Elle permet à votre direction, à votre RSSI et à vos équipes techniques de comprendre les enjeux, hiérarchiser les actions et renforcer durablement la sécurité de l’information.

Rapport d’audit détaillé

Constats factuels, preuves examinées, exigences associées et synthèse par thème audité.

Écarts clairement formulés

Des écarts précis, reliés à une exigence du référentiel et fondés sur des preuves objectives.

Points forts et pratiques efficaces

Valorisation des éléments robustes et des pratiques à préserver ou à déployer ailleurs.

Pistes d’amélioration prioritaires

Des recommandations pragmatiques pour renforcer l’efficacité, la maîtrise des risques et la performance.

Pour quelles organisations ?

TPE, PME, éditeurs de logiciels, entreprises technologiques, prestataires de services numériques, hébergeurs, sociétés de services ou organisations multisites disposant d’un SMSI ou préparant sa mise en place.

Quand programmer l’audit interne ?

Avant un audit de certification, dans le cadre du programme annuel, après un incident de sécurité, lors d’une évolution majeure du système d’information, d’un changement de prestataire ou d’une exigence client.

Questions fréquentes sur l’audit interne ISO/IEC 27001

L’audit interne est réalisé pour le compte de l’organisation afin d’évaluer et d’améliorer son système de management de la sécurité de l’information. L’audit de certification est réalisé par un organisme certificateur indépendant et accrédité, seul habilité à délivrer ou maintenir le certificat.
Oui. La norme demande à l’organisation de réaliser des audits internes à intervalles planifiés afin de vérifier si le système de management de la sécurité de l’information est conforme aux exigences et efficacement mis en œuvre.
Oui. L’audit peut être réalisé par une personne externe à l’entreprise, à condition de garantir la compétence, l’objectivité, l’impartialité et la confidentialité.
L’auditeur doit rester objectif et impartial. Il est donc préférable qu’il n’audite pas directement les activités dont il est responsable ou qu’il a lui-même conçues. C’est l’une des principales raisons de faire appel à un auditeur externe.
La fréquence dépend de l’importance des activités, des risques, des changements, des résultats précédents et du niveau de maturité. L’ensemble du périmètre doit être couvert selon un programme adapté, sans obligation systématique d’un audit annuel de chaque thème.
Le programme tient compte des activités, des exigences applicables, des risques, des résultats des audits précédents, des changements intervenus et des priorités de la direction.
Le périmètre, le programme, les processus, les indicateurs, les résultats précédents, les actions correctives, les documents utiles et les éventuelles réclamations ou non-conformités doivent être accessibles.
Il comprend généralement une préparation, une réunion d’ouverture, des entretiens et observations, l’examen d’échantillons et de preuves, une analyse des constats, une réunion de clôture et un rapport.
Il s’agit d’une information vérifiable : document, enregistrement, observation, résultat mesuré, entretien recoupé ou autre élément permettant d’étayer un constat.
Le constat décrit un fait observé. Une non-conformité correspond au non-respect démontré d’une exigence. Les termes et classifications internes doivent être définis clairement pour éviter toute ambiguïté.
Le programme global doit couvrir les exigences et les activités pertinentes. Une mission donnée peut toutefois être ciblée sur certains thèmes, risques ou processus selon les priorités du moment.
La durée dépend du périmètre, de la taille de la structure, du nombre de sites, de la complexité des activités et des objectifs de la mission. Un audit ciblé peut durer une journée, tandis qu’un audit complet peut nécessiter plusieurs jours.
Il présente le périmètre, les personnes rencontrées, les preuves examinées, les constats, les écarts, les points forts, les pistes d’amélioration et une synthèse globale directement exploitable en revue de direction.
L’auditeur peut expliquer les risques et identifier des pistes d’amélioration, mais la définition des causes et des actions relève de l’organisation afin de préserver la responsabilité des équipes.
L’organisation analyse la cause, définit une correction si nécessaire, met en œuvre une action corrective proportionnée puis vérifie son efficacité dans la durée.
Oui, pour tout ou partie de la mission lorsque les outils, les documents et les entretiens le permettent. L’observation sur site reste toutefois importante pour les activités opérationnelles.
Oui. Il constitue une étape essentielle avant l’audit de certification, car il permet de détecter les écarts, de vérifier la préparation des équipes et de sécuriser le système.
Il faut vérifier sa connaissance du référentiel ISO/IEC 27001, sa maîtrise de la méthodologie d’audit, son expérience du secteur, son indépendance vis-à-vis des activités auditées et sa capacité à communiquer clairement.
Oui. L’ensemble des informations recueillies au cours de la mission reste strictement confidentiel. Le rapport n’est transmis qu’aux destinataires que vous avez désignés lors du cadrage.
L’audit vérifie que la méthode est définie et appliquée de façon reproductible, que les risques sont identifiés et évalués selon des critères formalisés, et que les traitements retenus sont cohérents avec le niveau de risque accepté par la direction.
Oui. C’est un document central du SMSI. L’audit vérifie la justification des mesures retenues et exclues, leur état de mise en œuvre déclaré et la concordance avec ce qui est réellement constaté sur le terrain.
Le programme d’audit doit couvrir dans la durée les mesures retenues comme applicables, réparties selon les thèmes organisationnel, humain, physique et technologique de la version 2022 de la norme.
Non. L’audit interne ISO/IEC 27001 est un audit de système de management : il évalue l’organisation, les processus et les preuves de mise en œuvre. Un test d’intrusion est une prestation technique distincte, complémentaire mais différente.

Besoin d’un audit interne ISO/IEC 27001 indépendant ?

Échangeons sur votre périmètre, vos échéances et vos priorités afin de construire une mission adaptée à votre organisation.

Planifier un échange