Les 38 contrôles
ne sont pas une liste à cocher.
C'est le contresens le plus fréquent en début de projet, et il coûte des mois de travail inutile. Les contrôles de l'Annexe A sont une référence dans laquelle on puise, pas un programme imposé.
Quatre étapes,
dans cet ordre.
L'ordre compte : commencer par l'Annexe A plutôt que par les risques produit un système de management qui ne correspond à rien.
- 1Identifier les risquesLa sélection ne part pas de l'Annexe A, mais de l'appréciation des risques menée au titre de la clause 6. Sans elle, il n'y a aucun critère pour retenir ou écarter quoi que ce soit.
- 2Rapprocher les contrôles des risquesChaque risque retenu appelle un traitement. L'Annexe A sert de référence pour vérifier qu'aucune mesure évidente n'a été oubliée — pas de liste à appliquer intégralement.
- 3Justifier inclusions et exclusionsC'est l'objet de la déclaration d'applicabilité. Un contrôle écarté n'est pas un manquement, tant que la raison est documentée et tient au regard du périmètre.
- 4Compléter si nécessaireLa norme indique que les contrôles de l'Annexe A ne sont pas exhaustifs. Un organisme peut définir ses propres mesures lorsque ses risques ne sont pas couverts.
La déclaration
d'applicabilité.
C'est le document que l'auditeur ouvre en premier. Il relie chaque contrôle de l'Annexe A à une décision : retenu, et pourquoi ; écarté, et pourquoi.
Une exclusion mal justifiée est un constat d'audit. Une exclusion bien justifiée ne l'est pas — même quand elle porte sur un domaine entier.
Où se trouve chaque contrôle
- A.2Politiques relatives à l'IA3
- A.3Organisation interne2
- A.4Ressources des systèmes d'IA5
- A.5Évaluation des impacts4
- A.6Cycle de vie du système d'IA9
- A.7Données pour les systèmes d'IA5
- A.8Information des parties intéressées4
- A.9Utilisation des systèmes d'IA3
- A.10Tiers et clients3
Sélectionner est une chose.
Le prouver en est une autre.
Une fois les contrôles retenus, reste à constituer les preuves que l'auditeur acceptera. C'est l'objet des étapes « Mettre en œuvre » et « Prouver » du parcours.