Blog · Se certifier
Audit ISO 42001 : réussir l'étape 1 et l'étape 2
L'audit de certification ISO/IEC 42001 suit la logique en deux étapes propre aux normes de systèmes de management. L'étape 1 vérifie la maturité documentaire du SMIA. L'étape 2 évalue la conformité opérationnelle sur le terrain. Cet article détaille ce que l'auditeur attend à chaque phase et les pièges fréquents.
Le processus de certification en deux étapes
Si vous avez déjà conduit votre organisation vers une certification ISO 9001 ou ISO 27001, la mécanique vous sera familière. L'ISO/IEC 42001, en tant que norme de système de management de l'IA (SMIA), suit le même schéma d'audit initial en deux phases, conforme aux exigences de l'ISO/IEC 17021-1 qui régit les organismes de certification.
L'organisme de certification que vous aurez sélectionné planifie d'abord une étape 1 (parfois appelée « Stage 1 » ou « revue documentaire »), puis une étape 2 (« Stage 2 » ou « audit de conformité »). Chaque étape a un objectif distinct, et la seconde ne peut avoir lieu que si la première est concluante.
Ce découpage n'est pas un caprice bureaucratique. Il protège les deux parties : l'auditeur s'assure de ne pas débarquer dans une organisation manifestement non prête, et vous évitez de mobiliser vos équipes pour un audit terrain voué à l'échec.
Les deux étapes s'enchaînent dans un délai généralement compris entre quatre et douze semaines.
La décision finale est prise par un comité indépendant de l'équipe d'audit, conformément aux règles d'accréditation.
Étape 1 : la revue de préparation
L'étape 1 est avant tout un examen de maturité. L'auditeur cherche à répondre à une question simple : l'organisation est-elle suffisamment prête pour qu'un audit terrain soit productif ? Concrètement, cette revue porte sur la documentation du SMIA, la compréhension du périmètre, et la capacité de l'organisation à démontrer qu'elle a entamé le cycle PDCA.
Voici les éléments que l'auditeur examinera typiquement lors de cette première phase :
- La politique IA et le périmètre du SMIA (clauses 4 et 5 de la norme)
- L'inventaire des systèmes d'IA couverts par le périmètre
- La déclaration d'applicabilité (SoA) et la justification des contrôles retenus ou exclus
- L'appréciation des risques IA et le plan de traitement associé
- Le programme d'audit interne (clause 9.2) et les preuves qu'au moins un cycle a été réalisé
- La revue de direction (clause 9.3)
L'étape 1 peut se dérouler à distance, en particulier pour les organisations de taille modeste. L'auditeur produit un rapport qui identifie les points de préoccupation et, le cas échéant, les domaines où l'organisation n'est pas prête. Ce rapport ne contient pas de « non-conformités » formelles au sens strict, mais des constats qui peuvent retarder le passage à l'étape 2.
Un piège fréquent : considérer l'étape 1 comme une simple formalité administrative. Les démarches observées montrent que les organisations qui sous-estiment cette phase se retrouvent avec un délai supplémentaire de plusieurs semaines avant de pouvoir planifier l'étape 2.
Ce que l'auditeur attend de votre SoA
La déclaration d'applicabilité ISO 42001 diffère sensiblement de celle que vous connaissez en ISO 27001. Les contrôles de l'Annexe A couvrent des domaines propres à l'IA : gouvernance, qualité des données, transparence, suivi post-déploiement. L'auditeur vérifiera que chaque contrôle retenu ou exclu est justifié par votre appréciation des risques, et non simplement coché par défaut. Pour approfondir ce sujet, consultez le guide de préparation de la SoA ISO 42001.
La période entre les deux étapes
Le rapport d'étape 1 vous donne une feuille de route implicite. Si l'auditeur a relevé que votre programme d'audit interne n'est pas encore bouclé, ou que votre inventaire des systèmes IA reste incomplet, c'est le moment de combler ces lacunes.
Cette période intermédiaire dure en général de quatre à douze semaines. Un délai trop court ne laisse pas le temps de corriger les écarts. Un délai trop long (au-delà de six mois dans la plupart des schémas de certification) peut invalider l'étape 1 et obliger à recommencer.
Pour une organisation romande qui a déjà un système de management ISO 27001, cette phase est souvent l'occasion de finaliser les éléments spécifiques à l'IA. L'intégration entre les deux systèmes peut d'ailleurs être traitée dans un audit intégré 42001-27001, ce qui réduit la charge globale.
Étape 2 : l'audit de conformité sur le terrain
L'étape 2 est l'audit proprement dit. L'auditeur (ou l'équipe d'audit, selon la taille du périmètre) évalue la conformité effective de votre SMIA aux exigences de la norme ISO/IEC 42001. Il ne s'agit plus de vérifier que les documents existent, mais que le système fonctionne dans la pratique.
L'audit de terrain repose sur trois techniques complémentaires : l'examen de preuves documentées, les entretiens avec les collaborateurs concernés, et l'observation directe des processus. L'auditeur cherchera des preuves tangibles que les contrôles de l'Annexe A sont opérationnels, pas seulement décrits dans une politique.
Les domaines scrutés en priorité
Bien que l'auditeur couvre l'ensemble des clauses, certains domaines reçoivent une attention particulière lors d'un audit ISO 42001 :
- La gouvernance IA effective : qui prend les décisions, comment les responsabilités sont-elles attribuées (clause 5)
- Le traitement des risques IA : les mesures prévues dans le plan de traitement sont-elles réellement appliquées
- La gestion des données utilisées par les systèmes d'IA (Annexe A.7)
- L'analyse d'impact des systèmes d'IA sur les personnes concernées
- Le suivi et la mesure de la performance du SMIA (clause 9.1)
L'auditeur formule ses constats selon trois catégories : conformité, non-conformité mineure, non-conformité majeure. Une non-conformité majeure empêche la recommandation de certification tant qu'elle n'est pas corrigée et vérifiée. Les non-conformités mineures doivent être traitées dans un délai convenu (généralement 90 jours), avec preuve de correction.
Exemple concret : une PME technologique en Suisse romande
Imaginons une PME vaudoise de 40 personnes qui développe un outil de scoring pour le secteur financier. Lors de l'étape 2, l'auditeur demandera probablement à rencontrer le responsable du modèle, le data engineer, et la personne chargée de la conformité. Il voudra voir comment les biais du modèle sont surveillés en production, comment les réclamations des utilisateurs finaux sont traitées, et si les résultats de la revue de direction ont conduit à des actions concrètes.
Si l'entreprise a documenté un processus de suivi des biais mais ne peut pas montrer de trace d'exécution sur les trois derniers mois, l'auditeur constatera vraisemblablement une non-conformité. La documentation seule ne suffit pas : c'est la preuve d'application qui compte.
Clause 9.2 : l'audit interne comme prérequis
La clause 9.2 de l'ISO/IEC 42001 exige que l'organisation conduise des audits internes à intervalles planifiés. Pour l'audit de certification, cela signifie concrètement qu'au moins un cycle complet d'audit interne doit avoir été réalisé avant l'étape 2.
BSI propose d'ailleurs une formation spécifique d'auditeur interne ISO/IEC 42001, d'une durée de deux jours, destinée à développer les compétences nécessaires pour planifier et conduire un audit interne efficace du SMIA[2]. Ce type de formation peut être utile si votre équipe d'audit interne n'a pas encore d'expérience avec les spécificités de l'IA.
L'auditeur externe vérifiera que votre programme d'audit interne couvre l'ensemble du périmètre du SMIA, que les auditeurs internes sont compétents et indépendants des activités auditées, et que les constats ont été traités. Si vous avez déjà un programme d'audit interne ISO 27001, vous pouvez l'étendre pour couvrir les exigences spécifiques à l'ISO 42001, en ajoutant les contrôles de l'Annexe A propres à l'IA.
Un point souvent négligé : l'audit interne doit aussi couvrir la clause 9.2 elle-même. L'auditeur externe peut vérifier que votre processus d'audit interne est lui-même audité, ce qui crée une boucle d'assurance qualité.
Spécificités de l'audit ISO 42001 par rapport à 27001
Pour un responsable qualité familier de l'ISO 27001, l'audit ISO 42001 présente des différences notables. La structure de haut niveau (HLS) est identique, ce qui facilite la compréhension du cadre. Mais le contenu audité diverge sur plusieurs points.
| Dimension | ISO 27001 | ISO 42001 |
|---|---|---|
| Objet principal | Sécurité de l'information | Gouvernance des systèmes d'IA |
| Annexe de contrôles | Annexe A (93 contrôles, éd. 2022) | Annexe A (contrôles IA en 9 catégories) |
| Analyse d'impact | Non exigée en tant que telle | Analyse d'impact sur les personnes affectées par l'IA |
| Données | Protection et confidentialité | Qualité, provenance, biais des données d'entraînement |
| Suivi post-déploiement | Surveillance des incidents de sécurité | Surveillance du comportement du modèle en production |
L'auditeur ISO 42001 devra disposer de compétences techniques en IA, ou s'appuyer sur un expert technique au sein de l'équipe d'audit. BSI souligne d'ailleurs qu'un audit inefficace peut entraîner des défaillances de processus et une non-conformité réglementaire[2]. Cette remarque prend un relief particulier dans le domaine de l'IA, où les conséquences d'un système mal gouverné peuvent affecter directement des personnes.
Pour mieux comprendre les passerelles entre ces deux normes, consultez notre comparatif ISO 42001 vs ISO 27001.
Pièges fréquents et observations de terrain
Les démarches de certification observées dans le domaine des systèmes de management révèlent des schémas récurrents. Voici les écueils les plus courants, transposés au contexte ISO 42001.
Le SMIA « papier »
C'est le piège classique de toute certification de système de management : des politiques rédigées avec soin, mais déconnectées de la réalité opérationnelle. L'auditeur d'étape 2 détectera rapidement si votre politique de gestion des biais existe uniquement dans un dossier SharePoint que personne n'a ouvert depuis six mois.
La parade : commencez à faire vivre votre SMIA plusieurs mois avant l'audit. Les traces d'exécution (comptes rendus de revue, rapports de surveillance des modèles, tickets de correction) sont vos meilleures alliées.
L'inventaire des systèmes IA incomplet
Beaucoup d'organisations sous-estiment le nombre de systèmes d'IA qu'elles utilisent. Les outils de traduction automatique, les filtres anti-spam avancés, les systèmes de recommandation intégrés à un CRM : tous peuvent entrer dans le périmètre si vous les avez inclus. L'auditeur comparera votre inventaire à la réalité observée. Un écart significatif entre les deux constitue un signal d'alerte. La cartographie des systèmes IA mérite d'être traitée en amont.
L'analyse d'impact bâclée
L'analyse d'impact des systèmes d'IA sur les individus est une exigence distinctive de l'ISO 42001. Si vous venez du monde ISO 27001, vous n'avez pas d'équivalent direct. L'auditeur vérifiera que cette analyse est proportionnée au risque du système, qu'elle identifie les parties prenantes affectées, et qu'elle a conduit à des mesures concrètes.
La compétence IA insuffisante
La clause 7.2 exige que les personnes effectuant un travail ayant une incidence sur la performance du SMIA soient compétentes. L'auditeur pourra interroger les membres de votre équipe pour vérifier qu'ils comprennent les risques spécifiques à l'IA, pas seulement les processus de management. Si votre responsable conformité ne peut pas expliquer ce qu'est un biais algorithmique, cela posera problème.
Préparer concrètement votre équipe
La préparation à l'audit ne se limite pas à la documentation. Voici une approche pragmatique, particulièrement adaptée aux organisations qui ont déjà une culture de certification.
Premièrement, réalisez un audit interne complet au moins deux mois avant la date prévue de l'étape 1. Cela vous laisse le temps de traiter les constats avant l'arrivée de l'auditeur externe. La checklist de 30 points avant l'audit peut servir de base à cette revue.
Deuxièmement, préparez vos collaborateurs aux entretiens. L'auditeur ne cherche pas des réponses parfaites, mais des réponses cohérentes avec ce qui est documenté. Un collaborateur qui explique spontanément comment il gère un risque IA dans son travail quotidien est bien plus convaincant qu'un récitant de politique.
Troisièmement, constituez un dossier de preuves organisé. Pour chaque contrôle de l'Annexe A retenu dans votre SoA, rassemblez les preuves d'application : captures d'écran, rapports, comptes rendus, logs. L'auditeur appréciera de ne pas devoir chercher lui-même dans vos systèmes.
Quatrièmement, identifiez les zones de risque. Si un contrôle a été difficile à appliquer, ou si un processus est récent et peu rodé, préparez une explication honnête. L'auditeur préfère une organisation qui reconnaît ses limites et montre un plan d'amélioration, plutôt qu'une façade sans faille qui s'effondre à la première question.
Pour une vue d'ensemble du parcours de certification et des délais et coûts à prévoir, le hub Se certifier rassemble l'ensemble des ressources disponibles.
Rappelons enfin que la certification n'est pas une fin en soi. L'audit initial n'est que le début d'un cycle de trois ans, ponctué d'audits de surveillance annuels. La vraie valeur du SMIA réside dans l'amélioration continue qu'il impose, pas dans le certificat accroché au mur.
Questions fréquentes
Quelle est la différence entre l'étape 1 et l'étape 2 de l'audit ISO 42001 ?
L'étape 1 est une revue de préparation, principalement documentaire, qui évalue si le SMIA est suffisamment mature pour un audit terrain. L'étape 2 est l'audit de conformité proprement dit, où l'auditeur vérifie sur le terrain que le système fonctionne réellement. Les deux étapes suivent la logique standard des audits de systèmes de management ISO.
Faut-il avoir réalisé un audit interne avant l'audit de certification ?
Oui. La clause 9.2 de l'ISO/IEC 42001 exige des audits internes à intervalles planifiés. Au moins un cycle complet d'audit interne doit être bouclé avant l'étape 2. BSI propose des formations d'auditeur interne ISO 42001 de deux jours pour développer ces compétences[2].
Combien de temps sépare l'étape 1 de l'étape 2 ?
En général, quatre à douze semaines. Ce délai permet de corriger les écarts identifiés lors de l'étape 1. Un délai trop long (au-delà de six mois dans la plupart des schémas de certification) peut invalider l'étape 1 et obliger à la recommencer.
Peut-on combiner l'audit ISO 42001 avec un audit ISO 27001 ?
Oui, un audit intégré est possible si votre organisme de certification est accrédité pour les deux normes. Les clauses de structure de haut niveau (HLS) étant communes, l'auditeur peut couvrir les deux référentiels en un seul audit, ce qui réduit la durée totale et la charge pour vos équipes.
Que se passe-t-il en cas de non-conformité majeure lors de l'étape 2 ?
Une non-conformité majeure empêche la recommandation de certification. Vous disposez d'un délai pour corriger le problème et fournir des preuves de correction. L'auditeur vérifie ensuite l'efficacité de la correction, éventuellement lors d'une visite complémentaire, avant que le comité de certification puisse statuer.
Situer votre organisation face à la norme ISO 42001
Un premier échange permet de cadrer les écarts à combler et les priorités.
Demander un avis indépendantÀ lire ensuite
- ISO/IEC 42001 Artificial Intelligence Management System Internal Auditor Training - BSI https://www.bsigroup.com/en-NL/training-courses/isoiec-42001-artificial-intelligence-management-system-internal-auditor/
Dernière vérification : 8 octobre 2026. Sources primaires citées ci-dessus. Les interprétations sont signalées comme telles. Le texte de la norme reste non reproduit.