ISO 27001 - Lead Auditor - Avec certification

Objectif : Comprendre le rôle du Lead Auditor et maîtriser les lignes directrices de l'audit selon l'ISO 19011.

• Principes et déontologie de l'audit : indépendance, impartialité, preuve factuelle et déontologie.
• Typologies d'audits : Première partie (interne), Seconde partie (fournisseur), Tierce partie (certification).
• Analyse de la structure HLS et révision des clauses 4 à 10 de l'ISO 27001 sous l'angle de l'auditeur.

Atelier pratique : Analyse d'un cas d'entreprise et qualification de la typologie d'audit à mener.

Cas métier : Audit de certification d'un opérateur télécom - Définition des critères d'indépendance de l'équipe d'auditeurs.

Compétence acquise : Poser le cadre déontologique et méthodologique d'un audit de certification.

Livrable : La charte de déontologie de l'auditeur ISO 27001.

Objectif : Organiser la phase de préparation et rédiger le plan d'audit officiel.

• Prise de contact avec l'audité et revue documentaire préalable (Audit Étape 1).
• Définition des objectifs, du champ d'application et des critères d'audit.
• Élaboration du plan d'audit détaillé et affectation des ressources de l'équipe d'audit.

Atelier pratique : Rédaction d'un plan d'audit de 3 jours pour une entreprise de e-santé.

Cas métier : Revue documentaire d'un SMSI bancaire - Analyse préalable de la PSSI et de la SoA pour détecter les faiblesses.

Compétence acquise : Conduire la revue documentaire et formaliser un plan d'audit irréprochable.

Livrable : Le Plan d'Audit officiel et la check-list de préparation.

Objectif : Animer la réunion d'ouverture et maîtriser l'art du questionnement d'audit.

• Conduite de la réunion d'ouverture sur site (Présentation des règles, confirmation du plan).
• Techniques d'entretien d'audit : questions ouvertes, fermées, relances et écoute active.
• Communication verbale et non-verbale en situation de tension ou de blocage de l'audité.

Atelier pratique : Jeu de rôle : animation de la réunion d'ouverture face à une direction générale exigeante.

Cas métier : Entretien avec un DSI récalcitrant - Gestion du temps et maintien du cap de l'entretien.

Compétence acquise : Animer la réunion d'ouverture et mener des entretiens d'audit constructifs.

Livrable : La grille de questionnement et le support de réunion d'ouverture.

Objectif : Rechercher et valider les preuves factuelles de conformité sur les clauses organisationnelles.

• Méthodologie d'échantillonnage des preuves (enregistrements, logs, contrats, entretiens).
• Audit sur le terrain des clauses 4 (Contexte), 5 (Leadership), 6 (Risques), 7 (Support), 8 (Opérations), 9 (Évaluation) et 10 (Amélioration).
• Validation de la valeur probante des éléments collectés (Suffisance et Pertinence).

Atelier pratique : Examen de pièces preuves d'un SMSI (comptes-rendus de revue de direction, matrices de risques) et détection des écarts.

Cas métier : Audit du processus de gestion des risques d'un industriel - Vérification de l'application réelle du plan de traitement.

Compétence acquise : Collecter et évaluer la valeur probante des preuves d'audit sur les clauses normatives.

Livrable : Le cahier de notes et de preuves d'audit.

Objectif : Auditer l'efficacité des mesures organisationnelles, humaines et politiques de l'Annexe A.

• Audit des 37 mesures organisationnelles (PSSI, rôles, séparation des fonctions, relation fournisseurs).
• Audit des 8 mesures RH (Sensibilisation, clauses de confidentialité, départ des collaborateurs).
• Vérification de la conformité entre la SoA et la réalité des pratiques opérationnelles.

Atelier pratique : Simulation d'audit du processus d'arrivée/départ d'un collaborateur et vérification des accès.

Cas métier : Audit du contrôle des prestataires informatiques externes - Examen des clauses de sécurité des contrats.

Compétence acquise : Auditer avec rigueur les contrôles organisationnels et RH de l'Annexe A.

Livrable : Grille d'évaluation d'audit de l'Annexe A (Partie Organisationnelle & RH).

Objectif : Auditer les mesures de sécurité physique des locaux et les contrôles techniques informatiques.

• Audit des 14 mesures physiques (Zones sécurisées, contrôle des accès physiques, protection des baies serveurs).
• Audit des 34 mesures techniques (IAM, chiffrement, gestion des vulnérabilités, sauvegardes, journalisation).
• Évaluation des preuves d'exploitation : rapports de scans de vulnérabilités, sauvegardes de restauration, règles de pare-feu.

Atelier pratique : Inspection visuelle simulée d'un Data Center et audit d'un rapport de test d'intrusion.

Cas métier : Audit du processus de gestion des correctifs (Patch Management) - Vérification du délai d'application des patchs critiques.

Compétence acquise : Auditer les contrôles physiques et techniques de l'Annexe A sur le terrain.

Livrable : Grille d'évaluation d'audit de l'Annexe A (Partie Physique & Technique).

Objectif : Graduer les écarts d'audit et rédiger des fiches de non-conformité indiscutables.

• Typologie des constats d'audit : Conformité, Remarque / Piste d'amélioration, Non-conformité Mineure, Non-conformité Majeure.
• Rédaction d'une fiche de non-conformité selon la règle des 3C : Constat (fait), Critère (exigence norme), Conclusion (écart).
• Validation et argumentation des constats en équipe d'audit.

Atelier pratique : Rédaction de 5 fiches de non-conformité complexes à partir de constats d'audit simulés.

Cas métier : Qualification d'un défaut de chiffrement sur des données clients - Rédaction de la fiche de non-conformité majeure.

Compétence acquise : Rédiger des fiches de non-conformité claires, incontestables et argumentées.

Livrable : Le registre des fiches de non-conformité d'audit.

Objectif : Conduire la réunion de clôture face à la Direction, formaliser le rapport d'audit de certification officiel et valider les plans d'actions correctives (CAPA) face aux non-conformités relevées.

• Préparation et animation de la réunion de clôture face à la Direction et aux responsables audités.
• Rédaction du rapport d'audit de certification officiel.
• Évaluation et validation des plans d'actions correctives (CAPA) proposés par l'audité et suivi de la levée des écarts.

Atelier pratique : Jeu de rôle : animation de la réunion de clôture et présentation des non-conformités à un Comex.

Cas métier : Négociation sur le délai d'une non-conformité majeure - Arbitrage du plan d'action correctif proposé.

Compétence acquise : Présenter le bilan d'audit en comité exécutif et valider les plans d'actions correctives.

Livrable : Le Rapport d'Audit de certification officiel et le compte-rendu de clôture.

Objectif : Réviser les techniques d'audit et réussir l'examen blanc.

• Synthèse des principes d'audit ISO 19011 et des exigences ISO 27001.
• Méthodologie d'analyse des scénarios d'examen de certification.
• Passage et correction détaillée de l'examen blanc ISO 27001 Lead Auditor.

Atelier pratique : Correction commentée de l'examen blanc et levée des derniers doutes d'interprétation.

Cas métier : Résolution d'un cas d'examen sur la qualification d'écarts d'audit - Analyse des pièges.

Compétence acquise : Maîtriser les critères d'évaluation de l'examen de certification Lead Auditor.

Livrable : Grille d'évaluation de l'examen blanc et fiches mémos de révision.

Objectif : Passer l'examen de certification officiel « ISO 27001 Lead Auditor ».

• Consignes officielles et modalités de l'examen de certification (Format étude de cas et QCM / Durée 3 heures).
• Passage officiel de l'examen en ligne sous la surveillance d'un examinateur certifié.
• Débriefing et conseils pour le maintien de la certification et l'enregistrement comme auditeur.

Atelier pratique : Passage officiel de l'examen de certification ISO 27001 Lead Auditor.

Cas métier : Plan de carrière d'auditeur - Inscription sur les registres d'auditeurs certifiés.

Compétence acquise : Validation officielle de la certification internationale ISO 27001 Lead Auditor.

Livrable : Attestation de réussite à l'examen et dossier d'enregistrement d'auditeur.