Réservez votre audit COFRAC 6 mois
à l'avance, ou attendez 12.
À lire tôt dans votre projet (idéalement mois 2), pas en fin de parcours. Les délais COFRAC en France sont de 6 à 12 mois en 2026 selon les organismes. Choisir mal, ou tard, c'est repousser votre certif de 6 mois.
« Mon DG m'a dit : "On verra le certificateur quand on sera prêt, dans 5 mois." Je viens de parler à Marc, RSSI senior. Il m'a regardé : "Tu plaisantes ? LRQA, c'est 8 mois d'attente. Tu réserves ton créneau MAINTENANT, sinon tu repousses ton audit à 2027." J'ai appelé 3 organismes. Le plus rapide : 6 mois. Le plus lent : 11 mois. Ce chapitre, je voudrais l'avoir lu il y a 3 semaines. »
Erreur classique : croire qu'on choisit le certificateur après avoir tout préparé. En réalité, on le choisit AVANT pour réserver son créneau.
1. Pourquoi anticiper : la réalité des délais COFRAC en France
Les organismes certificateurs accrédités COFRAC pour ISO 27001 sont peu nombreux (7 en France en 2026), tous sont saturés. Voici les délais constatés cette année.
Délais d'attente moyens 2026 (entre la signature du devis et le Stage 2)
2. Les 7 organismes accrédités COFRAC en France (panorama 2026)
Pour qu'un certificat ISO 27001 ait de la valeur en France, il doit être délivré par un organisme accrédité par le COFRAC. Voici le panorama 2026 avec les profils.
- Tech B2B SaaS / ESN
- Reconnaissance internationale
- Auditeurs techniques expérimentés
- Délais longs (8-10 mois)
- Tarifs élevés (5-8 k€ Stage 2 PME)
- Référence en France
- Multi-secteurs (ISO 9001, 14001, 27001)
- Auditeurs francophones
- Tarifs supérieurs à la moyenne
- Approche très formelle
- Délais courts (4-7 mois)
- Équipes UK/FR
- Bonne réactivité commerciale
- Moins connu en France pure
- Auditeurs parfois anglais (langue audit)
- Très répandu industrie
- Réseau auditeurs France large
- Bon rapport qualité/prix
- Moins spécialiste tech
- Approche orientée industrie
- Présent partout
- Multilingue
- Tarifs compétitifs
- Qualité d'audit variable selon auditeur
- Communication moyenne
- Délais courts (4-6 mois)
- Tarifs PME-friendly
- Approche pragmatique
- Moins reconnu B2B grand compte
- Récent sur ISO 27001
- Bonne couverture France
- Approche ingénieure
- Synergies ISO 9001 + 14001
- Récent sur ISO 27001
- Moins de retours d'expérience
3. Les 5 critères de choix (par ordre d'importance)
Délai d'audit
Combien de mois entre signature et Stage 2 ? Si urgence client, c'est éliminatoire.
Prix global 3 ans
Stage 1 + Stage 2 + audits surveillance N+1 et N+2 + recertif N+3. Compter le TOTAL, pas la première année.
Réputation auprès des clients
LRQA / AFNOR / BSI = reconnaissance maximale. Socotec / Apave = moins connus en B2B grand compte.
Spécialisation sectorielle
Tech : LRQA, BSI. Industrie : Bureau Veritas, Apave. Multi : AFNOR.
Langue d'audit et présence locale
Auditeur francophone disponible ? Bureau près de chez vous (déplacement coûte cher) ?
4. Le processus de candidature en 6 étapes
Demande de devis (J0)
15 minVous remplissez un formulaire web sur le site de l'organisme ou demandez par email. Vous recevez un questionnaire pré-audit (taille, périmètre, secteur).
Questionnaire pré-audit (J+5)
2 hVous complétez le questionnaire envoyé : effectif, sites, périmètre du SMSI, types de données, exigences spécifiques. C'est avec ça que l'organisme calcule le nombre de jours d'audit.
Devis reçu (J+10 à J+15)
À évaluerVous recevez un devis détaillé : Stage 1, Stage 2, audits surveillance N+1, N+2, recertif N+3. Tarif total 3 ans visible.
Signature du devis (J+20 idéalement)
Décision DGVous signez le devis et bloquez votre créneau d'audit. À partir de là, votre date Stage 2 est gravée. Acompte 30 % à la signature.
Calage logistique (J+45 ou ~3 mois avant Stage 2)
1 hL'organisme vous attribue l'auditeur (vous pouvez demander un CV). Vous calez les dates précises Stage 1 et Stage 2.
Lancement de l'audit (J-15 du Stage 1)
4 hVous envoyez votre dossier documentaire (PSSI, SOA, plan traitement, registre risques, rapport audit interne, PV revue direction).
5. Les 8 questions à poser au commercial (et 3 à éviter)
À poser systématiquement
- « Quel est votre délai actuel entre signature et Stage 2 ? » (réponse précise en mois attendue)
- « Combien de jours d'audit prévoyez-vous pour notre périmètre exact ? »
- « Quel est le coût TOTAL sur 3 ans (Stage 1+2 + 2 audits surveillance + recertif) ? »
- « Quel auditeur me sera attribué ? Puis-je voir son CV / années d'expérience ISO 27001 ? »
- « Pouvez-vous m'envoyer votre certificat d'accréditation COFRAC + portée ? »
- « Quelles sont vos références clients PME similaires à la nôtre ? Pouvez-vous m'en donner 2 ? »
- « Y a-t-il des coûts additionnels possibles (déplacement, prolongation, NC) ? »
- « Combien de jours de carence si on doit reporter le Stage 2 ? Et quelle pénalité ? »
À éviter (signaux de faiblesse)
- « Pouvez-vous me garantir le certificat ? » (le commercial dira non — or vous voulez un audit honnête, pas une garantie commerciale)
- « On peut négocier pour avoir un audit moins strict ? » (l'organisme refusera et vous fichera comme client à risque)
- « Connaissez-vous notre concurrent X qui est certifié chez vous ? » (briser la confidentialité)
6. Modèle de demande de devis (à copier-coller)
- Effectif total : [30 personnes]
- Effectif dans le périmètre : [15 personnes]
- Sites : [Paris (siège), aucun site secondaire]
- Périmètre : [Hébergement et exploitation de la plateforme SaaS X pour les clients sous contrat Premium]
- Datacenters : [OVHcloud Roubaix + Strasbourg]
- Aucune certification ISO antérieure.
- Devis pour Stage 1 + Stage 2 + audits de surveillance (N+1, N+2) + recertif (N+3)
- Délai prévisionnel entre signature et Stage 2
- Profil de l'auditeur prévu (CV, expérience tech)
- Numéro d'accréditation COFRAC + portée
- 2 références PME similaires
7. Les 4 vérités tacites du choix de certificateur
Récapitulatif du chapitre 13
- Réservez votre certificateur à J+20 du projet, pas en fin de parcours.
- 7 organismes accrédités COFRAC en France : LRQA, AFNOR, BSI, BV, SGS, Socotec, Apave.
- 5 critères : délai · prix 3 ans · réputation · spécialisation · langue.
- 3 devis minimum à comparer avant de signer.
- Vérifier le n° d'accréditation COFRAC sur cofrac.fr avant tout.
- Ne signez pas en décembre — délais explosent en fin d'année.
Vérifiez votre compréhension
Certificateur réservé. Le chapitre 14 vous explique comment prouver l'efficacité de votre SMSI (clauses 9.1 + 10).