ISO 27001 : les profils pour mener la certification

Un client exige un certificat ISO 27001 avant de signer, un appel d'offres le demande, ou la direction veut simplement structurer sa sécurité. Très vite, la même question se pose : qui va porter le projet ? Ce guide décrit les rôles dont une certification a réellement besoin, à quel moment, et lesquels méritent un recrutement plutôt qu'une mission ponctuelle.

Ce que demande vraiment une certification ISO 27001

La norme ISO/IEC 27001 décrit les exigences d'un système de management de la sécurité de l'information (SMSI). Elle ne dit pas quels outils installer. Elle demande que l'organisation définisse un périmètre, analyse ses risques, choisisse des mesures pour les traiter, les applique et prouve qu'elle s'améliore dans la durée.

Concrètement, le projet produit et fait vivre :

Un périmètre clair : quelles activités, quels sites, quels systèmes sont couverts.
Une analyse de risques et un plan de traitement validé par la direction.
Une déclaration d'applicabilité qui justifie, mesure par mesure, ce qui est appliqué ou exclu (l'annexe A de la version 2022 compte 93 mesures).
Des politiques et procédures utilisées pour de vrai par les équipes.
Des preuves : revues des droits, sauvegardes testées, gestion des correctifs, sensibilisation, suivi des fournisseurs.
Un audit interne et une revue de direction, exigés par la norme avant l'audit de certification.

L'audit de certification lui-même se déroule en deux étapes, menées par un organisme de certification : une revue documentaire, puis un audit sur le terrain. Le certificat est ensuite maintenu par des audits de surveillance réguliers. C'est ce dernier point que beaucoup d'entreprises sous-estiment : la certification n'est pas un projet, c'est un fonctionnement permanent.

Les rôles indispensables

Aucune organisation n'a besoin de recruter une personne par rôle. En revanche, chaque rôle doit avoir un titulaire identifié, sinon le projet cale.

Rôle	Mission dans le projet	Interne ou externe
Sponsor de direction	Fixe le périmètre, arbitre les risques, valide les moyens et la revue de direction	Toujours interne
Responsable du SMSI	Pilote le projet, tient le planning, coordonne les équipes, porte le dispositif après l'audit	Interne de préférence
Analyste ou consultant GRC	Analyse de risques, déclaration d'applicabilité, documentation, collecte des preuves	Interne, externe ou les deux
Référents techniques	Mettent en œuvre les mesures : accès, sauvegardes, journalisation, cloud, postes de travail	Interne (ou infogérant encadré)
Auditeur interne	Vérifie de façon indépendante que le SMSI fonctionne avant l'auditeur externe	Externe ou interne indépendant
Fonctions support	RH (arrivées, départs, sensibilisation), achats (fournisseurs), juridique ou DPO	Interne

Le responsable du SMSI, le rôle qui décide de tout

Dans les projets qui s'enlisent, on retrouve presque toujours le même symptôme : personne n'a le temps ni le mandat pour relancer les équipes. Le responsable du SMSI n'a pas besoin d'être le meilleur technicien de l'entreprise. Il doit savoir organiser, prioriser, obtenir des réponses de la DSI et présenter l'avancement à la direction.

Selon votre taille, ce rôle est tenu par le RSSI, par un analyste ou responsable GRC, ou par un profil plus senior recruté spécifiquement. S'il est confié à quelqu'un qui garde un poste opérationnel à plein temps, prévoyez qu'il passera toujours après l'urgence.

L'auditeur interne, un rôle à ne pas confier au pilote

La norme exige que l'audit interne soit objectif et impartial. La personne qui a construit le SMSI ne peut donc pas auditer son propre travail. Dans une structure de taille modeste, faire appel à un auditeur externe pour cette étape est souvent la solution la plus simple et la plus crédible.

Qui intervient à quelle étape

Les besoins changent au fil du projet. Les identifier à l'avance évite de recruter trop tôt un profil qui s'ennuiera, ou trop tard celui dont tout dépend.

Cadrage : sponsor, responsable du SMSI et, souvent, un consultant expérimenté (Lead Implementer) pour fixer le périmètre et le planning.
Analyse de risques : responsable du SMSI, analyste GRC, référents techniques et métiers. Beaucoup d'organisations françaises s'appuient sur la méthode EBIOS Risk Manager publiée par l'ANSSI.
Mise en œuvre des mesures : c'est la phase la plus longue et la plus technique. Les référents techniques sont en première ligne, l'analyste GRC suit les actions et documente.
Audit interne et revue de direction : auditeur interne indépendant, puis sponsor et responsable du SMSI.
Audit de certification : responsable du SMSI en interlocuteur principal, référents techniques disponibles pour démontrer leurs pratiques.
Maintien : responsable du SMSI et analyste GRC, sur la durée, avec des revues et des audits internes réguliers.

On voit ici pourquoi la combinaison la plus solide associe souvent un consultant pour le démarrage et un profil interne pour la suite. Le consultant apporte une méthode éprouvée. L'interne garde la mémoire du dispositif et le fait vivre quand la mission se termine.

Recruter, faire appel à un consultant, ou combiner

Option	Avantages	Limites
Consultant seul	Démarrage rapide, méthode éprouvée, regard extérieur	Le savoir part avec lui, le maintien du certificat reste à organiser
Recrutement interne seul	Connaissance de l'entreprise, continuité, coût maîtrisé dans la durée	Courbe d'apprentissage si le profil n'a jamais mené de certification
Combinaison	Méthode au démarrage, continuité ensuite, transfert de compétences	Demande un pilotage clair des rôles entre les deux

Si vous recrutez, un candidat qui a déjà vécu une certification, même dans un rôle secondaire, vous fera gagner beaucoup de temps. Il sait ce qu'un auditeur attend comme preuve et où se cachent les écarts habituels. Notre guide pour recruter un analyste GRC détaille les profils d'origine et une étude de cas d'entretien adaptée.

Les compétences à vérifier en entretien

Une certification ISO 27001 Lead Implementer ou Lead Auditor prouve qu'un candidat connaît la norme. Elle ne prouve pas qu'il sait la faire appliquer. Comme nous l'expliquons dans notre article sur les certifications en cybersécurité, ce qui compte est la démarche menée de bout en bout.

Posez des questions qui obligent à raconter du concret :

« Racontez-moi une certification à laquelle vous avez participé. Quel était votre rôle exact ? » Écoutez s'il parle du périmètre, des arbitrages et des difficultés, ou seulement du résultat.
« Comment avez-vous choisi les mesures exclues de la déclaration d'applicabilité ? » Un bon candidat relie chaque exclusion à l'analyse de risques et au périmètre.
« Une équipe ne fournit pas les preuves attendues à trois semaines de l'audit. Que faites-vous ? » Vous évaluez le sens des priorités et la capacité à obtenir des résultats sans autorité hiérarchique.
« Quel écart un auditeur vous a-t-il déjà remonté, et qu'avez-vous changé ensuite ? » Vous mesurez l'honnêteté et la culture de l'amélioration continue.
« Comment présenteriez-vous l'état du SMSI à un comité de direction en cinq minutes ? » Vous testez la clarté et le sens du message.

Pour les référents techniques, l'enjeu est différent : vérifiez qu'ils savent démontrer une pratique (une revue des droits, une restauration de sauvegarde) et pas seulement la décrire. Notre méthode pour évaluer les compétences en cybersécurité s'applique très bien ici.

Les erreurs fréquentes

Confier le projet sans mandat de la direction : les relances restent sans effet et le planning glisse.
Tout externaliser : le certificat est obtenu, puis le premier audit de surveillance révèle que plus personne ne tient le dispositif.
Produire une documentation que personne n'applique : l'auditeur vérifie la réalité sur le terrain, pas seulement les documents.
Choisir un périmètre trop large au premier cycle : mieux vaut un périmètre maîtrisé, puis l'étendre.
Oublier les fonctions support : arrivées et départs des collaborateurs, contrats fournisseurs et sensibilisation font partie des points examinés.
Recruter un exécutant pour un rôle de bâtisseur : un analyste junior peut très bien tenir un SMSI existant, mais rarement le construire seul.

En résumé

Une certification ISO 27001 réussie repose moins sur un expert unique que sur des rôles clairement attribués : un sponsor qui arbitre, un responsable du SMSI qui pilote, des référents techniques qui appliquent, un auditeur interne indépendant et une continuité assurée après l'audit. Identifiez les rôles qui manquent, décidez lesquels doivent rester en interne, et recrutez en priorité celui qui fera vivre le dispositif dans la durée. Si la certification s'inscrit dans un contexte réglementaire plus large, notre article sur les profils à recruter pour NIS2 complète ce panorama.

Vous préparez une certification ISO 27001 et il vous manque un profil pour la porter ? Chez Cyber Recrut, un recruteur et un praticien de la sécurité cadrent le besoin avec vous, et nos candidats présélectionnés prouvent leurs compétences sur des labs pratiques. Découvrez notre méthode ou parlez-nous de votre besoin.