Un cabinet vous aide à construire votre système de management. Il connaît votre environnement, il a rédigé la moitié de vos politiques, et c'est le candidat évident pour certifier le résultat. Puis vous découvrez qu'il ne peut pas, et la certification doit repartir de zéro avec quelqu'un qui n'a jamais vu votre organisation.
C'est l'une des surprises les plus coûteuses du travail de conformité, et elle est entièrement évitable si vous connaissez la règle avant de signer.
La règle
ISO/IEC 17021-1 est la norme selon laquelle les organismes de certification sont eux-mêmes accrédités. Elle fixe comment ils doivent être structurés, comment ils doivent gérer l'impartialité, et ce qu'ils ne peuvent pas faire.
La clause 5.2.6 est celle qui compte : un organisme de certification ne peut pas certifier un système de management sur lequel il a fourni du conseil au cours des deux années précédentes. Cela couvre l'organisme, et cela couvre tout organisme sous le même contrôle organisationnel.
Le raisonnement n'est pas bureaucratique. Un audit de certification est une opinion indépendante sur la conformité de votre système à la norme. Si l'auditeur a conçu le système, il revoit son propre travail, et le certificat cesse d'être la preuve de quoi que ce soit sur quoi un tiers pourrait s'appuyer. La valeur du certificat pour vos clients repose entièrement sur le fait que l'auditeur n'a pas participé à la construction de ce qu'il évalue.
Ce qui compte comme du conseil
Plus que ce que les gens supposent. La norme y voit la participation à la conception, à la mise en place ou au maintien du système de management. En pratique :
- Rédiger vos politiques ou procédures à votre place
- Concevoir vos mesures
- Construire votre méthode d'appréciation des risques
- Faire office d'auditeur interne du système à certifier
- Donner des conseils ou des solutions précis en vue de la mise en place
Ce qui n'est pas du conseil : la formation à la norme elle-même, tant qu'elle est générique et non spécifique à l'organisation ; et l'activité d'audit, constats compris. Un auditeur qui vous dit qu'une mesure manque fait son travail. Un auditeur qui vous dit comment concevoir son remplacement ne le fait pas.
Cette limite compte pendant la mission. Les auditeurs qui vous dictent exactement quoi écrire créent un problème pour le certificat qu'ils s'apprêtent à délivrer, et un bon auditeur refusera de le faire.
Ce que cela change dans votre achat
Prévoyez deux fournisseurs.
Le côté préparation. Un consultant, un cabinet de conseil ou un recrutement interne construit le système : analyse d'écarts, politiques, mesures, collecte des preuves, audit interne. C'est la plus grosse part du travail.
Le côté certification. Un organisme de certification distinct et accrédité réalise les audits d'étape 1 et d'étape 2 et délivre le certificat. Son rôle est d'évaluer, pas d'aider.
Les cabinets qui proposent les deux maintiennent généralement une séparation juridique et opérationnelle entre les deux branches, et cette séparation doit convaincre l'organisme d'accréditation. Cela peut être légitime. Cela vaut quand même la peine de demander directement : si votre branche conseil travaille avec nous, votre branche certification peut-elle encore nous certifier dans les deux ans ? Une réponse franche, dans un sens ou dans l'autre, en dit long sur le cabinet.
SOC 2 est un autre régime avec un effet similaire
SOC 2 est une attestation selon les normes de l'AICPA, pas une certification ISO, donc 17021-1 ne s'applique pas. Le Code of Professional Conduct de l'AICPA s'applique, lui, et il arrive au même endroit par un autre chemin : les règles d'indépendance interdisent à un cabinet de CPA d'auditer un travail qu'il a réalisé. Un cabinet qui a conçu et mis en place vos contrôles a un problème d'indépendance pour les attester.
La réponse pratique est la même. Séparez qui construit de qui signe.
Ce qu'il faut demander avant de signer
Quatre questions, dans l'ordre d'importance :
Êtes-vous accrédité, et par qui ? Pour ISO 27001, il vous faut un organisme de certification accrédité par un organisme national d'accréditation signataire de l'accord multilatéral de l'IAF. Demandez le numéro d'accréditation et vérifiez-le vous-même dans le registre de l'organisme d'accréditation.
Nous avez-vous fourni du conseil au cours des deux dernières années ? Y compris via une entité liée. Si votre mission de conseil était avec une société sœur sous la même maison mère, demandez explicitement.
Si nous utilisons votre branche conseil, cela exclut-il votre branche certification ? Demandez avant, pas après.
Qui compose l'équipe d'audit, et quelles sont ses qualifications pour ce référentiel et ce secteur ? L'indépendance est une propriété de l'organisme ; la compétence est une propriété des personnes. Les deux doivent tenir.
Déclarer ce que vous savez déjà
S'il existe un travail antérieur, un emploi antérieur ou une relation financière entre votre organisation et un auditeur pressenti, dites-le dès le départ. Une relation déclarée est quelque chose qu'un organisme de certification peut évaluer et gérer, et souvent accepter. Une relation non déclarée, découverte plus tard, peut invalider le certificat que vous avez payé, et le certificat était la seule chose que vous achetiez.