9.2.1 — Généralités

Deux choses qu’un audit interne doit confirmer : que le SGSI suit ses propres règles, et qu’il fonctionne réellement — pas seulement l’une ou l’autre.

Exigence obligatoire · Information documentée requise : non

En langage clair

La 9.2.1 fixe l’objectif que les audits internes doivent atteindre : à intervalles planifiés, confirmer que le SGSI respecte à la fois vos propres exigences et celles de la norme, et qu’il est réellement mis en œuvre et maintenu à jour — pas seulement documenté sur papier.

Pourquoi cette exigence existe

Il existe une vraie différence entre un SGSI qui semble correct sur papier et un SGSI réellement suivi. Cette exigence vise les deux : la conformité (la documentation correspond-elle à la norme et à vos propres règles énoncées ?) et la mise en œuvre effective (les gens font-ils réellement ce que dit la documentation ?). Un audit qui ne vérifie que l’un des deux manque la moitié du tableau.

Scénario : une politique énonce que les revues d’accès ont lieu trimestriellement. Un audit qui se contente de lire le document de politique le trouverait conforme. Un audit qui vérifie aussi si les quatre dernières revues trimestrielles ont réellement eu lieu et ont été documentées pourrait constater qu’une seule des quatre dernières a eu lieu — une conformité de façade cachant un échec de mise en œuvre.

Ce que la norme attend

La norme attend que les audits internes soient menés à intervalles planifiés, fournissant des informations sur la conformité du SGSI à la fois à vos propres exigences pour votre système de gestion de la sécurité de l’information et aux exigences de la norme, ainsi que sur sa mise en œuvre et son maintien effectifs. Ce double test — conformité et efficacité — est ce que le programme de la 9.2.2 est conçu pour livrer de façon reproductible.

En pratique

• Concevoir des listes de vérification d’audit qui demandent à la fois « le document dit-il cela ? » et « les preuves montrent-elles que cela se produit réellement ? »
• Échantillonner des registres réels (revues d’accès récentes, journaux de sauvegarde récents) plutôt que de se fier uniquement à l’énoncé de politique.

Preuves que l’auditeur demandera

• Un registre montrant que les audits internes ont réellement eu lieu aux intervalles planifiés, pas seulement qu’un plan existait.
• Des constats qui traitent de la mise en œuvre effective, pas seulement de la conformité documentaire.

Exigences liées

• 9.2.2 Programme d’audit interne — le programme concret qui répond à cette attente générale.
• 9.3 Revue de direction — les résultats d’audit alimentent directement ce que la direction passe en revue.
• Clause parente : 9.2 Audit interne.