Anatomie d'un litige : la non-conformité qui a coûté un marché à 1,2 M€

Une ETI industrielle vise la certification ISO/IEC 27001:2022, condition d'éligibilité à un appel d'offres public majeur estimé à 1,2 M€ sur trois ans. Le calendrier est tendu : le certificat doit être obtenu avant la date limite de dépôt.

L'auditeur, mandaté pour l'audit de certification, relève au stade 2 une non-conformité majeure : la gestion des accès à privilèges (mesure de l'Annexe A) ne dispose d'aucune preuve d'application effective. La politique existe sur le papier, mais aucun élément ne démontre sa mise en œuvre ni sa revue. Conformément aux règles d'accréditation, une non-conformité majeure interdit l'émission immédiate du certificat : un plan d'action et une vérification s'imposent, ce qui décale la date d'obtention.

Résultat : l'entreprise ne dispose pas du certificat à la date de l'appel d'offres. Elle est écartée. Le marché lui échappe. Et elle cherche un responsable.

Quelques semaines plus tard, l'auditeur reçoit un courrier d'avocat. L'entreprise conteste la qualification de la non-conformité. Son argumentaire ne nie pas l'écart : il soutient qu'il s'agissait d'une non-conformité mineure, n'empêchant pas la certification, et que l'auditeur a fait preuve d'un excès de sévérité ayant directement causé la perte du marché.

Le préjudice réclamé est détaillé :

Le montant est volontairement spectaculaire. C'est une stratégie classique : ancrer la discussion sur un chiffre élevé pour négocier une transaction « raisonnable » en cours de procédure.

Tout se joue sur la qualification de l'écart. Et c'est là que la rigueur méthodologique de l'auditeur fait toute la différence. Une non-conformité est majeure notamment lorsqu'elle révèle l'absence ou la défaillance totale d'une exigence du SMSI ; elle est mineure lorsqu'il s'agit d'un écart ponctuel n'affectant pas la capacité globale du système.

Dans notre cas, l'absence de toute preuve d'application sur une mesure aussi sensible que la gestion des accès à privilèges relève sans difficulté de la qualification majeure. L'auditeur dispose, pour le démontrer :

• De son plan d'audit détaillant le périmètre et les critères ;
• Des preuves consultées (ou de leur absence documentée) ;
• De la fiche de non-conformité motivée, référencée à la mesure concernée de l'Annexe A ;
• Du respect des règles de l'organisme certificateur sur le traitement des non-conformités majeures.

Sur le fond, sa position est solide : il a fait son métier. Céder à la pression et requalifier l'écart en mineur pour « débloquer » la certification aurait constitué une faute bien plus grave — attester un SMSI non conforme — et exposé l'auditeur, l'organisme et la victime finale d'un éventuel incident.

Voici la leçon centrale de ce sinistre : avoir raison sur le fond ne rend pas le litige gratuit. Reconstituons la facture supportée par l'auditeur, indépendamment de l'issue.

Soit, avant même toute condamnation, un coût de défense de l'ordre de plusieurs dizaines de milliers d'euros pour un auditeur indépendant dont une mission rapporte typiquement quelques milliers d'euros. Le déséquilibre est total : un seul litige peut effacer plusieurs années de marge.

À ce coût financier s'ajoute un coût psychologique souvent sous-estimé. Pendant les mois — parfois les années — que dure la procédure, l'auditeur doit reconstituer son dossier, répondre aux dires d'expert, justifier chaque choix méthodologique. Cette charge mentale grève sa capacité à travailler sereinement sur ses missions en cours. Certains professionnels, lassés, finissent par accepter une transaction qu'ils estiment injuste simplement pour en finir — un calcul que l'absence d'assurance rend d'autant plus tentant, puisque chaque mois de procédure pèse alors directement sur leur trésorerie personnelle.

Le danger d'un litige d'auditeur n'est pas tant de perdre que de devoir se défendre. Sur le fond, l'auditeur diligent gagne souvent. Sur le coût, il perd à coup sûr — sauf s'il est assuré.

Si l'auditeur dispose d'une assurance RC Pro calibrée pour son activité, le déroulé change radicalement. Dès la réception du courrier d'avocat, il déclare le sinistre. L'assureur :

1. Prend en charge la défense : avocat spécialisé et expertise technique financés, sans avance de trésorerie ;
2. Pilote la stratégie de contestation de la qualification du préjudice et du lien de causalité ;
3. Couvre les dommages immatériels dans la limite des plafonds — souvent 500 K€ à 1 M€, montants précisément exigés par les organismes certificateurs ;
4. Gère la négociation d'une éventuelle transaction, en protégeant les intérêts de l'auditeur.

Sur le préjudice réclamé, plusieurs leviers de défense jouent : la causalité indirecte (l'entreprise aurait pu anticiper son SMSI bien avant l'échéance), l'absence de faute (la qualification majeure était fondée), et la part de responsabilité de l'audité dans son propre défaut de préparation. La condamnation finale, lorsqu'elle survient, est généralement très inférieure au montant initialement réclamé.

Pour un auditeur ISO 27001, choisir un contrat couvrant explicitement les dommages immatériels liés à un rapport contesté, avec des plafonds alignés sur les exigences des certificateurs, n'est pas un détail : c'est la condition même de pouvoir relever une non-conformité majeure sans trembler. Comparez les garanties adaptées à votre exercice sur la page Auditeur ISO 27001, et pensez à la protection cyber pour les données sensibles que vos missions vous amènent à manipuler.