Comment et quand choisir le bon organisme de certification et le bon auditeur TISAX® ?

Table des matières

Introduction
Pourquoi cet article est-il spécifique à TISAX® ?
Organismes de certification et auditeurs
L'accréditation TISAX® n'est pas négociable
Critères de sélection d'un organisme de certification
Quand commencer le processus de sélection
Ce qu'il faut retenir
Que faire ensuite ?

Introduction

 
Vous avez pris la décision d'obtenir la certification TISAX®. Vous le faites pour des raisons de crédibilité, de confiance et de conformité. C'est une bonne décision.

Mais voici la partie dont personne ne vous avertit : comment et quand choisir votre organisme de certification et votre auditeur TISAX®. À première vue, c'est simple : Trouver un prestataire accrédité, réserver l'audit, obtenir le label. Facile, n'est-ce pas ?

Pas tout à fait. Dès que vous commencez à comparer les fournisseurs, les choses se gâtent rapidement.

Ce que vous apprendrez dans ce guide :

• La différence entre un organisme de certification et un auditeur - et son importance
• Ce que signifie l'accréditation ENX (et pourquoi elle n'est pas négociable)
• Le bon moment pour commencer à évaluer les fournisseurs (indice : plus tôt que vous ne le pensez)
• Critères de sélection clés pour séparer le bon grain de l'ivraie
• Comment éviter les retards, les mauvaises communications et les coûts excessifs ?

Pourquoi cet article est-il spécifique à TISAX® ?

 
Avant d'entrer dans le vif du sujet, il est important de comprendre quelque chose :

Ce guide s'adresse spécifiquement aux entreprises qui souhaitent obtenir la certification TISAX® et non à celles qui souhaitent obtenir la certification ISO 27001, SOC 2 ou d'autres cadres.

Pourquoi ?

En effet, le choix d'un organisme de certification pour TISAX® est fondamentalement différent.

Pour la plupart des normes (comme ISO 27001), vous trouverez des centaines d'organismes de certification dans le monde, tous accrédités par des autorités nationales différentes comme UKAS (Royaume-Uni), DAkkS (Allemagne) ou ANAB (États-Unis). Vous disposez donc d'un grand nombre d'options, ce qui est une bonne chose, mais aussi une source de confusion.

TISAX® ne fonctionne pas de cette manière.

TISAX® est régi par l'Association ENX, qui est la seule organisation à accréditer les organismes de certification pour cette norme. Si un prestataire n'est pas inscrit au registre officiel d'ENX, il ne peut pas effectuer d'évaluations TISAX® valides. C'est un point final.

Et comme TISAX® est encore relativement nouveau, le nombre d'organismes de certification disponibles est beaucoup plus restreint que pour ISO. Ce n'est pas une mauvaise chose. En fait, cela peut vous aider à accélérer votre sélection. Mais cela signifie que.. :

• Vous devez vous en tenir aux fournisseurs agréés par ENX.
• Vous avez affaire à un marché plus étroit, la disponibilité et la réactivité sont donc essentielles.
• Le choix d'un organisme ayant une expérience sectorielle pertinente est d'autant plus important que la diminution du nombre d'acteurs se traduit par une plus grande variabilité de la qualité.

Si vous optez pour TISAX®, ce guide vous expliquera comment évaluer le petit nombre de fournisseurs agréés et comment choisir celui qui correspond le mieux à votre champ d'application, à votre secteur d'activité et à vos attentes.

Si vous souhaitez obtenir la norme ISO 27001, vous aurez besoin d'une stratégie plus large que ce guide ne couvre pas.

Organismes de certification et auditeurs

 
C'est là que commence une grande partie de la confusion. Vous entendrez les gens utiliser presque indifféremment les termes "organisme de certification" et "auditeur", alors qu'il ne s'agit pas de la même chose.

Voyons les choses clairement :

Organisme de certification = L'organisation

Un organisme de certification est la société officiellement autorisée par ENX à délivrer des labels TISAX®. Il est responsable de la gestion du processus d'audit, de l'affectation des auditeurs, de l'examen des résultats et, en fin de compte, de la confirmation que votre organisation répond aux exigences de TISAX®.

Considérez-les comme l'organisation faîtière qui détient l'accréditation et s'occupe de l'administration.

Auditeur = La personne

L'auditeur est la personne (ou l'équipe) envoyée par l'organisme de certification pour évaluer votre organisation. Il examinera votre SMSI (système de gestion de la sécurité de l'information), interrogera votre personnel, vérifiera votre documentation et déterminera si vous atteignez le niveau de sécurité requis.

Les auditeurs sont soit des employés, soit des experts sous contrat travaillant sous l'égide de l'organisme de certification et ils restent indépendants et impartiaux.

L'importance de cette distinction

Voici pourquoi vous devriez vous en préoccuper :

• Votre expérience dépend des deux. Vous pouvez choisir un organisme de certification réputé, mais s'il vous assigne un auditeur inexpérimenté ou mal adapté, le processus peut encore déraper.
• Vous avez le droit de poser des questions sur l'auditeur. Lorsque vous demandez un devis ou une proposition, vous pouvez (et devez) poser des questions :
  • Qui effectuera l'audit ?
  • Quelle est leur expérience dans votre secteur ?
  • Parlent-ils la langue de votre équipe ?
  • Ont-ils contrôlé des entreprises de votre taille ou de votre complexité ?
• Ils jouent des rôles différents en matière de responsabilité. L'organisme de certification est responsable devant ENX, tandis que l'auditeur est responsable devant l'organisme. Si quelque chose ne va pas, c'est à l'organisme qu'il faut s'adresser. Mais c'est l'auditeur qui façonne l'expérience sur le terrain.

Pensez-y de la manière suivante : L'organisme de certification est la compagnie aérienne. L'auditeur est le pilote. Vous voulez que les deux soient compétents, fiables et adaptés à votre voyage.

Encore une chose à savoir

Dans de nombreux organismes de certification, la répartition entre les employés à temps plein et les contractants externes est fortement déséquilibrée - souvent 1:2 ou même plus en faveur des freelances.

Ainsi, si c'est l'organisme de certification qui signe votre certificat, il est fort probable que l'auditeur avec lequel vous travaillez soit un entrepreneur.

Ce n'est pas nécessairement une mauvaise chose - en fait, beaucoup de ces auditeurs sont des professionnels très expérimentés qui travaillent également comme consultants TISAX®® d'autres jours de la semaine. Bien entendu, ils ne peuvent pas vous auditer s'ils ont été consultants pour vous : Les règles d'ENX l'interdisent afin de garantir l'impartialité. Mais il est intéressant de noter les croisements dans l'écosystème.

Il est intéressant de noter que les tarifs journaliers des consultants TISAX® sont généralement légèrement plus élevés que ceux des auditeurs, ce qui reflète la flexibilité accrue et l'apport consultatif qu'ils fournissent. Si vous avez déjà travaillé avec un consultant, ne soyez donc pas surpris si son "collègue" d'audit vient du même monde.

Ce qu'il faut en retenir ?

Posez des questions. Sachez qui entre dans votre audit. Et assurez-vous qu'ils correspondent à votre taille, à votre secteur d'activité et à votre niveau de maturité.

L'accréditation TISAX® est non négociable

 
Vous le verrez partout : "Nous sommes accrédités", "Accrédités par ENX", "Auditeurs entièrement certifiés".

Cela semble impressionnant, mais qu'est-ce que cela signifie réellement ? Et pourquoi devriez-vous vous en préoccuper ?

Contrairement à d'autres normes (comme ISO 27001), pour lesquelles vous pouvez choisir parmi des centaines d'organismes de certification accrédités par diverses autorités nationales (comme UKAS ou DAkkS), TISAX® est géré uniquement par l'Association ENX.

En d'autres termes :

• Seuls les organismes de certification agréés par ENX peuvent effectuer des audits TISAX® valides.
• S'ils ne figurent pas sur la liste approuvée par ENX, ils ne peuvent pas délivrer un label TISAX® légitime.
• Période.

Ainsi, alors que dans d'autres cadres, l'"accréditation" est un signal de qualité, chez TISAX®, il s'agit plutôt d'un gardien. Soit ils sont acceptés, soit ils sont exclus. Il n'y a pas de zone grise.

Vous trouverez la liste officielle des fournisseurs d'audit TISAX® accrédités sur le site web d'ENX.

Critères de choix d'un organisme de certification

 
Vous avez donc confirmé qu'un fournisseur est accrédité ENX. C'est le strict minimum. Mais le plus dur reste à faire : choisir celui qui vous convient le mieux.

Car si chaque audit TISAX® suit les mêmes critères de base, l'expérience que vous vivez (le niveau de stress, la perspicacité, l'adéquation avec votre entreprise) peut varier considérablement en fonction de la personne que vous choisissez.

Voici ce qu'il faut vérifier :

1. Expérience sectorielle

Tous les auditeurs ne sont pas égaux, surtout lorsqu'il s'agit de comprendre votre secteur d'activité.

• Connaissent-ils votre secteur d'activité (par exemple, les équipementiers automobiles, les plates-formes en nuage, les start-ups technologiques) ?
• Ont-ils contrôlé des entreprises de votre taille et de votre complexité ?
• Comprennent-ils les risques réels que votre SMSI tente de maîtriser ?

Un auditeur qui "comprend" ne perdra pas de temps à poser des questions non pertinentes ou à se focaliser sur des domaines à faible risque.

2. Réactivité, soutien et premières impressions

Cette question est plus importante que la plupart des gens ne le pensent.

Comment s'est passé votre premier contact ? Ont-ils...

• Réagir rapidement ?
• Comprendre votre champ d'action et votre situation ?
• Expliquer les choses clairement, sans fioritures ni pression ?
• Proposer de vous mettre en relation avec une personne technique - et pas seulement des commerciaux ?

Nous avons tout vu :

• Un organisme de certification a mis trois semaines à envoyer une offre. Un autre a répondu en moins de 24 heures.
• L'un d'eux a envoyé un document Word obsolète dans un format pénible. L'autre a fourni un questionnaire en ligne propre et intuitif.

Les premières interactions vous disent souvent tout ce que vous avez besoin de savoir. S'ils sont lents ou vagues, ou s'ils se contentent d'envoyer une brochure générique, imaginez ce qu'il en sera au milieu de l'audit lorsque quelque chose d'urgent se présentera.

Vous ne vous contentez pas d'engager un service, vous vous engagez dans une relation. Choisissez quelqu'un qui se comporte comme un partenaire dès le premier jour.

3. Utilisation de la technologie

Demandez-leur quels outils ils utilisent pour gérer l'audit.

• Allez-vous envoyer des fichiers sensibles par courrier électronique ?
• Existe-t-il une plateforme sécurisée et conviviale pour le téléchargement des preuves ?
• Pouvez-vous suivre les progrès ou le retour d'information en ligne ?
• La documentation et les rapports seront-ils clairs à la fin de l'opération ?

Certains fournisseurs utilisent encore des feuilles de calcul et des portails obsolètes. D'autres proposent un processus rationalisé et moderne. Lorsqu'il s'agit de coordonner des équipes, cette différence a beaucoup d'importance.

4. Calendrier et disponibilité

Les audits TISAX® sont soumis à des contraintes de temps. Il se peut que vous souhaitiez respecter une date limite fixée par un client, vous aligner sur une étape interne ou renouveler un label arrivant à expiration, et tous les organismes de certification ne sont pas en mesure de respecter votre calendrier.

• De nombreux prestataires sont complets depuis des mois.
• D'autres peuvent avoir des auditeurs disponibles presque immédiatement.
• Les délais varient en fonction du champ d'application, de la région et des besoins linguistiques.

Ne vous contentez pas de demander un prix. Demandez quand ils peuvent commencer, combien de temps dure le processus et à quoi ressemblent les étapes.

5. Le prix (mais pas seulement)

Oui, les coûts des audits TISAX® varient, mais pas de façon spectaculaire. Certains prestataires proposent des forfaits, tandis que d'autres facturent des tarifs journaliers. En général, les prix varient entre 4 800 et 25 000 euros, en fonction de l'étendue et de la complexité de l'audit.

En fin de compte, les services d'audit TISAX® sont basés sur un processus standardisé et la plupart des fournisseurs connaissent les prix pratiqués par leurs concurrents. Par conséquent, vous ne constaterez pas de différences de prix significatives entre les audits TISAX®, contrairement aux variations de coûts plus importantes constatées pour les audits ISO 27001.

Demandez toujours des devis à au moins deux fournisseurs d'audit TISAX®. Non seulement pour comparer les prix, mais aussi pour évaluer votre expérience client initiale et l'assistance offerte par chaque fournisseur. Cela vous permettra de vous assurer que vous choisissez un partenaire qui répond à vos attentes en matière de service ainsi qu'à votre budget.

6. La réputation et la reconnaissance sont accordées

Lors du choix d'un prestataire d'audit TISAX, vous n'avez pas besoin de vous concentrer autant sur la réputation et la reconnaissance que pour la certification ISO 27001. Les évaluations TISAX sont régies de manière centralisée par l'Association ENX, avec des exigences normalisées, ce qui rend la réputation du prestataire moins critique que pour ISO 27001, où la reconnaissance internationale des organismes de certification peut avoir un impact significatif sur la crédibilité et l'acceptation de votre certificat.

Concentrez-vous plutôt sur l'adéquation, la disponibilité et l'expérience dans votre secteur spécifique.

Quand commencer le processus de sélection ?

 
Vous savez comment choisir le bon organisme de certification. Mais voici l'autre élément essentiel : le moment où vous devez commencer.

Le timing peut faire la différence entre votre calendrier de certification TISAX® et celui de votre audit, en particulier si vous avez une date limite pour un client ou une étape d'un projet liée à votre audit.

La réponse courte : Commencez dès que vous avez reçu l'"extrait du champ d'application"

Voici pourquoi :

• La plupart des organismes de certification sont complets pendant des mois, en particulier pour les audits de niveau 3 (sur site).
• La plupart des organismes de certification n'émettront un devis que si vous vous êtes déjà enregistré sur le portail ENX et que vous pouvez fournir l'"extrait du champ d'application".
• L'extrait du champ d'application est crucial car il définit les limites et l'objectif de votre évaluation de la sécurité de l'information. Cependant, l'alignement du périmètre et les clarifications préalables à l'enregistrement peuvent prendre plusieurs semaines, même si vous pensez être prêt.

Ce qu'il faut retenir

 
Obtenir la certification TISAX® est une décision stratégique, mais choisir le mauvais organisme de certification ou retarder la décision peut la transformer en un exercice douloureux et coûteux.

Voici ce qu'il faut garder à l'esprit :

• Seuls les organismes accrédités par ENX peuvent délivrer des étiquettes TISAX® valides. Pas d'accréditation = pas de label.
• Les auditeurs et les organismes de certification ne sont pas les mêmes. Vous engagez les deux, alors vérifiez-les en conséquence.
• La qualité de votre expérience d'audit ne se résume pas à la conformité technique. Regardez :
  • Expérience sectorielle
  • Utilisation d'outils modernes
  • Réactivité et soutien
  • Calendrier et disponibilité
• Faites confiance à vos premières impressions. Un devis lent, une procédure maladroite ou des réponses vagues aujourd'hui ne feront qu'empirer plus tard.
• Commencer le plus tôt possible

Quelle est la prochaine étape ?

 
Vous êtes prêt à choisir votre prestataire d'audit TISAX® - ou vous êtes encore en train de réduire votre liste de candidats ? Où que vous en soyez dans le processus, nous avons un moyen simple de vous aider :

Liste de contrôle de l'auditeur TISAX

Obtenez une liste de contrôle claire et pratique pour vous aider à comparer les prestataires, à poser les bonnes questions et à éviter des erreurs coûteuses.

Besoin d'une recommandation ou d'un deuxième avis ?

Nous avons travaillé avec de nombreux fournisseurs accrédités ENX et pouvons vous orienter dans la bonne direction en fonction de votre champ d'application, de votre calendrier et de votre secteur.

Il suffit d'envoyer un courriel à ix@isegrim-x.com pour obtenir la liste de contrôle de sélection des auditeurs TISAX® ou une recommandation.