CERT-F02-A · Auditeur en sûreté

Référentiel de certification · version 2026.1

1. Domaine d'application

Cette certification atteste que son titulaire sait auditer une installation de sûreté en service, établir si elle protège réellement le site contre les menaces retenues, en mesurer les écarts, proposer une remédiation hiérarchisée et défendre ses conclusions devant l'exploitant.

Elle porte sur l'efficacité de la protection, et non sur la conformité technique des équipements. La question à laquelle le titulaire répond n'est pas de savoir si le matériel fonctionne, mais si l'ensemble détecte à temps, retarde assez longtemps et permet d'intervenir avant que le dommage ne soit consommé.

Elle se distingue nettement de la certification d'auditeur en cybersécurité des installations de sûreté, qui porte sur le réseau, les comptes, les accès distants et la mise à jour des équipements. Les deux s'exercent sur le même objet physique et répondent à deux questions différentes. Un titulaire de l'une n'est pas réputé compétent pour l'autre.

Elle ne couvre pas la conception d'une installation neuve, qui relève d'autres sujets du catalogue. Elle ne couvre pas non plus le test d'intrusion physique conduit à l'insu de l'exploitant, qui est une autre pratique et suppose un mandat écrit spécifique. Elle ne confère aucune habilitation réglementaire.

Le public visé est le chargé de sûreté d'un site ou d'un parc, le responsable d'exploitation qui hérite d'une installation qu'il n'a pas choisie, le bureau d'études qui doit se prononcer avant travaux, et le consultant mandaté par un assureur ou par une direction.

2. Analyse du métier

2.1 Sur quoi cette analyse repose

Trois sources, qu'il faut distinguer parce qu'elles n'ont pas le même poids.

Des audits de sûreté conduits sur des sites en exploitation. C'est la source première : elle donne les tâches, leur ordre et le temps qu'elles prennent.

Des retours d'événements survenus malgré une installation réputée complète. Ce sont les plus instructifs : ils montrent qu'un dispositif peut être intégralement en service et n'avoir servi à rien, et ils désignent l'endroit précis où la chaîne a cédé.

Les écarts constatés entre l'analyse de risque d'origine et les moyens réellement posés. Ils disent ce qui disparaît entre l'intention et la réalisation, et donc ce qu'un auditeur doit systématiquement aller rechercher.

L'analyse est datée et sera revue tous les deux ans. Ce qui change vite n'est pas le matériel mais la manière dont les sites sont exploités : réduction des présences de nuit, externalisation de la levée de doute, allongement des délais d'intervention.

2.2 Les huit tâches du métier

La criticité exprime les conséquences d'une exécution défaillante, jamais la difficulté. Cinq des huit tâches sont de criticité très élevée, ce qui est propre à ce métier : une installation de sûreté ne se dégrade pas progressivement, elle tient ou elle ne tient pas.

2.3 La fréquence déclarée et la fréquence réelle

Les huit tâches sont dites de chaque mission, et elles le sont en théorie. Trois sautent régulièrement.

La mesure du retardement saute parce qu'elle demande de regarder comment une porte, une clôture ou une vitrine est réellement posée, et non de lire sa classe de résistance. La vérification de la chaîne d'intervention jusqu'à son terme saute parce qu'elle suppose d'appeler des gens et de demander des attestations, ce qui prend des jours et ne se voit pas dans le rapport. La protection du rapport lui-même saute presque toujours.

Ces trois tâches décident pourtant du résultat. Les deux premières fournissent les deux termes de l'inégalité qui fonde tout l'audit ; sans elles, il ne reste qu'un inventaire de matériel. La troisième engage l'auditeur : un rapport de sûreté diffusé largement est une carte des points faibles du site, remise à tout le monde.

Une quatrième mérite d'être signalée à part. La reconstitution de l'intention d'origine est rarement possible, non parce qu'on l'oublie, mais parce que l'analyse de risque initiale n'existe pas ou a disparu. Le candidat doit alors écrire qu'il n'a pas pu l'établir, et non la reconstituer par déduction à partir des moyens posés, ce qui reviendrait à juger l'installation d'après elle-même.

2.4 Quatre enseignements qui gouvernent le référentiel

Le premier est qu'une installation ne s'audite jamais dans l'absolu, mais contre une menace nommée. Sans menace de référence écrite, le mot conforme ne veut rien dire, et un auditeur qui l'emploie sans l'avoir posée trompe son client.

Le deuxième tient en une inégalité, et c'est le cœur du métier. Le temps de détection ajouté au temps de retardement doit rester supérieur au temps d'intervention. Si cette inégalité n'est pas vérifiée, la qualité des caméras et le nombre de détecteurs n'y changent rien : l'installation observe un dommage qu'elle ne peut pas empêcher.

Le troisième est que c'est le chemin le plus faible qui décide. Un intrus prend l'itinéraire le plus facile, pas l'itinéraire moyen. Un audit qui présente un taux de couverture global masque exactement ce qu'il aurait fallu montrer.

Le quatrième est que l'audit porte sur une chaîne, et qu'une chaîne se juge à son maillon le plus faible et non à la somme de ses maillons. Détecter, transmettre, lever le doute, décider, se déplacer, entrer : la rupture d'un seul de ces maillons annule tous les autres, et c'est pourquoi le référentiel demande partout de suivre le trajet jusqu'à son terme plutôt que de vérifier l'existence des éléments.

3. Référentiel de compétences

Domaine S1 · Cadrer la mission

S1.1 Établir le mandat écrit et le périmètre. Réussi si le document nomme le site, les zones incluses et exclues, la période d'intervention, les actions permises et interdites, et s'il est signé par une personne habilitée à engager l'exploitant avant tout relevé.

Ce qu'elle produit : Un mandat signé avant tout relevé par une personne habilitée à engager l'exploitant, nommant le site, les zones incluses et exclues, la période et les actions interdites.

Ce qui la fait échouer : Commencer le relevé sur la foi d'un accord oral donné à l'accueil. Un auditeur qui photographie une clôture sans mandat écrit est indiscernable de celui qui la repère.

S1.2 Poser la menace de référence. Réussi si le candidat écrit contre quoi l'installation est jugée, en distinguant au minimum l'intrusion opportuniste, l'intrusion préparée, la malveillance interne et l'atteinte aux personnes, et s'il justifie ce choix par l'activité du site et son environnement.

Ce qu'elle produit : Une menace de référence écrite, distinguant au minimum l'intrusion opportuniste, l'intrusion préparée, la malveillance interne et l'atteinte aux personnes, justifiée par l'activité du site et son environnement.

Ce qui la fait échouer : Retenir toutes les menaces pour n'en écarter aucune. Une menace de référence qui couvre tout ne permet de hiérarchiser rien, et le plan de remédiation qui en découle est illisible.

S1.3 Identifier les biens à protéger et ce que coûte leur atteinte. Réussi si les biens sont nommés et hiérarchisés, matériels comme immatériels, et si la conséquence d'une atteinte est exprimée en termes compréhensibles par une direction.

Ce qu'elle produit : Une liste hiérarchisée des biens à protéger, matériels et immatériels, avec la conséquence d'une atteinte exprimée en termes qu'une direction comprend.

Ce qui la fait échouer : Ne retenir que ce qui a une valeur de remplacement. Un arrêt d'activité, une donnée de production ou une atteinte à une personne coûtent plus cher que ce qui est volé.

S1.4 Distinguer les responsabilités. Réussi si le candidat distingue l'exploitant, le propriétaire des murs, l'installateur, le mainteneur, le télésurveilleur et l'intervenant sur alarme, et si le rapport dit lequel répond de quoi.

Ce qu'elle produit : Un tableau nommant, pour chaque maillon, qui en répond : exploitant, propriétaire des murs, installateur, mainteneur, télésurveilleur, intervenant sur alarme.

Ce qui la fait échouer : S'arrêter à l'exploitant. Les ruptures de chaîne se logent précisément aux frontières entre ces acteurs, là où chacun croit que l'autre s'en charge.

Domaine S2 · Reconstituer l'intention et l'état

S2.1 Retrouver l'analyse de risque d'origine et la confronter à l'installation. Réussi si le candidat établit ce que l'installation était censée traiter, signale les écarts entre le prévu et le posé, et distingue une dérive d'exploitation d'une erreur de conception.

Ce qu'elle produit : Le constat de ce que l'installation était censée traiter, les écarts entre le prévu et le posé, et la distinction entre dérive d'exploitation et erreur de conception.

Ce qui la fait échouer : Reconstituer l'intention d'origine à partir des moyens posés faute d'analyse de risque. Cela revient à juger l'installation d'après elle-même ; l'absence se constate et s'écrit.

S2.2 Dresser l'inventaire des moyens en service. Réussi si l'inventaire couvre les moyens humains, organisationnels et techniques, et si les moyens déclarés mais inopérants sont explicitement identifiés comme tels.

Ce qu'elle produit : Un inventaire couvrant les moyens humains, organisationnels et techniques, avec une liste distincte des moyens déclarés mais inopérants.

Ce qui la fait échouer : Compter une ronde inscrite au planning comme un moyen en service. Un moyen humain existe s'il est tenu, pas s'il est prévu.

S2.3 Établir les modes d'exploitation réels. Réussi si le candidat décrit ce qui se passe en journée, la nuit, le week-end et pendant les périodes de fermeture, et s'il vérifie ces modes sur place plutôt que dans les consignes écrites.

Ce qu'elle produit : La description de ce qui se passe en journée, la nuit, le week-end et pendant les fermetures, établie sur place et non d'après les consignes.

Ce qui la fait échouer : Auditer aux heures ouvrables et conclure pour toute la semaine. Les sites se font atteindre la nuit, le dimanche et pendant les congés, c'est-à-dire quand personne n'a regardé.

Domaine S3 · Évaluer la détection

S3.1 Relever la couverture réelle de la détection. Réussi si le relevé porte sur chaque zone et chaque accès, s'il distingue la détection périmétrique, périphérique et volumétrique, et s'il repose sur une observation et non sur le plan d'installation.

Ce qu'elle produit : Un relevé zone par zone et accès par accès, distinguant détection périmétrique, périphérique et volumétrique, fondé sur l'observation.

Ce qui la fait échouer : Relever depuis le plan d'installation. Un détecteur déplacé, masqué par un stockage ou débranché figure toujours sur le plan.

S3.2 Identifier les angles morts et les chemins non détectés. Réussi si le candidat trace au moins un itinéraire complet permettant d'atteindre un bien protégé sans être détecté, ou démontre qu'il n'en existe aucun.

Ce qu'elle produit : Au moins un itinéraire complet permettant d'atteindre un bien protégé sans être détecté, tracé sur le plan, ou la démonstration qu'il n'en existe aucun.

Ce qui la fait échouer : Annoncer un taux de couverture. Un site couvert à quatre-vingt-quinze pour cent avec un chemin libre est un site non protégé, et le taux masque exactement cela.

S3.3 Apprécier la fiabilité de la détection dans les conditions d'exploitation. Réussi si le candidat prend en compte l'éclairement, les conditions climatiques, les masquages saisonniers et les fausses alarmes récurrentes, et s'il établit le taux de fausses alarmes réellement constaté.

Ce qu'elle produit : Le constat de fiabilité dans les conditions réelles, éclairement, climat, masquages saisonniers, avec le taux de fausses alarmes effectivement relevé sur la période.

Ce qui la fait échouer : Ignorer les fausses alarmes récurrentes. Une zone qui déclenche chaque nuit finit inhibée par l'exploitant lui-même, et le détecteur reste en service sans détecter.

S3.4 Vérifier la restitution vers l'exploitant. Réussi si le candidat suit le trajet d'une alarme depuis le détecteur jusqu'à la personne qui la reçoit, et s'il identifie chaque point où elle peut se perdre.

Ce qu'elle produit : Le trajet d'une alarme suivi du détecteur jusqu'à la personne qui la reçoit, avec chaque point où elle peut se perdre.

Ce qui la fait échouer : Vérifier que la centrale émet sans vérifier que quelqu'un reçoit. Une alarme transmise vers un numéro qui ne répond plus est une alarme perdue.

Domaine S4 · Évaluer le retardement et l'intervention

S4.1 Mesurer le retardement offert par le bâti et les équipements. Réussi si le candidat estime, pour le chemin le plus faible, le temps qu'un intrus mettrait à franchir chaque obstacle, et si cette estimation est motivée par l'observation et non par la nature déclarée de l'obstacle.

Ce qu'elle produit : Pour le chemin le plus faible, le temps estimé de franchissement de chaque obstacle, motivé par la pose observée et non par la nature déclarée de l'obstacle.

Ce qui la fait échouer : Retenir la classe de résistance annoncée. Une porte certifiée posée dans un bâti faible cède par le bâti, et la classe ne dit rien du montage.

S4.2 Établir le temps d'intervention réel. Réussi si le temps retenu est celui qui est constaté ou attesté, et non celui qui est contractuellement annoncé, et si le candidat dit comment il l'a établi.

Ce qu'elle produit : Le temps d'intervention réellement constaté ou attesté, avec la manière dont il a été établi.

Ce qui la fait échouer : Reprendre le délai du contrat de télésurveillance. Le contrat exprime un engagement commercial ; l'événement survenu sur le site dit le délai réel.

S4.3 Confronter détection, retardement et intervention. Réussi si le candidat pose explicitement l'inégalité pour le chemin le plus faible, conclut sur son respect ou non, et ne fait pas dépendre sa conclusion d'un scénario favorable.

Ce qu'elle produit : L'inégalité posée explicitement pour le chemin le plus faible, avec ses trois termes chiffrés et une conclusion qui ne dépend d'aucun scénario favorable.

Ce qui la fait échouer : Poser l'inégalité sur un chemin moyen ou de jour. L'inégalité ne vaut que si elle est posée là où elle a le plus de chances de ne pas être vérifiée.

S4.4 Éprouver la levée de doute. Réussi si le candidat établit qui lève le doute, par quel moyen, en combien de temps, et ce qui se passe la nuit et le week-end, et s'il vérifie qu'une levée de doute négative déclenche bien une intervention.

Ce qu'elle produit : Le constat de qui lève le doute, par quel moyen, en combien de temps, ce qui se passe la nuit et le week-end, et la vérification qu'une levée de doute négative déclenche bien une intervention.

Ce qui la fait échouer : S'arrêter à l'existence d'une levée de doute vidéo. Ce qui compte est ce qui se passe quand elle ne permet pas de conclure, et c'est le cas le plus fréquent.

S4.5 Vérifier la chaîne d'intervention jusqu'à son terme. Réussi si le candidat suit la chaîne jusqu'à la personne qui se déplace physiquement, identifie les astreintes, les délais de mise en route et les conditions d'accès au site, et signale toute rupture.

Ce qu'elle produit : La chaîne suivie jusqu'à la personne qui se déplace physiquement, avec les astreintes, les délais de mise en route, les conditions d'accès au site et toute rupture signalée.

Ce qui la fait échouer : S'arrêter au prestataire. La question n'est pas qui est missionné mais qui roule, d'où, à quelle heure, et avec quelles clés.

Domaine S5 · Conclure et faire agir

S5.1 Qualifier chaque écart par sa conséquence. Réussi si chaque écart porte une gravité motivée par ce qu'il permet à un adversaire, et non par la nature de la règle ou de la norme invoquée.

Ce qu'elle produit : Pour chaque écart, une gravité motivée par ce qu'il permet à un adversaire, en une phrase qu'un non-spécialiste comprend.

Ce qui la fait échouer : Motiver par la norme invoquée. « Clôture non conforme, donc écart majeur » décrit le manquement et ne dit rien de ce qu'il ouvre.

S5.2 Hiérarchiser par le chemin le plus faible. Réussi si le plan traite d'abord ce qui referme le chemin le plus facile, et si le candidat refuse explicitement de renforcer un point déjà solide tant qu'un chemin faible subsiste.

Ce qu'elle produit : Un plan qui referme d'abord le chemin le plus facile, et le refus écrit de renforcer un point déjà solide tant qu'un chemin faible subsiste.

Ce qui la fait échouer : Traiter les écarts par domaine technique. Renforcer toute la détection périmétrique pendant qu'une porte de service reste ouverte dépense sans rien fermer.

S5.3 Bâtir une remédiation exécutable. Réussi si chaque action nomme son responsable, son délai, sa difficulté et son ordre de grandeur de coût, et si les mesures organisationnelles sans investissement sont séparées de celles qui supposent des travaux.

Ce qu'elle produit : Un plan où chaque action nomme son responsable, son délai, sa difficulté et son ordre de grandeur de coût, les mesures organisationnelles étant séparées des travaux.

Ce qui la fait échouer : Ne proposer que des travaux. La moitié des chemins faibles se referment par une consigne, un horaire ou une clé retirée, et ceux-là sont applicables la semaine suivante.

S5.4 Rédiger un rapport exploitable par un tiers. Réussi si un lecteur qui n'a pas participé peut, avec le seul rapport, comprendre la menace retenue, retrouver les constats et engager les actions.

Ce qu'elle produit : Un rapport avec lequel un lecteur qui n'a pas participé comprend la menace retenue, retrouve les constats et engage les actions.

Ce qui la fait échouer : Écrire pour soi-même. Le test est simple : donner le rapport à quelqu'un qui n'était pas là et lui demander de retrouver le chemin le plus faible.

S5.5 Protéger le rapport lui-même. Réussi si le candidat traite son rapport comme une cartographie de vulnérabilités, en restreint la diffusion nommément et fixe les règles de conservation et de destruction.

Ce qu'elle produit : Une liste nominative de diffusion, une règle de conservation et une règle de destruction, appliquées aux photographies et aux relevés autant qu'au rapport.

Ce qui la fait échouer : Protéger le rapport et laisser circuler les photographies de clôtures et de portes. Ce sont elles qui montrent où passer.

S5.6 Restituer et défendre les conclusions. Réussi si le candidat soutient un constat contesté en revenant au fait relevé, distingue ce qu'il a vérifié de ce qu'on lui a déclaré, reconnaît les limites de son audit et ne conclut pas au-delà de ce qu'il a constaté.

Ce qu'elle produit : Une restitution où chaque constat contesté est ramené au fait relevé, où le vérifié est distingué du déclaré, et où les limites de l'audit sont énoncées.

Ce qui la fait échouer : Céder sur un constat pour obtenir un accord. L'accord obtenu ainsi ne vaut rien, et le constat abandonné reparaîtra au prochain événement.

4. Prérequis

4.1 Ce qui est exigé

Deux ans de pratique professionnelle en sûreté, en exploitation, en conception ou en contrôle, ou une année accompagnée d'une certification de niveau Praticien du même domaine.

La capacité à lire un plan de site, à s'y repérer et à y reporter un relevé. Elle n'est pas accessoire : l'étude de cas demande de tracer un itinéraire sur un plan, et un candidat qui ne sait pas le faire ne peut pas produire la pièce qui pèse le plus.

Aucune formation particulière n'est exigée. Le candidat qui possède ces acquis par la pratique se présente directement. Cette règle est un choix du concepteur : elle n'est pas imposée par la norme, qui admet qu'un programme puisse exiger une formation, mais elle sert la valeur du certificat, qui vaut d'autant plus que l'accès à l'épreuve ne dépend pas de l'achat d'un cours.

Aucun prérequis de calcul n'est exigé. La confrontation des temps ne suppose que des additions et une comparaison ; ce qu'elle demande est de savoir d'où viennent les chiffres, non de savoir les manipuler.

4.2 Comment la pratique se prouve

Par des attestations d'employeur ou de donneur d'ordre nommant les sites et la nature des interventions. Une fiche de poste ne suffit pas : elle décrit un emploi, pas une pratique.

Le licencié qui inscrit un candidat conserve ces pièces et les tient à disposition. Il ne les transmet pas au concepteur, qui n'a pas à détenir les dossiers individuels des candidats d'un licencié.

Une attestation portant sur un site sensible peut être rédigée sans le nommer, en donnant l'activité et la nature de l'intervention. Exiger le nom du site conduirait à refuser les candidats qui ont la meilleure pratique.

Un candidat dont l'expérience est proche du seuil sans l'atteindre peut être admis sur décision motivée du licencié, consignée au dossier. Cette faculté est bornée : au-delà d'un candidat sur dix admis ainsi, le licencié en rend compte au concepteur, faute de quoi le prérequis n'en est plus un.

4.3 Passerelles avec les autres certifications du catalogue

Une certification voisine dispense d'un prérequis, jamais d'une épreuve. Dispenser d'une épreuve reviendrait à délivrer un certificat sur la foi d'un autre, alors qu'aucun des deux n'a évalué la même chose.

Le domaine d'application le dit et il faut le redire ici : le titulaire de la certification d'auditeur en cybersécurité des installations n'est pas réputé compétent pour celle-ci, et réciproquement. Les deux s'exercent sur le même objet physique et répondent à deux questions distinctes. La passerelle porte sur le prérequis d'expérience, sur rien d'autre.

5. Code de conduite

Le titulaire n'intervient sur un site qu'avec un mandat écrit d'une personne habilitée, et s'en tient aux actions que ce mandat autorise.

Il traite tout ce qu'il apprend d'un site comme une information sensible, ne conserve ni photographie ni relevé au-delà de la durée convenue, et ne divulgue rien.

Il ne conclut pas au-delà de ce qu'il a constaté et signale les limites de son audit.

Il refuse une mission lorsqu'il est en situation de conflit d'intérêts, notamment lorsqu'il a conçu, vendu ou installé le dispositif qu'on lui demande d'auditer, ou lorsqu'il a un intérêt dans une entreprise candidate aux travaux qu'il prescrit.

Il ne se prévaut pas de sa certification pour laisser croire à une habilitation qu'il ne détient pas.

Le manquement à ce code entraîne la suspension ou le retrait du certificat.

6. Plan d'examen

L'examen dure six heures, réparties sur une journée.

Le questionnaire compte quarante questions à choix unique, corrigées automatiquement.

Une compétence peut figurer à deux épreuves sans être notée deux fois pour la même chose. Le questionnaire vérifie ce que le candidat sait, l'étude de cas ce qu'il en fait. La grille de correction, réservée au jury, attribue les points par pièce produite et non par compétence isolée, et le report de la note se fait pièce par pièce.

L'étude de cas remet au candidat le dossier d'un site réel anonymisé comprenant un plan avec l'implantation des moyens, un tableau des détecteurs et des caméras, des photographies des accès et des clôtures prises de jour comme de nuit, les consignes d'exploitation, un contrat de télésurveillance, un relevé de fausses alarmes sur douze mois, et le compte rendu d'un événement survenu sur le site. Le candidat produit quatre pièces : la menace de référence et le périmètre, le relevé de détection avec les chemins non couverts, la confrontation entre détection, retardement et intervention sur le chemin le plus faible, et le plan de remédiation hiérarchisé.

Le dossier comporte au moins trois pièges obligatoires : un chemin d'accès permettant d'atteindre un bien sans détection, un contrat de télésurveillance dont le délai contractuel diffère du délai réellement constaté dans le compte rendu d'événement, et un moyen déclaré dans les consignes mais visiblement hors service sur les photographies.

L'entretien porte sur les pièces produites. L'examinateur demande au candidat de justifier sa menace de référence, de défendre l'ordre de son plan et d'indiquer ce qu'il n'a pas pu vérifier sur pièces et comment il l'aurait vérifié sur site.

Le seuil de réussite est de soixante-dix pour cent sur l'ensemble. Une note inférieure à cinquante pour cent sur l'étude de cas est éliminatoire, quelle que soit la moyenne.

Un candidat qui conclut à une protection satisfaisante alors que, sur le chemin le plus faible, la somme du temps de détection et du temps de retardement est inférieure au temps d'intervention établi, sans le signaler, est ajourné quelle que soit la qualité du reste. Cette règle traduit le deuxième enseignement du paragraphe 2, qui est le cœur du métier.

7. Délivrance, refus, suspension et retrait

Le certificat est délivré par le concepteur, sur décision prise au vu du dossier complet et jamais par l'examinateur seul.

Le refus est motivé par écrit, compétence par compétence, et ouvre droit à un recours dans les trente jours, examiné par une personne n'ayant pas participé à la décision initiale.

Le certificat est suspendu en cas de manquement au code de conduite, le temps de l'instruction, et retiré si le manquement est établi. Le retrait est notifié par écrit et motivé.

Un candidat ajourné se représente après trois mois. Il ne repasse que les épreuves échouées, dans la limite de dix-huit mois après la première présentation.

8. Maintien et renouvellement

8.1 Durée et demande

Le certificat vaut trois ans à compter de sa date de délivrance.

Le renouvellement se demande dans les six mois qui précèdent l'échéance. Une demande déposée après l'échéance n'est pas un renouvellement : le titulaire repasse l'examen complet.

8.2 Ce qu'il faut justifier

Au moins trois audits de sûreté conduits pendant la période, attestés par les donneurs d'ordre ou par l'employeur. Le seuil est volontairement bas : un auditeur qui en conduit moins d'un par an perd la main, et trois sur trois ans est le minimum en deçà duquel la compétence ne s'entretient pas.

L'attestation nomme le site, la date et l'objet, jamais les constats. Une attestation qui décrirait les points faibles trouvés violerait le code de conduite du titulaire, et vaudrait à elle seule un signalement.

Un audit conduit en second, aux côtés d'un auditeur confirmé, compte pour une demi-mission. Deux audits en second ne suffisent donc pas à faire les trois.

8.3 L'épreuve de mise à jour

Deux heures, en trois parties.

Un questionnaire de vingt questions sur les évolutions du cadre applicable et de l'état de la technique depuis la délivrance : modes d'exploitation nouveaux, moyens de levée de doute apparus, évolutions des délais d'intervention constatées.

Une étude de cas courte, sur un dossier d'une heure, portant sur une configuration que le référentiel d'origine ne traitait pas encore. Elle comporte toujours une confrontation des temps, quelle que soit la configuration : c'est le geste qui se perd en premier quand il n'est pas pratiqué.

Un retour du titulaire sur l'un de ses propres audits de la période : ce qu'il a établi, ce qu'il n'a pas pu vérifier, et ce qu'il ferait autrement. Cette partie ne se note pas sur le résultat de l'audit mais sur la lucidité du retour.

Le seuil de réussite est de soixante pour cent. Un échec ouvre une seconde présentation dans les six mois, sans repasser l'examen complet ; un second échec y renvoie.

8.4 Absence de surveillance intermédiaire

Aucune surveillance intermédiaire n'est prévue entre deux renouvellements. Ce choix est délibéré : une surveillance annoncée et non tenue vaut moins que l'absence de surveillance.

Il connaît une exception, et elle pèse davantage ici que sur les autres certifications du catalogue. Un titulaire de celle-ci détient des cartographies de points faibles de sites réels. Un signalement écrit et motivé mettant en cause un titulaire au regard du code de conduite, en particulier au regard de la protection de ses rapports, ouvre une instruction, qui peut conduire à la suspension puis au retrait. Le titulaire est entendu avant toute décision.