Audit interne ISO 27001 : comment le mener sans qu’il soit inutile

L’audit interne est exigé par la clause 9.2 d’ISO/IEC 27001:2022. C’est aussi l’exigence la plus souvent traitée comme une formalité — un document produit la veille de l’audit de certification, sans qu’aucun audit n’ait réellement eu lieu.

Or c’est le seul mécanisme qui vous dit, avant l’organisme de certification, où vous en êtes.

Ce que la norme demande

Un programme d’audit planifié, tenant compte de l’importance des processus et des résultats des audits précédents. Des critères et un périmètre définis pour chaque audit. Des auditeurs assurant objectivité et impartialité. Un compte rendu transmis à la direction concernée. Et la conservation des informations documentées comme preuve.

Le mot déterminant est impartialité : un auditeur ne peut pas auditer son propre travail.

Le problème de l’indépendance en petite structure

Dans une organisation de cinquante personnes, la personne qui connaît le système de management est celle qui l’a construit. Elle ne peut pas s’auditer.

Trois solutions praticables : l’audit croisé entre entités ou entre sites ; le recours à un auditeur externe pour tout ou partie du programme ; ou l’audit par une fonction interne distincte — qualité, contrôle interne — formée à la norme.

Ce qui ne fonctionne pas : le RSSI qui audite le SMSI qu’il a écrit et qu’il pilote. Un auditeur de certification le relèvera immédiatement.

Construire un programme qui apprend quelque chose

Auditer l’ensemble du système chaque année est irréaliste et sans intérêt. Un programme pluriannuel, couvrant tout sur trois ans, avec un rythme accéléré sur les zones à risque.

Ce qui doit être audité plus souvent :

• Les processus où des non-conformités ont été relevées précédemment.
• Les périmètres ayant changé — réorganisation, nouveau site, nouveau prestataire.
• Les mesures nouvelles, notamment les onze introduites par la révision 2022.
• Les processus dont dépendent les autres : inventaire, gestion des accès, gestion des incidents.

Auditer les processus, pas les documents

L’erreur la plus commune consiste à vérifier que les documents existent. Ils existent toujours.

Un audit utile suit une trace réelle. Exemple sur la gestion des accès : prendre trois personnes arrivées cette année et trois personnes parties, et vérifier ce qui s’est réellement passé — dates de création, droits attribués, date de désactivation effective.

Cinq minutes d’échantillonnage réel apprennent davantage qu’une heure de relecture de procédure.

Formuler un constat exploitable

Un constat d’audit comporte trois éléments : l’exigence (clause ou mesure concernée), la preuve (ce qui a été observé, précisément), et l’écart (en quoi cela ne satisfait pas l’exigence).

« La gestion des accès est perfectible » n’est pas un constat. « Sur six départs examinés en 2026, trois comptes étaient encore actifs plus de trente jours après la date de sortie, contrairement à la procédure PR-07 qui prévoit une désactivation sous 48 heures » en est un.

Même exigence de précision que pour un livrable de conseil.

Le traitement des constats

Un constat sans suite décrédibilise tout le dispositif. Chaque non-conformité appelle une analyse de cause, une correction, une action corrective et une vérification d’efficacité.

C’est ce dernier point qui manque le plus souvent : l’action est menée, personne ne vérifie qu’elle a produit l’effet attendu.

Ce qui rend l’audit interne rentable

Il ne sert pas à démontrer que tout va bien. Il sert à trouver les écarts avant l’organisme de certification, quand ils se corrigent sans enjeu.

Un audit interne qui ne relève aucune non-conformité sur un système de management jeune n’est pas un bon signe. C’est le signe qu’on n’a pas cherché.

Sources

• ISO/IEC 27001:2022, clauses 9.2 et 10.2
• ISO 19011 — lignes directrices pour l’audit des systèmes de management

Aller plus loin

Notre formation ISO/IEC 27001 Lead Auditor couvre la conduite d’audit selon ISO 19011. Nous réalisons également ces audits en prestation, en gouvernance, risques et conformité.