Assurance Auditeur ISO 27001

Non. L'audit de systèmes de management n'est pas une profession réglementée : aucun texte n'impose à un auditeur établi en France de s'assurer, contrairement à un avocat, un expert-comptable ou un maître d'œuvre. L'exigence vient d'ailleurs. Les organismes certificateurs accrédités réclament une attestation nominative à leurs auditeurs sous-traitants, les grands comptes et les acheteurs publics la demandent dans le dossier de candidature, et beaucoup de contrats-cadres fixent un montant de garantie minimum. C'est donc une exigence contractuelle et non une obligation légale, mais elle bloque autant de missions qu'une obligation.

Pas par défaut. L'assurance d'un organisme certificateur couvre l'organisme et, le plus souvent, ses salariés dans l'exercice de leurs fonctions ; un auditeur externe intervenant sous contrat de prestation reste un tiers, avec sa propre responsabilité. La plupart des contrats de sous-traitance l'écrivent noir sur blanc et exigent une attestation à votre nom, renouvelée chaque année. Lisez aussi la clause de recours : si l'organisme indemnise le client puis se retourne contre vous, c'est bien votre RC Pro qui devra répondre, pas la sienne.

Vous êtes tenu d'une obligation de moyens, pas de résultat : un audit est un échantillonnage réalisé à un instant donné, sur un périmètre défini, à partir des preuves que le client vous présente. Ce qui peut vous être reproché n'est donc pas l'incident lui-même mais votre méthode : échantillon trop étroit, preuve acceptée sans test, écart minoré, absence de traçabilité de vos constats. La RC Pro finance la défense dès la mise en cause, y compris et surtout quand la réclamation est infondée, ce qui est le cas le plus fréquent dans ce métier.

C'est le point décisif du métier, car deux à quatre ans séparent souvent l'audit de l'incident qui le remet en cause. Les RC Pro sont majoritairement souscrites en base réclamation : c'est la date de la réclamation qui déclenche la garantie, pas celle de la mission. Vérifiez donc la reprise du passé, qui couvre vos audits antérieurs à la souscription tant qu'aucune réclamation n'était connue, et la garantie subséquente après résiliation ou cessation, dont le code des assurances fixe la durée minimale à cinq ans (L.124-5). Ne laissez jamais de trou entre deux contrats.

Vous n'êtes couvert que pour les activités déclarées. Auditer ISO 27001, ISO 27701, SOC 2, HDS ou évaluer un dispositif NIS 2 relève du même geste professionnel et se déclare sans difficulté, mais deux voisinages appellent de la vigilance. L'accompagnement à la mise en conformité et le rôle de RSSI externalisé vous exposent bien au-delà d'un rapport d'audit et doivent figurer explicitement au contrat. Le test d'intrusion, le scan de vulnérabilités et toute manipulation active du système du client sont fréquemment exclus ou soumis à extension : le risque n'est plus l'erreur d'appréciation, c'est l'indisponibilité que vous provoquez.

Un contrat professionnel n'est ni un contrat de consommation ni une assurance auto ou habitation : pas de rétractation de quatorze jours, pas de loi Hamon. Vous résiliez à l'échéance annuelle en respectant un préavis de deux mois (article L.113-12 du code des assurances). En dehors de l'échéance, un changement de situation qui modifie le risque — cessation d'activité, passage au salariat, changement de profession — ouvre une faculté de résiliation (L.113-16). Dans tous les cas, réglez la question de la garantie subséquente avant de partir : vos audits passés continuent de vous engager longtemps après la dernière facture.