Amélioration et certification

Pourquoi ce chapitre ferme la boucle du SMSI

Un SMSI qui ne progresse pas régresse. La clause 10 de l'ISO 27001:2022 formalise ce principe : elle exige que l'organisation détecte ses défaillances, les traite avec rigueur, et améliore le système en continu, pas seulement lorsqu'un audit approche. C'est aussi la clause la plus scrutée par les auditeurs externes, parce qu'elle révèle si le SMSI est un système vivant ou une collection de documents figés produite une fois pour l'audit initial.

Ce chapitre couvre deux sujets imbriqués : le traitement des non-conformités au sens de la clause 10, et le déroulement concret du parcours de certification, de l'audit blanc à la recertification triennale. Les deux sont liés directement : la façon dont vous gérez vos non-conformités en interne détermine ce qui se passera face à un auditeur de certification, qui ne fait au fond qu'appliquer à votre organisation le même mécanisme que celui que vous devriez déjà appliquer vous-même.

Clause 10 : structure et exigences

La version 2022 de la norme a inversé l'ordre des deux sous-clauses par rapport à la version 2013.

En 2013, la clause 10 commençait par le traitement des non-conformités (10.1) suivi de l'amélioration continue (10.2). La version 2022 inverse cet ordre : 10.1 devient Amélioration continue, 10.2 devient Non-conformité et action corrective. Le contenu normatif de chaque exigence reste identique, mais si vous travaillez avec une documentation héritée de 2013 ou avec des interlocuteurs formés sur l'ancien référentiel, vérifiez systématiquement quelle numérotation est utilisée avant de croiser deux documents.

10.1 Amélioration continue demande que l'organisation améliore en permanence la pertinence, l'adéquation et l'efficacité du SMSI, sans qu'un événement déclencheur soit nécessaire. C'est une exigence de posture, difficile à auditer sur une preuve isolée, mais que les auditeurs évaluent en creux, via la maturité des revues de direction, la pertinence des indicateurs de sécurité suivis, et la traçabilité des décisions d'évolution du système.

10.2 Non-conformité et action corrective décrit un mécanisme précis, en plusieurs temps, appliqué à chaque écart constaté par rapport à une exigence :

1. Réagir à la non-conformité, la maîtriser et corriger ses conséquences immédiates.
2. Évaluer le besoin d'éliminer les causes, pour éviter la répétition ou l'apparition ailleurs dans l'organisation.
3. Mettre en œuvre toute action nécessaire.
4. Revoir l'efficacité de toute action corrective mise en œuvre.
5. Modifier le SMSI si nécessaire, que ce soit au niveau des processus, du registre des risques ou des contrôles déployés.

La norme est explicite sur un point que beaucoup d'organisations négligent : une action corrective doit être proportionnée aux effets de la non-conformité rencontrée. Il n'est pas exigé de lancer un chantier disproportionné pour une défaillance mineure et isolée, mais l'organisation doit pouvoir justifier ce choix de proportionnalité devant un auditeur.

Le cycle de traitement d'une non-conformité

Le mécanisme se déroule toujours dans le même ordre, que la non-conformité soit détectée par un audit interne, un audit externe, un incident de sécurité ou un simple écart constaté par un opérationnel dans son quotidien.

Détection et enregistrement. Toute non-conformité doit être tracée dans un registre — fiche de non-conformité, ticket dans l'outil de gestion, registre des actions correctives. L'enregistrement inclut la description factuelle de l'écart, l'exigence non respectée, la preuve du constat, la date et l'identité de l'auteur.

Correction immédiate. C'est l'action qui traite le symptôme dans l'urgence, par exemple révoquer un compte orphelin détecté ou corriger une règle de pare-feupare-feuRéseauxÉquipement ou logiciel qui filtre le trafic selon des règles (ports, adresses, états) pour réduire la surface d'attaque.Voir dans le glossaire trop permissive. Elle ne dispense pas de l'étape suivante.

Analyse de cause racine. C'est l'étape la plus souvent bâclée en pratique. Les techniques classiques, comme les cinq pourquoi ou le diagramme d'Ishikawa, servent à distinguer la cause immédiate de la cause structurelle. Un compte orphelin non désactivé n'est pas la cause : la cause est l'absence de procédure de départ formalisée entre les ressources humaines et l'informatique.

Action corrective. Elle traite la cause racine identifiée, avec un responsable nommé et une échéance réaliste. Une action corrective menée sans cause racine documentée est une action cosmétique, identifiée comme telle par un auditeur expérimenté dès la première question un peu insistante.

Vérification d'efficacité. Après un délai suffisant pour observer un effet réel, on vérifie que l'action a effectivement supprimé la cause et empêché la récurrence. Si ce n'est pas le cas, le cycle recommence sur l'action corrective, pas sur la correction immédiate.

Clôture et mise à jour du SMSI. Si la non-conformité révèle un risque non identifié ou un contrôle absent de la déclaration d'applicabilité, le registre des risques et la SoA doivent être mis à jour en conséquence, pas seulement le registre des non-conformités.

Un plan d'action clos sur simple déclaration — « action réalisée le [date] » — sans preuve de contrôle a posteriori n'est pas une clôture recevable en audit. L'auditeur demandera systématiquement quelle preuve démontre que la cause racine a disparu, et depuis quand elle a disparu.

Types de non-conformités en audit externe

Un auditeur de certification classe systématiquement ses constats selon leur gravité. Cette classification détermine directement ce qui se passe pour votre certificat.

Une seule non-conformité majeure non traitée à la date de la décision de certification suffit à bloquer la délivrance du certificat, quel que soit par ailleurs le niveau de maturité du reste du SMSI. De même, plusieurs non-conformités mineures constatées sur la même exigence lors du même audit sont fréquemment requalifiées en majeure par l'auditeur. Le seuil exact peut varier légèrement d'un organisme certificateur à l'autre : vérifiez-le dans les règles de certification communiquées avant l'audit.

Le parcours de certification, étape par étape

La certification ISO 27001 suit un déroulé standardisé, encadré par les règles d'accréditation que doit respecter tout organisme certificateur.

Audit blanc, optionnel. Réalisé en interne ou par un consultant externe indépendant du futur auditeur de certification, il simule les conditions d'un audit réel. Son objectif n'est pas de produire un rapport flatteur mais de faire remonter les non-conformités avant qu'un auditeur accrédité ne les découvre à un moment où elles coûtent plus cher à traiter.

Un audit blanc mené six à huit semaines avant l'étape 1 laisse le temps de traiter les non-conformités détectées et de rassembler les preuves manquantes. Réalisé trop tard, il ne sert plus qu'à confirmer des problèmes qu'il est déjà trop tard pour corriger sereinement avant l'audit officiel.

Étape 1, audit documentaire. L'auditeur vérifie que le périmètre du SMSI est clairement défini, que la politique de sécurité, l'appréciation des risques et la déclaration d'applicabilité existent et sont cohérentes entre elles. Il évalue si l'organisation est suffisamment prête pour passer à l'étape 2, généralement programmée quelques semaines plus tard. Cette étape peut se dérouler à distance selon l'organisme certificateur.

Étape 2, audit de certification. C'est l'audit opérationnel : l'auditeur vérifie sur le terrain, par entretiens et par échantillonnage de preuves, que les contrôles déclarés dans la SoA sont réellement mis en œuvre et efficaces. Il ne se contente pas de lire une procédure, il demande les journaux, les tickets, les comptes rendus de revue, les preuves de sensibilisation du personnel. La durée dépend de la taille de l'organisation et du nombre de sites, calculée selon des barèmes de temps d'audit standardisés.

Décision de certification. Point souvent méconnu : l'auditeur qui a mené l'étape 2 ne décide pas lui-même de la délivrance du certificat. Le dossier est transmis à un comité de décision indépendant au sein de l'organisme certificateur, ce qui garantit une séparation entre celui qui constate et celui qui décide.

Délivrance et durée. Le certificat est valable trois ans, sous réserve du maintien de sa validité via les audits de surveillance qui jalonnent ce cycle.

Audits de surveillance, années 1 et 2. Ce sont des audits allégés portant sur un sous-ensemble de contrôles, jamais l'intégralité de la SoA en une seule fois, le suivi des non-conformités précédentes, les changements significatifs survenus dans le périmètre, et systématiquement la revue de direction et le traitement des plaintes ou incidents survenus.

Audit de recertification, année 3. Il a l'ampleur d'un audit initial complet et doit être planifié suffisamment tôt pour que le nouveau certificat prenne le relais avant l'expiration du précédent. Un délai de carence expose l'organisation à devoir repartir sur un cycle initial complet, avec étape 1 et étape 2 séparées.

Lors d'un audit de surveillance, l'auditeur constate qu'un compte administrateur d'un ancien prestataire est toujours actif trois mois après la fin du contrat. La correction immédiate, désactiver le compte séance tenante, est réalisée avant la fin de l'audit. Mais l'analyse de cause racine révèle l'absence réelle de processus : la clause contractuelle de notification de fin de mission existe, mais aucun déclencheur ne relie sa signature à la révocation des accès côté informatique. L'action corrective consiste à intégrer une case obligatoire dans le flux de clôture de contrat prestataire, avec alerte automatique à l'équipe de gestion des identités. La vérification d'efficacité, prévue trois mois plus tard, contrôle qu'aucun cas similaire n'est réapparu sur la période.

Pièges fréquents observés en audit

• Documentation déconnectée de la pratique. Une procédure de gestion des accès à jour sur le papier, mais jamais appliquée depuis plusieurs mois, est identifiée en quelques minutes par croisement avec les journaux d'accès réels.
• SoA non actualisée après un changement de périmètre. L'ajout d'un nouveau prestataire cloud, d'une nouvelle application métier ou d'un nouveau site doit se répercuter sur l'appréciation des risques et la SoA avant l'audit, pas pendant l'audit.
• Actions correctives sans preuve d'efficacité. Clore une non-conformité sur la seule preuve qu'une action a été réalisée, sans preuve qu'elle a résolu le problème, est un classique relevé par les auditeurs lors des surveillances suivantes.
• Sous-dimensionnement du temps de préparation. L'étape 2 mobilise des interlocuteurs sur plusieurs jours consécutifs ; ne pas bloquer leurs agendas suffisamment en amont crée des tensions évitables au pire moment.
• Confusion entre observation et non-conformité mineure. Contester la classification d'un constat sans argumenter précisément sur l'exigence non couverte affaiblit la position de l'organisation plutôt que de la renforcer.

Checklist de préparation à l'audit de certification

• Périmètre du SMSI formalisé et cohérent avec la réalité organisationnelle et technique actuelle
• Déclaration d'applicabilité à jour, chaque exclusion de contrôle justifiée par écrit
• Registre des risques actualisé au cours des trois à six derniers mois
• Programme d'audits internes réalisé sur l'ensemble du périmètre au moins une fois avant l'audit externe
• Revue de direction tenue, avec compte rendu et décisions tracées et diffusées
• Registre des non-conformités et actions correctives à jour, avec preuves d'efficacité disponibles
• Preuves de sensibilisation et de formation du personnel accessibles et récentes
• Interlocuteurs clés informés du calendrier d'audit et disponibles pour les entretiens

Après la certification : maintenir la dynamique

Obtenir le certificat n'est pas une ligne d'arrivée. Le SMSI continue de vivre au rythme du cycle PDCA : programme d'audits internes reconduit chaque année, revue de direction annuelle, mise à jour continue du registre des risques, suivi des indicateurs de sécurité définis en clause 9. Les organisations qui traitent la certification comme un aboutissement plutôt qu'un jalon voient souvent leur SMSI se dégrader entre deux audits de surveillance, et le découvrent à leurs dépens lors du cycle suivant, quand l'écart accumulé redevient visible d'un seul coup.

Ce qu'il faut retenir

La clause 10 ne demande pas la perfection : elle demande une boucle de traitement rigoureuse et documentée, où chaque non-conformité produit une amélioration réelle et vérifiée, pas seulement une trace administrative. Le parcours de certification, de l'audit blanc à la recertification, n'est que le miroir externe de cette même discipline. Un SMSI qui gère bien ses non-conformités en interne n'a, en pratique, rien à craindre d'un audit externe, quel que soit l'organisme certificateur retenu.