[{"data":1,"prerenderedAt":14},["ShallowReactive",2],{"article:fr:combien-de-jours-d-audit-iso-27001":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"answer":9,"body":13},"fr","combien-de-jours-d-audit-iso-27001","Combien de jours d'auditeur prend une certification ISO 27001, selon l'effectif","Les organismes de certification ne publient pas leurs prix, mais les jours d'audit sont fixés par l'annexe B de l'ISO\u002FIEC 27006. Voici l'arithmétique qui transforme votre effectif en un chiffre avant que quiconque vous fasse un devis.","2026-08-11",{"who":10,"when":11,"do":12},"Une entreprise qui budgète une certification ISO 27001 avant qu'aucun organisme de certification n'ait fait de devis : les jours d'audit sont fixés par l'annexe B de l'ISO\u002FIEC 27006 à partir de l'effectif dans le périmètre, sous-traitants compris, si bien que le plus gros terme de la facture se calcule au bureau.","Avant de demander des devis, pour qu'un devis puisse être lu contre le nombre de jours publié ; de nouveau quand l'effectif franchit une tranche, puisque la tranche suivante signifie plus de jours au prochain audit ; et avant de signer avec un organisme dont le devis est très en dessous de la tranche.","Comptez toutes les personnes travaillant sous votre contrôle dans le périmètre, lisez les jours dans l'annexe (environ 5 jusqu'à 10 personnes, 7 de 16 à 25, 10 de 46 à 65, 12 de 86 à 125), multipliez par un tarif journalier d'environ 1 200 à 1 800 EUR, ajoutez un tiers pour chaque année de surveillance et au moins deux tiers pour la recertification, et obtenez trois devis sur le même cahier des charges auprès d'organismes accrédités seulement.","\nUne certification ISO 27001 prend environ 5 jours d'auditeur pour une entreprise de 10 personnes au plus, 7 de 16 à 25, 10 de 46 à 65 et 12 de 86 à 125, étapes 1 et 2 réunies. Le décompte vient de l'annexe B de l'ISO\u002FIEC 27006, à laquelle tout organisme de certification accrédité est tenu, si bien qu'un devis, c'est des jours multipliés par un tarif journalier d'environ 1 200 à 1 800 EUR : 8 400 à 12 600 EUR pour une entreprise de 25 personnes. Les audits de surveillance des années deux et trois prennent environ un tiers de ce temps chacun, et la recertification au moins deux tiers.\n\nAucun organisme de certification accrédité ne publie ses prix. Ni DNV, ni Bureau Veritas, ni DQS, TÜV, BSI, Intertek, SGS, LRQA ou Dekra. Chacun d'eux est en mode « demandez un devis », ce qui veut dire que vous ne pouvez pas budgéter avant de commencer à parler à des commerciaux.\n\nC'est un vrai problème quand vous essayez de décider si vous vous lancez tout court. C'est aussi soluble, parce que le plus gros terme du prix n'est ni négociable ni secret.\n\n## Le prix, c'est des jours multipliés par un tarif\n\nUn devis de certification, c'est **jours d'auditeur × tarif journalier**. Le tarif journalier varie selon le pays et l'organisme. Le nombre de jours, non : il est fixé par le tableau des temps d'audit de l'**annexe B de l'ISO\u002FIEC 27006**, et l'organisme d'accréditation qui autorise votre certificateur l'y tient.\n\nLa moitié de la formule qui serait autrement opaque est donc publiée, et elle dépend d'une seule donnée que vous connaissez déjà : combien de personnes travaillent sous votre contrôle, dans le périmètre de votre SMSI.\n\nExemples chiffrés, d'après le tableau :\n\n| Personnes dans le périmètre | Jours d'auditeur, étape 1 + étape 2 |\n| --- | --- |\n| jusqu'à 10 | 5 |\n| 16–25 | 7 |\n| 46–65 | 10 |\n| 86–125 | 12 |\n\nCe sont des exemples chiffrés avec le chapitre cité plutôt qu'une reproduction du tableau, parce que l'ISO\u002FIEC 27006 est protégée par le droit d'auteur et que nous n'allons pas la republier. Vérifiez-les sur votre propre exemplaire.\n\n## Transformer les jours en argent\n\nD'après les sources professionnelles publiées, les organismes accrédités en Europe facturent environ **1 200 € à 1 800 € par jour d'auditeur**. Personne ne publie de chiffre officiel, et c'est exactement pour cela qu'il faut demander trois devis sur un cahier des charges identique.\n\nPour une entreprise de 25 personnes : 7 jours, soit 8 400 € à 12 600 € pour la certification initiale.\n\nPuis la partie récurrente, tirée de la même annexe. Un audit de surveillance représente environ un tiers du temps d'audit initial, et il a lieu les années deux et trois. La recertification, au moins deux tiers. Le coût sur trois ans du certificat pour cette même entreprise est donc d'environ **14 000 € à 21 000 € en frais d'audit seulement**.\n\n## Les trois choses qui changent le chiffre\n\n**Un effectif mal compté.** L'édition 2024 est explicite : les sous-traitants et les indépendants comptent, pas seulement les salariés. C'est la raison la plus fréquente pour laquelle une entreprise budgète une tranche et se voit proposer la suivante.\n\n**Les réductions de périmètre.** L'annexe permet une réduction allant jusqu'à 30 % pour un périmètre simple, mono-site et mature, et pas davantage. Ce plancher est aussi dans l'annexe, donc un devis très en dessous de la fourchette est une question à poser plutôt qu'une bonne affaire.\n\n**Les déplacements.** Facturés en plus du tarif journalier, toujours.\n\n## Ce qui n'est pas dans ce chiffre\n\nLe certificat, c'est le prix que vous venez de calculer. Il est payé à un organisme de certification, une société distincte avec laquelle vous contractez directement.\n\nTout le reste est à votre charge : un test d'intrusion à typiquement 2 500 € à 5 000 € pour une application SaaS, un exemplaire de la norme à environ 130 €, et le plus gros coût de tous, qui n'apparaît dans aucun devis : le temps de vos propres équipes pour construire le système de management avant l'arrivée de l'auditeur.\n\n## Vérifiez le certificateur avant de signer\n\nRien n'empêche une société de se dire organisme de certification et de vendre des certificats. Un certificat non accrédité a l'air identique, coûte 40 à 50 % de moins, et est couramment rejeté dans les achats des grandes entreprises. Vous payez alors une seconde fois le prix accrédité complet, parce qu'un certificat non accrédité ne peut généralement pas être transféré.\n\nChaque pays de l'UE a un organisme national d'accréditation, désigné en vertu du règlement (CE) 765\u002F2008 : la DAkkS en Allemagne, le COFRAC en France, la RvA aux Pays-Bas, l'ENAC en Espagne, la DANAK au Danemark. Vérifiez votre certificateur sur ce registre, ou à l'international via l'IAF, avant de signer quoi que ce soit.\n",1789306940587]