Définir le périmètre de certification : conseils et exemples
Vous vous apprêtez à entamer un processus de certification ? Il est alors essentiel de définir soigneusement le périmètre de certification. Le périmètre précise quelles activités, quels processus, quels produits, quels services et quels sites sont inclus dans la certification. Il doit être clair, complet et ne prêter à aucune confusion. Tout ce qui ne figure pas dans le périmètre ne sera pas évalué lors de l’audit de certification. Vous souhaitez savoir comment se déroule un processus de certification chez Brand Compliance ? Consultez notre guide Le processus de certification étape par étape.
Qu’est-ce qu’un périmètre de certification ? #
Le périmètre de certification décrit la nature, l’étendue et les limites de la certification. Il s’agit d’une description textuelle des activités, des processus, des produits ou des services de l’organisation couverts par la certification. Il précise clairement quelle partie de l’organisation est évaluée et certifiée. Un périmètre bien défini apporte de la clarté, fixe le cadre de la certification et permet à toute personne de comprendre immédiatement ce que couvre le certificat. Il doit indiquer précisément quelles activités, quels processus, quels produits ou quels services répondent aux exigences de la norme concernée.
Le système de management à certifier est défini sur la base d’un périmètre préalablement établi. Celui-ci est déterminé lors de la demande de certification. Sur cette base, Brand Compliance évalue si la demande entre dans le champ de son accréditation et si une offre peut être établie.
Processus de support #
Il n’est pas toujours nécessaire de mentionner explicitement les processus de support dans le périmètre de certification lorsqu’ils ne jouent pas un rôle significatif dans les activités certifiées. Les fonctions telles que le marketing, les ressources humaines ou les achats en sont des exemples. Cela ne signifie toutefois pas qu’elles soient automatiquement exclues de la certification. Lorsqu’un processus de support influence directement le processus principal, le service ou le produit fourni au client, il peut faire partie du périmètre. Le périmètre doit se concentrer sur les activités, les processus, les produits ou les services directement liés à ce que l’organisation fournit et maîtrise dans le cadre de son système de management.
Conseils pour rédiger un périmètre clair #
Lors de la rédaction du périmètre de certification, il est important d’utiliser une formulation factuelle, claire et non commerciale. Les recommandations suivantes peuvent vous aider :
- Définissez clairement ce qui est inclus dans le périmètre de certification et ce qui ne l’est pas.
- Décrivez les activités, les processus, les produits ou les services de manière concrète.
- Limitez l’utilisation des abréviations.
- Évitez les formulations ambiguës ou susceptibles de prêter à confusion.
- N’utilisez pas de qualificatifs subjectifs ou commerciaux tels que « haute qualité », « innovant » ou « leader du marché ».
- Utilisez des verbes d’action afin de décrire clairement les activités de l’organisation.
Exemple #
Préférez : Vente et réparation de véhicules.
Plutôt que : Concessionnaire automobile.
Lorsque plusieurs activités sont couvertes, il est recommandé d’utiliser une structure claire, par exemple sous forme de liste à puces. Cela permet d’éviter toute interprétation ambiguë du périmètre.
Exemple :
Sécurité de l’information relative au :
- développement, la mise en œuvre et la gestion de logiciels ;
- fourniture de services de gestion et de support ;
- gestion des données clients dans le cadre des prestations convenues.
Description du périmètre pour un SMSI (ISO 27001) #
Pour un système de management de la sécurité de l’information (SMSI), la description du périmètre est particulièrement importante. Elle précise à quelles informations, quels processus, quels systèmes, quels sites et quels services le SMSI s’applique.
Exemples de périmètre de certification ISO 27001 :
« Sécurité de l’information relative au développement, à la mise en œuvre et à la gestion de logiciels destinés au stockage, à la conservation et au traitement de données médicales dans le cadre des services de santé au travail, y compris la gestion des bases de données et des serveurs hébergés dans un centre de données externe situé dans l’Union européenne. »
« Sécurité de l’information relative au conseil, à la conception, au développement, à l’intégration, à la maintenance et à l’exploitation d’applications mobiles et web destinées au traitement de données de santé à caractère personnel, ainsi qu’à la fourniture de services d’hébergement externes associés. »
Description du périmètre pour la norme NEN 7510 #
Dans le cadre d’une certification NEN 7510, le périmètre doit préciser clairement quelles activités, quels produits ou quels services sont liés au traitement des informations de santé à caractère personnel. Lorsque certaines activités liées au traitement de ces informations sont externalisées, cela doit être explicitement indiqué dans la description du périmètre. Le lien avec les mesures applicables de la déclaration d’applicabilité (DdA) doit également être clair.
Exemple de description de périmètre :
Sécurité de l’information relative à la mise en place, à la configuration et à la gestion d’environnements informatiques destinés à l’automatisation des cabinets médicaux, dans lesquels les données de santé à caractère personnel sont traitées, tandis que la gestion des applications et le stockage de ces données sont partiellement externalisés.
Le périmètre et l’audit de certification #
La description du périmètre joue un rôle essentiel dans la préparation et le déroulement de l’audit de certification. Lors de l’audit d’étape 1, l’auditeur vérifie notamment si le système de management est suffisamment préparé et si le périmètre de certification a été correctement défini. Un périmètre clair permet de délimiter précisément l’audit et d’éviter toute ambiguïté quant aux activités, aux sites, aux processus ou aux services couverts par la certification.
Conclusion #
Une description claire du périmètre permet d’identifier précisément la partie de l’organisation couverte par la certification. Elle doit être factuelle, concrète et dépourvue de toute formulation commerciale. Décrivez clairement ce que fait l’organisation, pour qui, où et dans quelles limites s’applique le système de management.
