L'entreprise est-elle certifiée ISO 9001 ?

ISO 9001 versus ISO 27001 : quel certificat est visé ici

La question « l'entreprise est-elle certifiée ISO 9001 » porte sur le management de la qualité, non sur la sécurité de l'information. Cette distinction est souvent la première vérification pour un utilisateur expérimenté : certains portails clients copient les questions de certification à partir d'un modèle et confondent ISO 9001 avec ISO 27001, ou les posent successivement dans la même liste. La réponse est par définition un fait, non une estimation : l'entreprise possède un certificat ISO 9001 valide d'un organisme de certification reconnu, ou elle ne le possède pas. Il n'existe pas de forme intermédiaire — « en cours de certification » ou « fonctionner selon la norme sans certificat » ne constitue pas un « oui ».

Si l'entreprise n'est pas certifiée ISO 9001 mais est certifiée ISO 27001, c'est une réponse différente à une question différente : ces deux éléments ne doivent pas être fusionnés dans le dossier de chaîne, même si les questions semblent similaires dans certaines listes. Si l'entreprise n'en possède aucun, alors « non » est la bonne réponse — une question de suivi concernant les procédures de qualité internes sans certificat demande quelque chose de différent et mérite une source propre. L'incertitude sur ce qu'un client souhaite vraiment savoir avec une question de certification se pose plus souvent sur des thèmes connexes, comme pour la question si l'entreprise dispose d'une assurance responsabilité civile professionnelle : là aussi, la réponse est un fait vérifiable assorti d'une pièce justificative, non une explication qualitative.

Où la pièce justificative doit figurer

Pour un « oui », le dossier de chaîne doit contenir le certificat lui-même : nom de l'organisme de certification, date de validité et numéro du certificat. Sans cette pièce justificative, le système ne peut pas présenter un « oui », même si l'entreprise fonctionne selon la norme depuis des années. La source fournie concernant l'Annexe A de l'ISO/IEC 27001 porte sur les mesures de contrôle pour la sécurité de l'information et n'étaye donc pas une réponse ISO 9001 — cette séparation des deux normes est précisément la raison pour laquelle cette question demande un document source propre et distinct au lieu de réutiliser un certificat existant. Si le certificat approprié manque, la réponse reste « non » jusqu'à ce que la pièce justificative soit ajoutée, comparable à la manière dont également pour l'adresse d'établissement de l'entreprise un document source seul, aucune hypothèse, à un « oui » conduit.