Audit : dans les coulisses de la certification PASSI

Un processus relativement rapide

C’est en mai 2014 qu’I-Tracing s’est effectivement lancé dans le processus de certification. La première phase consiste essentiellement en la communication de modèles documentaires ou encore de justificatif relatifs aux auditeurs. « C’est très proche de ce que l’on retrouve la page amont d’autres certifications ». Un gros travail pour une structure modeste très mobilisée sur l’opérationnel. Le package requis n’a été ainsi transmis que fin juillet 2014. Après quelques aller-retours, l’éligibilité a été acquise à la fin du mois d’août.

Est ensuite venue la phase d’observation du siège : « c’est un audit de la manière dont on travaille, en tant qu’entreprise et qu’équipe ». Cette phase est complétée par une observation sur site des prestations d’audit, dont notamment la restitution aux clients. Mais pour cela, I-Tracing a dû faire face à un léger contretemps. Au bout de trois mois pour préparer un système d’information dédié aux activités d’audit et cloisonné pour assurer la confidentialité des données des clients, la visite du siège devait survenir fin novembre 2014. Au milieu d’un emménagement des équipes d’audit dans de nouveaux locaux qui ne s’est pas déroulé avec toute la fluidité espérée. Il a fallu en fait 4 mois pour finir l’emménagement. Les équipes de certification ont donc été amenée à revenir auditer le siège d’I-Tracing en juin 2015.

Des examens scolaires

Ce temps, le prestataire l’a mis à profit pour lisser les examens de ses auditeurs de sécurité entre janvier et septembre 2015. Des examens qui, pour Laurent Besset, présentent un certain décalage avec « le monde dans lequel on vit en 2015, avec beaucoup d’informations en ligne et où l’on est moins dans l’apprentissage par cœur que dans la capacité à intégrer des démarches et à trouver l’information ». Selon lui, d’excellents auditeurs pourraient ainsi se retrouver recalés à l’oral en particulier.

Positif, toutefois, Laurent Besset juge le processus très qualitatif : « quelqu’un qui n’a jamais fait de test d’intrusion pourra peut-être passer l’écrit, mais il ne réussira pas l’oral ».

Alors, certes, le processus de certification « reste une ISO ; il y a toute une partie où l’on a l’impression de passer l’ISO 9001 ou 9002 ». Mais il n’y a toutefois pas de redondance : « le processus est clairement dédié aux activités d’audit de sécurité ».

I-Tracing a obtenu sa certification PASSI début octobre 2015. Selon Laurent Besset, sans les imprévus, cela aurait pu ne prendre qu’un an. Surtout, « on peut l’obtenir en six mois avec de meilleurs conditions et en y accordant une plus grande priorité ».

Reste à mesurer les retombées économiques de la certification : « on ne sait pas encore ». Mais les clients existants semblent toutefois apprécier et certains ont encouragé I-Tracing durant le processus. Pour Laurent Besset, être certifié PASSI semble en tout cas être une bonne chose : « c’est en train de généraliser. Tout le monde va se retrouver sur un pied d’égalité ». Sauf les prestataires qui ne seront pas certifiés.