Comment se déroule un audit de certification ISO 42001
Le stade 1 regarde si vous avez écrit le système. Le stade 2 regarde si vous le faites. C'est cette seconde question qui décide, et elle ne se prépare pas de la même façon.
Un audit de certification se déroule en deux temps, et l’erreur la plus fréquente consiste à les préparer de la même manière.
Le stade 1 examine la conception du système : les documents existent-ils, sont-ils cohérents, l’organisation est-elle prête à être auditée. Le stade 2 examine son fonctionnement : les processus tournent-ils, les équipes savent-elles ce qu’on attend d’elles, les preuves couvrent-elles une durée suffisante.
Le stade 1 — l’examen de préparation
L’auditeur passe en revue ce qui constitue l’ossature documentaire : le périmètre, la politique relative à l’IA, les critères et le registre de risques, la déclaration d’applicabilité avec ses justifications, les résultats d’évaluation d’impact, le rapport d’audit interne et le compte rendu de revue de direction.
Il en sort trois issues possibles : l’organisation est prête pour le stade 2 ; elle l’est sous réserve de corrections mineures ; ou des écarts majeurs imposent de reprendre avant d’aller plus loin.
Le stade 2 — la vérification sur le terrain
C’est l’audit qui décide. L’auditeur ne relit pas les documents : il échantillonne et croise.
Sa méthode est constante. Il prend une exigence, demande la preuve annoncée, puis vérifie ailleurs qu’elle correspond à la réalité. Une politique approuvée ? Il interroge trois personnes sur ce qu’elle autorise. Un registre de risques avec une mesure « revue trimestrielle des biais » ? Il demande la trace de la dernière revue, et sa date.
La question qu’il cherche à trancher, exigence après exigence, tient en une phrase : comment prouvez-vous que cela existe, que la direction le soutient, et que cela fonctionne au quotidien ?
C’est aussi pourquoi les entretiens comptent autant que les documents. Un nom inscrit dans un organigramme que l’intéressé n’a jamais lu ne démontre rien, et cela se voit en deux questions.
Les constats et leur portée
À l’issue du stade 2, le rapport distingue trois niveaux.
L’observation signale un point d’amélioration sans écart à une exigence. Elle ne bloque rien, mais elle réapparaîtra à la surveillance si rien n’a bougé.
La non-conformité mineure est un écart ponctuel qui ne remet pas en cause le système — un compte rendu de revue de direction non daté alors que les décisions existent sur un espace partagé, par exemple. Elle se solde par un plan d’action, usuellement sous quatre-vingt-dix jours, le délai exact relevant des règles de l’organisme et non de la norme.
La non-conformité majeure remet en cause la capacité du système à atteindre ses résultats. Elle bloque la délivrance du certificat jusqu’à sa résolution, laquelle demande souvent une vérification complémentaire.
Ce qui distingue un stade 2 réussi d’un stade 2 raté
Un seul critère, et il n’est pas documentaire : la documentation décrit-elle l’intention ou la pratique ?
Une organisation qui a rédigé un système cohérent mais ne l’a pas encore fait tourner passe le stade 1 sans difficulté et échoue au stade 2. L’inverse est rare. C’est la raison pour laquelle un délai s’impose entre l’écriture du système et la demande d’audit : il faut que les processus aient produit des enregistrements sur une durée que l’auditeur puisse échantillonner.
Après le certificat
Le cycle ne s’arrête pas. Le certificat vaut trois ans, avec des audits de surveillance annuels, puis une recertification.
Le premier audit de surveillance est le plus révélateur, parce qu’il intervient dans la fenêtre où le relâchement est le plus probable. Une organisation qui n’a produit aucune action d’amélioration, aucune réappréciation de risque et aucune évaluation d’impact mise à jour depuis sa certification se présente avec douze mois de vide — et c’est un constat facile à établir.