ISO 22301 Foundation

Dix questions d'exemple de l'examen

Une par domaine de compétence, telles qu'elles apparaissent dans le simulateur.

1. D2 Exigences d'ISO 22301 - Clauses 4 à 10

   Conserveries Marceau détient un certificat ISO 22301, reçoit chaque année un audit de surveillance de son organisme de certification et, tous les deux ans, subit l'audit de deux grands clients au titre d'un droit d'audit inscrit dans leurs contrats d'approvisionnement. Fort de cet argument, le responsable du SMCA a cessé d'exécuter le programme d'audit propre à l'entreprise, au motif que le SMCA serait déjà audité deux fois. Comment faut-il juger cette décision au regard de la clause 9.2 ?

   1. Ce n'est pas acceptable : la clause 9.2 demande que l'organisme réalise des audits internes de son propre SMCA à intervalles planifiés, et les deux audits décrits ici lui sont tous les deux extérieurs.
   2. C'est acceptable tant que les rapports des clients et les constats de la surveillance sont portés à la revue de direction et que les actions qui en découlent sont suivies jusqu'à leur clôture.
   3. L'année concernée est couverte : un audit de surveillance examine exactement le même SMCA au regard de la même norme, il satisfait donc déjà la clause 9.2 chez Marceau.
   4. C'est inacceptable, mais pour une autre raison : la décision a été prise par le seul responsable du SMCA, alors qu'elle aurait été valable si la direction l'avait approuvée formellement en revue de direction.

2. D1 Principes et concepts fondamentaux d'un SMCA

   Quelle relation ISO 22313 entretient-elle avec ISO 22301 ?

   1. Elle ajoute un jeu d'exigences supplémentaires qu'un organisme certifié ISO 22301 devra satisfaire lors de son prochain audit.
   2. Elle donne des lignes directrices sur l'application des exigences d'ISO 22301, de sorte que rien de ce qu'elle contient ne peut être audité comme une exigence.
   3. Elle remplace ISO 22301 comme norme certifiable de la famille ISO 22300, à laquelle ISO 22301 n'apporterait plus qu'un simple glossaire de termes.
   4. Elle fournit le vocabulaire auquel ISO 22301 renvoie normativement, si bien que ses définitions tranchent tout terme discuté.

3. D2 Exigences d'ISO 22301 - Clauses 4 à 10

   Laboratoires Merville a externalisé la distribution sous froid de ses vaccins, une activité prioritaire, auprès d'un prestataire logistique titulaire d'un certificat ISO 22301. Le comité de continuité de Merville veut s'assurer que ce prestataire est capable de rétablir les livraisons dans le délai fixé par la propre analyse d'impact sur l'activité (BIA) de Merville. Quelle action correspond à ce qu'exige ISO 22301 ?

   1. Auditer le prestataire, Merville s'appuyant sur le droit d'audit prévu à son contrat, puisque le certificat a été délivré au regard du domaine d'application du prestataire et non des délais de rétablissement de Merville.
   2. Intégrer le prestataire au programme d'audit interne exigé par la clause 9.2 et enregistrer la visite comme un audit interne, au motif que l'activité externalisée relève elle aussi du domaine d'application du SMCA de Merville.
   3. Examiner en comité le plan de continuité d'activité du prestataire ainsi que son domaine d'application et les juger suffisants, puisqu'un plan approuvé par la direction du prestataire couvre la distribution sous froid.
   4. Demander au prestataire de s'auto-évaluer au regard des exigences de rétablissement de Merville et d'en transmettre le rapport, la clause 9.2 n'exigeant qu'un audit interne, et rien de plus.

4. D1 Principes et concepts fondamentaux d'un SMCA

   Un organisme certifié ISO/IEC 27001 envisage de mettre en place un SMCA fondé sur ISO 22301. Quelle affirmation décrit la relation entre ces deux normes ?

   1. Ce sont deux normes de système de management distinctes bâties sur la même structure harmonisée : ISO/IEC 27001 traite de la sécurité de l'information et ISO 22301 s'occupe de la continuité des produits et services.
   2. La certification ISO/IEC 27001 est un préalable à la certification ISO 22301, car un SMCA dépend toujours d'un système de management de la sécurité de l'information.
   3. ISO 22301 est une extension d'ISO/IEC 27001 consacrée à la disponibilité de l'information, de sorte que ses exigences sont déjà couvertes par les mesures de sécurité en place.
   4. Le recouvrement entre les deux normes est tel que satisfaire l'une vaut présomption de satisfaire l'autre, et qu'un seul audit mené au regard de l'une est accepté comme preuve valable des deux.

5. D2 Exigences d'ISO 22301 - Clauses 4 à 10

   Un groupe hospitalier a identifié les lois et les règlements applicables à la continuité de ses services lorsqu'il a mis en place son SMCA il y a trois ans, puis il a archivé la liste. Depuis, personne ne l'a revue. Qu'exige la clause 4.2 de l'organisme ?

   1. Recopier le texte intégral des lois, des règlements et des codes applicables dans les informations documentées du SMCA, pour que le personnel puisse les retrouver.
   2. Revoir la liste des exigences légales, réglementaires et contractuelles une fois qu'un incident, une réclamation ou un audit a révélé un manquement.
   3. Faire fonctionner un processus qui identifie les exigences applicables, en facilite l'accès et les évalue en continu, et tenir à jour l'ensemble de ces informations documentées.
   4. Transférer la responsabilité des exigences légales et réglementaires au service juridique de l'entreprise, qui demeure hors des limites définies du SMCA.

6. D1 Principes et concepts fondamentaux d'un SMCA

   Quel énoncé traduit le mieux ce que signifie la continuité d'activité dans ISO 22301 ?

   1. La capacité dont dispose un organisme pour continuer à fournir ses produits et services dans des délais acceptables et à une capacité prédéfinie pendant que se déroule une perturbation.
   2. L'ensemble des mesures techniques qui maintiennent les systèmes d'information de l'organisme disponibles et ses données sauvegardées dans un second centre de données.
   3. L'absence de toute perturbation, obtenue grâce à l'élimination anticipée de l'ensemble des causes susceptibles d'interrompre les activités prioritaires de l'organisme.
   4. Le processus consistant à ramener l'organisme à l'état exact où il se trouvait avant l'incident, avec le même effectif et la même capacité.

7. D2 Exigences d'ISO 22301 - Clauses 4 à 10

   Lors de la conception d'un SMCA, un dirigeant soutient que toute attente exprimée par une partie intéressée quelconque doit devenir une exigence du système. Comment faut-il juger cette position au regard de la clause 4.2 ?

   1. L'affirmation est trop large : la clause 4.2 demande à l'organisme de déterminer quelles parties intéressées sont pertinentes et lesquelles de leurs exigences le sont réellement pour le SMCA.
   2. Le dirigeant a raison : dès que l'organisme consigne une attente, la clause 4.2 la transforme automatiquement en exigence du SMCA.
   3. La position reste en deçà : la clause 4.2 reconnaît expressément les clients, les régulateurs et les actionnaires, dont les attentes lient l'organisme, mais ni les fournisseurs ni les salariés.
   4. La question est prématurée : les exigences des parties intéressées sont entièrement déterminées par l'analyse d'impact sur l'activité, qui n'a pas encore été menée à ce stade précoce.

8. D1 Principes et concepts fondamentaux d'un SMCA

   Quelle description correspond à ce qu'ISO 22301 attend d'un plan de continuité d'activité ?

   1. Des informations documentées qui guident l'organisme lorsqu'il répond à une perturbation et qu'il reprend et rétablit la fourniture de ses produits et services touchés.
   2. Un plan de traitement du risque énumérant les mesures retenues, leurs responsables et leurs échéances, pour réduire la probabilité d'une perturbation.
   3. Une procédure technique de reprise destinée à ramener les systèmes informatiques et leurs données dans l'état antérieur à la perturbation.
   4. Une déclaration des engagements de continuité d'activité de l'organisme, approuvée par la direction et mise à la disposition de ses parties intéressées.

9. D2 Exigences d'ISO 22301 - Clauses 4 à 10

   Un fournisseur d'énergie souhaite laisser l'un de ses quatre centres de service hors du domaine d'application de son SMCA parce que ce centre va fermer dans deux ans. Que permet ISO 22301 dans ce cas ?

   1. C'est permis dès lors que l'exclusion est documentée et expliquée et qu'elle n'affecte ni la capacité ni la responsabilité qu'a l'organisme d'assurer la continuité de ses produits et services.
   2. Ce n'est pas permis : dès lors que l'organisme recherche la conformité à ISO 22301, tous les sites et toutes les activités qu'il exploite doivent rester dans le domaine d'application du SMCA jusqu'au jour où ils cessent réellement de fonctionner.
   3. Aucune formalité d'aucune sorte n'est nécessaire, car la clause 4.3 laisse les limites, l'applicabilité et les exclusions du SMCA au seul jugement commercial de l'organisme.
   4. L'exclusion est valable à condition que ce centre soit couvert par un accord distinct, conclu par écrit avec ses clients, son régulateur et les autorités locales, et revu chaque année.

10. D1 Principes et concepts fondamentaux d'un SMCA

    Quel résultat l'analyse d'impact sur l'activité (BIA) produit-elle et non l'appréciation du risque ?

    1. Une liste priorisée des menaces susceptibles d'interrompre les activités de l'organisme, assortie de leur probabilité estimée et de leurs causes possibles.
    2. Une décision portant sur les options de traitement du risque que l'organisme appliquera aux menaces qu'il estime inacceptables pour lui.
    3. Une évaluation indiquant si les mesures de protection existantes maintiennent tolérable la probabilité d'une perturbation.
    4. L'identification des activités prioritaires de l'organisme ainsi que des délais à l'intérieur desquels chacune d'entre elles doit reprendre.

Répondez à ces mêmes dix questions dans le simulateur et voyez l'explication de chaque option, y compris des mauvaises. Il s'ouvre sans inscription →

À propos de l'examen officiel : le format, la durée et le nombre de questions sont fixés par l'organisme qui certifie et peuvent évoluer ; confirmez-les dans sa documentation avant de vous présenter. Ce matériel entraîne la norme, pas l'examen d'un organisme particulier : il sert donc aussi si vous vous certifiez ailleurs.