Le plan de preuve ISO 42001 en quatre colonnes

Un auditeur ne vérifie pas que vous avez compris la norme. Il vérifie que vous pouvez montrer ce que vous affirmez faire. Le plan de preuve est le document qui organise cette démonstration, et il n’a besoin que de quatre colonnes.

Colonne	Ce qu’elle contient
L’exigence	La clause ou le contrôle, par son numéro exact
La preuve attendue	L’artefact précis qui la démontre, pas une catégorie
L’emplacement	Où il se trouve, de façon à pouvoir l’ouvrir en séance
Le propriétaire	La personne qui en répond, nommément

Pourquoi quatre, et pas plus

Chaque colonne supplémentaire ajoute du travail d’entretien sans ajouter de capacité à démontrer. Les tableaux à dix colonnes que l’on rencontre — statut, criticité, échéance, degré de conformité, commentaire — deviennent faux en quelques semaines, et un plan de preuve faux est pire qu’un plan de preuve absent.

Une colonne mérite discussion : celle du caractère obligatoire. On la voit souvent, remplie de « oui » pour tous les contrôles de l’Annexe A. C’est inexact, et cela conduit à chercher des preuves pour des contrôles qu’on aurait pu écarter. Le caractère applicable d’un contrôle se décide dans la déclaration d’applicabilité, pas dans le plan de preuve.

La distinction qui fait échouer les audits

C’est la faille la plus commune. Une procédure d’évaluation d’impact est un document : elle décrit une méthode. Une évaluation d’impact remplie, datée, signée, est un enregistrement : elle prouve que la méthode a tourné.

Un plan de preuve qui ne cite que des procédures démontre que l’organisation a écrit son système. Il ne démontre pas qu’elle le fait vivre. C’est exactement le constat qui fait sortir d’un second stade d’audit avec des écarts, alors que le premier stade — qui examine surtout la documentation — s’était bien passé.

Ce qui fait une bonne preuve

Trois propriétés, et elles sont cumulatives.

Datée. Une preuve sans date ne permet pas d’établir qu’elle porte sur la période auditée. C’est le défaut le plus facile à corriger et le plus fréquent.

Attribuée. On doit savoir qui l’a produite et qui l’a approuvée. Un document sans approbateur ne démontre aucune décision.

Rejouée. Une preuve unique, datée du montage du dossier, montre un point ; une série montre un processus. Pour une exigence rejouée à intervalles planifiés — appréciation du risque, évaluation d’impact, audit interne, revue de direction —, l’auditeur cherche la série.

Par où commencer

Pas par les 38 contrôles. Par les clauses 4 à 10, dans l’ordre : elles s’appliquent toutes, sans exception ni justification possible. C’est le socle non négociable, et c’est là que se concentrent les écarts.

Les contrôles de l’Annexe A viennent ensuite, et seulement ceux que votre déclaration d’applicabilité a retenus. Chercher des preuves pour un contrôle écarté est du travail perdu.

Un ordre de construction qui fonctionne :

1. Les exigences documentaires explicites — périmètre, politique, déclaration d’applicabilité, résultats d’évaluation d’impact.
2. Les processus rejoués — appréciation du risque, évaluation d’impact, audit interne, revue de direction.
3. Les contrôles retenus, domaine par domaine.
4. Les traces d’amélioration — non-conformités, actions correctives, et leur examen d’efficacité.

Ce dernier point est l’omission la plus régulièrement relevée, tous domaines confondus : des actions correctives closes sans qu’on ait vérifié qu’elles avaient produit un effet.

Un test simple avant l’audit

Prenez trois exigences au hasard dans votre plan. Pour chacune, ouvrez la preuve annoncée, à l’emplacement annoncé, en moins de deux minutes.

Si vous n’y arrivez pas, l’auditeur n’y arrivera pas non plus — et il en tirera la conclusion qu’il doit en tirer. C’est aussi, à peu de chose près, ce que fait un audit interne utile : il ne relit pas les documents, il essaie de les trouver.

Ce qu’il faut retenir

Quatre colonnes : exigence, preuve, emplacement, propriétaire. Commencez par les clauses, pas par l’Annexe A.

Et relisez votre plan en cherchant les verbes au futur. Ils indiquent exactement où vous en êtes.