Ce que coûte réellement une certification ISO 27001

Aucun organisme de certification accrédité ne publie ses prix. Bureau Veritas, AFNOR Certification, LNE, DNV, DQS, TÜV, BSI, Intertek, SGS, LRQA et Dekra ne répondent que sur devis, vous ne pouvez donc pas budgéter avant les appels commerciaux. Le montant reste pourtant jours d'auditeur × taux journalier, et les jours découlent du tableau des temps d'audit de l'Annexe B de l'ISO/IEC 27006, auquel l'organisme d'accréditation tient le certificateur ; vous pouvez donc calculer votre propre chiffre avant tout devis.

Chaque chiffre ci-dessus est jours d'auditeur × taux journalier. Les jours viennent de l'ISO/IEC 27006, qui les fixe selon l'effectif ; la fourchette de 1 200 € à 2 000 € est celle relevée dans les sources professionnelles publiées pour les organismes accrédités en Europe, et aucun organisme de certification ne publie la sienne. Le calcul figure sur cette page précisément pour que vous puissiez le refaire avec un taux qui vous a été proposé plutôt qu'avec le nôtre. Si un organisme vous propose un montant très éloigné de ces fourchettes, demandez-lui combien de jours d'auditeur il a prévus et quelle édition de l'ISO/IEC 27006 il a appliquée.

Quatre à sept mois est réaliste pour une petite entreprise du logiciel outillée. Le plancher se situe autour de trois mois et c'est un plancher dur, pour une raison qui mérite d'être comprise : l'étape 2 échantillonne vos enregistrements. Le chapitre 9.2 exige un audit interne et le 9.3 une revue de direction, et un auditeur ne peut pas échantillonner une revue de direction qui n'a pas eu lieu. Aucun logiciel ne peut comprimer cela. Ce qu'un logiciel peut supprimer, ce sont les deux à six mois de construction des politiques, du registre des risques et de la Déclaration d'applicabilité qui viennent normalement avant.

Rien n'empêche une société de se dire organisme de certification et de vendre des certificats. Un certificat non accrédité paraît identique, coûte environ 40 à 50 % de moins, et est régulièrement refusé dans les achats des grands comptes. Vous payez alors une seconde fois les honoraires accrédités complets, car un certificat non accrédité ne peut généralement pas être transféré. En France, l'organisme national d'accréditation est le COFRAC, désigné en application du règlement (CE) 765/2008. Vérifiez votre certificateur dans l'annuaire du COFRAC, ou à l'international via l'IAF, avant de signer quoi que ce soit.

Comment trouver un organisme de certification accrédité et le vérifier vous-même

• jusqu'à 10 personnes → 5 jours d'auditeur
• 16–25 personnes → 7 jours d'auditeur
• 46–65 personnes → 10 jours d'auditeur
• 86–125 personnes → 12 jours d'auditeur

Reproduits comme exemples chiffrés et non comme le tableau lui-même, car l'ISO/IEC 27006 est protégée par le droit d'auteur et nous n'allons pas la republier. Vérifiez-les sur votre propre exemplaire.