De quoi se compose le coût d’une certification ?
De quatre postes, dont un seul est facturé par l’organisme de certification. Comparer des projets sur le seul devis d’audit, c’est oublier la plus grande partie de l’effort.
Poste | Contenu | Ce qui le fait varier |
|---|---|---|
Temps interne | Pilote de la norme, direction, fonctions concernées, auditeurs internes | Disponibilité réelle des pilotes, nombre de processus touchés |
Conseil et formation | Diagnostic, analyse de fond, documentation, formation des pilotes et des auditeurs internes, audit à blanc | Point de départ, périmètre, part du travail faite en interne |
Investissements | Compteurs (ISO 50001), mesures techniques de sécurité (ISO/IEC 27001), moyens de secours (ISO 22301), outils de diligence et de signalement (ISO 37001) | Écart entre l’existant et le niveau visé |
Audits de certification | Étapes 1 et 2, audits de surveillance, renouvellement au bout de trois ans, frais de déplacement | Effectif, sites, complexité, règles de durée de la norme |
Les investissements sont le poste le plus variable. Une usine qui a déjà un sous-comptage par atelier engage peu de frais pour ISO 50001 ; une PME dont les sauvegardes ne sont ni isolées ni testées peut découvrir, en préparant ISO/IEC 27001, des dépenses informatiques supérieures aux honoraires de conseil. Le diagnostic d’écarts sert d’abord à les chiffrer.
Qu’est-ce qui fixe la durée d’audit, norme par norme ?
Des règles écrites, propres à chaque norme, que l’organisme accrédité applique et documente. La durée se calcule ; elle ne se négocie pas.
Norme | Texte qui encadre l’organisme | Ce qu’il couvre |
|---|---|---|
ISO 50001 | Processus d’audit, compétences, durée d’audit, échantillonnage multisite | |
ISO/IEC 27001 | Exigences supplémentaires à ISO/IEC 17021-1 pour les organismes qui certifient les SMSI | |
ISO 22301 | ISO/IEC 17021-1 | Règles générales de certification des systèmes de management |
ISO 37001 | ISO/IEC 17021-1 | Règles générales de certification des systèmes de management |
Selon notre lecture, la durée ISO 50001 tient à la complexité énergétique du site (consommation, nombre d’énergies, nombre d’usages significatifs) et à l’effectif qui agit sur la performance énergétique ; la durée ISO/IEC 27001, à l’effectif du périmètre et à la complexité du système d’information. Les facteurs exacts figurent dans ISO 50003:2021 et ISO/IEC 27006-1:2024, textes payants ; pour ISO 22301 et ISO 37001, demandez à l’organisme sur quelle règle il fonde sa durée. Dans tous les cas, exigez le calcul détaillé dans l’offre.
Quand la norme s’ajoute à ISO 9001 dans un audit combiné, Global ACI-TECH-3-008 impose une méthode : calculer la durée de chaque norme séparément, additionner, puis ajuster. La réduction tient compte du niveau d’intégration, de la capacité de votre personnel à répondre sur plusieurs normes et des auditeurs compétents sur plusieurs normes ; elle ne dépasse jamais 20 % de la somme. La complexité d’un audit intégré peut au contraire allonger la durée, et le calcul est documenté.
Quels facteurs font varier le coût du projet, norme par norme ?
Le périmètre, le point de départ et la partie technique de chaque norme. Le tableau donne les facteurs que nous regardons au diagnostic.
Facteur | ISO 50001 | ISO/IEC 27001 | ISO 22301 | ISO 37001 |
|---|---|---|---|---|
Périmètre | Sites, ateliers, utilités | Systèmes d’information, sites, prestataires informatiques | Activités et sites couverts | Entités, filiales, intermédiaires |
Point de départ | Comptage existant, historique de données | Sauvegardes, droits d’accès, mises à jour, journalisation | Plans de secours existants, second fournisseur | Code de conduite, contrôles financiers, registre des cadeaux |
Analyse de fond | Revue énergétique | Appréciation des risques, déclaration d’applicabilité | Analyse d’impact (BIA) | Appréciation du risque de corruption |
Point dur fréquent | Fiabilité des données | Mesures techniques à déployer | Exercices réels, pas seulement sur papier | Diligence raisonnable sur des partenaires nombreux |
Pilote à mobiliser | Responsable chargé de l’énergie | Responsable de la sécurité de l’information, informatique | Direction, fonctions support | Fonction conformité, achats, finance |
Un groupe qui vise plusieurs de ces normes a intérêt à les séquencer : ISO/IEC 27001 et ISO 22301 partagent l’analyse des systèmes critiques et les scénarios de sinistre ; ISO 50001 partage avec ISO 14001 le registre des aspects et le plan de comptage.
Combien de temps faut-il prévoir ?
Le temps de construire le système, de le faire fonctionner, puis de le prouver. En pratique, les organismes attendent avant l’audit d’étape 2 au moins un cycle d’audits internes et une revue de direction sur le système en fonctionnement.
Norme | Ce qui allonge le projet | Ce qui le raccourcit |
|---|---|---|
ISO 50001 | Données à reconstituer, compteurs à installer avant la référence | Factures et production disponibles sur deux ou trois ans |
ISO/IEC 27001 | Mesures techniques à acheter et déployer, prestataires à mettre sous contrat | Informatique déjà maîtrisée, inventaire des actifs à jour |
ISO 22301 | Solutions de secours à négocier, exercices à programmer | Plan de secours existant, déjà testé |
ISO 37001 | Partenaires nombreux à évaluer, procédures financières à revoir | Contrôle interne solide, code de conduite en place |
Dans tous les cas, la disponibilité des pilotes pèse plus que la norme. Un pilote qui consacre une demi-journée par mois au projet n’avance pas au rythme d’un pilote qui y consacre une journée par semaine.
Comment maîtriser le coût sans affaiblir le système ?
En réutilisant le socle ISO 9001 et en choisissant bien le périmètre. Cinq leviers :
- Intégrer la norme au système existant : même maîtrise documentaire, même programme d’audit, même revue de direction ; voir notre guide des quatre normes.
- Combiner les audits avec ISO 9001 auprès d’un organisme accrédité pour les deux normes ; la mécanique est dans notre article sur le coût d’un audit combiné QSE.
- Fixer un périmètre juste : ce que le client ou le texte exige, sans tout englober d’emblée.
- Réutiliser les données : pour ISO 50001, le plan de collecte alimente aussi le questionnaire annuel de l’AMEE, et la certification exempte de l’audit énergétique obligatoire pendant sa validité (décret n° 2-17-746, art. 3) ; le pas à pas est dans notre article sur la revue énergétique ISO 50001.
- Former vos pilotes et vos auditeurs internes plutôt que d’externaliser durablement le système : notre domaine normes ISO et systèmes de management couvre les quatre normes. Inscrites au plan de formation, ces actions peuvent relever des contrats spéciaux de formation de l’OFPPT selon les règles de leur manuel de procédures (mai 2006, modifié par l’avenant n° 2 du 2 juin 2014), sans promesse de montant : voir ingénierie et financement CSF OFPPT.
Pour comparer deux offres d’organismes de certification :