Simulation d'audit de certification et projet final

Bonne lecture et bon apprentissage ! Junior TSAFACK – 19/10/2026 ⏱️ Temps de lecture estimé : 10 minutes (hors simulations)

1. Simulateur : l’audit de certification de KamaPay

Vous êtes l’ingénieur SSI qui accompagne l’auditeur de certification. À chaque étape, choisissez votre réponse. Trois jauges évoluent :

Conformité ISO 27001 : les exigences de la norme sont-elles démontrées ?
Maîtrise des risques : le SMSI protège-t-il vraiment l’établissement ?
Confiance de l’auditeur : votre attitude renforce-t-elle la crédibilité du système ?

Conformité ISO 27001

Maîtrise des risques

Confiance de l'auditeur

2. Jeu de rôle : audit blanc en équipe

Un exercice de 2 heures pour 4 à 8 personnes, à partir des documents produits dans ce module.

Rôle	Mission
Auditeur principal	Conduit l’audit à partir des dix questions types, demande des preuves, échantillonne
Auditeur adjoint	Prend des notes, rédige les constats
RSSI / ingénieur SSI	Présente le SMSI, oriente vers les bons interlocuteurs
DSI, propriétaire de risque, DPO	Répondent sur leur périmètre, avec preuves
Animateur (facultatif)	Introduit des « surprises » (voir ci-dessous)

Surprises à introduire par l’animateur :

Un document présenté porte la mention « version 2013 » de la norme.
Un risque élevé du registre n’a aucun contrôle associé dans la SoA.
La dernière revue des accès n’est pas signée par le propriétaire de l’application.
Le propriétaire d’un risque déclare ne pas savoir qu’il en est propriétaire.
Un fournisseur critique n’a fourni aucun rapport d’assurance depuis deux ans.

Livrable de l’exercice : un rapport d’audit avec les constats classés (majeure, mineure, observation) et, côté audité, le plan d’actions correctives.

3. Projet final du module

Construisez le SMSI d’un établissement de paiement (KamaPay, ou un établissement fictif de votre choix) et produisez le dossier de certification suivant :

#	Livrable	Clause / contrôle	Chapitre
1	Analyse du contexte et des parties intéressées	4.1, 4.2	2
2	Registre de conformité (au moins 10 exigences)	A.5.31	2
3	Déclaration de périmètre	4.3	2
4	Politique de sécurité de l’information + liste des politiques thématiques	5.2, A.5.1	3
5	RACI du SMSI et comitologie	5.3	3
6	Méthode d’appréciation des risques, registre (≥ 10 risques), plan de traitement	6.1.2, 6.1.3, 8.2, 8.3	4
7	Déclaration d’applicabilité complète (93 contrôles)	6.1.3 d	5
8	Feuille de route du projet et programme de sensibilisation	7.2, 7.3, A.6.3	6
9	Référentiel de contrôles unifié (≥ 15 contrôles, 4 référentiels)	–	7
10	BIA et plan de tests de continuité	A.5.29, A.5.30	8
11	Tableau de bord (≥ 8 indicateurs) et programme d’audit interne sur 3 ans	9.1, 9.2	9
12	Rapport d’audit blanc et plan d’actions correctives	9.2, 10.2	Ce chapitre

Grille d’évaluation

Critère	Poids
Cohérence de bout en bout (contexte → risques → SoA → contrôles → indicateurs)	30 %
Pertinence des risques pour un établissement de paiement	20 %
Qualité de la SoA (justifications, preuves identifiées)	15 %
Conformité réglementaire et correspondance multi-référentiels	15 %
Résilience (BIA réaliste, tests mesurables)	10 %
Clarté et caractère opérationnel des documents	10 %

4. Préparer un entretien d’ingénieur SSI en établissement de paiement

Les fiches de poste de ce type couvrent généralement quatre blocs : SMSI ISO 27001, maîtrise des risques, gestion des incidents et conformité multi-référentiels. Voici des questions fréquentes et les éléments de réponse que ce module vous donne.

Question probable	Éléments de réponse	Où le retrouver
« Comment déployez-vous un SMSI en partant de zéro ? »	Lettre de mission, état des lieux, périmètre, risques, SoA, déploiement, audit interne, revue de direction, certification ; 12 à 18 mois	Chapitre 6
« Comment déclinez-vous les politiques du groupe localement ? »	Ne pas réécrire ; documents de déclinaison courts, précisions locales, procédures opérationnelles, preuves	Chapitre 3
« Quels sont les principaux risques d’un service de paiement mobile ? »	Prise de contrôle de comptes, ingénierie sociale, fraude interne et d’agents, API, indisponibilité, fuite KYC, fournisseurs, non-conformité	Chapitre 4
« Comment intégrez-vous la sécurité aux projets ? »	Portes de validation sécurité à chaque jalon, analyse de risques projet, tests avant mise en production	Chapitre 4
« Comment gérez-vous plusieurs référentiels sans multiplier les audits ? »	Référentiel de contrôles unifié, une preuve par contrôle, correspondances	Chapitre 7
« Quels indicateurs présentez-vous au comité ? »	Une dizaine de KPI/KRI avec seuils, tendances et actions	Chapitre 9
« Comment tenez-vous le registre des incidents et le reporting ? »	Registre structuré, reporting mensuel / trimestriel / immédiat P1, déclarations externes, RETEX	Chapitre 6 et module 16
« Que contient une stratégie de résilience du SI ? »	BIA, RTO/RPO, scénarios dont cyberattaque destructrice, sauvegardes isolées, tests mesurés	Chapitre 8
« Comment sensibilisez-vous des publics non techniques ? »	Programme différencié salariés / agents / clients, simulations, indicateurs	Chapitre 6

🎯 Conseil : apportez en entretien un extrait de votre propre dossier de projet (une SoA partielle, un registre des risques, un tableau de bord). Montrer un livrable concret vaut mieux que réciter la norme.

Pour aller plus loin : les certifications utiles

Certification	Pourquoi
ISO/IEC 27001 Lead Implementer	Mettre en place un SMSI : cœur du poste
ISO/IEC 27001 Lead Auditor ou ISO/IEC 27005 Risk Manager	Préparer les audits / maîtriser l’analyse de risques
ISO 22301 Lead Implementer	Résilience et continuité
COBIT 2019 Foundation, ITIL 4 Foundation	Parler le langage de la gouvernance IT et des services
CISM (ISACA), plus tard	Référence du management de la sécurité, exige de l’expérience

Retour au sommaire : Formation Cybersécurité →