Analyse d’écarts : ce qui manque, et par où commencer

C’est la comparaison, exigence par exigence, entre un référentiel et ce qui existe chez vous ; on parle aussi de gap analysis. Elle dit où vous en êtes, ce qui manque pour la certification ou la conformité, et dans quel ordre le traiter.

À partir de 6 000 € HT en mission ponctuelle. Le prix dépend du référentiel visé, du périmètre (produits, équipes, systèmes) et de ce qui existe déjà. Elle est incluse dans chacun de nos accompagnements, dont elle est la première étape.

Non : ni ISO 27001, ni SOC 2, ni les réglementations ne l’imposent. Mais sans elle, on découvre les manques pendant l’audit, et on chiffre un projet sans savoir ce qu’il demande. Pour ISO 27001, elle ne remplace pas l’analyse de risques, que la norme exige : les deux se complètent.

L’analyse d’écarts part du référentiel : elle compare ses exigences à vos pratiques. L’analyse de risques part de votre activité : elle identifie les scénarios qui la menacent, puis décide de leur traitement. ISO 27001 exige la seconde, et c’est elle qui justifie le choix des mesures. Nos accompagnements commencent par les deux.

L’analyse d’écarts se fait au début : elle mesure le chemin à parcourir. L’audit interne se fait à la fin : il vérifie, avant l’audit de certification, que le système fonctionne comme il est décrit. Il doit être impartial ; nous ne réalisons donc pas celui d’un système que nous avons construit.

Oui. Les exigences se recoupent largement, entre ISO 27001 et SOC 2 par exemple, ou entre ISO 27001 et HDS, qui s’appuie sur elle. Une seule analyse examine une fois ce qui est commun, puis ce qui est propre à chaque référentiel. Le devis en tient compte.

Non. La feuille de route vous appartient : vous la menez seuls, avec nous ou avec un autre prestataire. C’est souvent la meilleure façon d’évaluer le travail avant de vous engager.