Décrire le périmètre de certification : conseils et exemples
Vous êtes sur le point de démarrer un processus de certification ? Le périmètre de certification doit alors être décrit avec soin. Le périmètre précise les activités, produits, services et sites inclus dans la certification. La description du périmètre doit être claire, complète et non trompeuse. Tout ce qui se situe en dehors du périmètre de certification n’est pas évalué dans le cadre de l’audit de certification. Vous souhaitez savoir comment démarre un processus de certification chez Brand Compliance ? Consultez le processus de certification étape par étape.
Qu’est-ce qu’un périmètre ? #
Un périmètre décrit la nature, l’étendue et les limites de la certification. Il s’agit d’une description textuelle des activités, processus, produits ou services de l’organisation qui relèvent du périmètre de certification. La description du périmètre permet de préciser quelle partie de l’organisation a été évaluée et certifiée. Un périmètre bien défini apporte clarté, orientation et focus. Formulez le périmètre de manière à ce qu’un tiers comprenne immédiatement pour quelles activités le certificat a été délivré. Le périmètre doit indiquer clairement quelles activités, quels processus, produits ou services répondent à la norme concernée.
Le système de management à certifier est établi sur la base d’un périmètre défini au préalable. Le périmètre de certification est déterminé lors de la demande de certification. Sur la base de cette description, Brand Compliance peut évaluer si la demande relève du périmètre de son accréditation et si une proposition peut être établie.
Processus de soutien #
Il n’est pas toujours nécessaire de mentionner explicitement les processus de soutien dans la description du périmètre lorsqu’ils ne jouent pas un rôle important dans le périmètre de certification. Il peut s’agir, par exemple, du marketing, des ressources humaines ou des achats. Cela ne signifie pas que ces processus sont automatiquement exclus de la certification. Si un processus de soutien a une influence directe sur le processus principal, le service ou le produit fourni au client, il peut être pertinent pour le périmètre de certification. Concentrez donc la description du périmètre sur les activités, processus, produits ou services qui sont directement liés à ce que l’organisation fournit et à ce qui est maîtrisé dans le système de management.
Conseils pour une description claire du périmètre #
Lors de la description du périmètre, il est important d’utiliser une formulation factuelle, claire et non commerciale. Les points suivants peuvent vous aider à formuler une description claire du périmètre :
- Définissez clairement ce qui est inclus dans le périmètre de certification et ce qui ne l’est pas.
- Décrivez les activités, processus, produits ou services de manière concrète.
- Limitez l’utilisation d’abréviations.
- Évitez les formulations ambiguës ou trompeuses.
- N’utilisez pas d’appréciations subjectives ou commerciales, telles que « de haute qualité », « innovant » ou « leader du marché ».
- Utilisez des verbes pour indiquer clairement ce que fait l’organisation.
Par exemple :
« Vente et réparation de voitures. »
Au lieu de :
« Concessionnaire automobile. »
Lorsque plusieurs activités sont incluses, il est utile d’adopter une structure claire. Cela permet d’éviter que le périmètre soit interprété de manière trompeuse ou ambiguë. Dans ce cas, le périmètre peut par exemple être structuré à l’aide de puces :
« Sécurité de l’information relative à :
- la conception, la mise en œuvre et la gestion de logiciels ;
- la fourniture de services de gestion et de support ;
- la gestion des données clients dans le cadre des services convenus. »
Description du périmètre pour un SMSI #
Pour un SMSI, c’est-à-dire un système de management de la sécurité de l’information, la description du périmètre est particulièrement importante. Le périmètre indique clairement à quelles informations, quels processus, systèmes, sites et services le SMSI s’applique.
Exemples de description du périmètre pour une certification ISO 27001 :
« Sécurité de l’information relative à la conception, la mise en œuvre et la gestion de logiciels destinés au stockage, à la conservation et au traitement de données médicales en soutien aux services de santé au travail, y compris la gestion de bases de données et de serveurs dans un centre de données externe situé dans l’Union européenne. »
« Sécurité de l’information relative au conseil, à la conception, au développement, à l’intégration, à la maintenance et à l’exploitation d’applications mobiles et d’applications web destinées au traitement d’informations de santé à caractère personnel et à la fourniture de services d’hébergement externe associés. »
Description du périmètre pour NEN 7510 #
Pour une certification NEN 7510, le périmètre de certification doit préciser quelles activités, quels produits ou services concernent la gestion d’informations de santé à caractère personnel. Lorsque certaines parties de la gestion d’informations de santé à caractère personnel sont externalisées, cela doit ressortir clairement de la description du périmètre. Le lien avec les mesures de maîtrise applicables de la Déclaration d’applicabilité de l’organisation doit également être clair.
Un exemple de description du périmètre est :
« Sécurité de l’information relative à la mise en place, à la configuration et à la gestion d’environnements informatiques de bureautique dans lesquels des informations de santé à caractère personnel peuvent être traitées, lorsque la gestion applicative et le stockage de ces informations sont partiellement externalisés. »
Périmètre et audit de certification #
La description du périmètre joue un rôle dans la préparation et la réalisation de l’audit de certification. Lors de l’audit d’étape 1, l’auditeur évalue notamment si le système de management est suffisamment préparé et si le périmètre de certification est clairement décrit.
Un périmètre clair permet de bien délimiter l’audit et d’éviter toute incertitude quant aux activités, sites, processus ou services inclus dans la certification.
Conclusion #
Une description claire du périmètre indique quelle partie de l’organisation est incluse dans la certification. Elle doit être factuelle, concrète et non trompeuse. Évitez les formulations commerciales et décrivez ce que fait l’organisation, pour qui, où et dans quelles limites.
