Délais de préparation : construire un calendrier crédible
Un calendrier crédible de préparation ISO 27001 ou SOC 2 part des prérequis et de la disponibilité des responsables. Il ne doit pas convertir une date commerciale souhaitée en garantie de certification. Pour un SaaS, la qualité des traces existantes et les dépendances techniques peuvent modifier les jalons. Le calendrier du cabinet externe doit être confirmé séparément. Pour SOC 2 Type II, la période examinée mérite une discussion explicite avec le cabinet CPA et l’acheteur.
Cadre de référence : source primaire du sujet. Les recommandations opérationnelles ci-dessous sont à adapter à votre organisation.
Fixer le résultat et la date d’usage
Demandez au client quel document il souhaite lire et à quel moment de son processus. Une date de réponse à un questionnaire n’est pas nécessairement la date de remise d’un rapport. Identifiez les preuves intermédiaires éventuellement acceptées. Le calendrier doit annoncer un résultat précis : diagnostic terminé, contrôles déployés, examen interne réalisé ou mission externe programmée. Ces jalons sont différents et ne doivent pas être présentés comme une certification déjà obtenue.
Examiner l’état initial
Vérifiez le périmètre, les procédures et les traces disponibles avant d’estimer la charge. Des pratiques déjà exécutées peuvent avoir une preuve insuffisante ; des modèles disponibles peuvent décrire des actions jamais réalisées. Distinguez ces situations. Faites apparaître les dépendances comme un inventaire préalable à une revue des accès, ou une clarification des objectifs avant un test de reprise. Un diagnostic de départ permet de discuter des jalons, mais ne garantit pas qu’aucun écart nouveau ne sera découvert.
Réserver le temps des responsables
Le CTO et la direction doivent pouvoir arbitrer les risques, valider les documents et faire réaliser les corrections. Le consultant ne remplace pas ces décisions. Pour chaque chantier, notez le responsable et les créneaux disponibles. Une migration produit ou un lancement commercial peut rendre certaines opérations difficiles. Prévoyez des marges de travail selon vos contraintes, sans annoncer un délai universel. La charge doit être discutée avec les équipes qui exécutent, pas seulement avec l’acheteur de la mission.
Séparer préparation et calendrier externe
Demandez au certificateur ou au cabinet CPA ses disponibilités et ses prérequis. Une date proposée par le préparateur ne vaut pas réservation externe. Pour SOC 2 Type II, confirmez la période et les contrôles qui doivent fonctionner pendant celle-ci. Pour ISO, faites préciser les étapes d’évaluation et le traitement des constats. Les corrections peuvent demander un nouvel examen. Le programme doit signaler ces points de dépendance plutôt que de présenter la décision finale comme un jalon entièrement maîtrisé.
Piloter les écarts et changements
Tenez un registre des blocages avec responsable, prochaine action et date de revue. Lorsque le périmètre change, réévaluez la charge et les engagements du calendrier. Un changement de fournisseur ou d’outil peut modifier les preuves, même si le produit reste le même pour le client. Expliquez rapidement les conséquences aux interlocuteurs concernés. Les communications commerciales doivent indiquer l’état réel de la préparation et les prochaines étapes confirmées, sans transformer une hypothèse de planning en promesse contractuelle.
Définir les conditions de passage entre jalons
Pour chaque étape, indiquez ce qui doit être disponible avant la suivante : périmètre validé, preuves organisées ou correction vérifiée. Une date seule ne dit pas si le projet peut avancer. Les conditions doivent rester réalistes et être discutées avec les responsables. Si elles ne sont pas remplies, le planning doit être réexaminé. La décision d’évaluation externe appartient à l’intervenant concerné ; un tableau de projet ne doit pas présenter cette décision comme une formalité automatique.
Exemple de travail, fictif
Exemple fictif : une équipe veut annoncer un rapport avant la prochaine négociation grand compte. Le diagnostic révèle que les revues d’accès ne sont pas tracées. Le CTO organise les contrôles futurs et discute avec le cabinet de la période examinable. Le CEO demande au client quelles preuves intermédiaires il accepte. Le calendrier distingue alors la préparation et le rapport futur. Aucune durée de prestataire ni date de certification n’est inventée pour rendre l’offre plus attractive.
Ce que votre dossier doit permettre de vérifier
- Le document attendu et sa date d’usage dans le processus client.
- Un diagnostic des pratiques et des traces disponibles.
- Des prérequis et responsables pour chaque chantier.
- Des disponibilités externes confirmées indépendamment du conseil.
- Un registre des blocages et une revue des hypothèses de planning.
Questions avant de décider
Peut-on garantir un audit en quelques semaines ?
Pas à partir d’une demande générale. Le périmètre, les prérequis et les disponibilités externes doivent être vérifiés. La décision finale n’appartient pas au préparateur.
Que faire si le client impose une date ?
Confirmez le document attendu et les preuves intermédiaires acceptables. Construisez ensuite les jalons avec les responsables et le cabinet, en indiquant les dépendances non maîtrisées.
Un changement d’outil peut-il retarder ?
Il peut affecter la collecte et la continuité des preuves. Gardez l’historique, décrivez la transition et faites examiner les conséquences avec l’intervenant compétent.
Préparer la suite du travail
Sources et portée de lecture
Les sources ci-dessous documentent le cadre ou le fait cité. Les propositions d’organisation sont des conseils de préparation à adapter à votre situation. Elles ne reproduisent pas le texte des normes et ne constituent pas une décision d’audit ni un avis juridique.