Une exigence de la norme, et une vraie occasion
La norme ISO 27001 impose de réaliser des audits internes à intervalles planifiés (chapitre 9.2). Le référentiel HDS, qui s’appuie sur elle, en hérite. Trop souvent, cet audit est vécu comme une case à cocher avant la venue de l’organisme de certification.
Bien mené, c’est pourtant le meilleur moment pour vérifier que votre système de management fonctionne réellement, au-delà des documents : les risques sont-ils à jour, les mesures appliquées, les indicateurs suivis, les actions correctives menées à leur terme ?
Le regard d’un auditeur de certification
Je suis auditeur de certification pour l’AFNOR. Je sais comment un auditeur lit une déclaration d’applicabilité, comment il échantillonne, ce qui fait une non-conformité et ce qui reste une piste de progrès. Je mets cette expérience au service de votre audit interne : vous voyez votre système comme le verra l’organisme, avant qu’il ne vienne.
Faire appel à un auditeur extérieur apporte aussi l’objectivité et l’impartialité que la norme exige, et que les petites équipes ont du mal à garantir elles-mêmes.
Comment se déroule l’audit
- Préparation : périmètre, critères d’audit, documents clés et plan d’audit partagé avec vous.
- Audit : entretiens avec la direction, les pilotes de processus et les équipes, revue des preuves, vérifications concrètes, sur site ou à distance.
- Restitution : à chaud en réunion de clôture, puis dans un rapport clair qui distingue les écarts, les observations et les points forts.
- Suite : des recommandations pragmatiques, proportionnées à votre taille et à vos enjeux, que vos équipes peuvent réellement mettre en œuvre.
ISO 27001 et HDS
J’audite les systèmes de management de la sécurité de l’information selon ISO 27001, ainsi que les exigences propres à la certification Hébergeur de données de santé (HDS). Pour un hébergeur certifié ou candidat, l’audit interne couvre les deux dans une même démarche.
Aborder la certification sereinement
L’objectif n’est ni de vous piéger, ni de vous rassurer à bon compte. C’est que le jour de l’audit de certification, il n’y ait pas de surprise.
Questions fréquentes
Faut-il un audit interne chaque année ?
La norme demande des audits à intervalles planifiés, sans fixer de fréquence. En pratique, la plupart des organisations certifiées en réalisent au moins un par an, avant la visite de l’organisme de certification.
Pouvez-vous ensuite être notre auditeur de certification ?
Non. Les règles d’impartialité interdisent d’auditer en certification une organisation que l’on a accompagnée ou auditée en interne. Si j’interviens chez vous, un autre auditeur conduira votre audit de certification.