Guide ISO 27001 · Clause 9
9.3 — Revue de direction
La clause 9.3 exige que la direction examine le SGSI à intervalles planifiés, à partir d’éléments d’entrée définis, et en ressorte avec des décisions écrites.
Par Sentrix · Publié le 2026-07-16
Le moment où tout ce que la 9.1 et la 9.2 ont fait remonter atteint réellement les personnes ayant l’autorité d’agir.
Exigence obligatoire
En langage clair
La sous-clause 9.3 exige que la direction examine formellement le SGSI à intervalles planifiés, en tenant compte d’un ensemble défini d’éléments d’entrée — résultats d’audit, métriques, statut des risques, rétroaction — et en ressorte avec des décisions documentées sur ce qui doit changer.
Comment ces exigences s’articulent
La 9.3.1 fixe la cadence et l’objectif : la direction prend périodiquement du recul pour juger si le SGSI dans son ensemble est toujours adapté. La 9.3.2 s’assure que ce jugement ne repose pas sur l’intuition — elle liste les éléments d’entrée précis que la revue doit considérer, des constats d’audit au statut du traitement des risques jusqu’à la rétroaction des parties intéressées, pour que rien d’important ne soit écarté de la discussion. La 9.3.3 referme la boucle en exigeant que la revue produise réellement quelque chose : des décisions documentées, pas seulement une réunion qui a eu lieu. Une revue de direction sans les éléments de la 9.3.2 est une opinion ; une revue de direction sans les résultats de la 9.3.3 est une réunion sans conséquence.
Aller plus loin
Besoin d’un accompagnement pratique pour mener votre revue de direction ? Voir notre service d’accompagnement à la certification ISO 27001. Clause parente : Clause 9 Évaluation des performances.
Sources
Questions fréquentes
- À quelle fréquence la revue de direction doit-elle avoir lieu ?
- La norme dit « à intervalles planifiés », sans nommer de fréquence. La plupart des organisations la réalisent annuellement, alignée sur le cycle d’audit de certification ou de surveillance, certaines optant pour une cadence semestrielle pour un programme plus mature. L’important est de l’inscrire à un calendrier fixe pour qu’elle ait lieu selon l’horaire plutôt que « quand il y a du temps ».
- Qui doit participer à la revue de direction ?
- La direction elle-même — pas un délégué, pas un comité agissant seul. Les personnes présentes doivent réellement avoir l’autorité d’approuver un budget, des ressources ou des changements de périmètre. Une revue à laquelle seule l’équipe sécurité participe n’est pas une revue de direction, et l’auditeur vérifiera par les registres de présence que les participants avaient un véritable pouvoir de décision.
- Que doit produire la revue de direction ?
- Des décisions documentées relatives aux possibilités d’amélioration continue et à tout besoin de changement au SGSI, conservées comme preuve. Une revue de direction sans les éléments d’entrée de la 9.3.2 est une opinion ; une revue sans les résultats de la 9.3.3 est une réunion sans conséquence. Un registre de décisions avec responsables et échéances est la forme la plus simple.
Pages liées
Guide ISO 27001 · Clause 9
9.3.1 — Généralités
La clause 9.3.1 exige que la direction examine le SGSI à intervalles planifiés et juge s’il reste adapté à l’organisation, adéquat face aux risques et efficace.
Guide ISO 27001 · Clause 9
9.3.2 — Éléments d’entrée de la revue de direction
La clause 9.3.2 précise les éléments que la direction doit examiner lors de la revue, pour en faire une vérification définie plutôt qu’une mise à jour vague.
Guide ISO 27001 · Clause 9
9.3.3 — Éléments de sortie de la revue de direction
La clause 9.3.3 exige que la revue de direction produise des décisions documentées sur les possibilités d’amélioration et les changements dont le SGSI a besoin.
Guide ISO 27001 · Clause 9
Clause 9 — Évaluation des performances
La clause 9 exige de prouver que le SGSI fonctionne : surveiller et mesurer les contrôles, l’auditer de façon indépendante et le faire revoir par la direction.
Parlons de votre programme de conformité.
Dernière mise à jour : 2026-09-17