ISO 27001 : les 10 erreurs qui retardent une certification

Les erreurs de cadrage

La première erreur, et de loin la plus coûteuse, consiste à définir un périmètre trop large. Vouloir certifier l'ensemble de l'organisation dès le premier cycle multiplie les processus à décrire, les sites à auditer et les preuves à produire. Un périmètre restreint mais cohérent, par exemple une ligne de service et son infrastructure, permet d'obtenir le certificat puis de l'étendre lors des audits de surveillance.

La deuxième erreur est symétrique : découper un périmètre artificiellement petit, qui exclut des dépendances évidentes. Un auditeur qui constate que le service certifié repose sur une équipe ou un système explicitement sortis du périmètre soulèvera une non-conformité. Le périmètre doit être défendable, pas seulement confortable.

La troisième erreur tient à l'engagement de la direction. ISO 27001 exige une implication réelle : validation de la politique, allocation de ressources, revue de direction documentée. Quand ce rôle est délégué au responsable informatique, le système de management perd son autorité et les arbitrages ne se font pas.

Les erreurs de méthode

Beaucoup d'organisations abordent la norme par la liste des mesures de l'annexe A, en cochant celles qu'elles pensent déjà appliquer. C'est l'inverse de la logique attendue. Les mesures découlent de l'analyse de risques ; sans elle, la déclaration d'applicabilité n'est qu'une liste d'intentions et l'auditeur le verra immédiatement.

L'analyse de risques elle-même est souvent trop théorique. Des scénarios génériques, recopiés d'un modèle, sans lien avec les actifs réels ni avec les incidents déjà survenus, produisent un document que personne ne relit. Une bonne analyse part de ce qui compte vraiment pour l'activité et décrit des scénarios que les équipes reconnaissent.

Autre écueil fréquent : une documentation surdimensionnée. Trente procédures rédigées pour l'audit, jamais appliquées au quotidien, constituent un risque plutôt qu'une protection, car chaque écart entre le écrit et le réel devient une non-conformité potentielle. Mieux vaut dix documents courts réellement suivis.

Enfin, oublier le volet humain est classique. La sensibilisation, la gestion des accès à l'arrivée et au départ des collaborateurs, les clauses de confidentialité et la relation avec les sous-traitants pèsent lourd dans l'annexe A et sont rarement traités en profondeur.

Les erreurs de preuve

Une certification ne récompense pas des intentions mais des faits datés. L'absence d'enregistrements, de revues de droits d'accès, de comptes rendus de réunion sécurité ou de suivi des actions correctives est la cause la plus fréquente de report d'audit. Ce qui n'est pas tracé n'existe pas pour l'auditeur.

Les indicateurs constituent un second point d'achoppement. La norme demande d'évaluer l'efficacité des mesures. Sans quelques métriques simples et suivies dans le temps, taux de correctifs appliqués, délai de traitement des incidents, taux de participation aux sensibilisations, la clause d'évaluation des performances reste vide.

L'audit interne, enfin, est trop souvent traité comme une formalité de dernière minute. Réalisé sérieusement quelques mois avant l'audit de certification, il révèle les écarts au moment où il est encore possible de les corriger. Réalisé la veille, il ne sert à rien et l'auditeur externe s'en aperçoit.

Le bon rythme de projet

Pour une structure de taille moyenne, une trajectoire réaliste s'étend sur neuf à dix-huit mois. Les trois premiers mois servent au cadrage, au périmètre et à l'analyse de risques. Les six suivants sont consacrés à la mise en œuvre des mesures prioritaires et à la production des preuves. Les derniers mois permettent l'audit interne, la revue de direction et la correction des écarts.

Ce calendrier suppose une personne clairement responsable du système de management, disposant de temps dédié, et un comité de pilotage qui tranche. Sans ces deux conditions, le projet s'étire et perd l'adhésion des équipes.

Il faut enfin garder à l'esprit que le certificat n'est pas une fin mais le début d'un cycle de trois ans, rythmé par des audits de surveillance annuels. Concevoir dès le départ un système que l'on peut tenir avec les ressources réelles de l'organisation vaut mieux qu'un dispositif brillant mais insoutenable.