Ressource gratuite · ISO/IEC 27001:2022
Checklist d'audit interne ISO 27001
La clause 9.2 exige un audit interne avant la certification. Parcourez les questions clause par clause, notez les preuves examinées et clôturez les non-conformités avant l'audit de phase 1. Téléchargez le CSV pour consigner vos constats.
Clause 4 — Contexte de l'organisme
- Les enjeux internes et externes pertinents pour le SMSI sont identifiés et revus
- Les parties intéressées et leurs exigences de sécurité (clients, autorités, personnel) sont listées
- Le périmètre du SMSI est documenté, avec limites, interfaces et exclusions justifiées
Clause 5 — Leadership
- La direction a approuvé la politique de sécurité de l'information et elle est communiquée
- Les rôles, responsabilités et autorités du SMSI sont attribués et documentés
- La direction démontre son engagement : ressources, objectifs et participation à la revue de direction
Clause 6 — Planification
- Une méthode d'appréciation des risques reproductible définit les critères d'acceptation
- Le registre des risques est à jour, avec propriétaires, probabilité et impact
- Le plan de traitement des risques associe chaque risque à un traitement et à des mesures de l'Annexe A
- La Déclaration d'applicabilité couvre les 93 mesures avec justification et statut
- Les propriétaires des risques ont approuvé le plan et accepté les risques résiduels
- Les objectifs de sécurité sont mesurables, attribués et suivis
Clause 7 — Support
- Les ressources et le budget du SMSI sont adéquats
- Des preuves de compétence existent pour les personnes ayant des responsabilités de sécurité
- La sensibilisation est terminée et les accusés de réception des politiques sont conservés
- La communication interne et externe sur la sécurité est définie
- Les informations documentées sont versionnées, approuvées et à accès contrôlé
Clause 8 — Fonctionnement
- Les appréciations des risques sont refaites à intervalles planifiés et après changement important
- Les actions de traitement des risques sont mises en œuvre, avec preuves datées
- Les processus externalisés et les fournisseurs sont identifiés et maîtrisés
- Les changements du SMSI sont maîtrisés et revus
Clause 9 — Évaluation des performances
- Les indicateurs de performance du SMSI sont définis, mesurés et rapportés
- Un programme d'audit interne existe avec critères, périmètre et auditeurs indépendants
- Les constats des audits précédents sont suivis jusqu'à clôture
- Le compte rendu de revue de direction couvre les éléments d'entrée requis et consigne décisions et actions
Clause 10 — Amélioration
- Les non-conformités sont enregistrées avec cause racine et action corrective
- L'efficacité des actions correctives est vérifiée
- L'amélioration continue est démontrée : enseignements tirés des incidents et des audits
Annexe A — échantillon sur les quatre thèmes
- Organisationnel : politiques, contrôle d'accès, sécurité des fournisseurs, gestion des incidents, continuité des TIC
- Personnes : vérification, formation, processus disciplinaire, télétravail
- Physique : zones sécurisées, matériel et mise au rebut des supports
- Technologique : MFA, protection des postes, journalisation et supervision, gestion des vulnérabilités, sauvegardes, développement sécurisé, cryptographie
D'après les clauses 4–10 et l'Annexe A de l'ISO/CEI 27001:2022. Outil de travail, il ne remplace pas la norme (voir iso.org). Les auditeurs internes doivent être indépendants du domaine audité.
FAQ sur l'audit interne ISO 27001
- L'audit interne est-il obligatoire pour l'ISO 27001 ?
- Oui. La clause 9.2 impose des audits internes à intervalles planifiés et la conservation du programme et des résultats comme informations documentées. Les organismes de certification attendent au moins un audit interne terminé avant la phase 2.
- Qui peut réaliser un audit interne ISO 27001 ?
- Toute personne compétente et indépendante du processus audité : un collaborateur formé d'une autre équipe, un consultant ou un RSSI externalisé. On ne peut pas auditer son propre travail.
- À quelle fréquence réaliser les audits internes ?
- À intervalles planifiés, en général une fois par an pour l'ensemble du SMSI, avec des domaines à risque audités plus souvent. Beaucoup d'équipes répartissent le programme par trimestre pour garder des preuves à jour.
- Que deviennent les constats ?
- Chaque non-conformité exige une cause racine, une action corrective avec responsable et échéance, et la vérification de son efficacité. Les résultats alimentent la revue de direction (clause 9.3).
Gardez les preuves prêtes toute l'année
CATAAM collecte les preuves de l'Annexe A depuis AWS, GitHub, Okta et d'autres sources de façon planifiée : le jour de l'audit, c'est un rapport, pas une course.