Clause 7 ISO 42001 : compétences, sensibilisation, communication, documentation

La clause 7 rassemble les moyens : ressources, compétences, sensibilisation, communication et documentation. Elle passe souvent pour de l’intendance. En audit, elle produit pourtant des écarts faciles à éviter, parce qu’ils relèvent de la traçabilité plus que du fond.

Un avertissement de numérotation, avant tout le reste. 7.3 est la sensibilisation, 7.4 est la communication. L’inversion est constante dans la littérature secondaire, y compris chez des éditeurs de logiciels de conformité, et elle conduit à préparer les mauvaises preuves.

7.1 — Les ressources

Une note de 7.1 renvoie au domaine A.4 de l’Annexe A, dont l’angle est différent : ses contrôles font identifier et documenter, système d’IA par système d’IA, les ressources mobilisées (données, outillage, ressources système et de calcul, ressources humaines), afin d’en comprendre et d’en traiter les risques et les impacts. Le point de vigilance pratique est le budget récurrent : beaucoup d’organisations financent la mise en place et rien pour la maintenir, ce qui se voit au premier audit de surveillance.

7.2 — La compétence

L’exigence porte sur la preuve de compétence, pas sur la preuve de formation. Une attestation de présence à une session ne démontre pas qu’une compétence est acquise ; une évaluation, une mise en situation ou une revue de travaux la démontrent.

7.3 — La sensibilisation

7.4 — La communication

Aucune des clauses 4 à 10 ne traite spécialement des incidents, et 7.4 ne fait pas exception : elle pose le cadre de toutes les communications du système, sans fixer de délai ni exiger d’écrit. Si le contrôle A.8.4 est retenu, il demande un plan documenté pour informer les utilisateurs d’un incident ; il ne fixe ni délai ni canal, et c’est à l’organisme de les arrêter dans ce plan. Pour la réponse elle-même, la norme donne des repères à propos de l’exploitation des systèmes (A.6.2.6 et B.6.2.6). Un incident ne relève de la clause 10.2 que s’il met au jour une exigence non satisfaite. Une procédure d’incident sans destinataire nommé ne fonctionne jamais le jour où elle sert.

7.5 — Les informations documentées

Ce que dit la norme7.5

Deux familles d’informations documentées font partie du système : celles que la norme rend obligatoires et celles que l’organisme estime utiles à son efficacité (7.5.1). S’y ajoutent, repérées et maîtrisées comme il convient, les informations venues de l’extérieur que l’organisme juge nécessaires pour planifier et faire fonctionner le système (7.5.3). Chaque fois qu’un document est créé ou mis à jour, il est relu et approuvé pour vérifier qu’il convient et qu’il suffit, il porte de quoi l’identifier et le décrire, et il prend une forme et un support adaptés (7.5.2). La maîtrise de ces informations poursuit deux buts : les protéger comme il faut, et qu’on puisse s’en servir là et au moment où elles sont utiles. Selon ce qui s’applique, elle couvre le suivi des modifications et des versions, le rangement et la lisibilité dans la durée, la diffusion, l’accès, la consultation et l’usage, enfin la durée de conservation et l’élimination (7.5.3).

La distinction utile en audit est celle entre document et enregistrement. Un document dit ce qu’on fait ; un enregistrement prouve qu’on l’a fait. Une procédure d’évaluation d’impact est un document ; une évaluation d’impact remplie est un enregistrement. Les deux sont attendus, et produire le premier sans le second est le scénario d’échec classique au second stade d’audit.

Ce que la clause 7 ne demande pas

Aucun outil documentaire particulier, aucun format, aucune plateforme. Un répertoire partagé avec une convention de nommage tenue vaut mieux qu’un outil de gestion documentaire que personne n’alimente.

La norme ne fixe ni volume de formation, ni périodicité de sensibilisation, ni durée de conservation.