ISO 27001 centre d'appels : guide complet pour sécuriser votre externalisation

📌 Dans cet article, vous découvrirez :

Pourquoi la certification ISO 27001 constitue le socle minimum d’exigences pour votre prestataire

Les questions précises à poser avant de signer (visibilité des données, engagements contractuels, capacité opérationnelle)

Comment vérifier que votre prestataire obtient des résultats concrets, et pas seulement des intentions

Une check-list complète pour évaluer la maturité sécurité d’un centre d’appels

⏱️ Temps de lecture : 8 minutes

Externalisation de la relation client : les enjeux de responsabilité

Il y a 1000 raisons qui peuvent conduire une entreprise comme la vôtre à externaliser la gestion de la relation client.

On peut choisir de travailler avec un centre d’appels pour :

Être plus flexible,

Avoir accès à des profils difficiles à recruter (et déjà formés),

Ne pas s’encombrer des sujets RH (gestion des absences, turnover…),

Mieux maîtriser ses coûts (particulièrement quand l’activité est fluctuante ou saisonnière…),

Bénéficier des dernières avancées de l’IA dans la relation client, etc..

Cependant, quelles que soient les raisons qui vous incombent, vous ne vous délesterez jamais complètement de vos responsabilités juridiques, en particulier concernant le respect de la protection des données. En effet, vous restez responsable des données de vos clients, que vous les traitiez en interne ou via un prestataire.

Par exemple, en cas de faille de sécurité, c’est votre entreprise qui devra répondre devant la CNIL. En clair, la loi prévoit que vous partagez la responsabilité.

Heureusement, si ce risque existe, il existe bien une façon de s’assurer que le prestataire soit fiable.

Parmi les garanties, la plus sure est la certification ISO 27001.

Qu’est-ce que la certification ISO27001 ?

ISO/IEC 27001 est la norme la plus connue au monde en matière de systèmes de management de la sécurité de l’information (SMSI). Parmi les plus exigeantes aussi.
Concrètement, les centre d’appels qui passent cette certification doivent répondre à un cahier des charges très précis et très exigent. Par exemple, ils doivent:

Identifier et évaluer systématiquement les risques liés aux données qu’elle traite,
Mettre en place des mesures de sécurité techniques et organisationnelles adaptées,
Documenter ses processus et prouver qu’ils sont appliqués,
Former ses équipes et tracer les incidents de sécurité,
Se soumettre à des audits externes réguliers pour maintenir la certification.

En bref, c’est la garantie que le prestataire a structurée très précisément sa gouvernance et sa sécurité.

Choisissez un prestataire d’appels qui prend sa part de responsabilité.

Très clairement, juridiquement et surtout réputationnellement parlant, vous ne transfèrerez jamais complètement la responsabilité en cas de fuite de données.

Alors, si aucune entreprise n’est 100% infaillible (ni la vôtre, ni celle de votre prestataire), vous pouvez vous prévenir au maximum de tout risque.

D’abord, en tant que dirigeant, les questions qu’on vous posera en cas de problème seront certainement les suivantes :

Pourquoi avez-vous choisi ce prestataire ?

Sur quels critères ?

Quelles garanties apportait-il ?

Cette réalité impose une vigilance tout en amont, dès la phase même de sélection du centre de relation client.

Vous devez avoir la visibilité totale sur le traitement des données de vos clients.

Quand l’heure de choisir parmi une multitude de centre d’appels (français ⚠️) est arrivée, la première question à se poser est celle de l’hébergement des données.

Il convient d’abord de ne pas se contenter des mentions « données  hébergées en Europe » ou encore « dans un datacenter sécurisé ». En fait, pour pouvoir sélectionner votre prestataire, celui-ci doit pouvoir répondre aux questions  :

Où sont stockées précisément les données ?

Qui peut y accéder ? Dans quelles conditions ?

Quelles sont les mesures qui empêchent les accès non autorisés ?

Que se passe-t-il si le DSI venait à quitter l’entreprise (comment sont gérés les départs) ?

Qu’advient-il des données une fois que la mission confiée est terminée ?

Cette liste de questions conditionne votre propre conformité, car pour être vous-même conforme, avec ou sans prestataire, vous devez être en mesure de :

Remplir un registre de traitement,

Réaliser des analyses d’impacts,

Répondre aux demandes d’exercice de droits de vos clients (rectification, effacement des données, etc).

D’abord, un prestataire certifié ISO 27001 vous accompagnera dans ces démarches, mais surtout il sera en mesure de fournir une cartographie des flux de données, des droits d’accès, des durées de rétention… Qui vous permettra de documenter vos propres obligations et de prouver aux autorités de contrôle que vous maîtrisez toute la chaîne.

⛔Si votre prestataire de la relation client ne peut pas documenter précisément l’usage fait des données, c’est qu’il ne maîtrise pas lui-même ses process.

Vous devez exiger des engagements contractuels

Bien-sûr, choisir un prestaire de la relation client certifié ISO 27001, c’est déjà 90% de gagné pour la sécurité. Reste encore à rédiger un contrat solide.

Ce contrat de sous-traitance s’appelle le DPA pour Data Processing Agreement et il lie le responsable de traitement (vous) et le sous-traitant (le prestataire).

Ce DPA doit préciser :

La nature des données,

Leur finalité,

Leur durée de conservation,

la localisation géographique des serveurs,

les mesures de sécurité mises en place par le prestataire,

les obligations du prestataire en cas d’incident (délai de notification, procédure de gestion de crise, coopération en cas d’enquête).

Un prestataire certifié ISO 27001 dispose déjà de l’ensemble de ce document, ce qui facilite grandement cet exercice. C’est pourquoi nous disions plus tôt que choisir un prestataire certifié, c’est déjà 90% de sécurité gagné. Si le DPA est indispensable il ne suffit pas à lui seul.

⛔Qu’il dispose de la certification ISO 27001, ou non, si un prestataire refuse toute clause d’audit au motif de la « confidentialité », cela devra éveiller votre méfiance !

Besoin d'un prestataire certifié ISO27001 ? Échangez avec notre expert. Réponse sous 2 heures ouvrées.

La certification ISO 27001 garantit des résultats

Alors on l’a vu, choisir un prestataire d’appels certifié ISO 27001 c’est très bien pour s’assurer d’un niveau de sécurité exigeant… Mais pas seulement !

Cette certification impose aussi une discipline opérationnelle continue. On pense entre-autres à des équipes formées, des incidents tracés et analysés, etc. Cette rigueur, c’est celle qui fait la différence entre un prestataire qui affiche des intentions, et celui qui montre des résultats. En clair, est-ce que votre prestataire peut prouver que les processus fonctionnent réellement en conditions opérationnelles ?

Demander des résultats concrets

Quand on parle de résultats concrets ça peut être par exemple :

un taux de formation de 100% des agents sur les bonnes pratiques de sécurité,

un délai moyen de traitement des incidents inférieur à 24 heures,

zéro accès non autorisé détecté lors des audits internes.

En clair, ne vous contentez pas de demander les KPI traditionnels pour sélectionner le prestaire le plus digne de votre confiance et de celle de vos clients. Pour vous aider, voici une petite liste d’idées de données à demander :

Combien d’incidents ont été détectés le trimestre dernier ?

Combien de temps a-t-il fallu pour les résoudre ?

Quel pourcentage d’agents a suivi les formations ?

Combien de tests d’intrusion ont été réalisés, avec quels résultats ?

Si vous signez et que vous confiez finalement votre relation client à ce prestataire, alors vous pouvez aller plus loin en lui demandant d’intégrer ces indicateurs dans un rapport régulier.

⛔Une gouvernance bien structurée permet de répondre rapidement à ces questions. Si votre prestataire peine à vous fournir ces données, c’est un signal d’alerte majeur. Les réponses telles que « nous faisons notre maximum » ou bien encore « nous suivons les process » ne vous donnent aucune garantie objective.

Assurez-vous que le dispositif fonctionne en conditions réelles

Si le prestataire documente tous ses processus, c’est un bon départ… Mais fonctionnent-ils vraiment quand il faut réagir à 3 heures du matin face à une tentative d’intrusion ?
Pour en avoir le cœur net, demandez la preuve que le prestataire a testé le dispositif de sécurité en conditions réelles. Cela passe par :

des exercices de simulation d’incidents,

des tests d’intrusion menés par des auditeurs externes,

et des retours d’expérience documentés sur les incidents passés.

De toutes les façons, la certification ISO 27001 oblige le prestataire à réaliser ces tests régulièrement et à conserver les rapports correspondants.

Aussi, demandez à voir les résultats du dernier test d’intrusion.

Quelles failles ont été identifiées ?

Dans quel délai ont-elles été corrigées ?

Demandez le compte-rendu du dernier exercice de gestion de crise :

Combien de temps a-t-il fallu pour mobiliser l’équipe ?

La procédure de notification a-t-elle fonctionné comme prévu ?

Quelles leçons ont été tirées ?

Si un prestataire est digne de confiance et très sensible à la sécurité des données de vos clients, alors il comprendra cette démarche et y répondra sans difficulté. Il sera même en mesure de vous montrer comment ces tests ont permis d’identifier des axes d’amélioration et de renforcer le dispositif de sécurité au fil du temps.