ISO 27001 et ISO 42001 : prouver la formation des collaborateurs le jour de l'audit

L'auditeur ouvre votre liste du personnel et retient trois noms : une recrue arrivée en mai, un administrateur système et un développeur freelance. Il demande ce que ces personnes ont suivi, quand, et comment vous avez vérifié que cela a servi. Une pile d'attestations ne répond qu'à une partie de la question. Le vrai risque n'est pas seulement une non-conformité : un registre antidaté la veille peut relever du faux, puni de trois ans d'emprisonnement et de 45 000 € d'amende. Voici ce que l'audit regarde, ce qui tient comme preuve, et les points de droit que le consultant ne traite pas.

Formation ISO 27001 et ISO 42001 : deux sujets derrière la même requête

Qui cherche « formation ISO 27001 » trouve surtout des cours de certification individuelle, pour devenir responsable de mise en œuvre ou auditeur. Ces cours ont leur utilité pour la personne qui pilote le projet ou conduit l'audit interne. Ils ne répondent pas à la question posée ici.

Le second sujet est moins visible : comment démontrer que les personnes qui travaillent dans le périmètre certifié savent ce qu'elles doivent savoir. Le développeur, l'équipe support, le commercial qui répond aux questionnaires de sécurité et le prestataire qui administre vos serveurs sont concernés. L'attestation de cours de votre responsable sécurité ne dit rien d'eux.

Cet écart explique bien des surprises. L'entreprise a soigné le parcours de deux personnes et n'a rien à montrer pour les soixante autres. Le sujet touche d'ailleurs le droit autant que l'organisation : ce dossier contient des données de salariés, engage l'employeur et sera relu par un tiers. Il s'inscrit dans le rôle de l'avocat dans la certification ISO 27001.

Ce que l'audit ISO 27001 vérifie sur la formation

La norme est payante. Ce qui suit repose sur des présentations publiques concordantes et sur l'intitulé des mesures, sans citation du texte. Contrôlez chaque point sur votre exemplaire.

Compétence : la clause 7.2 vise des rôles

La clause 7.2 s'adresse aux personnes dont le travail influe sur la sécurité de l'information. L'entreprise détermine les compétences attendues, s'assure que ces personnes les ont par leur formation, leur expérience ou leur parcours, comble les manques, puis évalue l'efficacité de ce qu'elle a fait. Elle conserve des informations documentées comme preuve. C'est l'exigence de trace la plus nette du sujet.

Deux conséquences. La formation n'est qu'un moyen parmi d'autres : un administrateur expérimenté peut prouver sa compétence par son parcours. Et l'évaluation d'efficacité est un maillon à part entière, celui que les dossiers oublient souvent.

Sensibilisation : la clause 7.3 vise tout le monde

La clause 7.3 demande que chaque personne travaillant sous le contrôle de l'organisation connaisse la politique de sécurité, sa propre contribution et les conséquences d'un écart. Selon les présentations disponibles, elle n'exige pas expressément de document. Ce serait pourtant une erreur de s'en contenter : sans trace, vous dépendez entièrement de ce que diront les personnes interrogées.

La mesure A.6.3 et la déclaration d'applicabilité

L'annexe A porte une mesure sur la sensibilisation, l'enseignement et la formation à la sécurité de l'information (A.6.3). Elle organise le programme que les clauses 7.2 et 7.3 supposent. Vérifiez que votre déclaration d'applicabilité y renvoie et qu'elle pointe vers le bon document : une entreprise passée par la version 2013 de la norme peut avoir gardé l'ancienne référence.

Comment l'auditeur teste ces exigences

Il procède par échantillon et par recoupement. Les pratiques décrites par les commentateurs sont constantes :

• il choisit des personnes dans la liste du personnel, souvent hors de l'équipe sécurité, et leur demande où se trouve la politique et ce qu'elles feraient en cas d'incident ;
• il compare ces réponses au registre et aux supports ;
• il regarde le parcours des nouveaux arrivants et des prestataires ;
• il demande comment les absences sont suivies.

Une réponse hésitante n'emporte pas une non-conformité à elle seule. Un écart répété entre plusieurs services peut y conduire. La norme applicable aux organismes de certification (ISO/IEC 17021-1) distingue la non-conformité majeure, qui touche la capacité du système à atteindre ses résultats, de la non-conformité mineure. Le classement revient à l'organisme, et ses conséquences se lisent dans son règlement. Dans la procédure publiée par TÜV Nord Vietnam, par exemple, le certificat ne peut être recommandé qu'après acceptation ou vérification des actions correctives. L'entreprise dispose de six semaines pour les communiquer, faute de quoi l'audit est réputé non réussi. Votre organisme peut prévoir un autre délai : lisez votre contrat de certification.

ISO 42001 : la même mécanique appliquée à l'IA

ISO/IEC 42001 reprend la structure des normes de système de management. D'après les présentations disponibles, ses clauses 7.2 et 7.3 suivent la même logique : compétences déterminées, écarts traités, efficacité évaluée, preuve conservée, sensibilisation à la politique IA pour toute personne sous contrôle. Son annexe A ajoute une mesure sur les ressources humaines (A.4.6), qui traite les compétences comme une ressource dont dépend le système d'IA.

Le contenu change, pas la preuve. Les rôles à couvrir sont ceux qui développent, valident, déploient ou supervisent un système, ainsi que ceux qui traitent une réclamation sur un résultat. Une personne chargée de contrôler les sorties d'un modèle doit comprendre ses limites et savoir quand l'arrêter. Une sensibilisation générale aux bons usages ne le démontre pas.

Ce que l'AI Act ajoute, et ce qu'il n'ajoute pas

Il faut éviter ici deux confusions. L'article 4 du règlement (UE) 2024/1689, réécrit par le règlement (UE) 2026/1744, demande aux fournisseurs et aux déployeurs de prendre des mesures pour favoriser la maîtrise de l'IA par leur personnel et les personnes qui agissent pour leur compte. Il précise qu'ils n'ont pas à garantir un niveau donné pour chaque individu. Il ne réclame pas la forme de preuve qu'attend un auditeur ISO.

L'article 26, § 2, est plus exigeant sur son terrain : le déployeur d'un système à haut risque confie le contrôle humain à des personnes qui ont les compétences, la formation et l'autorité nécessaires. Ce régime s'appliquera à compter du 2 décembre 2027 pour les systèmes de l'annexe III. Enfin, un dossier ISO 42001 bien tenu ne vaut pas conformité à l'AI Act : préparer ISO 42001 et l'AI Act en même temps suppose de garder les deux grilles séparées.

Dossier de preuve de formation : les sept pièces utiles

Cette liste est une méthode, pas un extrait de la norme. Elle découle des exigences ci-dessus et se relie à la déclaration d'applicabilité.

1. La matrice des compétences. Pour chaque rôle du périmètre : ce qui est attendu, comment c'est acquis, comment c'est vérifié. C'est elle qui justifie le reste.
2. Le plan annuel. Publics, thèmes, responsables, déclencheurs : arrivée, changement de poste, nouvel outil, incident.
3. Les supports versionnés. L'auditeur et, le cas échéant, un juge voudront savoir ce qui a été dit à la date de la session, et non ce que dit le support d'aujourd'hui.
4. Le registre de suivi. Date, intitulé, intervenant, participants, signature ou trace de connexion. Une invitation prouve une invitation.
5. L'évaluation d'efficacité. Quiz, mise en situation, confirmation du responsable, ou indicateur de résultat comme le taux de signalement des incidents. Le choix vous appartient, à condition de l'écrire et de l'appliquer.
6. Le suivi des écarts. Absents, relances, retards, décisions prises. Un taux de 100 % est moins crédible qu'un écart expliqué.
7. Le passage en revue de direction. Le bilan du programme y figure, avec ses limites et ses moyens, car c'est la direction qui arbitre. L'audit interne l'a idéalement contrôlé avant l'auditeur externe.

Scénario type : un éditeur SaaS face à trois noms

Prenons un éditeur SaaS fictif de 70 salariés, certifié depuis deux ans, en audit de surveillance. Pour la recrue, le registre montre la session d'intégration, mais le support affiché date d'avant sa nouvelle procédure d'incident : l'écart se corrige par une mise à jour datée. Pour l'administrateur, aucune session récente, mais la matrice renvoie à son expérience et à son évaluation par le responsable sécurité : le dossier tient. Pour le freelance, rien. Le contrat ne dit pas qui répond de sa compétence et il n'a jamais vu la politique. C'est ce dernier point qui expose l'entreprise, et il ne relève pas d'une session de plus. Il relève du contrat.

Preuve de formation reconstituée : le risque dépasse l'audit

La tentation est connue. L'audit approche, trois sessions n'ont laissé aucune trace, et quelqu'un propose de refaire la feuille de présence.

Point de vigilance. Le faux est l'altération frauduleuse de la vérité, de nature à causer un préjudice, dans un écrit qui peut établir la preuve d'un fait ayant des conséquences juridiques. Il est puni, comme son usage, de trois ans d'emprisonnement et de 45 000 € d'amende (Code pénal, art. 441-1). Aucune décision portant sur un dossier d'audit ISO n'a été relevée, et chaque élément devrait être établi au cas par cas. Mais une feuille antidatée remise à un certificateur, qui fonde ensuite un engagement envers vos clients, n'a rien d'un détail.

Une reconstitution honnête reste possible. Datez-la du jour où elle est faite, intitulez-la comme telle, indiquez ses sources, comme l'agenda, l'invitation ou le support, et gardez-les. L'auditeur préférera un écart assumé, avec une action corrective, à un document trop propre. Le salarié dont on a imité la signature, lui, n'aura aucune raison de se taire.

Le même raisonnement vaut pour les modules en ligne suivis pour le compte d'un collègue et pour les chiffres avancés hors de l'audit. Si vous écrivez « 100 % de nos équipes formées chaque année » dans un questionnaire de sécurité qui finit en annexe du contrat, cette phrase peut devenir un engagement. Son inexactitude peut ouvrir la voie aux dommages et intérêts (Code civil, art. 1231-1). Écrivez ce que votre registre démontre, à sa date. Les règles sur l'affichage du certificat lui-même sont traitées dans l'article sur le rôle de l'avocat.

Formation obligatoire en entreprise : ce que le droit du travail encadre

La norme dit ce qu'il faut démontrer. Le droit du travail dit comment l'imposer.

L'obligation de l'employeur existe sans ISO

L'employeur assure l'adaptation des salariés à leur poste et veille au maintien de leur capacité à occuper un emploi, notamment au regard de l'évolution des technologies (Code du travail, art. L6321-1). Le 5 juin 2013, la Cour de cassation a cassé un arrêt qui écartait tout manquement alors qu'un salarié n'avait reçu aucune formation de cette nature en seize ans (n° 11-21.255). L'absence d'usage par le salarié de ses droits individuels de formation n'y changeait rien.

Le 17 juin 2026, la chambre sociale a précisé l'autre versant (n° 25-10.517, F-B). La cour d'appel avait retenu un manquement pour une seule formation en vingt-huit ans, mais rejeté la demande de dommages et intérêts faute de préjudice justifié. Le pourvoi est rejeté : l'existence d'un préjudice relève du pouvoir souverain des juges du fond. Ces arrêts concernent la formation professionnelle en général. Ils rappellent seulement que le registre sert aussi l'employeur en cas de litige prud'homal.

Temps de travail, refus et sanction

Une session imposée par l'employeur place en principe le salarié à sa disposition : c'est la définition du temps de travail effectif (art. L3121-1). L'article L6321-2 vise les formations qui conditionnent une activité en application d'une convention internationale ou de dispositions légales et réglementaires : une norme volontaire n'y entre pas. Les autres formations relèvent de l'article L6321-6. Elles sont aussi du temps de travail effectif, avec maintien de la rémunération, sauf accord collectif ou, à défaut, accord formalisé du salarié dans une limite annuelle. Prévoyez donc la session sur le temps de travail, plutôt qu'un module à faire le soir.

Peut-on sanctionner le salarié qui refuse ou qui échoue ? Distinguons. Un échec au quiz n'est pas en soi un agissement fautif au sens de l'article L1331-1 et appelle plutôt un nouvel accompagnement. Un refus répété d'une session placée sur le temps de travail peut s'analyser en faute, sous réserve de la procédure disciplinaire (art. L1332-1 et L1332-2) et de la proportionnalité, que le conseil de prud'hommes contrôle (art. L1333-2). Aucune décision propre aux formations de sécurité de l'information n'a été relevée : avancez avec prudence, et écrivez les conséquences dans vos politiques.

Évaluation et tests d'hameçonnage

Un quiz nominatif qui évalue un salarié suppose une information expresse et préalable, des méthodes pertinentes et des résultats confidentiels (art. L1222-3). Un test d'hameçonnage qui identifie ceux qui cliquent recueille une information sur chacun : le dispositif doit avoir été porté à leur connaissance au préalable (art. L1222-4). Si le suivi permet de contrôler l'activité, les entreprises d'au moins 50 salariés consultent le CSE avant la décision (art. L2312-38). Traitez ces points avant le lancement : la preuve collectée au mépris de ces règles vous expose au moment où vous voulez l'utiliser.

Registre de formation et RGPD : montrer sans trop montrer

Le dossier est lui-même un traitement de données personnelles. La partie générale est traitée dans l'article sur la sensibilisation RGPD des collaborateurs : base légale, information, registre, durée. Reste une difficulté propre à la certification : un tiers va lire ces données.

• Minimisation. L'auditeur a besoin de vérifier un échantillon, pas d'emporter votre fichier (RGPD, art. 5, § 1, c). Montrez les lignes demandées, de préférence par consultation en séance, sans export.
• Résultats individuels. L'article L1222-3 rend les résultats confidentiels. Présentez un statut « validé » ou « à reprendre » plutôt qu'une note, sauf à pouvoir justifier la nécessité du détail.
• Contrat de certification. Vérifiez sa clause de confidentialité et la façon dont il traite les données consultées. Sa qualification RGPD mérite une ligne dans votre registre, sans automatisme : l'organisme exerce une activité propre.
• Information des salariés. Mentionnez que le suivi peut être consulté par l'organisme de certification.

Pour la conservation, aucun texte relevé ne fixe de durée propre à ces registres, et le référentiel de la CNIL sur les durées en ressources humaines ne les mentionne pas. Le principe de limitation s'applique (art. 5, § 1, e). Trois repères vous aident à décider : le cycle de certification, en général de trois ans, le délai de deux ans pour les actions sur l'exécution du contrat de travail, qui court du jour où le demandeur a connu ou aurait dû connaître les faits et non de la session (art. L1471-1) et le délai de droit commun de cinq ans (Code civil, art. 2224). Choisissez, justifiez, inscrivez. Après ce délai, un tableau agrégé suffit à conserver l'historique du programme.

Prestataires et freelances : prouver sans créer un lien de subordination

Les clauses 7.2 et 7.3 visent, selon leurs commentateurs, toute personne travaillant sous le contrôle de l'organisation, quel que soit son statut. L'article 4 de l'AI Act vise de son côté les personnes s'occupant des systèmes pour le compte de l'entreprise. Or le droit français ne traite pas un freelance comme un salarié.

Un travailleur indépendant immatriculé est présumé ne pas être lié par un contrat de travail, mais cette présomption tombe s'il existe un lien de subordination juridique permanente (Code du travail, art. L8221-6). L'obligation de suivre le même parcours que les salariés, sous contrôle et sous rappel à l'ordre, ne suffit sans doute pas à elle seule. Elle peut en revanche s'ajouter à d'autres indices. La réponse tient dans le contrat :

• une clause par laquelle le prestataire garantit les compétences nécessaires et fournit ses justificatifs à la demande ;
• la remise des règles de sécurité applicables à la mission, avec un accusé de réception ;
• pour une société de services, l'engagement de former son personnel et d'en attester, sans vous transmettre plus de données nominatives que nécessaire ;
• si le prestataire traite des données personnelles pour votre compte, l'engagement de confidentialité de l'article 28, § 3, b, du RGPD et les instructions de ses articles 29 et 32, § 4.

Cette organisation répond à l'auditeur tout en gardant au prestataire son autonomie. Elle se prépare avant la mission : obtenir une attestation d'une ESN à la veille de l'audit est une autre affaire.

Un seul dossier de preuve pour ISO, RGPD et vos clients

Bien construit, ce dossier sert plusieurs fois. Il répond aux questions d'un client qui audite son sous-traitant, nourrit la démonstration du RGPD et prépare NIS 2. La directive prévoit que les membres des organes de direction suivent une formation, encourage une formation similaire du personnel (art. 20, § 2) et inclut la formation à la cybersécurité dans les mesures de gestion des risques (art. 21, § 2, g). Elle n'est toutefois pas transposée : au 2 novembre 2026, aucune loi n'a été relevée au Journal officiel, et ces obligations ne s'appliquent pas encore en droit français.

Ne confondez pas pour autant les usages. Un dossier ISO conforme ne prouve ni la conformité au RGPD ni la qualité d'une défense devant la CNIL. Il établit que le système fonctionne, sur l'échantillon vu, à la date de l'audit.

Pour commencer, trois gestes suffisent. Relisez votre matrice de compétences avec le registre à côté, et notez chaque rôle sans preuve. Listez les prestataires du périmètre et leurs contrats. Faites valider l'évaluation et le suivi nominatif avant d'en étendre l'usage. Je ne certifie pas et je ne remplace pas votre consultant : je prends en charge le volet juridique de vos certifications ISO 27001 et ISO 42001, dossier de formation compris. Si un audit approche et que votre registre vous inquiète, nous pouvons regarder ensemble votre dossier avant l'auditeur.