Assurance Auditeur ISO 27701

Aucun texte n'impose la RC Pro à l'auditeur ISO 27701 : ce n'est pas une profession réglementée à assurance obligatoire, à la différence d'un architecte ou d'un expert-comptable. En pratique elle est exigée par contrat, ce qui revient au même : organismes de certification accrédités qui vous missionnent, cahiers des charges de marchés publics, clauses de sous-traitance des grands comptes et des ESN, avec un montant minimum de garantie et une attestation à jour. Distinguez bien l'obligation légale, inexistante ici, l'exigence du donneur d'ordre, quasi systématique, et la bonne pratique. Sans attestation, l'essentiel des missions vous est fermé.

Vous n'êtes pas garant du résultat. Vous êtes tenu d'une obligation de moyens, appréciée au regard du périmètre écrit de la mission, des preuves qui vous ont été remises et de l'état de l'art au moment de l'audit. Cela n'empêche pas d'être mis en cause : la RC Pro finance alors votre défense et l'expertise contradictoire, et indemnise la part de préjudice effectivement retenue contre vous. L'amende, elle, reste la sanction personnelle de votre client : sa répercussion sur l'auditeur est très discutée et généralement exclue des contrats. En revanche, la remédiation et le marché perdu sont indemnisables.

Oui, à condition que tout soit déclaré. L'audit de certification, le conseil en mise en conformité et la mission de DPO externe ne portent pas le même risque : le DPO externe endosse un rôle de vigie continue avec devoir d'alerte, très éloigné d'une photographie à un instant donné. Décrivez chaque activité et sa part de chiffre d'affaires, y compris les missions occasionnelles. Une déclaration inexacte non intentionnelle entraîne une réduction proportionnelle de l'indemnité (article L.113-9 du Code des assurances) : vous seriez payé au prorata et découvririez l'écart le jour du sinistre.

La plupart des RC Pro fonctionnent en base réclamation : c'est la date de la mise en cause qui déclenche la garantie, pas celle de l'audit. Deux clauses à vérifier. La reprise du passé, qui couvre les missions antérieures à la souscription tant que vous n'aviez pas connaissance du litige. Et la garantie subséquente, qui prolonge la couverture après résiliation ou cessation d'activité : le Code des assurances (article L.124-5) impose au minimum cinq ans. Un PIMS se juge souvent lors d'un contrôle deux ou trois ans après l'audit : ne résiliez jamais sans avoir vérifié ce délai.

Votre RC Pro est un contrat professionnel : ni délai de rétractation de quatorze jours, ni loi Hamon, ces dispositifs ne visent que les particuliers. Le principe reste la résiliation à l'échéance annuelle avec un préavis de deux mois (article L.113-12 du Code des assurances). Mais le passage de l'indépendance au salariat est un changement de situation professionnelle : lorsqu'il modifie réellement le risque garanti, il ouvre un droit de résiliation en cours d'année (article L.113-16), à demander dans les trois mois. Pensez alors à conserver une garantie subséquente pour les audits déjà signés en votre nom.

Les deux, sur des périmètres différents. La RC Pro indemnise le préjudice subi par un tiers du fait de votre faute : le client dont les données ont fuité par votre poste, la personne concernée qui vous assigne, les frais de notification qu'il a dû engager. Elle ne paie pas votre propre sinistre — reconstruction de vos systèmes, forensique, perte d'exploitation, extorsion — qui relève d'une garantie cyber distincte. Pour un auditeur qui manipule de vrais jeux de données, l'une ne remplace pas l'autre. Limitez de toute façon les exports et travaillez sur des échantillons pseudonymisés.