Auditeur interne ISO/IEC 27001:2022 selon ISO 19011:2026 et ISO/IEC 27007:2020

À l’issue de la formation, les participants seront capables de :

• comprendre les principes de l’audit des systèmes de management ;
• appliquer les lignes directrices de ISO 19011:2026 ;
• comprendre les recommandations spécifiques de ISO/IEC 27007:2020 ;
• préparer un audit interne ISO/IEC 27001:2022 ;
• définir les objectifs, le champ et les critères d’audit ;
• élaborer un plan et une checklist d’audit ;
• conduire des entretiens et recueillir des preuves objectives ;
• évaluer la conformité et l’efficacité du SMSI ;
• auditer l’appréciation et le traitement des risques ;
• évaluer la déclaration d’applicabilité et les mesures de sécurité sélectionnées ;
• formuler les constats et conclusions d’audit ;
• rédiger le rapport et suivre les actions engagées.

• auditeurs internes ;
• responsables sécurité de l’information et RSSI ;
• responsables du SMSI ;
• responsables informatiques et systèmes d’information ;
• responsables risques et conformité ;
• responsables qualité et systèmes de management ;
• consultants et accompagnateurs en sécurité de l’information ;
• responsables de processus ;
• étudiants et stagiaires en cybersécurité, informatique, systèmes d’information, qualité ou management ;
• nouvelles recrues souhaitant développer des compétences en audit des SMSI.

Une connaissance préalable des principes et exigences de ISO/IEC 27001:2022 est recommandée. Une première expérience en sécurité de l’information, systèmes de management ou audit constitue un avantage.

Jour 1 — Principes de l’audit et préparation de l’audit du SMSI

• Rappels sur ISO/IEC 27001:2022 et le SMSI.
• Finalités et différents types d’audit.
• Principes de l’audit selon ISO 19011:2026.
• Apport de ISO/IEC 27007:2020 à l’audit des SMSI.
• Rôles, responsabilités et comportement professionnel de l’auditeur.
• Compétences attendues de l’auditeur SMSI.

Pause

• Management du programme d’audit.
• Définition des objectifs, du champ et des critères.
• Constitution de l’équipe d’audit.
• Revue des informations documentées.
• Analyse du contexte et du périmètre du SMSI.
• Préparation du plan d’audit.
• Élaboration des checklists et documents de travail.
• Approche fondée sur les risques et échantillonnage.

Jour 2 — Conduire l’audit interne ISO/IEC 27001:2022

• Réunion d’ouverture.
• Communication avec les audités.
• Techniques d’entretien, questionnement et écoute.
• Collecte et vérification des informations.
• Recherche et évaluation des preuves d’audit.
• Traçabilité et documentation des preuves.

Pause

• Audit du contexte, du leadership et de la planification.
• Audit du processus d’appréciation des risques.
• Audit du plan de traitement des risques.
• Analyse de la déclaration d’applicabilité.
• Évaluation de la mise en œuvre des mesures de sécurité.
• Audit des objectifs et indicateurs du SMSI.
• Audit des processus de surveillance et d’évaluation.
• Exercices et mises en situation d’audit.

Jour 3 — Constats, rapport et suivi de l’audit

• Analyse et consolidation des preuves.
• Comparaison des preuves aux critères d’audit.
• Formulation des constats.
• Distinction entre conformité, non-conformité et possibilité d’amélioration.
• Rédaction claire et factuelle des non-conformités.
• Préparation des conclusions d’audit.

Pause

• Réunion de clôture.
• Présentation et communication des résultats.
• Élaboration du rapport d’audit.
• Suivi des corrections et actions correctives.
• Vérification de l’efficacité des actions engagées.
• Gestion et conservation des informations d’audit.
• Étude de cas complète d’audit d’un SMSI.
• Évaluation finale.

• apports méthodologiques ;
• lecture guidée des lignes directrices d’audit ;
• préparation de checklists ;
• exercices d’analyse documentaire ;
• simulations d’entretiens ;
• études de cas SMSI ;
• rédaction de constats et non-conformités ;
• simulation de réunions d’ouverture et de clôture ;
• élaboration d’un rapport d’audit ;
• évaluation finale.

La formation comprend 18 heures réparties sur 3 jours, soit 6 heures par jour hors pause.

Elle peut être organisée en présentiel, à distance ou en intra-entreprise.

En intra-entreprise, les exercices et simulations peuvent être adaptés au périmètre du SMSI, aux processus, risques, actifs informationnels et mesures de sécurité de l’organisation.

Les participants peuvent recevoir un programme d’audit, un modèle de plan d’audit, une checklist ISO/IEC 27001:2022, une grille d’entretien, une fiche de constat, un modèle de rapport d’audit et une trame de suivi des actions correctives.

Une attestation de formation est délivrée après satisfaction aux modalités d’évaluation prévues.