Le plan de preuve ISO 42001 en quatre colonnes
Un plan de preuve tient en quatre colonnes. Ce qui le fait échouer n'est presque jamais son format : c'est qu'il décrit une intention plutôt qu'une pratique.
Un auditeur ne vérifie pas que vous avez compris la norme. Il vérifie que vous pouvez montrer ce que vous affirmez faire. Le plan de preuve est le document qui organise cette démonstration, et il n’a besoin que de quatre colonnes.
| Colonne | Ce qu’elle contient |
|---|---|
| L’exigence | La clause ou le contrôle, par son numéro exact |
| La preuve attendue | L’artefact précis qui la démontre, pas une catégorie |
| L’emplacement | Où il se trouve, de façon à pouvoir l’ouvrir en séance |
| Le propriétaire | La personne qui en répond, nommément |
Pourquoi quatre, et pas plus
Chaque colonne supplémentaire ajoute du travail d’entretien sans ajouter de capacité à démontrer. Les tableaux à dix colonnes que l’on rencontre — statut, criticité, échéance, degré de conformité, commentaire — deviennent faux en quelques semaines, et un plan de preuve faux est pire qu’un plan de preuve absent.
Une colonne mérite discussion : celle du caractère obligatoire. On la voit souvent, remplie de « oui » pour tous les contrôles de l’Annexe A. C’est inexact, et cela conduit à chercher des preuves pour des contrôles qu’on aurait pu écarter. Le caractère applicable d’un contrôle se décide dans la déclaration d’applicabilité, pas dans le plan de preuve.
La distinction qui fait échouer les audits
C’est la faille la plus commune. Une procédure d’évaluation d’impact est un document : elle décrit une méthode. Une évaluation d’impact remplie, datée, signée, est un enregistrement : elle prouve que la méthode a tourné.
Un plan de preuve qui ne cite que des procédures démontre que l’organisation a écrit son système. Il ne démontre pas qu’elle le fait vivre. C’est exactement le constat qui fait sortir d’un second stade d’audit avec des écarts, alors que le premier stade — qui examine surtout la documentation — s’était bien passé.
Ce qui fait une bonne preuve
Trois propriétés, et elles sont cumulatives.
Datée. Une preuve sans date ne permet pas d’établir qu’elle porte sur la période auditée. C’est le défaut le plus facile à corriger et le plus fréquent.
Attribuée. On doit savoir qui l’a produite et qui l’a approuvée. Un document sans approbateur ne démontre aucune décision.
Rejouée. Une preuve unique, datée du montage du dossier, montre un point ; une série montre un processus. Pour une exigence rejouée à intervalles planifiés — appréciation du risque, évaluation d’impact, audit interne, revue de direction —, l’auditeur cherche la série.
Par où commencer
Pas par les 38 contrôles. Par les clauses 4 à 10 : aucune ne s’écarte, puisque la norme ne prévoit d’exclusion justifiée que pour les contrôles de l’Annexe A, dans la déclaration d’applicabilité. Leur portée concrète peut en revanche varier selon vos rôles à l’égard des systèmes d’IA, comme le relève une note de 4.1. Suivre leur numérotation est une commodité, pas un ordre imposé par la norme. C’est le socle du plan de preuve.
Les contrôles de l’Annexe A viennent ensuite, et seulement ceux que votre déclaration d’applicabilité a retenus. Chercher des preuves pour un contrôle écarté est du travail perdu.
Un ordre de construction qui fonctionne :
- Les informations documentées que la norme réclame nommément. D’abord celles qui cadrent le système : le périmètre (4.3), la description du système de management et de ses processus (4.4), la politique IA (5.2), les objectifs IA (6.2), les informations sur les processus d’appréciation et de traitement des risques (6.1.2, 6.1.3), la déclaration d’applicabilité et les contrôles qu’elle retient (6.1.3). Ensuite les traces que le système laisse en fonctionnant : ce qui a été fait face aux risques et opportunités (6.1.1), les preuves de compétence (7.2), de quoi établir que les processus ont tourné comme prévu (8.1), les résultats des appréciations et des traitements des risques (8.2, 8.3) et des évaluations d’impact (6.1.4, 8.4), ceux de la surveillance et de la mesure (9.1), des audits internes (9.2.2) et des revues de direction (9.3.3), enfin la nature des non-conformités, les suites données et le résultat des actions correctives (10.2).
- Les processus rejoués — appréciation du risque, évaluation d’impact, audit interne, revue de direction —, dont l’auditeur attend une série de résultats plutôt qu’un exemplaire unique.
- Les contrôles retenus, domaine par domaine.
- Les traces d’amélioration — non-conformités, actions correctives, et leur examen d’efficacité.
Ce dernier point est l’omission la plus régulièrement relevée, tous domaines confondus : des actions correctives closes sans qu’on ait vérifié qu’elles avaient produit un effet.
Un test simple avant l’audit
Prenez trois exigences au hasard dans votre plan. Pour chacune, ouvrez la preuve annoncée, à l’emplacement annoncé, en moins de deux minutes.
Si vous n’y arrivez pas, l’auditeur n’y arrivera pas non plus — et il en tirera la conclusion qu’il doit en tirer. C’est aussi, à peu de chose près, ce que fait un audit interne utile : il ne relit pas les documents, il essaie de les trouver.
Ce qu’il faut retenir
Quatre colonnes : exigence, preuve, emplacement, propriétaire. Commencez par les clauses, pas par l’Annexe A.
Et relisez votre plan en cherchant les verbes au futur. Ils indiquent exactement où vous en êtes.