En affûtant notre méthodologie d’audit pour l’ISO 42001, nous avons cherché à clarifier comment un audit d’un système de management de l’IA allait se dérouler. Voici quelques éclairages (écrits sans l’aide de l’IA, promis).
Audit du système de management
Le cœur et la structure de la norme correspondent au HLS qui est la colonne vertébrale de toutes les normes de management qui sont publiées ou mises à jour depuis 2012.
On retrouve les 10 grands chapitres classiques que les spécialistes connaissent. Les auditeurs y seront donc habitués et dérouleront les grandes questions, parmi lesquelles :
- Comment se traduit la politique de l’organisme (attention, on attend une politique spécifique aux enjeux de l’IA, elle peut être intégrée à une politique plus large mais doit impérativement y faire clairement référence)
- Quels sont les grands objectifs du système de management et la planification associée ?
- Comment sont gérées les compétences spécifiques au domaine de l’IA ?
- Quels sont les moyens de surveillance et de mesurage mis en place ?
- Comment les audits internes sont-ils réalisés ?
- Quels sont les données d’entrée et de sortie de la revue de direction (là encore, pas nécessairement une revue de direction spécifique, mais des éléments traitant de l’IA clairement identifiés)
- Comment sont définies, identifiées et traitées les non conformités ?
Prise en compte d’éléments spécifiques à l’IA
L’ISO 42001 dispose d’exigences très précises qui fondent sa particularité et auxquelles les auditeurs seront particulièrement sensibles (nous n’en faisons pas la liste exhaustive mais mettons en avant les plus importantes) :
- Détermination du contexte où une description très détaillée est attendue des différents rôles de l’organisation en matière d’IA (enjeux internes et externes)
- Une analyse de risque détaillée et spécifique aux activités IA
- La mise en œuvre d’actions face aux risques identifiés (le fait que l’annexe A et une partie de l’annexe B de la norme soient dédiés à ce sujet démontre en quoi il est capital)
- Une analyse des impacts potentiels du système IA.
- La mise en œuvre des moyens de maîtrise opérationnels découlant des analyses précédentes
Profil et attentes des auditeurs
L’auditeur ISO 42001 doit avoir une double compétence. La première est de bien maîtriser l’audit des systèmes de management tels que l’ISO 9001 et l’ISO 27001. En effet, s’attaquer à une “nouvelle norme” signifie bien souvent “essuyer les plâtres” et on aura besoin d’un auditeur chevronné qui soit parfaitement à l’aise avec la structure générale des normes et la conduite d’audit.
En plus de cela, l’auditeur devra être expert technique dans le domaine de l’IA, c’est-à-dire avoir une connaissance des enjeux et du fonctionnement des systèmes IA. Et pour ce faire, il devra justifier de sa compétence et de son expérience, ce qui rend le profil très rare à trouver parmi les auditeurs habituels.
Il est donc possible pour ce type d’audit comme dans des contextes d’audits métier très pointus de ne pas avoir “un auditeur” mais une équipe d’audit comportant à la fois un auditeur senior et un expert technique.
Face à ce type d’équipe, la principale attente sera de trouver des interlocuteurs en responsabilité ayant au moins, de manière collective, le même niveau d’expertise !
