Liste de contrôle d'audit interne ISO 27001 : structure, cotation et modèle
L'audit interne est obligatoire dans l'ISO/IEC 27001:2022 (article 9.2) : l'organisme audite son SMSI à intervalles planifiés selon un programme d'audit défini, avec des critères et un périmètre précisés, des auditeurs objectifs et impartiaux, un compte rendu à la direction concernée et des preuves conservées. La liste de contrôle organise ce travail : une ligne par exigence des articles 4 à 10 et par mesure applicable de l'Annexe A, avec ce qu'il faut vérifier, la preuve examinée, le résultat (conforme, NC majeure ou mineure, observation, piste d'amélioration) et le constat. La liste ISMS-AUD-03 du kit NexoDocs en français compte 29 lignes pour les articles et les 93 mesures.
Ce que la norme exige pour l'audit interne
L'article 9.2 comporte deux parties. Le 9.2.1 demande des audits qui montrent si le SMSI respecte les exigences propres de l'organisme et celles de la norme, et s'il est mis en œuvre et tenu à jour efficacement. Le 9.2.2 demande un programme d'audit (fréquence, méthodes, responsabilités, planification et compte rendu) qui tient compte de l'importance des processus et des résultats des audits précédents.
- Définir les critères et le périmètre de chaque audit.
- Choisir des auditeurs qui garantissent objectivité et impartialité : personne n'audite son propre travail.
- Rendre compte des résultats à la direction concernée.
- Conserver des informations documentées comme preuve du programme et des résultats.
L'ISO 19011 donne des lignes directrices générales pour l'audit des systèmes de management (échantillonnage, entretiens, rédaction des constats) : c'est une bonne référence de méthode.
Programme, plan, liste de contrôle et rapport : à quoi sert chacun
| Document du kit | À quoi il sert | Quand on l'utilise |
|---|---|---|
| ISMS-AUD-01 Procédure d'audit interne | Les règles : qui audite, comment l'indépendance est assurée, comment les constats sont cotés et suivis | Une fois, revue chaque année |
| ISMS-AUD-02 Programme d'audit interne | Le calendrier annuel : quels processus sont audités, quand et avec quelle priorité (avec l'exemple complété de l'entreprise fictive NubeSur) | Au début du cycle |
| ISMS-AUD-05 Plan d'audit | Un audit précis : périmètre, critères, déroulé, auditeurs et personnes interrogées | Avant chaque audit |
| ISMS-AUD-03 Liste de contrôle d'audit interne | Le support de travail de l'auditeur : exigence par exigence, ce qui a été vérifié et constaté | Pendant l'audit |
| ISMS-AUD-04 Rapport d'audit interne | Le résultat formel : constats, conclusions et non-conformités à traiter | À la clôture de l'audit |
Kit de documentation SMSI ISO 27001
84 fichiers pour documenter votre SMSI selon ISO/IEC 27001:2022.
Voir le kit de documentation ISO 27001 (paiement unique)Les colonnes de la liste de contrôle
| Colonne d'ISMS-AUD-03 | Contenu | Exemple |
|---|---|---|
| ID | Article ou mesure | 6.1.3 |
| Exigence à vérifier | La question à laquelle on répond | La déclaration d'applicabilité justifie-t-elle les inclusions et les exclusions ? |
| Quoi vérifier | Proposition d'échantillon | Revoir la déclaration d'applicabilité en vigueur et 3 mesures exclues |
| Preuves examinées | Documents, enregistrements, entretiens ou échantillons, avec leur identifiant | Déclaration d'applicabilité v2.1 approuvée le 12 mars ; entretien avec le responsable du SMSI |
| Résultat | Choix dans une liste fermée | Conforme, NC majeure, NC mineure, Observation, Piste d'amélioration |
| Constat (exigence · preuve · constatation) | Le constat en trois parties | L'exclusion de la mesure 8.28 n'est pas justifiée (déclaration v2.1) |
| Audité | Service ou personne interrogée | Exploitation informatique |
Comme le résultat vient d'une liste fermée, la feuille « Synthèse » compte automatiquement chaque type de constat, séparément pour les articles et l'Annexe A, et indique combien de lignes restent « Non renseigné ». Ce sont ces chiffres que la direction veut voir en revue de direction.
Coter les constats
- NC majeure : une exigence manque entièrement ou une défaillance remet en cause l'efficacité du SMSI (par exemple, aucune appréciation des risques n'a jamais été faite).
- NC mineure : un écart isolé qui ne compromet pas le système (par exemple, une attestation de formation non signée).
- Observation : encore conforme, mais peut devenir une non-conformité si rien n'est fait.
- Piste d'amélioration : une suggestion pour mieux faire, sans non-conformité.
- Non audité : uniquement pour les mesures de l'Annexe A hors du périmètre de cet audit. Pour les articles 4 à 10, l'option n'existe volontairement pas.
Chaque non-conformité est inscrite au registre des non-conformités et actions correctives (article 10.2) avec sa cause, l'action, le responsable et l'échéance.
Audit interne en France : ce que regardent certificateurs et autorités
Un organisme de certification accrédité par le COFRAC vérifie lors des audits d'étape 1 et 2 qu'au moins un audit interne complet, avec son rapport, et une revue de direction ont été réalisés ; des constats sans preuve documentée ne lui servent pas. Si vous utilisez la méthode EBIOS Risk Manager de l'ANSSI pour l'appréciation des risques, faites le lien entre ses scénarios et les mesures auditées. La transposition de NIS 2 en droit français (projet de loi dit « Résilience ») n'était pas encore définitivement adoptée fin octobre 2026 : les audits internes aideront à démontrer vos mesures, mais ne remplacent aucune obligation légale de contrôle ou de notification.
Erreurs fréquentes en audit interne
- Auditer avec une liste générique sans regarder les risques et les changements de l'année.
- Écrire « Conforme » sans noter la preuve examinée : l'auditeur de certification ne pourra pas s'appuyer sur l'audit.
- Faire auditer ses propres documents par le responsable du SMSI.
- Ne revoir que des documents, sans échantillons réels (journaux d'accès, changements, incidents).
- Ne pas porter les résultats en revue de direction (article 9.3).
- Oublier la nouvelle question sur le changement climatique de l'amendement 2024 (article 4.1).
Modèle : la liste de contrôle du kit ISO 27001
Le kit ISO 27001 de NexoDocs en français contient la liste ISMS-AUD-03 en Excel sans macros, avec les feuilles « Articles » (29 lignes de 4.1 à 10.2, y compris la question sur le changement climatique de l'Amd 1:2024), « Annexe A » (les 93 mesures avec une proposition de vérification) et « Synthèse » (décompte automatique par résultat). S'y ajoutent la procédure ISMS-AUD-01, le programme ISMS-AUD-02 avec un exemple complété, le plan ISMS-AUD-05 et le rapport ISMS-AUD-04, tous alimentés par les mêmes données de l'organisme saisies dans la feuille « CONFIGURATION ».
Étape suivante
Essayez gratuitement ou passez directement à la solution complète.
Kit de documentation SMSI ISO 27001
84 fichiers pour documenter votre SMSI selon ISO/IEC 27001:2022.
Voir le kit de documentation ISO 27001 (paiement unique)
Échantillon gratuit
Téléchargez gratuitement une version réduite de la matrice des risques du kit (Excel, 10 scénarios, carte de chaleur ; échantillon en anglais). Voyez comment le niveau et la catégorie sont calculés avant de décider.
Télécharger l'échantillon gratuit (en anglais)Questions fréquentes
À quelle fréquence faire un audit interne ISO 27001 ?
La norme demande des intervalles planifiés sans fixer de durée. En pratique, la plupart des organismes auditent l'ensemble du SMSI au moins une fois par an, avant la revue de direction et avant l'audit de certification ou de surveillance.
Une personne de l'entreprise peut-elle le réaliser ?
Oui, si elle est objective et impartiale et n'audite pas son propre travail. Les petites structures croisent souvent les services ou font appel à un auditeur externe pour cette seule tâche.
Faut-il auditer les 93 mesures de l'Annexe A à chaque audit ?
Le programme d'audit doit couvrir les mesures déclarées applicables dans votre déclaration d'applicabilité. On peut les répartir selon les risques sur plusieurs audits du cycle et marquer « Non audité » celles qui ne sont pas examinées.
Quelle différence entre NC majeure et NC mineure ?
Une NC majeure touche une exigence absente ou une défaillance qui remet en cause l'efficacité du SMSI ; une NC mineure est un écart ponctuel sans effet sur le système dans son ensemble.
La liste de contrôle suffit-elle pour l'audit de certification ?
Non. C'est l'outil de travail ; le certificateur voudra aussi voir le programme d'audit, le rapport, le traitement des non-conformités et la revue de direction.
Guides associés
Documents obligatoires ISO 27001:2022 : la liste par article
Les informations documentées exigées par l'ISO/IEC 27001:2022, article par article (politique, risques, DdA, objectifs, audit), et les documents de l'annexe A.
Lire le guide →Combien de temps pour ISO 27001 ? Plan de projet en 8 phases pour PME
Combien de temps pour mettre en œuvre et certifier ISO/IEC 27001:2022 dans une PME : les 8 phases semaine par semaine, ce qui rallonge et ce qui accélère.
Lire le guide →Déclaration d'applicabilité ISO 27001 : qu'est-ce que c'est et comment la rédiger ?
Ce que doit contenir la déclaration d'applicabilité ISO/IEC 27001:2022 pour les 93 mesures, justifier les exclusions, erreurs fréquentes. Avec modèle Excel.
Lire le guide →Mis à jour: 2026-10-29