La certification ISO 27001 coûte à une entreprise environ 6 000 à 9 000 EUR de frais d'audit jusqu'à 10 personnes, 8 400 à 12 600 EUR de 16 à 25, 12 000 à 18 000 EUR de 46 à 65 et 14 400 à 21 600 EUR de 86 à 125, pour les audits initiaux d'étape 1 et d'étape 2. Les jours derrière ces chiffres sont fixés par l'annexe B de l'ISO/IEC 27006 et le tarif journalier va d'environ 1 200 à 1 800 EUR chez les organismes européens accrédités. Le secteur fait à peine bouger le chiffre. L'effectif, si.
La ligne d'audit
Les organismes de certification accrédités sont tenus au tableau des temps d'audit de l'annexe B de l'ISO/IEC 27006. Il fait correspondre l'effectif aux jours d'auditeur pour les étapes 1 et 2 réunies :
| Personnes | Jours d'auditeur | À 1 200 à 1 800 EUR/jour |
|---|---|---|
| jusqu'à 10 | 5 | 6 000 à 9 000 EUR |
| 16 à 25 | 7 | 8 400 à 12 600 EUR |
| 46 à 65 | 10 | 12 000 à 18 000 EUR |
| 86 à 125 | 12 | 14 400 à 21 600 EUR |
Aucun organisme accrédité ne publie de tarif journalier, cette fourchette est donc l'étendue relevée dans les sources professionnelles publiées pour l'Europe, pas un devis. Demandez trois devis. Le calculateur de coût fait cette arithmétique avec votre propre effectif.
Les lignes que l'on oublie
La surveillance. Environ un tiers du temps d'audit initial, chaque année, pendant les deux années qui suivent la certification.
La recertification. À la fin de la troisième année, environ deux tiers du temps initial.
Vos propres équipes. Le poste le plus important pour la plupart des entreprises et celui qui n'apparaît jamais dans un budget, parce que c'est du salaire et non une facture. Quelqu'un rédige les politiques, mène l'audit interne, court après les preuves et s'assied avec l'auditeur.
Le logiciel, si vous en utilisez. Petit à côté de ce qui précède.
Ce qui change le chiffre
Le périmètre est le principal levier : l'audit couvre ce que vous déclarez, donc un périmètre qui inclut plus de sites, de produits ou de processus que le certificat n'en a besoin coûte des jours. Plusieurs sites peuvent ajouter de l'échantillonnage. Un système de management qui n'est pas prêt à l'étape 1 peut se transformer en une étape 2 plus longue.
Le chiffre derrière le chiffre
La certification est un jugement sur le fonctionnement de votre système de management, prouvé sur une période. Les entreprises qui la trouvent chère la trouvent généralement chère deux fois : une fois pour l'audit, et une fois pour les semaines passées à assembler des enregistrements qui n'ont jamais été tenus au fil de l'eau. La seconde est évitable et vaut plus que n'importe quelle remise sur la première.