Checklist audit ISO 22301 : la liste de contrôle pour préparer votre certification en 2026

Ce qu'il faut retenir

Un audit de certification ISO 22301 vérifie des preuves, pas des intentions. Cette checklist reprend les exigences de la norme ISO 22301:2019, amendement climat de 2024 compris, et indique pour chaque point la preuve que l'auditeur demandera et le piège qui coûte le plus souvent une non-conformité. L'audit se déroule en deux étapes, puis le certificat vit trois ans avec un audit de surveillance chaque année. Les écarts que je vois le plus souvent avant un audit ne portent pas sur les documents, mais sur les exercices : pas d'exercice du tout, ou un exercice sans plan d'action.

À quoi sert une checklist d'audit ISO 22301 ?

Une checklist d'audit ISO 22301, ou liste de contrôle, sert à vérifier avant l'auditeur que chaque exigence de la norme est couverte par une preuve que vous pouvez montrer. Elle ne remplace ni votre Système de Management de la Continuité d'Activité (SMCA), ni votre Plan de Continuité d'Activité (PCA). Elle sert à trouver les trous avant que l'auditeur ne les trouve.

Je suis Thomas Scorticati, consultant indépendant en continuité d'activité chez Scort Conseil, certifié MBCI (Member of the Business Continuity Institute) et ISO 22301 Lead Implementer. J'ai construit cette checklist à partir des exigences de la norme et de ce que j'observe en préparation d'audit. Elle suit la version en vigueur en 2026, ISO 22301:2019, complétée par son amendement 1 de 2024. Selon la fiche de la norme publiée par l'ISO, la décision de la réviser a été prise en décembre 2025 et une nouvelle version est en cours d'élaboration. Tant qu'elle n'est pas publiée, c'est la version 2019 qui fait foi en audit.

Chaque ligne donne l'article de la norme, le point à vérifier, la preuve que l'auditeur demandera et le piège fréquent. Les numéros d'articles sont ceux de la version 2019. Méfiez-vous des listes qui circulent encore avec la numérotation de 2012 : la politique de continuité y figure en 5.3 au lieu de 5.2, et l'évaluation des procédures en 9.1.2 au lieu de 8.6.

Comment se déroule l'audit de certification ISO 22301 ?

L'audit de certification initiale se déroule en deux étapes, menées par un organisme certificateur accrédité. L'étape 1 vérifie que vous êtes prêt, l'étape 2 vérifie que votre système fonctionne. Le certificat est ensuite valable trois ans, avec un audit de surveillance chaque année.

Ce déroulé n'est pas propre à ISO 22301. Il découle de la norme ISO/IEC 17021-1, qui fixe les règles communes à toutes les certifications de systèmes de management, et chaque organisme le décline dans sa procédure. Bureau Veritas précise par exemple que le premier audit de surveillance intervient au plus tard 12 mois après la décision de certification. TÜV NORD France indique que l'audit de renouvellement suit la même méthode que l'étape 2.

Étape	Ce que l'auditeur vérifie	Ce qui peut bloquer
Étape 1	Le périmètre, la documentation, la compréhension de la norme et votre état de préparation à l'étape 2	Un périmètre flou, un audit interne ou une revue de direction qui n'ont jamais eu lieu
Étape 2	La mise en œuvre réelle et l'efficacité du SMCA, par entretiens, visites et examen des enregistrements	Une non-conformité majeure, qui suspend la certification jusqu'à sa correction
Surveillance (années 1 et 2)	Le maintien du système, le traitement des écarts précédents et une partie des exigences	Une non-conformité majeure non corrigée dans le délai fixé par l'organisme
Renouvellement (année 3)	L'ensemble du système sur le cycle écoulé, avant l'expiration du certificat	Un audit lancé trop tard, qui laisse expirer le certificat

Non-conformité majeure ou mineure : quelle différence ?

Dans les définitions reprises par les organismes certificateurs à partir de la norme ISO/IEC 17021-1, une non-conformité majeure affecte la capacité du système de management à atteindre les résultats attendus. Une non-conformité mineure ne remet pas cette capacité en cause. La nuance a des conséquences très concrètes. Une majeure bloque la délivrance du certificat tant que la correction et l'action corrective n'ont pas été vérifiées. Une mineure fait l'objet d'un plan d'action, en général vérifié lors de l'audit suivant.

Que vérifier sur le contexte, le leadership, la planification et le support (articles 4 à 7) ?

Sur les articles 4 à 7, l'auditeur vérifie que le cadre du SMCA est posé, porté par la direction et documenté. Ce sont les exigences qu'il examine en premier, souvent dès l'étape 1.

Un point s'est ajouté en 2024. Le communiqué conjoint de l'ISO et de l'IAF (International Accreditation Forum) du 22 février 2024 annonce l'ajout, dans l'article 4.1, de l'obligation de déterminer si le changement climatique est un enjeu pertinent, et dans l'article 4.2, d'une note sur les exigences climatiques des parties intéressées. L'IAF demande aux organismes certificateurs de vérifier que ce point a été traité, y compris quand l'organisation conclut que le climat n'est pas un enjeu pour elle. J'ai détaillé ce que cela change pour le PCA dans mon article sur ISO 22301 et le changement climatique.

Article	Point à vérifier	Preuve que l'auditeur demandera	Piège fréquent
4.1	Les enjeux internes et externes sont identifiés, changement climatique compris	Analyse de contexte datée, avec une conclusion explicite sur le climat	Aucune mention du climat, même pour conclure qu'il n'est pas pertinent
4.2	Les parties intéressées, leurs exigences et les exigences légales et réglementaires sont identifiées	Registre des parties intéressées, liste des exigences légales et réglementaires tenue à jour	Une liste réglementaire figée depuis le lancement du projet
4.3	Le périmètre du SMCA est défini et les exclusions sont justifiées	Déclaration de périmètre précisant sites, activités, produits et services	Un périmètre qui ne correspond pas à ce que l'auditeur voit sur le terrain
5.1 et 5.3	La direction s'implique et les rôles sont attribués	Lettres de nomination, comptes rendus de comités, présence de la direction aux exercices	Un sponsor nommé sur le papier qui ne connaît pas les activités prioritaires
5.2	La politique de continuité est établie, approuvée et communiquée	Politique signée, preuve de sa diffusion au personnel	Une politique approuvée mais inconnue des équipes interrogées
6.1 et 6.2	Les risques et opportunités du SMCA sont traités et les objectifs de continuité sont mesurables	Objectifs chiffrés avec responsables, échéances et suivi	Des objectifs vagues, impossibles à mesurer
7.1 et 7.2	Les ressources sont allouées et les compétences des acteurs du dispositif sont démontrées	Fiches de fonction, attestations de formation, feuilles d'émargement d'exercices	Des suppléants jamais formés ni exercés
7.3 et 7.4	Le personnel est sensibilisé et la communication est planifiée	Supports de sensibilisation, plan de communication interne et externe	Des collaborateurs qui ignorent leur rôle en cas de crise
7.5	Les informations documentées sont maîtrisées	Règles de gestion documentaire, versions, dates et droits d'accès	Trois versions du même plan en circulation

Que vérifier sur le BIA, les stratégies, les plans et les exercices (article 8) ?

L'article 8 est le cœur opérationnel de la norme. C'est là que l'auditeur vérifie que votre dispositif permettrait vraiment de tenir les activités prioritaires. Il couvre le Bilan d'Impact sur l'Activité (BIA), l'appréciation du risque, les stratégies et solutions de continuité, les plans et procédures, le programme d'exercices et l'évaluation du dispositif.

Le BIA concentre une bonne partie des questions. L'article 8.2.2 demande d'évaluer l'impact d'une interruption dans le temps et de fixer le délai au-delà duquel cet impact devient inacceptable, que j'appelle le Délai Maximal d'Interruption Admissible (DMIA). Il demande ensuite de fixer, à l'intérieur de ce délai, le moment où chaque activité doit redémarrer à une capacité minimale acceptable. Il exige enfin d'identifier les ressources et les dépendances des activités prioritaires, fournisseurs et partenaires compris. J'explique ce que doit produire cette analyse dans mon article sur le BIA.

Si votre BIA date d'avant votre dernière réorganisation, c'est votre priorité avant l'audit, parce que l'auditeur relie tout le reste à ce document. C'est le travail que je mène dans la mise à jour de votre BIA, avec des entretiens conduits directement auprès des opérationnels.

Point de vigilance : le vocabulaire du délai de reprise. La norme désigne par RTO (Recovery Time Objective) le délai de redémarrage d'une activité à capacité minimale. Pour distinguer le besoin métier de la capacité technique, je réserve le sigle RTO à la capacité de la Direction des Systèmes d'Information (DSI). Côté métier, je parle de DMIA pour l'activité et de BRTO (Business Recovery Time Objective) pour le besoin de reprise des applications. Je décris en clair le délai de redémarrage de l'activité que demande la norme. La même logique vaut pour les données : le BRPO (Business Recovery Point Objective) exprime la perte acceptable pour le métier, le RPO (Recovery Point Objective) ce que la DSI sait réellement garantir. Le jour de l'audit, l'étiquette compte moins que la preuve. L'auditeur doit retrouver, pour chaque activité prioritaire, un délai de redémarrage validé par le métier et non fixé par la DSI.

Article	Point à vérifier	Preuve que l'auditeur demandera	Piège fréquent
8.1	Les processus opérationnels sont planifiés et maîtrisés, y compris ceux confiés à des tiers	Contrats et engagements de continuité des prestataires critiques	Un prestataire critique sans aucune clause de continuité
8.2.1	Le BIA et l'appréciation du risque suivent un processus défini, revu à intervalles planifiés et après tout changement significatif	Méthode documentée, date et motif de la dernière revue	Un BIA jamais revu depuis une réorganisation
8.2.2	Les activités prioritaires, leur DMIA et leur délai de redémarrage à capacité minimale sont fixés	Rapport de BIA validé par la direction, comptes rendus d'entretiens avec les métiers	Des délais fixés par la DSI à la place des métiers
8.2.2	Les ressources et dépendances des activités prioritaires sont identifiées	Cartographie des dépendances, BRTO et BRPO exprimés par les métiers pour chaque application	Des dépendances fournisseurs oubliées
8.2.3	Les risques d'interruption sont identifiés, analysés, évalués et traités	Appréciation du risque et plan de traitement	Une cartographie des risques sans lien avec les activités prioritaires du BIA
8.3	Les stratégies et solutions couvrent les besoins issus du BIA et de l'appréciation du risque	Comparaison entre besoins (BRTO, BRPO) et capacités (RTO, RPO), arbitrage du risque résiduel validé par la direction	Une solution technique choisie sans référence au BIA
8.4	Une structure de réponse, une procédure d'alerte et de communication, des plans de continuité et de reprise existent	PCA, plan de gestion de crise, annuaire de crise, enregistrements des incidents	Un plan rédigé pour l'auditeur, inutilisable par ceux qui doivent l'appliquer
8.5	Un programme d'exercices valide les stratégies et solutions à intervalles planifiés	Programme d'exercices, rapports avec résultats, recommandations et actions d'amélioration	Pas d'exercice du tout, ou un exercice sans plan d'action
8.6	La documentation et les capacités de continuité sont évaluées	Résultats d'évaluation, revues après incident	Des retours d'expérience jamais réinjectés dans les plans

Point de vigilance : l'exercice sans plan d'action. C'est l'écart que je rencontre le plus souvent avant un audit, avec l'absence totale d'exercice. L'article 8.5 ne se contente pas d'exiger des exercices. Il demande qu'ils reposent sur des scénarios planifiés aux objectifs clairs, qu'ils donnent lieu à un rapport formel avec résultats, recommandations et actions d'amélioration, et que l'organisation agisse sur ces résultats. Un exercice réussi sans rapport ni action ne prouve rien à l'auditeur. Si vous n'avez encore rien exercé, un exercice sur table d'une demi-journée suffit pour produire une première preuve exploitable, à condition que le débriefing débouche sur un plan d'action daté. Je conçois et j'anime ce format, rapport de débriefing compris.

Que vérifier sur l'audit interne, la revue de direction et l'amélioration (articles 9 et 10) ?

Sur les articles 9 et 10, l'auditeur vérifie que le système se surveille et se corrige lui-même. Sans audit interne ni revue de direction tracés avant l'étape 2, il vous manquera des preuves que la norme exige explicitement.

Article	Point à vérifier	Preuve que l'auditeur demandera	Piège fréquent
9.1	Ce qui est surveillé et mesuré est défini, et les résultats sont analysés	Tableau d'indicateurs avec méthode et résultats	Des indicateurs calculés mais jamais analysés
9.2	Un audit interne couvre le SMCA à intervalles planifiés, mené par des auditeurs objectifs	Programme d'audit, rapport d'audit interne	Un audit interne mené par l'auteur des plans
9.3	La direction revoit le SMCA à intervalles planifiés	Compte rendu de revue de direction avec décisions et actions	Une réunion tenue mais jamais formalisée
10.1	Les non-conformités sont traitées et leurs causes corrigées	Registre des non-conformités et des actions correctives	Des corrections sans analyse de cause
10.2	Le SMCA s'améliore en continu	Plans mis à jour après les exercices, les audits et les incidents	Un dispositif identique d'une année sur l'autre

Quels documents présenter le jour de l'audit ISO 22301 ?

La version 2019 de la norme impose quatorze informations documentées, et l'auditeur en demandera d'autres pour vérifier que vos pratiques correspondent à vos écrits. Les documents obligatoires ci-dessous suivent le recensement publié par Advisera dans sa liste mise à jour en octobre 2024.

Pour le cadre : la liste des exigences légales, réglementaires et autres (4.2.2), le périmètre du SMCA et la justification des exclusions (4.3), la politique de continuité (5.2), les objectifs de continuité (6.2) et les preuves de compétence des personnes (7.2).

Pour le dispositif : les plans et procédures de continuité (8.4), les traces des communications avec les parties intéressées, ainsi que les enregistrements des informations importantes sur une perturbation, des actions menées et des décisions prises (8.4.3.1).

Pour le pilotage : les résultats de surveillance et de mesure (9.1.1), le programme et les résultats d'audit interne (9.2), les résultats de la revue de direction (9.3), la nature des non-conformités et les résultats des actions correctives (10.1).

Le rapport de BIA et l'appréciation du risque ne figurent pas dans cette liste minimale. Ce sont pourtant les premières pièces qu'un auditeur demande, parce qu'elles sont le seul moyen de démontrer l'application de l'article 8.2. Quant aux rapports d'exercice, l'article 8.5 les exige expressément.

Comment utiliser cette checklist avant l'audit ?

Utilisez-la comme grille de votre audit interne, puis comme ordre du jour de votre revue de direction. Vous produisez ainsi les preuves des articles 9.2 et 9.3 tout en repérant les écarts.

Procédez en trois temps. D'abord, passez chaque ligne avec la personne qui détient la preuve, et notez ce qui manque plutôt que ce qui existe. Ensuite, présentez les écarts en revue de direction et faites décider qui les traite et pour quand, puisque cette décision devient elle-même une preuve. Enfin, préparez les personnes que l'auditeur interrogera. Un auditeur ne se contente pas de lire vos plans : il demande aux équipes ce qu'elles feraient. Un responsable qui découvre son rôle le jour de l'audit fragilise un dossier même complet.

Exemple terrain. J'ai accompagné Paragon Éditique jusqu'à la certification ISO 22301, obtenue en 4 mois sans aucune non-conformité lors de l'audit. Le BIA reposait sur douze entretiens avec les responsables d'activité. Avant l'arrivée de l'auditeur, chaque exigence de la norme avait sa preuve identifiée et son détenteur prêt à l'expliquer. C'est la démarche que je suis dans mon accompagnement ISO 22301, du diagnostic initial à l'audit de certification.

Une version PDF de cette checklist, avec une colonne de statut à cocher pour chaque ligne, est disponible sur demande. Vous trouverez comment la recevoir en fin d'article.

Questions fréquentes sur l'audit ISO 22301

Combien de temps un certificat ISO 22301 est-il valable ?

Un certificat ISO 22301 est valable trois ans. Pendant ce cycle, l'organisme certificateur réalise un audit de surveillance la première et la deuxième année, puis un audit de renouvellement avant l'expiration. Ce cycle découle des règles de la norme ISO/IEC 17021-1, communes à toutes les certifications de systèmes de management.

Faut-il avoir réalisé un audit interne avant l'audit de certification ?

Oui. L'article 9.2 exige des audits internes à intervalles planifiés, et l'article 9.3 une revue de direction. Si ni l'un ni l'autre n'a eu lieu avant l'étape 2, l'auditeur ne peut pas constater leur application. Bureau Veritas indique par exemple examiner le dispositif d'audit interne dès l'étape 1, qui sert à juger si l'organisation est prête pour l'étape 2.

Le BIA est-il obligatoire pour obtenir la certification ISO 22301 ?

Oui, l'analyse d'impact est une exigence de l'article 8.2.2. La norme impose le processus, pas un document intitulé BIA. Mais sans rapport écrit et validé par la direction, vous ne pouvez pas prouver que les activités prioritaires et leurs délais ont été déterminés. En pratique, le rapport de BIA fait partie des premières pièces que l'auditeur demande.

Combien de temps faut-il pour se préparer à l'audit ISO 22301 ?

Le délai dépend surtout de l'existant. Chez Paragon Éditique, la certification a été obtenue en 4 mois. Ce qui allonge le plus les délais n'est pas la rédaction. C'est l'enchaînement qui doit précéder l'étape 2 : réaliser au moins un exercice, en tirer un plan d'action, puis tenir l'audit interne et la revue de direction.

Passez à l'action

Cette checklist vous dit où vous en êtes. Elle ne vous dit pas dans quel ordre traiter les écarts quand l'audit approche. Si plusieurs lignes restent vides, faisons le point ensemble : réservez un créneau de 30 minutes via Calendly, sans engagement.

Pour recevoir la version PDF de la checklist, écrivez-moi via le formulaire de contact en indiquant la date prévue de votre audit.

Sources et références

ISO 22301:2019, Security and resilience, Business continuity management systems, Requirements (ISO, fiche de la norme, de son amendement 1:2024 et de sa révision)

IAF-ISO Joint Communiqué on Addition of Climate Change Considerations to MSS (IAF et ISO, février 2024)

Incorporating climate change considerations into management system standards (Conseil canadien des normes, 2024)

The certification process (Bureau Veritas)

Procédure de certification IMS (TÜV NORD France, révision 20)

ISO 22301:2019 List of mandatory documents (Advisera, Rhand Leal, mise à jour d'octobre 2024)

À lire également

Besoin d'accompagnement ?

Découvrez nos offres dédiées à la mise en place d'un PCA, à l'accompagnement ISO 22301 ou aux exercices de crise immersifs. Pour en savoir plus sur ma démarche, consultez la page À propos.