Le coût de mise en œuvre de l'ISO 27001 est un chiffre sur trois ans, pas une première facture : pour une entreprise de 46 à 65 personnes, la certification initiale représente environ 10 jours d'auditeur, soit 12 000 à 18 000 EUR à 1 200 à 1 800 EUR par jour, puis des audits de surveillance les années deux et trois à environ un tiers de ce montant chacun et une recertification à environ deux tiers, plus le temps interne pour construire et faire vivre le système, qui est généralement le poste le plus important. La plupart des estimations citent le premier audit et s'arrêtent là.
Le cycle
Année 0, certification initiale. Étape 1 et étape 2, facturées en jours d'auditeur d'après le tableau de l'annexe B de l'ISO/IEC 27006. Une entreprise de 46 à 65 personnes représente environ 10 jours ; à 1 200 à 1 800 EUR par jour, cela fait 12 000 à 18 000 EUR.
Années 1 et 2, surveillance. Environ un tiers du temps d'audit initial chaque année. Le certificat est retiré si vous les sautez.
Année 3, recertification. Environ deux tiers du temps initial, et le cycle recommence.
La dépense d'audit sur trois ans est donc nettement supérieure à ce que la première facture laisse penser. La page des coûts en fait le total pour votre effectif.
Le coût interne, qui est généralement plus important
Les jours d'auditeur sont le chiffre visible. L'invisible, c'est le temps que vos propres équipes y consacrent, et il se divise en deux.
Construire le système. Contexte, périmètre, appréciation des risques, déclaration d'applicabilité sur les 93 mesures de l'annexe A, politiques, un programme d'audit interne, une revue de direction. C'est concentré au départ, et fini.
Le faire vivre. C'est la partie qui revient, et c'est là que les mises en œuvre deviennent discrètement coûteuses. Les preuves doivent exister pour la période sur laquelle l'auditeur interroge. Une organisation qui les collecte au fil de l'eau dépense un peu en continu ; celle qui ne le fait pas dépense un bloc concentré avant chaque audit, chaque année, pour toujours.
Ce qui le réduit vraiment
Réduisez le périmètre honnêtement. Soyez prêt à l'étape 1. Et tenez les enregistrements au moment où les choses se produisent plutôt que de les assembler après coup, parce que l'assemblage est la moitié coûteuse et qu'elle se répète chaque année.
Le logiciel est un petit poste face à tout cela. Ce qui compte, c'est qu'il vous laisse des enregistrements datés et complets le jour où un auditeur les demande. Notre couverture chapitre par chapitre expose ce que nous tenons et ce que nous ne tenons pas.