La certification ISO 27001 la moins chère qui vaille la peine est un devis d'un organisme accrédité pour l'ISO/IEC 27001 dont les jours d'auditeur correspondent à l'annexe B de l'ISO/IEC 27006 pour votre effectif : environ 5 jours jusqu'à 10 personnes, 7 de 16 à 25, 10 de 46 à 65 et 12 de 86 à 125, à environ 1 200 à 1 800 EUR par jour chez les organismes européens. Un devis très en dessous de cette fourchette signifie moins de jours, un périmètre plus étroit que celui que vous avez demandé, ou un organisme non accrédité pour cette norme, et un certificat non accrédité est de ceux que les équipes achats rejettent.
Demandez trois devis, et comparez les jours
Demandez à chaque organisme le nombre de jours d'auditeur derrière le chiffre, répartis entre l'étape 1 et l'étape 2. C'est l'unité honnête. L'accréditation tient les organismes de certification au tableau des temps d'audit de l'annexe B de l'ISO/IEC 27006, qui se lit à peu près ainsi :
| Personnes | Jours d'auditeur |
|---|---|
| jusqu'à 10 | 5 |
| 16 à 25 | 7 |
| 46 à 65 | 10 |
| 86 à 125 | 12 |
À 1 200 à 1 800 EUR par jour chez les organismes européens accrédités, deux devis pour le même effectif devraient atterrir dans la même zone. Un devis nettement plus bas, c'est généralement moins de jours, un périmètre plus étroit que demandé, ou un organisme dont l'accréditation ne couvre pas ce dont vous avez besoin.
La vérification qui compte plus que le prix
L'accréditation, et pour cette norme précisément. Un organisme accrédité pour l'ISO 9001 n'est pas pour autant accrédité pour l'ISO/IEC 27001. L'accréditation est accordée par norme, et un certificat d'un organisme non accrédité est un document que l'équipe sécurité de votre client peut simplement refuser.
Vérifiez le périmètre vous-même dans le registre public de l'organisme d'accréditation plutôt que de croire une affirmation commerciale. Comment en trouver et en vérifier un parcourt les registres.
Budgétez le cycle, pas l'audit
Un certificat dure trois ans et comporte des audits de surveillance à environ un tiers du temps d'audit initial chaque année, puis une recertification à environ deux tiers. Le premier audit le moins cher n'est pas les trois années les moins chères si l'organisme est difficile à travailler, et changer d'organisme en cours de cycle signifie généralement payer un audit de transfert.
Ce dont vous ne pouvez pas vous racheter
Les enregistrements. La certification repose sur le fait que votre système de management fonctionne et que vous pouvez le montrer, sur une période. C'est la partie qu'aucun devis ne couvre et qu'aucune remise ne réduit, et c'est là que se situe le coût interne. Notre couverture chapitre par chapitre indique ce que nous tenons pour vous et, tout aussi important, ce que nous ne tenons pas.