Leadership ISO 42001 : ce que la clause 5 attend de vous

Pourquoi la direction, pas le DSI

Quand une organisation décide d'adopter l'ISO/IEC 42001, la tentation est forte de confier le projet au responsable informatique ou au data scientist le plus disponible. La norme dit l'inverse. L'ISO/IEC 42001 exige que la direction générale (« top management ») porte elle-même la responsabilité du système de management de l'IA (SMIA)^[2]. Ce choix n'est pas cosmétique : il reflète la conviction, partagée par les autres normes de systèmes de management ISO, que sans portage au sommet, les politiques restent lettre morte.

L'ISO elle-même précise que le standard s'adresse aux organisations « qui développent, fournissent ou utilisent des systèmes d'IA », quelle que soit leur taille^[6]. Pour une PME ou une ETI, cela signifie que le directeur général, le comité de direction ou l'organe équivalent ne peut pas déléguer la responsabilité finale du SMIA à un échelon subordonné. Il peut, et doit, déléguer l'exécution. Mais la redevabilité (« accountability ») reste en haut.

Cette exigence trouve un écho direct dans le règlement européen sur l'IA (AI Act), qui impose lui aussi une gouvernance IA au niveau de la direction pour les systèmes à haut risque. Adopter la clause 5 de l'ISO 42001, c'est donc aussi préparer le terrain réglementaire.

Clause 5.1 : l'engagement de la direction

La clause 5.1 énumère une série d'engagements que la direction doit assumer. Sans reproduire le texte normatif, on peut les regrouper en quatre axes principaux, tels que décrits par les analyses disponibles^[2].

Premièrement, la direction doit s'assurer que la politique IA et les objectifs du SMIA sont cohérents avec l'orientation stratégique de l'organisation. Il ne s'agit pas d'un document générique copié d'un modèle : la politique doit refléter le contexte réel de l'entreprise, ses systèmes d'IA, ses risques propres.

Deuxièmement, la direction doit garantir que les exigences du SMIA sont intégrées dans les processus métier existants. Pour une PME qui utilise un outil de scoring client basé sur l'IA, cela veut dire que le processus commercial intègre les contrôles de qualité des données et de supervision humaine, pas qu'un document parallèle existe dans un classeur oublié.

Troisièmement, les ressources nécessaires doivent être disponibles. Cela couvre le budget, le temps des collaborateurs et les compétences. Vanta observe que les organisations qui utilisent l'IA dans leur produit principal ont intérêt à lancer la démarche ISO 42001 tôt, parfois même avant l'ISO 27001, précisément parce que les risques majeurs sont liés aux modèles et aux pipelines livrés aux clients^[4].

Quatrièmement, la direction doit communiquer l'importance du SMIA et soutenir les personnes qui y contribuent. Ce point, souvent négligé, est pourtant celui que les auditeurs vérifient le plus facilement : existe-t-il des preuves de communication interne (courriel, procès-verbal de réunion, ordre du jour) montrant que la direction a parlé du SMIA à l'organisation ?

Lien avec l'amélioration continue

La clause 5.1 demande aussi que la direction promeuve l'amélioration continue du SMIA^[2]. En pratique, cela se traduit par la revue de direction (clause 9.3), où les résultats d'audit, les non-conformités et les indicateurs de performance sont examinés. Si vous êtes dirigeant, c'est cette réunion qui matérialise votre engagement aux yeux de l'auditeur.

Clause 5.2 : la politique IA

La clause 5.2 demande à la direction d'établir une politique relative à l'IA. Selon l'ISO, un système de management de l'IA comprend « un ensemble structuré de politiques, processus et contrôles » qui aident l'organisation à gouverner la conception, le développement, le déploiement et l'utilisation de ses systèmes d'IA^[6]. La politique IA en est la pièce visible.

Concrètement, la politique IA doit remplir plusieurs conditions. Elle doit être adaptée à la finalité de l'organisation. Elle doit fournir un cadre pour la définition des objectifs du SMIA. Elle doit inclure un engagement à satisfaire les exigences applicables et à améliorer continuellement le système^[2].

Un point souvent sous-estimé : la politique doit être communiquée au sein de l'organisation et disponible pour les parties intéressées pertinentes. Pour une ETI qui fournit un service d'IA à des clients B2B, cela peut impliquer de publier un résumé de la politique sur son site ou de la joindre aux contrats. Pour une PME qui utilise l'IA en interne, une diffusion via l'intranet ou un courriel formel suffit, à condition qu'elle soit traçable.

La politique IA n'est pas la déclaration d'applicabilité (SoA), qui est un document distinct listant les contrôles retenus et exclus. La politique fixe le cap. La SoA détaille les mesures choisies pour y parvenir.

Contenu type d'une politique IA

Sans prescrire un format unique, les démarches observées convergent vers un document de deux à cinq pages couvrant les points suivants :

• Le périmètre du SMIA (quels systèmes d'IA, quels processus)
• Les principes directeurs (transparence, équité, responsabilité, respect de la vie privée)
• L'engagement de conformité aux lois applicables (AI Act, nLPD le cas échéant)
• Les rôles de gouvernance (qui valide, qui supervise)
• La référence aux objectifs mesurables du SMIA

Ce document doit être daté, signé par un membre de la direction et révisé périodiquement. Un auditeur demandera la preuve de cette révision.

Clause 5.3 : rôles, responsabilités et autorités

La clause 5.3 demande que la direction attribue les responsabilités et autorités pertinentes au sein de l'organisation, puis les communique^[2]. Selon l'analyse de Schellman, un cabinet d'audit spécialisé, l'ISO 42001 ne prescrit pas de titres de postes précis, mais exige que certaines fonctions soient clairement assignées^[5].

Deux responsabilités minimales doivent être attribuées. La première : s'assurer que le SMIA est conforme aux exigences de la norme. La seconde : rendre compte à la direction de la performance du SMIA. Dans une grande organisation, ces rôles peuvent être portés par un « AI governance officer » ou un comité dédié. Dans une PME, le responsable qualité ou le DPO peut cumuler cette fonction, à condition que l'attribution soit formalisée et que la personne dispose du temps et de l'autorité nécessaires.

Qui fait quoi dans une PME

Schellman relève que la norme attend une répartition claire entre ceux qui développent ou déploient les systèmes d'IA et ceux qui en supervisent la conformité^[5]. Cette séparation des fonctions, familière aux organisations déjà certifiées ISO 27001, vise à éviter qu'une même personne soit à la fois juge et partie.

Pour une PME de 30 collaborateurs, cette séparation ne nécessite pas de recruter. Elle peut prendre la forme d'un mandat écrit confiant la supervision du SMIA au responsable qualité, tandis que l'équipe technique reste responsable de l'exploitation des systèmes. L'organigramme fonctionnel, même simple, doit refléter cette répartition.

Séquence de responsabilités dans une PME, de la redevabilité à l'exécution.

1Direction générale : redevabilité globale du SMIA, validation de la politique IA

2Responsable SMIA (ex. resp. qualité / DPO) : conformité, reporting à la direction

3Équipes opérationnelles : exploitation des systèmes IA, application des contrôles

La norme n'impose pas ces intitulés. Elle exige que chaque fonction soit attribuée et communiquée^[5].

Vanta note par ailleurs que les organisations « AI-native » choisissent souvent de traiter ISO 42001, ISO 27001 et ISO 27701 en parallèle^[4]. Si votre PME dispose déjà d'un SMSI ISO 27001, la clause 5.3 peut s'appuyer sur la structure de rôles existante, en y ajoutant les responsabilités spécifiques à l'IA.

Preuves auditables : ce que l'auditeur cherche

Lors d'un audit de certification ISO 42001, la clause 5 est vérifiée dès l'étape 1 (revue documentaire) et confirmée à l'étape 2 (audit sur site). La Cloud Security Alliance (CSA) relève, à partir de retours d'expérience d'audits, que la direction doit pouvoir démontrer son implication par des preuves tangibles, pas par des affirmations verbales^[8].

Quels types de preuves un auditeur attend-il concrètement ? La liste varie selon les organismes de certification, mais les éléments suivants reviennent systématiquement :

• Procès-verbaux de revue de direction mentionnant le SMIA
• Politique IA signée, datée, et preuve de diffusion
• Organigramme ou matrice RACI montrant l'attribution des rôles SMIA
• Preuves d'allocation de ressources (budget, formations, outils)
• Communications internes sur les objectifs IA

L'absence de ces éléments constitue une non-conformité majeure lors de l'audit. Selon la CSA, les organisations qui échouent sur la clause 5 le font rarement par manque de volonté, mais par manque de formalisation^[8]. Le dirigeant « engagé mais pas documenté » est un profil récurrent.

Pour approfondir la préparation à l'audit, consultez la checklist des 30 points avant l'audit ISO 42001.

Piège fréquent : le leadership de façade

Le piège le plus courant dans les démarches de certification ISO 42001 est ce qu'on pourrait appeler le « leadership de façade ». La direction signe la politique IA, nomme un responsable, puis disparaît du processus jusqu'à l'audit. L'auditeur le détecte rapidement : il suffit de demander au dirigeant de décrire les trois principaux risques IA de son organisation ou les résultats de la dernière revue de direction.

Ce piège est d'autant plus tentant dans une PME où le dirigeant porte déjà de nombreuses casquettes. La norme ne demande pas que vous deveniez expert en IA. Elle demande que vous compreniez les risques de vos systèmes d'IA, que vous ayez validé les mesures prises et que vous suiviez leur efficacité^[6]. C'est un rôle de gouvernance, pas un rôle technique.

L'ISO précise d'ailleurs que le SMIA doit permettre de « définir les responsabilités pour l'utilisation de l'IA, identifier et évaluer les risques liés à l'IA, assurer la transparence et la redevabilité »^[6]. Si le dirigeant ne peut pas expliquer comment ces éléments fonctionnent dans son organisation, le SMIA n'est pas piloté au bon niveau.

Un indicateur simple pour éviter ce piège : inscrivez le SMIA comme point permanent de l'ordre du jour de votre comité de direction, au même titre que les finances ou la qualité. Cela génère automatiquement les preuves documentaires dont l'auditeur a besoin.

Exemple concret pour une PME romande

Prenons le cas fictif d'une PME de 45 personnes basée dans l'arc lémanique, spécialisée dans le développement de logiciels pour le secteur de la santé. Elle intègre un module de triage automatisé basé sur l'IA dans son produit principal. Son directeur général veut obtenir la certification ISO 42001 pour répondre aux exigences de ses clients hospitaliers et anticiper l'AI Act.

Pour satisfaire la clause 5, voici ce que cette PME pourrait formaliser :

Actions clause 5 pour une PME logicielle romande

Exigence	Action concrète
5.1 Engagement	Le directeur général co-signe la politique IA et inscrit le SMIA à l'ordre du jour trimestriel du comité de direction.
5.2 Politique IA	Document de 3 pages couvrant le périmètre (module de triage), les principes (équité, transparence, supervision humaine) et l'engagement de conformité (AI Act, nLPD).
5.3 Rôles	La responsable qualité est nommée responsable SMIA par mandat écrit. L'équipe R&D reste responsable du développement. Le DPO intervient sur les aspects données personnelles.

Ce scénario montre qu'une PME n'a pas besoin d'une structure lourde. Trois documents (politique IA, mandat de nomination, procès-verbal de comité de direction) suffisent à couvrir l'essentiel de la clause 5. La difficulté n'est pas dans le volume documentaire, mais dans la cohérence entre ce qui est écrit et ce qui est pratiqué.

Pour les PME qui se demandent si la démarche est proportionnée à leur taille, la page ISO 42001 pour une PME : est-ce adapté à votre taille ? traite cette question en détail.

Le lien avec les autres clauses

La clause 5 ne fonctionne pas en isolation. L'engagement de la direction alimente directement la clause 4 (contexte), puisque la politique IA doit être cohérente avec le contexte organisationnel. Elle conditionne aussi la clause 6 (planification), où les risques IA sont identifiés et évalués dans le cadre fixé par la direction. Et elle se boucle avec la clause 9 (évaluation de la performance), où la direction examine les résultats lors de la revue de direction.

L'ISO indique que la norme aide les organisations à passer « d'une utilisation ad hoc de l'IA à un management structuré et redevable »^[6]. La clause 5 est le mécanisme qui opère cette transition : sans décision formelle de la direction, le reste du SMIA n'a ni légitimité ni ressources.

Questions fréquentes

À lire ensuite