Certification ISO au Maroc et à l'international : du diagnostic au certificat

• Rapport de diagnostic et analyse d'écart hiérarchisée, avec estimation de charge
• Définition du périmètre et déclaration d'applicabilité
• Politique du système de management et politiques spécifiques associées
• Méthode d'appréciation des risques, registre des risques et plan de traitement
• Procédures et enregistrements exigés par le référentiel
• Registre des traitements et analyses d'impact, pour les démarches données personnelles
• Plan de sensibilisation et supports de formation des équipes
• Programme d'audit interne, rapport d'audit et plan d'actions correctives
• Support et compte rendu de revue de direction
• Rapport d'audit à blanc et traitement des écarts avant certification

DataConfo n'est pas un organisme de certification. Un cabinet qui accompagne la mise en œuvre ne peut pas certifier le système qu'il a contribué à construire : cette séparation garantit l'indépendance de l'audit, et nous la respectons strictement. Le certificat est délivré par un organisme accrédité, que nous vous aidons à choisir et devant lequel nous vous préparons. Nous ne vendons pas non plus de documentation générique — un corpus recopié passe rarement un audit et ne sert jamais l'organisation qui l'achète.

Une certification ne tient pas sans compétences internes. Partenaire Autorisé PECB, DataConfo dispense des formations certifiantes — Foundation, Lead Implementer, Lead Auditor et Data Protection Officer — en présentiel au Maroc et à distance à l'international. La distinction mérite d'être posée : la certification de votre organisation est délivrée par un organisme accrédité après audit ; celle de vos collaborateurs atteste de leurs compétences individuelles et relève d'un organisme de certification de personnes. Nous intervenons sur les deux volets.

Non, plus depuis la révision d'octobre 2025. ISO/IEC 27701 est devenue une norme autonome : une organisation peut faire certifier son système de management de la protection de la vie privée sans certification ISO/IEC 27001 préalable. Lorsque les deux sont visés, une mise en œuvre conjointe reste toutefois plus économique qu'une démarche séquentielle.

Pour une structure de taille moyenne partant sans système de management existant, comptez six à douze mois entre le cadrage et l'audit de certification. Le facteur déterminant n'est pas la taille de l'organisation mais la disponibilité réelle des équipes et la maturité des processus existants.

Non. Un cabinet qui accompagne la mise en œuvre ne peut pas certifier le système qu'il a contribué à construire : c'est une règle fondamentale de l'écosystème ISO, qui garantit l'indépendance de l'audit. Nous vous préparons à l'audit et vous accompagnons pendant celui-ci ; le certificat est délivré par un organisme accrédité.

Non. La certification ne dispense d'aucune obligation légale : les déclarations et demandes d'autorisation auprès de la CNDP restent dues. En revanche, un système de management de la protection de la vie privée correctement construit couvre l'essentiel des exigences opérationnelles de la Loi 09-08 et fournit les preuves attendues en cas de contrôle. Le même raisonnement vaut pour le RGPD.

Oui. Nous accompagnons des organisations au Maroc, en Afrique francophone et à l'international. Les normes ISO étant des référentiels internationaux, la méthode ne change pas d'un pays à l'autre : seules varient les obligations légales locales à articuler avec le système de management. Nos missions combinent travail à distance et déplacements sur site pour les phases clés.

La certification d'organisme atteste qu'un système de management est conforme à un référentiel ; elle est délivrée par un organisme certificateur accrédité après audit. La certification de personne atteste des compétences d'un individu ; elle est délivrée par un organisme de certification de personnes comme PECB, après formation et examen. DataConfo intervient sur les deux volets.

Ils le restent jusqu'à leur échéance ou jusqu'à la date limite de transition fixée à octobre 2028, selon la première de ces deux dates. La restructuration de la norme étant substantielle, une analyse d'écart formelle est nécessaire : une simple mise à jour documentaire ne suffit pas.