Auditeur et DPO chez le même client : le double chapeau qui fait tout basculer

La scène est banale. Vous accompagnez une entreprise vers la certification ISO 27701, le courant passe, et le dirigeant vous propose de devenir aussi son délégué à la protection des données. Deux missions chez un même client, une relation de confiance, un chiffre d'affaires récurrent : tout pousse à dire oui.

C'est précisément là que se loge un risque mal compris. Les deux fonctions reposent sur des logiques opposées :

• Le DPO conçoit, pilote et améliore le dispositif de conformité. Il est un acteur interne du système.
• L'auditeur évalue ce dispositif de l'extérieur, avec un regard neutre et distancié.

Demander à une même personne de piloter puis d'auditer le même système revient à lui demander de juger son propre travail. Le principe fondateur de toute certification, l'indépendance, vole en éclats. Et ce n'est pas qu'une question de déontologie : c'est une cause d'invalidation.

Le piège est d'autant plus pernicieux qu'il se referme lentement. Au moment de la signature, tout semble vertueux : le client gagne un interlocuteur unique qui connaît parfaitement son organisation, vous sécurisez une mission longue, et la qualité de l'accompagnement est réelle. Personne ne perçoit le défaut structurel, parce qu'il ne produit aucun effet visible tant que la certification n'est pas contestée. C'est précisément ce qui le rend dangereux : le risque dort dans le dossier jusqu'au jour où un tiers décide de le réveiller.

Deux corpus se superposent ici, et il faut les tenir ensemble.

Le cadre de la certification

Les normes encadrant l'accréditation des organismes de certification (famille ISO/IEC 17021) posent une règle nette : un auditeur ne peut pas auditer un système de management de protection de l'information pour lequel il a fourni du conseil ou exercé une fonction opérationnelle. Une période de carence s'applique généralement après une mission de conseil avant de pouvoir auditer le même client. Un DPO en poste est, par nature, un acteur opérationnel du PIMS : il ne peut pas en être l'auditeur de certification.

Le cadre du RGPD

L'article 38 du RGPD interdit au DPO tout conflit d'intérêts : il ne peut occuper une fonction qui le conduirait à déterminer les finalités et moyens d'un traitement, ni à se contrôler lui-même. La CNIL a une lecture stricte de cette incompatibilité.

S'auditer soi-même n'est pas une zone grise : c'est une non-conformité au cadre même que vous êtes censé faire respecter. Un audit ainsi vicié peut être annulé et la certification du client retirée.

Il faut bien comprendre que ces deux cadres ne se recouvrent pas parfaitement, et qu'ils s'additionnent. Le cadre de la certification protège la crédibilité du label ISO : un audit non indépendant est sans valeur probante, quel que soit son sérieux technique. Le cadre du RGPD, lui, protège l'effectivité de la fonction de DPO : un DPO juge et partie ne peut plus exercer son rôle de contrôle indépendant. Vous pouvez donc être en infraction sur l'un, sur l'autre, ou sur les deux. Dans le cumul auditeur-DPO chez un même client, vous l'êtes généralement sur les deux à la fois, ce qui ferme toute échappatoire argumentative.

Imaginons que vous ayez cumulé les rôles, par méconnaissance ou facilité. Le risque ne se matérialise pas le jour de l'audit, mais plus tard.

Un concurrent du client, un partenaire exigeant, ou l'organisme d'accréditation lors d'une revue, découvre que l'auditeur était aussi le DPO. La conséquence est mécanique : l'audit est réputé non indépendant, donc nul. La certification ISO 27701 du client peut être suspendue ou retirée.

Pour le client, c'est un préjudice direct et souvent lourd : perte d'un marché conditionné à la certification, coût d'un nouvel audit par un tiers réellement indépendant, atteinte à l'image. Et il se retournera contre vous, l'auditeur qui aurait dû connaître et signaler l'incompatibilité.

Votre faute, ici, n'est pas une erreur technique d'audit : c'est un manquement à une obligation de conseil et de déontologie. Vous deviez alerter le client sur l'impossibilité de cumuler les rôles. C'est exactement le type de réclamation que couvre une assurance responsabilité civile professionnelle, à condition que les activités exercées aient été correctement déclarées.

Le préjudice du client se cumule par strates. D'abord le coût direct du nouvel audit, à faire intégralement reprendre par un organisme réellement indépendant. Ensuite le délai : pendant les semaines où sa certification est suspendue, il peut être écarté d'appels d'offres qui l'exigeaient comme condition d'éligibilité. Enfin l'atteinte réputationnelle, car la suspension d'une certification ISO laisse une trace auprès des partenaires. Quand ce client chiffrera son dommage et cherchera un responsable, c'est vers l'auditeur qui aurait dû signaler l'incompatibilité qu'il se tournera, et non vers lui-même qui ignorait la règle.

Rien ne vous interdit d'être à la fois auditeur ISO 27701 et DPO. Ce qui est interdit, c'est de cumuler les deux chez le même client sur le même périmètre. Voici comment organiser une pratique propre :

1. Séparer les clients : vous êtes DPO de l'entreprise A et auditeur de l'entreprise B, jamais les deux pour la même.
2. Respecter les périodes de carence : si vous avez conseillé un client, attendez le délai requis avant d'auditer son PIMS de certification.
3. Tracer les rôles par écrit : la lettre de mission précise sans ambiguïté en quelle qualité vous intervenez.
4. Documenter le refus : quand un client vous propose le cumul interdit, formalisez par écrit votre alerte sur l'incompatibilité. Cette trace est votre meilleure défense.

Cette hygiène déontologique réduit le risque de réclamation. Elle ne supprime pas le risque résiduel d'un litige où votre conseil serait contesté : c'est là que l'assurance prend le relais.

Le point que beaucoup négligent : une RC Pro ne couvre que les activités que vous avez déclarées. Si vous êtes assuré comme auditeur ISO 27701 et qu'une réclamation porte sur votre fonction de DPO non déclarée, vous risquez un refus de garantie au pire moment.

La fonction de DPO relève d'un régime de responsabilité spécifique (article 39 RGPD : information, conseil, contrôle, coopération avec la CNIL). Elle appelle souvent un plafond et des conditions distincts de ceux de l'audit. Concrètement :

• Déclarez chaque activité exercée : audit de certification, audit interne, due diligence, DPO externalisé.
• Vérifiez que le contrat couvre la responsabilité du DPO externe si vous exercez ce rôle.
• Assurez-vous d'un plafond cohérent avec l'enjeu : un DPO qui conseille mal expose son client à une sanction CNIL.

Pour cartographier l'ensemble de vos garanties selon les casquettes que vous portez, la fiche assurance auditeur ISO 27701 détaille les couvertures à articuler. Une déclaration exhaustive en amont vaut bien mieux qu'une discussion sur la garantie le jour du sinistre.