Thomas dirige un organisme de formation depuis six ans. Huit formateurs, une centaine de stagiaires par mois, une certification Qualiopi décrochée du premier coup. Le jour où il ouvre le questionnaire fournisseur envoyé par l’un de ses clients, une entreprise de taille intermédiaire qui lui confie la formation de ses salariés depuis trois ans, il bute sur une ligne à laquelle il n’avait jamais réfléchi : « Votre organisation dispose-t-elle d’une politique de sécurité de l’information conforme à l’ISO 27001 ou à un référentiel équivalent ? »

Il referme le fichier. Il le rouvrira demain.

La scène se répète de plus en plus souvent dans le secteur de la formation. Elle mérite mieux qu’un inventaire de sigles : une explication de ce que cette norme veut dire, pour vous, quand vous dirigez un OF (organisme de formation) et, tout autant, de ce qu’elle ne veut pas dire.

L’ISO 27001 est une norme internationale, publiée par l’ISO et l’IEC dans sa version de 2022, qui décrit comment une organisation structure la sécurité de ses informations. Elle repose sur un objet central, le SMSI (Système de Management de la Sécurité de l’Information), c’est-à-dire une manière organisée de décider ce que l’on protège, et comment.

Sa logique tient en un mot : la proportionnalité. La norme ne fixe aucun seuil universel. Elle demande que le niveau de protection colle aux risques réels de l’organisation. Une structure de dix personnes qui gère des dossiers de formation ne joue pas dans la même cour qu’un hébergeur de données bancaires, et la norme ne l’exige pas. Elle applique néanmoins la même méthode à toutes : recenser ce que l’on détient, mesurer ce que l’on risque, choisir en conscience ce que l’on protège. La version 2022 décline cette méthode en 93 mesures réparties en quatre familles, dont on ne retient que celles qui font sens pour son activité.

Retenez surtout ceci. Obtenir la certification n’a rien d’anodin : elle suppose une gouvernance documentée, une analyse de risques formalisée, une politique de sécurité écrite, des procédures, des audits internes, puis un audit mené par un organisme certificateur accrédité. On est très loin d’un simple classement de dossiers. C’est justement pour cela que la question mérite d’être posée avec justesse. La plupart des organismes de formation n’ont pas vocation à passer cette certification. Ce qui les concerne, en réalité, c’est la logique qu’elle porte.

Réponse franche : oui, et sans doute plus que vous ne l’imaginez.

Regardez ce que votre organisme manipule en une semaine ordinaire. Des conventions de formation signées avec des entreprises. Des feuilles d’émargement numérisées. Des dossiers de prise en charge échangés avec un OPCO (Opérateur de Compétences). Des dossiers CPF (Compte Personnel de Formation) déposés et suivis via EDOF, le portail géré par la Caisse des Dépôts. Ajoutez les données RH de vos formateurs salariés, les identifiants d’accès à vos plateformes, les coordonnées bancaires qui servent à facturer. Mis bout à bout, tout cela dessine un ensemble d’informations sensibles que vous n’aviez peut-être jamais regardé sous cet angle.

La perte, la fuite ou l’incohérence d’une partie de ces données ne reste pas sans suite. Un financement OPCO remis en cause, un dossier CPF rejeté lors d’un contrôle, un signalement à la CNIL (Commission Nationale de l’Informatique et des Libertés) dans les cas les plus lourds : le risque est concret, et il se paie. Pour les organismes qui travaillent avec des entreprises clientes d’une certaine taille, une pression supplémentaire s’ajoute, venue des donneurs d’ordre eux-mêmes. Nous y venons.

Voilà l’angle mort de la plupart des articles sur le sujet.

Qualiopi ne parle jamais de cybersécurité. Le Référentiel National Qualité (RNQ) sur lequel elle repose comporte pourtant deux indicateurs, les numéros 31 et 32 du socle commun, qui touchent à la même matière première : l’information et sa traçabilité. L’indicateur 31 porte sur le traitement des difficultés, réclamations et aléas rencontrés en cours de formation. L’indicateur 32 porte sur les mesures d’amélioration mises en œuvre à partir de l’analyse de ces retours. Pour démontrer l’un et l’autre le jour de l’audit, il faut que l’information soit archivée de façon fiable, retrouvable à tout instant, cohérente dans la durée.

Un auditeur Qualiopi qui découvre des conventions dispersées dans une boîte mail personnelle, des émargements scannés dans un dossier partagé sans historique, un suivi des apprenants éclaté entre trois outils qui ne se parlent pas n’a pas besoin de connaître l’ISO 27001 pour relever une faiblesse. La fragilité documentaire se voit à l’œil nu.

De là à conclure qu’un OF certifié Qualiopi « fait déjà de l’ISO 27001 », il y a un pas qu’il ne faut pas franchir. Qualiopi vous a obligé à structurer une partie de votre gestion documentaire : c’est un socle réel, mais partiel. La norme, elle, pousse cette même logique beaucoup plus loin, vers l’analyse de risques, la gestion fine des accès, la continuité d’activité, l’amélioration continue formalisée. Disons-le simplement : Qualiopi vous a mis sur le chemin, elle ne vous a pas emmené au bout.

Revenons au questionnaire de Thomas.

La directive européenne NIS 2, entrée en vigueur en 2023, relève le niveau d’exigence en cybersécurité pour des milliers d’entités classées « importantes » ou « essentielles » : grands groupes industriels, opérateurs numériques, infrastructures critiques. Sa transposition en droit français, portée par le projet de loi Résilience, a été adoptée par le Sénat en mars 2025, mais n’était toujours pas définitivement votée ni promulguée à l’été 2026. Le texte n’impose donc encore rien directement et, de toute manière, pas aux organismes de formation, qui ne figurent pas dans son périmètre.

Alors pourquoi ce questionnaire ? Parce que NIS 2 demande à ces grandes entreprises de sécuriser leur chaîne de sous-traitance. Lorsque l’une d’elles confie la formation de ses salariés à un OF externe, les données de ces salariés (noms, fonctions, résultats, connexions aux plateformes pédagogiques) transitent par votre système d’information. Les directions les plus structurées anticipent l’obligation à venir en interrogeant déjà leurs prestataires. Ce n’est pas encore une clause contractuelle systématique ; c’est une tendance de fond, et elle ne faiblira pas.

D’autres dynamiques poussent dans la même direction, par d’autres portes. Les contrôles anti-fraude se resserrent : les DREETS (Directions Régionales de l’Économie, de l’Emploi, du Travail et des Solidarités) croisent désormais les données CPF déclarées sur EDOF avec les conventions, les émargements et les justificatifs de réalisation. Une incohérence, qu’elle vienne d’une fraude ou d’un simple désordre, ouvre la porte à un contrôle approfondi. Et la généralisation de la facturation électronique ajoute sa propre exigence : vos données financières devront elles aussi circuler dans des environnements structurés et traçables.

Aucune de ces dynamiques n’est une réglementation ISO tombée sur le secteur de la formation. Elles convergent vers une même attente, formulée différemment selon l’interlocuteur : montrez que vos données sont gérées sérieusement, et prouvez-le.

Face à cette attente, un dirigeant d’OF n’a pas deux options, ne rien faire, ou se faire certifier, mais quatre.

La première consiste à ne rien changer, en pariant que le sujet ne remontera jamais jusqu’à soi. Le pari devient chaque année plus risqué. La deuxième consiste à mieux s’organiser par ses propres moyens : clarifier où vivent les données, qui y accède, comment on réagit à un incident. Utile, mais vite limité quand on gère seul ou à quelques-uns. La quatrième, à l’autre extrémité, vise la certification ISO 27001 complète, pertinente si votre marché l’impose, hors de portée pour la grande majorité des petits organismes en temps, en compétences et en budget.

Reste la troisième, et c’est celle qui change la donne pour la plupart des OF : s’appuyer sur des outils métier déjà conçus avec ces exigences en tête. Un logiciel de gestion centralisé ne rend personne « certifié ISO », soyons clairs. Il embarque néanmoins, par construction, une bonne part des bonnes pratiques que la norme décrit. Les données vivent au même endroit plutôt qu’éparpillées entre une boîte mail, un disque local et deux services en ligne. Les accès se définissent au lieu de s’accumuler par habitude. Les sauvegardes tournent sans qu’on y pense. La traçabilité se constitue au fil du quotidien, sans effort supplémentaire. C’est le niveau de maturité que les grands comptes paient au prix fort, un RSSI (responsable de la sécurité des systèmes d’information), un DPO (délégué à la protection des données), des consultants, des outils spécialisés et qu’un éditeur métier mutualise pour le rendre accessible aux structures qui n’ont ni le temps ni les moyens de le reconstruire seules.
C’est précisément ce qui permet aujourd’hui à un organisme de formation de cinq personnes de bénéficier d’un niveau d’organisation que seuls les grands comptes pouvaient autrefois s’offrir.

Avant même de choisir un niveau, trois questions donnent une image fidèle de votre situation actuelle. Où vivent mes données, précisément dans quels outils, avec quelles sauvegardes, sous quelles conditions d’accès ? Qui y accède, et est-ce voulu, ou hérité d’un mot de passe partagé par mail il y a trois ans ? Que se passe-t-il en cas d’incident, panne, fausse manipulation, départ d’un collaborateur : l’activité continue, ou s’arrête net ? Ces questions n’ont rien de technique. Ce sont des questions d’organisation, et leurs réponses valent souvent mieux qu’un audit.

L’ISO 27001 n’est pas un diplôme à accrocher au mur. C’est une façon de penser sa relation aux données et, pour un dirigeant d’OF, ce changement de regard passe rarement par des investissements lourds.

Il passe par des décisions simples, prises en conscience plutôt que par défaut : quel outil pour stocker les conventions, qui accède à EDOF, comment sont archivées les feuilles d’émargement signées. Beaucoup d’organismes prennent déjà ces décisions, mais sans les avoir formalisées, donc sans pouvoir les montrer. Or c’est précisément la démonstration qui devient un critère de choix. Quand un client envoie son questionnaire fournisseur, quand un auditeur cherche des preuves de traçabilité sur l’indicateur 32, quand un contrôle DREETS réclame la cohérence documentaire d’une session, ce qui compte n’est pas de brandir un certificat. C’est d’avoir une organisation qui répond sans hésiter.

Cette maturité-là était hier réservée aux structures qui pouvaient se l’offrir. Elle devient aujourd’hui un avantage concurrentiel à la portée des petits organismes à condition de s’appuyer sur les bons outils.

Thomas a fini par répondre à son questionnaire. Pas parce qu’il détenait une certification : il n’en a pas. Parce qu’il a su décrire précisément où étaient stockées les données de son client, qui pouvait y accéder, comment elles étaient sauvegardées et protégées. Son interlocuteur a validé.

La vraie question n’est peut-être pas de savoir si votre organisme sera un jour certifié ISO 27001. Elle est plus simple, et plus immédiate : le jour où un grand client vous demandera comment vous protégez ses données, saurez-vous répondre avec sérénité ?

Chez hop3team, nous aidons les organismes de formation à centraliser et structurer leur gestion administrative et documentaire, afin que leurs données soient regroupées, traçables et accessibles au quotidien. Cette organisation constitue une base solide pour répondre aux exigences croissantes de leurs clients en matière de sécurité de l’information.

À partir de septembre 2026, hop3team bénéficiera d’un environnement de développement et d’exploitation couvert par la certification ISO 27001. Nos clients ne deviennent évidemment pas certifiés ISO 27001 en utilisant notre logiciel. En revanche, ils s’appuient sur une solution développée et exploitée selon un référentiel reconnu, qui leur permet de bénéficier de pratiques de sécurité qu’il serait souvent difficile de mettre en œuvre seuls.