Article

Certifications ISO et informatique : ce qu’un auditeur va vous demander

Mis à jour le 5 octobre 2026

Une démarche de certification ne demande pas à votre informatique d’être parfaite : elle demande qu’elle soit documentée, maîtrisée et vérifiable. Concrètement, un auditeur veut voir un inventaire à jour, une gestion des accès tracée, des sauvegardes testées avec leurs comptes-rendus, une procédure d’incident écrite, et la preuve que tout cela vit réellement. C’est la documentation qui manque, presque jamais la technique.

Trois normes, trois exigences informatiques

Norme	Objet	Ce qu’elle demande à l’informatique
ISO 9001:2015	Management de la qualité	Maîtrise documentaire, traçabilité des processus, gestion des enregistrements
ISO 22301:2019	Continuité d’activité	Analyse d’impact, objectifs de reprise, plan testé et daté
ISO/IEC 27001:2022	Sécurité de l’information	Analyse de risques, gestion des accès, journalisation, gestion des incidents et des fournisseurs

Les trois se recoupent largement sur l’informatique. Une entreprise qui a préparé la partie système d’information d’une certification a fait l’essentiel du travail pour les autres.

Ce qu’un auditeur demande à voir

Et qui manque le plus souvent.

01L’inventaire des actifsMachines, logiciels, données, avec leur criticité et leur responsable. Pas une liste d’achats : une cartographie tenue à jour.

02La gestion des accèsQui a quel droit, depuis quand, validé par qui — et la trace des départs. C’est le point le plus regardé et le plus souvent défaillant.

03Les sauvegardes et leurs testsNon pas qu’elles existent, mais qu’elles aient été restaurées, avec la date et le compte-rendu du dernier test.

04La procédure d’incidentÉcrite, connue, avec des incidents réellement enregistrés — un registre vide est plus suspect qu’un registre fourni.

05La maîtrise des fournisseursContrats, engagements de service, accords de traitement des données. Votre prestataire informatique en fait partie.

06La preuve que cela vitRevues datées, actions correctives, décisions tracées. Un système documentaire figé depuis deux ans se voit immédiatement.

Ce que nous faisons, et ce que nous ne faisons pas

Nous ne certifions pas. La certification est délivrée par un organisme accrédité, indépendant, après audit. Personne d’autre ne peut la promettre — méfiez-vous d’un prestataire qui laisserait entendre le contraire.

Nous préparons la partie informatique. Inventaire, documentation, gestion des accès, journalisation, tests de restauration et leurs comptes-rendus, procédure d’incident, contrats fournisseurs. C’est la matière que l’auditeur demandera, et c’est précisément ce que produit une prise en charge bien menée : la plupart de nos clients découvrent qu’ils ont déjà les trois quarts du dossier.

Point de départ

Un audit informatique donne l’écart entre votre situation et ce qui sera demandé, sans engagement de certification. Ce qu’il contient

Sources datées en fin d’article : éditions en vigueur des normes citées. Cet article décrit des exigences ; il ne remplace ni un organisme certificateur, ni un consultant qualité.Nos propres certifications

Pour vérifier

Sources et références

Ce que cet article affirme et qui ne vient pas de notre pratique vient d'ici. Chaque référence porte son éditeur et sa date.

01ISO 9001:2015 — Quality management systems — RequirementsAFNOR Éditions · 2026-09-09 — édition en vigueur publiée en septembre 2015, amendée en février 2024 (Amd 1, action climatique) ; un projet de révision est signalé (page sans date affichée ; date de consultation)

02ISO 22301:2019 — Security and resilience — Business continuity management systems — RequirementsAFNOR Éditions · 2026-09-09 — édition en vigueur publiée en octobre 2019, sans amendement (page sans date affichée ; date de consultation)

03ISO/IEC 27001:2022 — Information security, cybersecurity and privacy protection — Information security management systems — RequirementsAFNOR Éditions · 2026-09-09 — troisième édition, en vigueur, publiée en octobre 2022, amendée en février 2024 (Amd 1, action climatique) (page sans date affichée ; date de consultation)

Après cette lecture

Relier le sujet à votre entreprise.

Un article donne des repères généraux. Pour décider quoi faire sur votre parc, nous partons de vos outils, de vos contraintes et de vos priorités.

Parler de ma situation

À consulter aussi01Audit informatique et pilotage IT — état des lieux, budget, feuille de route↗02Cybersécurité des PME — auditer, protéger, réagir↗03Juridique et conformité — obligations des dirigeants↗