Clause 9 : surveillance, audit interne et revue de direction

La clause 9 porte trois exigences : surveiller et mesurer, auditer en interne, passer en revue de direction. Elle occupe une place particulière dans la préparation d’une certification, parce que l’auditeur externe y trouve la trace du regard que l’organisation porte sur elle-même.

Un système dont l’audit interne se réduit à une relecture par l’équipe qui l’a construit ne démontre aucune objectivité. C’est une des raisons les plus fréquentes de sortie de second stade avec des écarts.

9.1 — Surveiller, mesurer, analyser, évaluer

Pour le système de management, la norme ne fournit ni indicateur ni seuil. Ce sont ses lignes directrices, qui recommandent sans exiger, qui descendent au niveau des métriques techniques : celles consacrées à l’exploitation et à la surveillance d’un système d’IA en citent des exemples (B.6.2.6), et d’autres y touchent à propos des critères d’évaluation (B.6.2.4) ou des limites techniques à documenter (B.6.2.7). Aucune n’en fixe la valeur acceptable, laissée à l’organisation. Cette liberté est réelle, mais elle est aussi un piège : un indicateur choisi pour sa facilité de collecte plutôt que pour sa pertinence ne dit rien de la performance du système. Compter les réunions consacrées à l’IA n’informe personne.

Les indicateurs qui tiennent en audit ont une propriété commune : ils se rattachent à un objectif de la clause 6.2 et à une décision possible. Part des systèmes du périmètre disposant d’une évaluation d’impact à jour, délai moyen de clôture d’une action corrective, nombre de systèmes entrés en production sans passer par la revue prévue — chacun peut déclencher un arbitrage.

9.2 — L’audit interne

Deux exigences se détachent. La première est le programme : un audit isolé ne satisfait pas 9.2.2, qui demande une planification pondérée par l’importance des processus et par ce que les audits précédents ont trouvé. La norme ne fixe pas le délai dans lequel tout le système doit avoir été audité, mais un programme qui laisse durablement un processus de côté ne permet pas d’établir ce que 9.2.1 demande : la conformité du système entier. La seconde est l’objectivité, dans le choix des auditeurs comme dans la conduite des audits : elle ne suppose pas un auditeur externe, et on la comprend en pratique comme excluant qu’une personne audite son propre travail.

Dans une petite structure, la solution habituelle est un croisement — le responsable des risques audite le cycle de vie, le responsable technique audite la gouvernance — ou un audit interne confié à un prestataire. Les deux sont acceptés. Construire le programme, choisir l’échantillon et écrire des constats utiles : c’est l’objet du guide sur l’audit interne.

9.3 — La revue de direction

La clause 9.3 est la plus facile à satisfaire et la plus souvent bâclée. Elle n’exige pas une réunion dédiée : un point substantiel dans une instance existante suffit. Ce qu’elle exige, c’est que les entrées listées en 9.3.2 soient réellement présentées, et que les sorties de 9.3.3 soient des décisions, pas un tour de table. Le dossier à préparer et la forme des décisions sont détaillés dans le guide sur la revue de direction.

Ce que la clause 9 ne demande pas

Ni périodicité chiffrée — « à intervalles planifiés » signifie que vous fixez la fréquence et la respectez —, ni auditeur certifié, ni outil d’audit, ni tableau de bord informatisé.

La norme n’impose aucune valeur cible. Elle vous fait fixer des objectifs IA, mesurables si possible et suivis (6.2), établir des critères pour vos processus (8.1), décider de ce que vous surveillez et mesurez (9.1), et envisager des actions correctives quand un contrôle n’atteint pas les résultats attendus (8.1).