Combien de temps demande une certification ISO 42001
Le cycle d'audit se décrit précisément : c'est celui de toutes les normes de système de management. Le délai de mise en œuvre, lui, dépend d'un facteur qu'on identifie rarement au départ.
Il faut distinguer deux durées que l’on confond systématiquement : le cycle d’audit, qui est court et prévisible, et le délai de mise en œuvre, qui est long et variable.
Le premier est un fait établi : c’est le cycle standard de toutes les normes de système de management, et il ne dépend pas d’ISO/IEC 42001 en particulier. Le second dépend de vous, et d’un facteur qu’on identifie rarement au moment de lancer le projet.
Le cycle de certification
Le certificat est valide trois ans. Pendant cette période, des audits de surveillance annuels vérifient que le système continue de fonctionner. À l’échéance, un audit de recertification renouvelle le cycle.
L’obtention initiale se fait en deux étapes.
Étape 1 — l’examen de préparation. L’auditeur vérifie que le système existe sur le papier et que l’organisation est prête à être auditée : périmètre, politique, appréciation du risque, déclaration d’applicabilité, résultats d’évaluation d’impact, audit interne réalisé. Il en sort des points d’attention, pas encore des non-conformités formelles. Durée usuelle : un à deux jours.
Étape 2 — l’audit de certification. L’auditeur vérifie que le système fonctionne réellement : il échantillonne, interroge les équipes, demande des preuves. Durée usuelle rapportée : deux à cinq jours, davantage pour un périmètre large ou plusieurs sites. Les sources disponibles ne s’accordent pas sur la borne basse, ce qui invite à traiter cette fourchette comme un ordre de grandeur.
Ces durées sont celles rapportées comme usuelles par les praticiens. Elles ne sont pas fixées par la norme, et un organisme les ajuste selon le périmètre et l’effectif.
Entre les deux, il faut prévoir un intervalle pour traiter les constats de l’étape 1. Les non-conformités mineures relevées à l’étape 2 se clôturent ensuite sur un plan d’action, usuellement sous quatre-vingt-dix jours — le délai exact relève des règles de l’organisme certificateur, pas de la norme. Une non-conformité majeure, elle, bloque la délivrance du certificat jusqu’à sa résolution.
Le facteur qui détermine le délai de mise en œuvre
La taille de l’organisation joue — une note de la clause 7.5.1 fait varier avec elle l’étendue de la documentation attendue. Mais le facteur que vous réglez vous-même, c’est le nombre de systèmes d’IA dans le périmètre.
La raison tient à la norme : l’évaluation d’impact porte sur chaque système — son déploiement, son usage prévu, les mésusages prévisibles, le contexte où il opère — et ses résultats sont pris en compte dans l’appréciation du risque. Chaque système du périmètre doit donc être couvert, que l’organisation compte trente personnes ou trois mille, et qu’elle soit déjà certifiée ISO/IEC 27001 ou non.
La charge n’est pas pour autant proportionnelle au nombre de systèmes. La norme n’impose pas un dossier distinct par système : une note de la clause 6.1.1 envisage de raisonner par groupes de systèmes, et l’annexe B recommande de définir les circonstances qui déclenchent une évaluation — criticité de l’usage, degré d’automatisation, sensibilité des données. Elle invite aussi à vérifier si des évaluations déjà conduites ailleurs, en sécurité de l’information ou en protection de la vie privée, tiennent suffisamment compte des enjeux propres à l’IA.
C’est aussi ce qui rend le périmètre de la clause 4.3 décisif pour le calendrier, et pas seulement pour le contenu du dossier.
Deux facteurs secondaires jouent ensuite. L’existence d’un système de management déjà certifié fait gagner l’ossature commune — gouvernance, documentation, audit interne, revue de direction. Et la maturité de départ : une organisation sans politique, sans inventaire et sans registre de risques commence par les fondations.
Sur les durées chiffrées qui circulent
Plusieurs sources avancent des fourchettes de mise en œuvre — de quelques mois pour une organisation déjà certifiée à plus d’un an pour un périmètre complexe. Elles convergent, ce qui est un bon signe, mais aucune ne documente sa méthode : ce sont des estimations de praticiens, pas des données.
Elles restent utiles comme ordre de grandeur, à condition de savoir ce qu’elles sont. Ce qui est en revanche solide, c’est le raisonnement : partez du nombre de systèmes en périmètre, estimez la charge d’évaluation d’impact que chacun appelle — elle varie avec la criticité de l’usage, le degré d’automatisation et la sensibilité des données —, ajoutez le socle de gouvernance si vous ne l’avez pas, et prévoyez un cycle d’audit interne complet avant l’étape 1.
Un délai supplémentaire est à anticiper et il ne dépend pas de vous : obtenir un créneau d’audit. Les organismes accrédités pour cette norme sont peu nombreux et les auditeurs compétents sur l’IA le sont aussi. Il est prudent de prendre contact avant d’être prêt, pas après.
Ce qu’il faut retenir
Le cycle est standard : étape 1 d’un à deux jours, étape 2 de deux à cinq jours selon les sources, certificat valable trois ans avec surveillances annuelles.
Le délai de mise en œuvre se pilote par le périmètre : le nombre de systèmes d’IA à couvrir pèse davantage que l’effectif, et c’est le levier que vous réglez vous-même. Et le créneau d’audit se réserve tôt.