Comptabilisez toutes les personnes effectuant des activités sous le contrôle de votre organisation dans le périmètre du SMSI, y compris les salariés, les prestataires et le personnel à temps partiel concerné. Les organismes de certification convertissent ce chiffre en jours d'audit à l'aide des tableaux ISO/IEC 27006-1 et autorisent des réductions documentées pour les groupes réalisant des travaux identiques selon la règle de la racine carrée. Confirmez les règles de comptage de votre certificateur avant de demander un devis, car l'effectif figurant sur la paie correspond rarement à ce qui apparaît sur la facture.
En résumé :
- L'effectif dans le périmètre comprend les salariés à temps plein, à temps partiel, les prestataires et les freelances travaillant sur des systèmes, des données ou des processus relevant du périmètre du SMSI, les temps partiels étant comptabilisés au prorata.
- Les organismes de certification utilisent des tableaux de durée d'audit normalisés liés aux tranches d'effectif ; le franchissement de certains seuils peut augmenter significativement le nombre de jours d'audit requis et les coûts.
- Construire un effectif opposable implique de définir les limites du périmètre en premier, de mapper les rôles sur les processus et de documenter les hypothèses et les regroupements avec des preuves à l'appui avant de demander un devis.
- Des réductions par regroupement sont possibles grâce à la règle de la racine carrée pour des activités identiques, mais nécessitent un échantillonnage justifié et ne peuvent pas s'appliquer lorsque les rôles impliquent des tâches variées ou des risques élevés.
- Estimer correctement l'effectif et le périmètre dès le départ réduit les délais du projet, les perturbations internes et le risque de surprises de périmètre lors de l'audit.
Table des matières
- Que signifie réellement « effectif dans le périmètre » ?
- Comment les organismes de certification convertissent l'effectif en jours d'audit
- Comment construire un effectif dans le périmètre opposable
- La règle de la racine carrée pour les réductions par regroupement
- Erreurs courantes d'effectif et questions à poser à votre certificateur
- Pourquoi un effectif correct protège votre calendrier
- Transformez votre liste de rôles en un chiffre budgétaire réel
- Sources
- FAQ
Que signifie réellement « effectif dans le périmètre » ?
Les auditeurs ne s'intéressent pas à votre organigramme. Ils s'intéressent aux « personnes effectuant des activités sous le contrôle de l'organisation dans le périmètre du SMSI », une formulation tirée directement de la méthodologie des organismes de certification et qu'il vaut la peine de mémoriser avant votre première demande de devis.
Cette définition inclut davantage de personnes que la plupart des responsables conformité ne l'anticipent. Les salariés à temps plein comptent, évidemment. Les salariés à temps partiel comptent également, généralement calculés au prorata d'un équivalent temps plein. Les prestataires, freelances et intérimaires comptent si leur travail touche des systèmes, des données ou des processus à l'intérieur de votre périmètre SMSI, même lorsqu'ils sont sur la paie d'un fournisseur plutôt que sur la vôtre.
Voici comment trier rapidement les rôles :
- À inclure : les développeurs touchant au code dans le périmètre, le personnel des opérations informatiques, les analystes sécurité, les équipes externalisées de supervision ou de service d'assistance, les équipes RH qui gèrent les accès aux systèmes dans le périmètre.
- À exclure : le personnel commercial, marketing ou les services généraux qui n'accèdent jamais aux systèmes dans le périmètre ni aux données client couvertes par le SMSI.
- Zone grise : les salariés à temps partiel ou partagés qui consacrent une fraction de leur temps à des activités dans le périmètre. Comptez-les selon cette fraction, et non par tête.
Une erreur dans un sens ou dans l'autre, et votre devis sous-estimera le véritable effort d'audit ou le gonflera avec des services non concernés.
Comment les organismes de certification convertissent l'effectif en jours d'audit
Les organismes de certification ne négocient pas les jours d'audit de zéro. Ils partent d'un tableau de durée d'audit lié à l'effectif, puis ajustent en fonction de la complexité du périmètre, du nombre de sites et de la criticité de ce que vous protégez.
Le devis total correspond à la durée d'audit de l'étape 1 plus l'étape 2, calculée sur la base d'une journée d'audit de huit heures. La tranche d'effectif dans laquelle vous vous situez établit la base avant que des ajustements ne soient appliqués.
Tranches de jours d'audit par effectif
Ces tranches proviennent des tableaux de durée d'audit utilisés dans l'industrie, et elles sont importantes pour la budgétisation car le saut entre tranches n'est pas progressif. Passer de 44 à 47 salariés peut vous faire basculer dans une tranche de jours significativement plus élevée, ce qui signifie une facture plus importante, avant même que les ajustements de complexité aient été abordés. C'est pourquoi fixer le décompte avant de demander des devis permet d'économiser de l'argent réel.
Comment construire un effectif dans le périmètre opposable
Un chiffre d'effectif qui résiste à l'examen d'un organisme de certification ne s'obtient pas par approximation. Suivez cette séquence avant de demander un devis à qui que ce soit.
- Définissez d'abord les limites du périmètre du SMSI. Précisez les systèmes, services, sites et unités organisationnelles que la certification couvrira réellement. L'effectif n'a de sens qu'une fois le périmètre fixé.
- Mappez les processus sur les rôles. Listez chaque processus à l'intérieur de ce périmètre, puis identifiez les rôles qui y interviennent. Cela permet de détecter les contributeurs indirects, comme un service d'assistance informatique mutualisé, qu'une simple lecture de l'organigramme ne révèle pas.
- Comptez les personnes travaillant sous votre contrôle. Convertissez le personnel à temps partiel en fractions d'ETP, ajoutez les prestataires et freelances réalisant des activités dans le périmètre, et maintenez une liste détaillée plutôt qu'un seul chiffre résumé.
- Identifiez les groupes réalisant des activités identiques. Si plusieurs personnes effectuent la même tâche dans le périmètre dans les mêmes conditions, signalez-les comme candidats potentiels au regroupement et commencez à collecter des fiches de poste et des journaux d'activité comme preuves.
- Rédigez une déclaration d'effectif. Documentez vos hypothèses, votre périmètre et votre logique de regroupement en une page, puis remettez-la au certificateur avec votre demande de devis.
Conseil pratique : Conservez votre déclaration d'effectif comme un document vivant. Les organismes de certification s'attendent à ce qu'elle soit mise à jour à chaque audit de surveillance, et partir d'une base claire fait gagner des heures lorsque l'effectif évolue entre les audits.
Un outil comme le calculateur de coûts ISO 27001 peut aider à transformer cette liste de rôles en une estimation de travail une fois que vous avez effectué le comptage.
La règle de la racine carrée pour les réductions par regroupement
ISO/IEC 27006-1 autorise une réduction de l'effectif pour le calcul de la durée d'audit pour les groupes de personnes effectuant des activités identiques, mais cette réduction doit être méritée, non présupposée. La règle consiste à prendre la racine carrée de l'effectif au sein de chaque groupe d'activités identiques, arrondie au supérieur, et c'est ce chiffre qui devient l'effectif effectif aux fins de la durée d'audit, à la place du nombre brut.
Voici l'exemple chiffré tiré du guide d'European Accreditation : une organisation de 144 personnes se divise en trois groupes de 49 personnes, chacun réalisant des activités genuinement identiques.
| Groupe | Effectif brut | Racine carrée (arrondie au supérieur) |
|---|---|---|
| Groupe 1 | 49 | 7 |
| Groupe 2 | 49 | 7 |
| Groupe 3 | 49 | 7 |
| Effectif effectif total | 144 | 21 |
C'est une réduction de 144 à 21 aux fins de la durée d'audit, une différence suffisamment importante pour faire descendre une organisation de plusieurs tranches de jours d'audit. Mais cette réduction est un plafond, non un droit acquis. Les organismes de certification exigeront une justification fondée sur les risques et des preuves d'échantillonnage démontrant que les groupes réalisent effectivement des activités identiques, et non simplement des intitulés de poste similaires. Le regroupement s'effondre rapidement lorsque les rôles impliquent des tâches variées, des accès à des systèmes différents ou des risques élevés, comme les administrateurs disposant de privilèges élevés. Ces personnes sont généralement comptées individuellement, quel que soit le nombre de collègues partageant leur intitulé de poste.
Erreurs courantes d'effectif et questions à poser à votre certificateur
La plupart des surprises de devis se ramènent aux mêmes erreurs de comptage, et elles sont évitables avec une courte conversation avant de signer quoi que ce soit.
- Exclure les prestataires ou le personnel externalisé de supervision au motif qu'ils ne sont pas sur la paie, alors que leur travail est clairement dans le périmètre.
- Comptabiliser les salariés à temps partiel comme des effectifs complets au lieu de fractions d'ETP.
- Inclure des services qui n'accèdent jamais aux systèmes dans le périmètre, ce qui gonfle votre chiffre et votre devis.
- Revendiquer une réduction par regroupement sans fiches de poste documentées ni journaux d'activité pour l'étayer.
Avant de demander un devis, posez directement ces questions à votre certificateur : Comment comptabilisez-vous le personnel à temps partiel et les prestataires ? Acceptez-vous les réductions par regroupement, et quelles preuves exigez-vous ? Effectuerez-vous des sondages sur les sites ou les rôles pendant l'audit ?
Apportez une déclaration de périmètre, une liste de rôles avec les fractions d'ETP indiquées, toute justification de regroupement avec les fiches de poste à l'appui et un inventaire des systèmes. Une liste de contrôle de certification couvrant ces livrables en amont permet de raccourcir la conversation sur le devis et d'éviter les surprises de périmètre lors de l'audit.
Pourquoi un effectif correct protège votre calendrier
Des chiffres d'effectif erronés ne faussent pas seulement votre devis. Ils faussent l'ensemble de votre calendrier de projet. Un chiffre gonflé fait basculer votre audit dans une tranche de jours supérieure, ce qui signifie davantage de collaborateurs internes mobilisés pour la collecte de preuves, plus de contraintes de planification et un chemin plus long vers une certification que vous n'auriez pas eu besoin de prolonger.
Les organisations qui se certifient le plus rapidement maintiennent généralement un périmètre resserré et une déclaration d'effectif irréprochable dès le premier jour. De nombreuses tâches du SMSI, comme la documentation des politiques, ne varient pas avec l'effectif, mais les jours d'audit, si, donc un périmètre lean et bien documenté est l'un des rares leviers qui raccourcit à la fois l'audit et les perturbations internes qui l'entourent. Obtenir le bon chiffre dès la première fois évite également les corrections gênantes en cours d'audit, que les auditeurs remarquent et que les organismes de certification n'apprécient pas.
— Martin
Transformez votre liste de rôles en un chiffre budgétaire réel
Un outil de planification ISO 27001 dédié peut offrir un chemin plus rapide depuis un effectif documenté vers une estimation de jours d'audit et de coûts, plutôt que de travailler à froid à travers le processus de devis d'un certificateur. Une fois que vous avez mappé vos rôles dans le périmètre en suivant les étapes ci-dessus, vous pouvez les saisir directement dans un calculateur conçu spécifiquement pour la planification ISO 27001, au lieu de déchiffrer un devis générique.
Commencez par l'évaluation gratuite de l'état de préparation ISO 27001, un contrôle de deux minutes qui identifie les points où vos hypothèses de périmètre et d'effectif doivent être affinées avant de contacter un certificateur. Ensuite, le calculateur SMSI vous permet de saisir votre périmètre, de lister vos rôles et prestataires, d'ajuster en fonction des hypothèses de regroupement et d'obtenir des comparaisons de référence pour valider vos chiffres par rapport au modèle de référence. Vous pouvez sauvegarder plusieurs scénarios, les comparer côte à côte et exporter un rapport PDF à remettre directement aux organismes de certification lors de vos demandes de devis. Si votre organisation surveille également des contrôles de sécurité des données plus larges, des ressources comme le guide de sécurité des données de Tax Form Hero méritent d'être consultées en parallèle de votre planification ISO 27001. Lancez vos calculs avant votre prochain appel de devis.
Sources
Partagez la FAQ d'European Accreditation sur ISO/IEC 27006-1 lorsque vous discutez des réductions par regroupement, et référencez des tableaux pratiques de jours d'audit ou des guides de coûts de certification pour valider tout devis par rapport aux normes du secteur avant de signer.
- Question 48.6 Détermination de la durée d'audit selon ISO/IEC 27006-1:2024, détermination du nombre initial de personnes (C.3.4) - European Accreditation
- Combien de jours d'audit une certification ISO 27001 nécessite-t-elle, par effectif | StandardOS
FAQ
Que signifie ISO 27001 ?
ISO/IEC 27001 est la norme internationale pour les systèmes de management de la sécurité de l'information (SMSI), publiée conjointement par l'Organisation internationale de normalisation et la Commission électrotechnique internationale.
La certification ISO 27001 est-elle difficile à obtenir ?
La certification est accessible aux organisations de toute taille, mais l'effort varie en fonction de la complexité du périmètre et de l'effectif plutôt que de la difficulté de la norme elle-même. Un périmètre resserré et bien documenté avec un effectif dans le périmètre précis est le facteur déterminant pour un processus de certification fluide.
Quel est le coût habituel d'un auditeur ISO 27001 ?
Le coût de l'auditeur est calculé en multipliant les jours d'audit par un tarif journalier, et le nombre de jours est déterminé par des tableaux basés sur l'effectif plutôt que par un forfait fixe. Passer votre liste de rôles dans un outil comme le calculateur de coûts ISO 27001 vous donne une première estimation réaliste avant de contacter les organismes de certification.
Combien de contrôles de sécurité compte ISO 27001 ?
L'Annex A contient 93 contrôles organisés en quatre thèmes : organisationnels, liés aux personnes, physiques et technologiques.
Les salariés à temps partiel sont-ils comptabilisés dans l'effectif ISO 27001 ?
Oui, les salariés à temps partiel sont comptabilisés dans l'effectif dans le périmètre, généralement calculés comme une fraction d'un équivalent temps plein sur la base de leurs heures réelles travaillées sur des activités dans le périmètre.
Recommandé
- Plan de projet ISO 27001 sur 12 semaines : livrables semaine par semaine à copier
- Calculateur de coûts ISO 27001 - Estimations instantanées
- Rôles ISO 27001 pour les responsables de mise en œuvre : éviter trois constats d'audit
- 3 à 5 exemples d'enregistrements : étapes d'audit ISO 27001 que les équipes conformité doivent maîtriser