La Déclaration d’Applicabilité (DdA / SoA) est le document central du SMSI ISO 27001. C’est le seul livrable que tous les auditeurs examinent en détail, et c’est souvent celui qui prend le plus de temps à produire. Sur les 14 SMSI accompagnés en 2024-2025, la DdA représente 35 à 45 % du temps de mise en conformité. Voici la méthode pour ne pas se perdre.
Le rôle exact de la DdA dans le SMSI
La DdA est exigée par la clause 6.1.3 d) d’ISO 27001:2022. Trois fonctions :
- Justifier pour chaque contrôle de l’Annexe A s’il est applicable ou non au SMSI
- Décrire la mise en œuvre du contrôle dans l’organisation
- Tracer le lien avec l’analyse de risque (quels risques ce contrôle traite)
Au moment de l’audit de certification, l’auditeur vérifiera ligne par ligne que ce qui est écrit dans la DdA correspond à ce qu’il observe sur le terrain. C’est l’épicentre de l’audit.
Structure obligatoire et colonnes recommandées
Exemple de ligne complète
| Champ | Contenu exemple |
|---|---|
| Code | A.5.23 — Sécurité des services cloud |
| Applicable | Oui |
| Justification | L’organisation utilise Microsoft 365, AWS et Salesforce |
| Mise en œuvre | Politique cloud documentée (PO-CLOUD-01), processus d’évaluation des nouveaux services cloud, restrictions Conditional Access sur M365, configuration AWS via SCP et baseline CIS |
| Risques traités | R-04 (fuite données SaaS), R-09 (shadow IT), R-15 (compromission compte cloud) |
| Référence documentaire | PO-CLOUD-01 v2.3, PR-CLOUD-EVAL-02 |
| Responsable | Architecte sécurité cloud (Sophie Archambault) |
| Statut | Implémenté à 100 % depuis 03/2026 |
| Preuves | Politique signée, registre d’évaluation cloud (Confluence), config M365 (export Defender), rapports CSPM AWS mensuels |
Process de construction en 6 étapes
- Cadrage du SMSI — sans périmètre clair, on ne sait pas si A.7.1 (sécurité physique) s’applique. Définir périmètre métier + sites + technologies en préalable.
- Inventaire des contrôles existants — quelles politiques sont déjà en place, quels outils déployés. Cette photo de l’existant accélère le remplissage des colonnes « mise en œuvre ».
- Mapping risques → contrôles — depuis l’analyse de risque (EBIOS RM ou ISO 27005), tracer pour chaque risque les contrôles Annexe A qui le traitent. Cela force à justifier l’applicabilité.
- Remplissage ligne par ligne — typiquement 2 demi-journées par bloc thématique (Organisationnel, Personnel, Physique, Technologique). Au total 8-12 demi-journées pour 93 contrôles.
- Revue qualité — relecture par un consultant senior ou un certifié Lead Implementer/Auditor. Vérifier la cohérence avec l’analyse de risque, les politiques, les preuves.
- Validation et signature — la DdA est signée par le Top Management (clause 5.1 ISO 27001). Daté, versionné, archivé.
Erreurs récurrentes en audit
1. Tout est applicable, rien n’est expliqué
Cas typique : 93 contrôles tous cochés « applicable », mises en œuvre génériques (« politique en place »). L’auditeur va creuser au hasard et trouver des trous. Toujours justifier finement.
2. Justification d’exclusion floue
« A.7.4 surveillance physique : non applicable, pas de site physique critique » ne tient pas si vous avez 200 collaborateurs en open space. Exclure un contrôle exige une vraie justification, mappée à votre analyse de risque.
3. Pas de lien avec l’analyse de risque
La clause 6.1.3 d) exige explicitement le lien risques → contrôles. Sans la colonne « risques traités », l’auditeur considère que la DdA n’est pas tracée à la matière première (les risques).
4. Statuts « à faire » jamais mis à jour
Une DdA avec 30 % de contrôles « en cours » depuis 18 mois sera vue comme un SMSI immature. Soit on met en œuvre, soit on documente pourquoi c’est repoussé (et c’est validé en revue de direction).
5. Pas de revue annuelle
La DdA doit être revue au moins une fois par an, et à chaque changement majeur du SMSI. Sinon elle vieillit silencieusement.
Une DdA bien construite est ce qui distingue un SMSI vivant d’un SMSI documentaire. Au moment de l’audit, c’est le seul document qui parle à la fois au consultant, à la direction et à l’auditeur — avec les mêmes mots et le même contenu.
À retenir
La DdA n’est pas un livrable, c’est un tableau de bord. Construite correctement, elle reste utile entre deux audits — pour piloter le SMSI, prioriser les actions, communiquer avec la direction. Construite à la va-vite, elle devient un document mort qui sera ré-écrit chaque année. La différence : le temps qu’on lui consacre au démarrage.
