1. Au cours de la phase préparatoire, les membres de l’équipe d’évaluation par les pairs examinent la documentation de l’organisme de certification portant sur ses politiques et procédures, y compris l’utilisation de documents de référence.
2. Au cours de la phase de visite du site, l’équipe d’évaluation par les pairs évalue la compétence technique de l’organisme et, le cas échéant, la compétence d’un CESTI qui a réalisé au moins une évaluation de produit TIC couverte par l’évaluation par les pairs.
3. La durée de la phase de visite du site peut être prolongée ou réduite en fonction de facteurs tels que la possibilité de réutiliser des preuves et des résultats d’une évaluation par les pairs existante ou le nombre de CESTI et de domaines techniques pour lesquels l’organisme de certification délivre des certificats.
4. Le cas échéant, l’équipe d’évaluation par les pairs détermine la compétence technique de chaque CESTI en visitant son ou ses laboratoires techniques et en s’entretenant avec les évaluateurs en ce qui concerne le domaine technique et les méthodes d’attaque spécifiques qui s’y rapportent.
5. Au cours de la phase d’établissement du rapport, l’équipe d’évaluation consigne ses constatations dans un rapport d’évaluation par les pairs comprenant un verdict et, le cas échéant, la liste des non-conformités observées, chacune classée selon un niveau de criticité.
6. Le rapport d’évaluation par les pairs doit d’abord faire l’objet de discussions avec l’organisme de certification évalué par les pairs. À la suite de ces discussions, l’organisme de certification évalué par les pairs établit un calendrier des mesures à prendre pour donner suite aux constatations.