Surveillance, audit et amélioration (clauses 9 et 10)

Bonne lecture et bon apprentissage ! Junior TSAFACK – 19/10/2026 ⏱️ Temps de lecture estimé : 13 minutes

9.1 — Surveiller et mesurer

ISO 27001 demande de déterminer quoi mesurer, comment, quand, qui mesure et qui analyse. On distingue deux familles :

KPI (Key Performance Indicators) : les contrôles fonctionnent-ils ?
KRI (Key Risk Indicators) : le risque augmente-t-il ?

Le tableau de bord de KamaPay

Indicateur	Type	Formule	Seuil vert	Seuil rouge	Source	Fréquence
Disponibilité de la plateforme	KPI	Temps disponible / temps total	≥ 99,9 %	< 99,5 %	Supervision	Mensuelle
Vulnérabilités critiques corrigées dans les délais	KPI	Corrigées < 15 j / total critiques	≥ 95 %	< 80 %	Scanner	Mensuelle
Revues d’accès réalisées à temps	KPI	Revues faites / revues prévues	100 %	< 90 %	Outil GRC	Trimestrielle
Projets passés par la porte sécurité	KPI	Projets avec analyse de risques / projets livrés	100 %	< 90 %	Portefeuille projets	Trimestrielle
Taux de complétion de la sensibilisation	KPI	Salariés formés / effectif	≥ 95 %	< 85 %	Plateforme e-learning	Trimestrielle
Taux de clic aux simulations d’hameçonnage	KRI	Clics / destinataires	< 5 %	> 10 %	Outil de simulation	Trimestrielle
Comptes clients compromis	KRI	Comptes avec fraude avérée / 100 000 comptes actifs	En baisse	En hausse 2 trimestres	Anti-fraude	Mensuelle
Pertes nettes de fraude	KRI	Montant en FCFA	< budget	> 120 % du budget	Anti-fraude, finance	Mensuelle
Comptes à privilèges non nominatifs	KRI	Nombre	0	> 0	Annuaire, bastion	Mensuelle
Fournisseurs critiques sans évaluation à jour	KRI	Nombre	0	> 2	Registre fournisseurs	Trimestrielle
Actions correctives en retard	KPI	Actions échues non soldées	< 10 %	> 25 %	Plan d’action	Mensuelle

💡 Moins mais mieux : une dizaine d’indicateurs suivis et commentés valent mieux que cinquante chiffres que personne ne lit. Chaque indicateur rouge doit déclencher une analyse et une action.

9.2 — L’audit interne

Le programme d’audit

Tout le périmètre du SMSI doit être audité au moins une fois par cycle de certification (3 ans), avec une fréquence plus élevée pour les processus à risque.

Processus audité	Année 1	Année 2	Année 3	Justification de la fréquence
Gouvernance, risques, SoA (clauses 4 à 6)	✅	✅	✅	Cœur du SMSI
Gestion des accès et comptes privilégiés	✅	✅	✅	Risques R-03, R-08 élevés, SOX
Gestion des changements et développement	✅		✅
Gestion des incidents	✅	✅	✅	Exigence réglementaire
Continuité d’activité	✅		✅
Fournisseurs		✅	✅
Sécurité physique des centres de données		✅		Risque faible
Sensibilisation et RH	✅		✅
Surveillance, revue de direction, amélioration (9 et 10)	✅	✅	✅	Cœur du SMSI

Les règles de l’audit interne

Indépendance : l’auditeur n’audite pas son propre travail. L’ingénieur SSI, qui conçoit le SMSI, ne peut pas l’auditer → audit interne du groupe ou auditeur externe mandaté.
Méthode : plan d’audit, entretiens, examen de preuves, échantillonnage, constats rédigés factuellement.
Classement des constats :

Constat	Définition	Exemple
Non-conformité majeure	Exigence non remplie, remettant en cause l’efficacité du SMSI	Aucune revue de direction depuis 18 mois
Non-conformité mineure	Écart ponctuel, n’affectant pas le système dans son ensemble	Une revue d’accès trimestrielle sur quatre non signée
Observation / piste d’amélioration	Pas d’écart, mais un risque d’en avoir un	Procédure de sauvegarde à jour, mais non relue depuis 11 mois

9.3 — La revue de direction

Réalisée au moins une fois par an (chez KamaPay : en comité de sécurité trimestriel, avec une revue complète annuelle), elle doit couvrir les éléments d’entrée exigés par la norme :

Élément d’entrée (9.3.2)	Contenu chez KamaPay
État des actions des revues précédentes	Suivi du plan d’action
Changements des enjeux internes et externes	Nouveaux textes réglementaires, nouveaux services
Changements des besoins et attentes des parties intéressées	Nouvelles exigences de la maison mère ou des banques
Retours sur la performance : non-conformités et actions correctives, résultats de surveillance, résultats d’audit, atteinte des objectifs	Tableau de bord, rapports d’audit
Retours des parties intéressées	Remarques du régulateur, plaintes clients
Résultats de l’appréciation des risques et état du plan de traitement	Registre des risques, plan de traitement
Opportunités d’amélioration continue	Propositions de l’équipe sécurité

Les éléments de sortie (décisions sur l’amélioration, les changements à apporter au SMSI, les ressources) sont consignés dans un procès-verbal : c’est une information documentée obligatoire.

10 — Non-conformités et amélioration

Le traitement d’une non-conformité

1. Réagir      → corriger l'écart immédiat (la « correction »)
2. Analyser    → trouver la cause racine (5 pourquoi, diagramme d'Ishikawa)
3. Agir        → décider une action corrective qui supprime la cause
4. Vérifier    → contrôler l'efficacité de l'action après un délai
5. Documenter  → tout tracer dans le registre des non-conformités

Exemple chez KamaPay :

Étape	Contenu
Constat	Le compte d’un salarié parti il y a 2 mois est toujours actif sur le back-office
Correction	Compte désactivé le jour même ; vérification qu’il n’a pas été utilisé depuis le départ
Cause racine	Les départs sont notifiés par courriel par les RH ; le courriel n’arrive pas toujours à la DSI
Action corrective	Connexion automatique entre le SIRH et l’annuaire : un départ enregistré désactive les comptes à la date de sortie
Vérification d’efficacité	Audit à 3 mois : 0 compte actif sur 25 départs échantillonnés ✅

La certification ISO 27001

Le déroulé

Étape	Contenu	Durée indicative
Choix de l’organisme	Organisme de certification accrédité (vérifier l’accréditation)	–
Audit d’étape 1	Revue documentaire et de préparation : périmètre, politique, risques, SoA, audit interne et revue de direction réalisés	1 à 3 jours
Audit d’étape 2	Vérification sur le terrain que le SMSI fonctionne : entretiens, preuves, échantillons	Plusieurs jours selon la taille
Traitement des écarts	Plan d’actions pour les non-conformités ; une non-conformité majeure bloque la certification tant qu’elle n’est pas traitée	Quelques semaines
Certificat	Valable 3 ans	–
Audits de surveillance	Années 2 et 3, sur une partie du périmètre	Annuel
Renouvellement	Nouvel audit complet avant l’échéance des 3 ans	–

ℹ️ Depuis la fin de la période de transition (octobre 2025), seuls les certificats selon ISO/IEC 27001:2022 sont valides. Vérifiez que toute documentation que vous reprenez fait bien référence à la version 2022 (93 contrôles en 4 thèmes) et non à la version 2013 (114 contrôles en 14 domaines).

Les dix questions qu’un auditeur pose presque toujours

Comment avez-vous déterminé le périmètre ?
Montrez-moi votre méthode d’appréciation des risques, puis un risque de bout en bout jusqu’à son contrôle.
Pourquoi ce contrôle est-il exclu de la SoA ?
Qui est propriétaire de ce risque, et où a-t-il accepté le risque résiduel ?
Comment savez-vous que vos objectifs de sécurité sont atteints ?
Montrez-moi la preuve de la dernière revue des accès privilégiés.
Parlez-moi du dernier incident significatif : comment a-t-il été traité et qu’en avez-vous tiré ?
Quand avez-vous testé votre plan de continuité pour la dernière fois, et avec quel résultat ?
Comment évaluez-vous vos fournisseurs critiques ?
Montrez-moi le procès-verbal de la dernière revue de direction et les décisions prises.

Prochaine étape : Simulation d’audit et projet final →