Clause 9 : surveillance, audit interne et revue de direction
La clause 9 est celle que l'auditeur externe lit en premier, parce qu'elle contient le travail d'un auditeur interne. Un système sans audit interne crédible n'atteint pas le second stade.
La clause 9 porte trois exigences : surveiller et mesurer, auditer en interne, passer en revue de direction. Elle occupe une place particulière dans la préparation d’une certification, parce que l’auditeur externe y trouve la trace du regard que l’organisation porte sur elle-même.
Un système dont l’audit interne se réduit à une relecture par l’équipe qui l’a construit ne démontre aucune objectivité. C’est une des raisons les plus fréquentes de sortie de second stade avec des écarts.
9.1 — Surveiller, mesurer, analyser, évaluer
La norme ne fournit aucune métrique et aucun seuil. Cette liberté est réelle, mais elle est aussi un piège : un indicateur choisi pour sa facilité de collecte plutôt que pour sa pertinence ne dit rien de la performance du système. Compter les réunions consacrées à l’IA n’informe personne.
Les indicateurs qui tiennent en audit ont une propriété commune : ils se rattachent à un objectif de la clause 6.2 et à une décision possible. Part des systèmes du périmètre disposant d’une évaluation d’impact à jour, délai moyen de clôture d’une action corrective, nombre de systèmes entrés en production sans passer par la revue prévue — chacun peut déclencher un arbitrage.
9.2 — L’audit interne
Deux exigences se détachent. La première est le programme : un audit isolé ne satisfait pas 9.2.2, qui demande une planification couvrant l’ensemble des processus sur un cycle. La seconde est l’objectivité : elle ne suppose pas un auditeur externe, mais elle exclut qu’une personne audite son propre travail.
Dans une petite structure, la solution habituelle est un croisement — le responsable des risques audite le cycle de vie, le responsable technique audite la gouvernance — ou un audit interne confié à un prestataire. Les deux sont acceptés.
9.3 — La revue de direction
La clause 9.3 est la plus facile à satisfaire et la plus souvent bâclée. Elle n’exige pas une réunion dédiée : un point substantiel dans une instance existante suffit. Ce qu’elle exige, c’est que les entrées listées en 9.3.2 soient réellement présentées, et que les sorties de 9.3.3 soient des décisions, pas un tour de table.
Ce que la clause 9 ne demande pas
Ni périodicité chiffrée — « à intervalles planifiés » signifie que vous fixez la fréquence et la respectez —, ni auditeur certifié, ni outil d’audit, ni tableau de bord informatisé.
La norme n’exige aucun seuil de performance : elle exige que vous en ayez défini, que vous les mesuriez, et que vous agissiez quand ils ne sont pas atteints.