ISO/IEC 42001:2023 se lit en deux temps : ce que l'organisme doit mettre en place, puis les mesures dans lesquelles il peut piocher. Confondre les deux est l'erreur qui coûte le plus cher en début de projet.
Cette distinction gouverne tout le reste : le périmètre de la certification, la charge de travail, et ce que l'auditeur viendra vérifier.
Ce sont les exigences du système de management. Elles ne se choisissent pas : un organisme qui vise la certification doit toutes les satisfaire, en les adaptant à sa taille et à son contexte.
Elles couvrent le périmètre, la gouvernance, l'appréciation des risques, les moyens, la mise en œuvre, la mesure et l'amélioration.
Parcourir les 7 clauses38 contrôles de référence, répartis en 9 domaines. Ils ne sont pas une liste de tâches à cocher : l'organisme retient ceux qui répondent aux risques qu'il a identifiés, et justifie ce qu'il écarte.
La norme précise d'ailleurs que cette liste n'est pas exhaustive — un organisme peut définir ses propres mesures.
Comment se fait la sélectionCe que chaque clause traite, dans l'ordre du texte. Le bon point d'entrée quand vous savez quelle exigence vous cherchez.
A.2 → A.10La carte des contrôles, groupés par sujet, avec le poids de chaque domaine. Utile pour estimer l'effort avant de se lancer.
38Pourquoi les 38 contrôles ne sont pas obligatoires, ce qu'est une déclaration d'applicabilité, et comment justifier une exclusion.
Le référentiel dit ce qui est attendu. Il ne dit pas dans quel ordre s'y prendre, ni à quoi ressemble une preuve acceptable. C'est l'objet des guides.
Focus 42001 n'est affilié ni à l'ISO, ni à l'IEC. Le texte de la norme n'est pas reproduit sur ce site : les exigences y sont reformulées, et l'achat du document officiel reste nécessaire pour une mise en œuvre sérieuse.