Exigences de certification et préparation à l’audit

Oui, s’il possède les compétences nécessaires et peut rester objectif et impartial. Évaluez sa connaissance du SMSI, des activités examinées et des méthodes d’audit. Répartissez les tâches pour éviter que les personnes auditent leur propre travail et traitez les conflits d’intérêts. Une formation peut contribuer à la compétence, mais la participation seule ne la démontre pas. Une petite organisation peut faire appel à un auditeur interne externe indépendant. Complade ne réalise pas les audits internes de ses clients de certification.

Conservez les preuves de votre programme d’audit interne et des audits réalisés. Le programme définit la fréquence, les responsabilités et les modalités de rapport en tenant compte de l’importance des processus et des résultats antérieurs. Chaque audit doit avoir des critères et une portée définis. Conservez les résultats et les preuves de leur communication à la direction concernée et de leur suivi. Une autoévaluation ou un ensemble de politiques ne démontre pas à lui seul un audit interne. La clause 9.2 d’ISO/IEC 27001 traite des audits internes; ISO 19011 fournit des lignes directrices sur les méthodes.

La direction examine le SMSI à intervalles planifiés en utilisant les éléments d’entrée exigés par la clause 9.3 d’ISO/IEC 27001. Ils comprennent notamment les résultats d’audit et de surveillance, les changements touchant le SMSI, l’état de l’appréciation et du traitement des risques et les possibilités d’amélioration. Conservez les résultats de la revue, dont les décisions concernant les améliorations et les changements nécessaires au SMSI. Les éléments d’entrée et de sortie requis doivent être couverts, sans imposer une réunion distincte ni un modèle de compte rendu précis. Une invitation seule ne prouve pas ce qui a été examiné ou décidé.

ISO/IEC 27001 exige des informations documentées, dont certaines décrivent votre système et d’autres prouvent les activités réalisées. Le nombre de fichiers ou de politiques dépend de la manière dont vous les organisez et des besoins de votre SMSI. Les documents peuvent être regroupés ou conservés dans des outils adaptés, à condition d’être maîtrisés et accessibles. Préparez les informations exigées par la norme et celles nécessaires à votre organisation. Utilisez la liste de preuves du portail et le guide d’audit; un nombre de fichiers ne suffit pas à démontrer la conformité.

Oui. Vous pouvez présenter une demande et décrire votre état de préparation avant que tous les documents soient prêts. La demande ne confirme pas que vous êtes prêt pour la certification. Après l’examen de la portée et la signature des ententes, vous pouvez transmettre les documents de l’étape 1 au fur et à mesure. Le délai cible publié pour la première revue commence après réception du dossier complet requis et du paiement. L’étape 1 évalue la préparation à l’étape 2, notamment les audits internes et la revue de direction. Des activités manquantes ou inefficaces peuvent retarder la suite. Complade explique les exigences et les constats sans fournir de conseils de mise en œuvre.