La revue de direction : un dossier, des questions, des décisions

La clause 9.3 tient en quelques lignes. Elle confie à la direction un examen du système à intervalles planifiés, en fixe les entrées et en attend des décisions. Elle ne dit rien de la forme, de la durée ou de l’ordre du jour.

Cette sobriété explique les deux défauts les plus répandus : la revue qui présente sans décider, et celle qui oublie une partie des entrées exigées.

Ce que la norme demande

Trois points méritent d’être lus de près.

C’est la direction qui examine. Le responsable du système ou le comité IA préparent la revue ; ils ne la tiennent pas à la place de la direction. Pour la norme, la direction est l’instance qui pilote l’organisation à son plus haut niveau (3.3) ; lorsque le périmètre ne couvre qu’une partie de l’organisation, c’est celle qui pilote cette partie. Le comité de direction d’une filiale peut donc tenir la revue d’un système limité à cette filiale.

Des tendances, pas une photographie. La performance s’examine à travers les tendances des non-conformités et des actions correctives, des résultats de surveillance et de mesure, et des résultats d’audit. Une tendance suppose au moins deux points. La première revue ne peut qu’établir le point de départ : le compte rendu gagne à le dire, et à fixer ce qui sera comparé la fois suivante.

La liste est plus courte qu’on ne le croit. L’adéquation des ressources, que d’autres normes de système de management placent parmi les entrées de la revue, n’y figure pas. Les résultats de l’appréciation des risques et l’avancement des objectifs non plus. Rien n’empêche de les ajouter, et c’est souvent utile, mais c’est un choix de l’organisation, pas une exigence de 9.3.2.

Le dossier : une entrée, une question

Le dossier transmis à la direction n’a pas besoin d’être long. Il doit couvrir chaque entrée, et poser pour chacune la question qu’elle soulève.

Entrée de 9.3.2	Ce que le dossier présente	La question posée à la direction
Suivi des actions précédentes	Chaque décision de la dernière revue : réalisée, en cours ou abandonnée, et pourquoi	Les décisions prises ont-elles produit l’effet attendu ?
Évolution des enjeux externes et internes	Évolutions réglementaires — dont le calendrier de l’AI Act —, nouveaux usages de l’IA, réorganisations, changements chez les fournisseurs de modèles	Le périmètre et la politique restent-ils justes ?
Évolution des attentes des parties intéressées	Questionnaires clients, réclamations, préoccupations signalées en interne, nouvelles clauses contractuelles	Faut-il prendre un engagement nouveau, ou en revoir un ?
Performance, en tendances	Non-conformités et actions correctives, indicateurs de surveillance, résultats d’audit, sur plusieurs périodes	Où le système se dégrade-t-il, et que fait-on ?
Opportunités d’amélioration	Propositions issues de l’audit, des équipes, des incidents	Lesquelles retient-on, et avec quels moyens ?

S’y ajoutent utilement, sans être exigés par 9.3.2 :

• l’état du registre des risques et les risques résiduels acceptés depuis la dernière revue — leur acceptation revient à la direction désignée, qui peut la consigner à cette occasion ;
• les évaluations d’impact réalisées, en particulier celles qui ont conduit à modifier un système ;
• l’avancement des objectifs fixés au titre de la clause 6.2 ;
• les dérogations accordées à la politique IA, dont la répétition signale une règle à revoir.

Des décisions, pas un tour de table

La norme attend de la revue des décisions sur les opportunités d’amélioration et sur les changements à apporter au système. Le compte rendu les rend visibles : numérotées, avec un responsable et une échéance, elles deviennent la première entrée de la revue suivante, et la boucle se ferme d’elle-même.

Ce qui n’est pas une décision	Ce qui en est une
« La direction prend acte des résultats de l’audit interne. »	« Les deux services d’IA absents de l’inventaire sont évalués avant le 30 juin. Responsable : direction des achats. »
« Le sujet des fournisseurs sera suivi. »	« L’évaluation des fournisseurs d’IA entre dans la procédure d’achat ; le responsable IA la valide avant signature. »
« Point d’information sur l’AI Act. »	« Avant la prochaine revue, le juriste qualifie les deux systèmes pouvant relever de l’annexe III. »

Décider de ne rien changer est aussi une décision, à condition d’être motivée : « la politique reste en l’état, aucune dérogation n’ayant été accordée sur la période ».

La trame du compte rendu

1. La date, les participants et leur fonction : la direction, au sens de la norme, doit y figurer.
2. Les entrées examinées, dans l’ordre de 9.3.2, chacune au moins en une ligne, pour qu’on puisse constater qu’aucune n’a été omise.
3. Les décisions, numérotées, avec un responsable et une échéance.
4. Les changements décidés sur le système : périmètre, politique, critères de risque, moyens.
5. La date prévue de la revue suivante.

Rythme et format

« À intervalles planifiés » : c’est vous qui fixez la fréquence, et vous qui devez la tenir. Un rythme au moins annuel est l’usage, parce qu’il correspond à celui des audits de surveillance. Beaucoup d’organisations y ajoutent un point court chaque trimestre dans une instance existante, et consolident une fois par an.

Rien n’impose une réunion dédiée. Une organisation déjà certifiée ISO 27001 ou ISO 9001 peut étendre sa revue existante, puisque la structure des clauses est commune — voir ce qui se réutilise d’ISO 27001. Il faut seulement que les entrées propres au système d’IA restent identifiables dans le compte rendu.

Un événement majeur — incident grave impliquant un système d’IA, nouvelle obligation réglementaire, acquisition — justifie de ne pas attendre l’échéance prévue.

Ce qu’il faut retenir

Cinq entrées, une question par entrée, des décisions en sortie. La revue vient après l’audit interne, s’appuie sur des tendances plutôt que sur un instantané, et se juge à ce que son compte rendu permet de retrouver : ce qui a été décidé, par qui, et pour quand.