Leadership et politique

Pourquoi ce chapitre est le plus utile

La clause 5 est celle qui fait le plus souvent échouer un audit de certification en surface — non pas parce qu'elle est techniquement complexe, mais parce qu'elle est facile à traiter superficiellement. Une politique de sécurité recopiée d'un modèle, signée sans lecture, jamais communiquée aux équipes : c'est le scénario que tout auditeur ISO 27001 a déjà rencontré, et c'est un motif classique de non-conformité majeure.

Ce chapitre ne traite pas la clause 5 comme une formalité administrative. Il la traite comme ce qu'elle est réellement dans la norme : le mécanisme par lequel un SMSI reçoit son mandat, ses ressources et sa légitimité. Sans cet ancrage, tout ce que vous construirez dans les chapitres suivants — analyse de risque, contrôles de l'Annexe A, audits internes — reposera sur du sable.

Ce que couvre réellement la clause 5

La clause 5 de l'ISO 27001:2022 comporte trois sous-clauses, chacune avec des exigences précises et vérifiables :

• 5.1 Leadership et engagement — ce que la direction doit démontrer, pas seulement affirmer
• 5.2 Politique — le contenu minimal et le mode de diffusiondiffusionIAFamille de modèles génératifs qui synthétisent une image (ou autre signal) en dénisant progressivement un bruit.Voir dans le glossaire de la politique SSI
• 5.3 Rôles, responsabilités et autorités organisationnelles — qui décide, qui rend compte, qui est mandaté

La clause 5 ne demande pas une politique de sécurité qui soit techniquement bonne. Elle demande une politique gouvernée : rattachée à la stratégie de l'organisation, dotée de ressources, communiquée, et revue. Un document de dix pages truffé de bonnes pratiques mais jamais évoqué en comité de direction ne satisfait pas la clause 5, même s'il satisfait par ailleurs tous les contrôles de l'Annexe A.

5.1 — Leadership et engagement : huit preuves attendues

La norme liste explicitement ce que le top management doit démontrer. En pratique d'audit, chaque point correspond à une preuve documentaire ou testimoniale distincte :

Aucune de ces lignes ne se prouve par une phrase dans un document. L'auditeur ISO 27001 cherche des traces datées et récurrentes : un engagement de direction qui n'existe qu'au moment de l'audit initial et jamais après n'est pas un engagement, c'est un artefact de préparation.

Une PME de développement logiciel obtient sa certification initiale avec un dossier soigné. Dix-huit mois plus tard, lors de l'audit de surveillance, l'auditeur demande les comptes rendus de comité de direction des six derniers mois : la sécurité n'y apparaît plus une seule fois depuis la certification. Résultat : non-conformité mineure sur 5.1, avec obligation de démontrer que l'engagement est structurel et non ponctuel. La certification n'a pas été retirée, mais l'organisme a dû produire un plan d'action et une preuve de reprise du suivi avant la clôture.

5.2 — La politique de sécurité de l'information

La norme fixe un contenu minimal. La politique doit :

1. être appropriée à la finalité de l'organisation (pas un texte générique sans lien avec l'activité réelle) ;
2. inclure les objectifs de sécurité de l'information, ou fournir le cadre pour les fixer ;
3. inclure un engagement à satisfaire les exigences applicables (réglementaires, contractuelles, normatives) ;
4. inclure un engagement d'amélioration continue du SMSI.

Elle doit ensuite être disponible sous forme d'information documentée, communiquée en interne, et accessible aux parties intéressées pertinentes lorsque c'est approprié — un client qui l'exige dans le cadre d'un appel d'offres, par exemple.

La politique SSI n'est pas un document technique. Elle ne doit pas contenir de configuration de pare-feupare-feuRéseauxÉquipement ou logiciel qui filtre le trafic selon des règles (ports, adresses, états) pour réduire la surface d'attaque.Voir dans le glossaire, de matrice de contrôle d'accès détaillée ou de procédure de sauvegarde : ce niveau de détail relève des procédures opérationnelles, pas de la politique. Confondre les deux produit un document illisible par la direction, donc jamais réellement approuvé en connaissance de cause — ce qui invalide l'esprit même de la clause 5.1.

Une politique SSI efficace tient généralement en deux à quatre pages et répond à quatre questions simples : pourquoi la sécurité compte pour cette organisation, quels sont les engagements pris, quel est le périmètre couvert, et qui est responsable de quoi à haut niveau. Le détail opérationnel vit ailleurs, dans les procédures qui en découlent.

5.3 — Rôles, responsabilités et autorités

La direction doit assigner et communiquer les responsabilités liées à la sécurité de l'information, et en particulier désigner explicitement qui :

• s'assure que le SMSI est conforme aux exigences de la norme ;
• rend compte à la direction de la performance du SMSI.

Ce rôle porte souvent le titre de RSSI (Responsable de la Sécurité des Systèmes d'Information), mais la norme ne l'impose pas : ce qui compte est la fonction, pas l'intitulé. Dans une petite structure, cette responsabilité peut être portée par le DSI ou par un responsable qualité, à condition que le mandat soit formalisé et que la personne dispose d'une autorité réelle — accès direct à la direction, capacité à bloquer un projet non conforme, budget propre ou délégation budgétaire claire.

Le piège de la politique copier-coller

Le réflexe le plus commun face à la clause 5 consiste à récupérer un modèle de politique trouvé en ligne, à remplacer le nom de l'organisation, et à la faire signer par la direction en cinq minutes. Ce document passera peut-être un audit initial mené superficiellement. Il ne survivra pas à un audit de surveillance sérieux, ni surtout à un incident de sécurité où la politique devra démontrer sa pertinence réelle.

Testez votre politique SSI avec une question simple : un cadre dirigeant qui n'a jamais lu le document normatif pourrait-il expliquer, en trois phrases, pourquoi cette politique existe et ce qu'elle engage concrètement pour son équipe ? Si la réponse est non, la politique est probablement trop générique ou trop technique pour avoir été réellement appropriée.

Les signes d'une politique décorative sont reconnaissables : elle ne cite aucun enjeu métier spécifique à l'organisation, elle ne mentionne aucune exigence contractuelle ou réglementaire réelle (RGPDRGPDConformitéRèglement européen sur la protection des données personnelles. Il s'applique dès qu'un système d'IA traite de telles données, et se cumule avec l'AI Act.Voir dans le glossaire, exigences clients, secteur régulé), et sa date de revue coïncide systématiquement avec les audits de certification plutôt qu'avec un cycle de gouvernance interne.

Qui porte quoi : éviter la confusion des rôles

Une erreur fréquente consiste à faire porter au RSSI une responsabilité que la norme attribue à la direction — notamment l'acceptation du risque. Le RSSI anime, analyse, recommande et rend compte ; il ne décide pas seul d'accepter un risque résiduel élevé à la place de la direction ou du propriétaire de risque désigné.

• Direction — engage l'organisation, alloue les ressources, arbitre les risques stratégiques, approuve la politique.
• Comité SSI (ou équivalent) — instance de gouvernance périodique où se discutent les indicateurs, les incidents significatifs et les arbitrages inter-directions.
• RSSI ou fonction équivalente — pilote opérationnel du SMSI, garant de la conformité à la norme, interface entre les équipes et la direction.
• Propriétaires de risques — responsables métier désignés pour chaque risque identifié dans l'analyse de risque, décisionnaires sur le traitement dans leur périmètre.
• Équipes opérationnelles — appliquent les contrôles au quotidien et remontent les écarts constatés.

La désignation d'un propriétaire de risque n'est pas une exigence explicite de la clause 5, mais elle découle directement de l'exigence 5.3 de rendre les responsabilités claires et communiquées. En pratique, la matrice des propriétaires de risques est l'un des livrables les plus consultés par les auditeurs lors de la revue de la clause 6 (planification), car elle prouve que les rôles fixés en clause 5 sont réellement opérationnels.

Preuves documentaires attendues en audit

Un auditeur qui instruit la clause 5 demandera typiquement :

1. la politique SSI signée et datée, avec historique des versions ;
2. les comptes rendus de comité de direction ou de comité SSI mentionnant la sécurité sur les douze derniers mois ;
3. l'organigramme SSI ou la fiche de mandat du RSSI ;
4. une preuve de communication de la politique aux collaborateurs (accusé de lecture, intranet, formation d'accueil) ;
5. le suivi budgétaire ou l'allocation de ressources dédiées au SMSI ;
6. les objectifs de sécurité de l'information et leur lien avec les objectifs stratégiques.

L'absence d'un seul de ces éléments ne conduit pas automatiquement à une non-conformité, mais leur absence combinée dessine un profil de risque que l'auditeur documentera. Une non-conformité majeure sur la clause 5 est rare mais sérieuse : elle signale que l'ensemble du SMSI manque de mandat, ce qui remet en cause la crédibilité de tout le reste du dossier.

Checklist de mise en œuvre

• La politique SSI est rédigée en langage accessible à un non-spécialiste et tient sur quelques pages.
• Elle référence explicitement les enjeux métier et les exigences applicables de l'organisation.
• Elle est approuvée par la direction avec une preuve de lecture effective, pas seulement une signature.
• Elle est communiquée activement (pas seulement déposée sur un intranet peu consulté).
• Un mandat écrit désigne la fonction responsable du SMSI, avec autorité et accès à la direction.
• Une matrice de propriétaires de risques existe et est tenue à jour.
• La sécurité de l'information figure à l'ordre du jour d'une instance de gouvernance récurrente.
• Des objectifs de sécurité mesurables sont fixés et reliés à la stratégie de l'organisation.
• La politique est revue à échéance définie, indépendamment du calendrier d'audit.

Erreurs fréquentes à éviter

La première erreur consiste à traiter la clause 5 comme un jalon ponctuel plutôt que comme un mécanisme continu : signer la politique une fois, puis ne plus jamais y revenir avant l'audit suivant. La seconde consiste à confondre engagement de la direction et délégation totale : la direction qui signe puis se désintéresse complètement du SMSI n'a pas rempli l'exigence 5.1, même si un RSSI compétent fait fonctionner le système en coulisses. La troisième erreur, plus subtile, consiste à sur-détailler la politique au point d'y intégrer des procédures techniques, ce qui la rend illisible pour ceux qui doivent l'approuver et la comprendre au niveau stratégique.

Enfin, une organisation qui traite la clause 5 sérieusement gagne un bénéfice qui dépasse la certification : elle dispose d'un langage commun entre la direction et les équipes techniques pour arbitrer les priorités de sécurité, ce qui facilite tous les chapitres suivants du SMSI, de l'analyse de risque au traitement des non-conformités.