Modèle 12 : programme d'audit interne et revue de direction

Couvre : clause 9.2 (audit interne), 9.3 (revue de direction). Référence méthode : ISO 19011. La norme n'impose ni un document par exigence ni ces intitulés : le programme et le compte rendu peuvent vivre dans les documents du SMSI 27001 s'ils couvrent les rubriques ci-dessous.

Informations documentées à conserver :

9.2   preuve de la mise en œuvre du programme et des résultats des audits
9.3   preuve des résultats des revues de direction

Ce que 9.2 demande au programme :

fréquence, méthodes, responsabilités, exigences de planification, compte rendu
tenir compte de l'importance des processus et des résultats des audits précédents
critères et périmètre de chaque audit
auditeurs choisis pour leur objectivité et leur impartialité
résultats rapportés à la direction concernée
vérifier la conformité aux exigences de l'organisation et de la norme, et l'efficacité

Repères du cycle de certification (ISO/IEC 17021-1) :

audit initial        deux étapes : étape 1 (documentation, préparation), étape 2 (mise en œuvre)
cycle                3 ans
surveillance         au moins une fois par année civile, sauf l'année du renouvellement ;
                     la première dans les 12 mois suivant la décision de certification
attendu à l'étape 2  au moins un cycle complet d'audit interne et une revue de direction

Modèle vide

Remplacer les champs entre crochets. Ajouter les lignes nécessaires. Conserver les références et les preuves dans les emplacements habituels de l’organisation. Une rubrique sans objet reste présente avec sa justification. Le téléchargement Word contient uniquement cette trame vierge.

1. Programme d’audit interne

Calendrier : une ligne par audit. Ajuster la fréquence selon l’importance des processus et les résultats des audits précédents ; une fréquence uniforme n’est pas imposée par cette trame.

2. Plan et rapport de chaque audit

Dupliquer cette fiche pour chaque audit du programme.

Constats : rattacher chaque écart à un critère et à une preuve vérifiable. Utiliser les règles de classement de l’organisation ; le classement ne remplace pas la description du constat.

3. Compte rendu de revue de direction

Pour chaque entrée, noter les faits et les tendances, la preuve examinée et la décision ou la suite retenue. Si les entrées sont réparties sur plusieurs séances, indiquer la séance qui les traite.

4. Décisions, suivi et diffusion

Documenter les décisions sur les opportunités d’amélioration et sur les besoins de changement de l’AIMS. Mentionner explicitement les sujets pour lesquels aucun changement n’est retenu.

Exemple rempli : mutuelle fictive

Programme 2027 à 2029

Programme           v1.0, janvier 2027, approuvé par le DG ; responsable : responsable audit interne
Objectifs           préparer la certification fin 2027, puis vérifier chaque année le système
                    à haut risque (tri des sinistres) et couvrir toutes les clauses et les 38
                    mesures de l'annexe A sur 3 ans
Méthodes            entretiens, revue documentaire, échantillons de 25 dossiers par système,
                    rejeu des tests (biais, 200 questions du chatbot), lecture des journaux
Ressources          2 auditeurs internes 27001 formés à l'ISO 42001 ; cabinet externe pour
                    A.6 et A.7 (pas d'expertise data hors de l'équipe auditée) ; 18 jours par an
Objectivité         l'équipe data et le référent IA n'auditent pas ; le RSSI n'audite pas A.4.5
                    ni les mesures de sécurité qu'il pilote ; déclaration signée par audit
Compte rendu        rapport au comité IA et au DG sous 15 jours ; constats au registre (modèle 13)

Calendrier de certification visé :

mai 2027            audit interne complet (à blanc)
juin 2027           première revue de direction
septembre 2027      étape 1
novembre 2027       étape 2 ; décision de certification visée en décembre 2027
2028, 2029          audits de surveillance, la première au plus tard décembre 2028
2030                renouvellement

Audits :

AI-2027-1   mai 2027        clauses 4 à 10 ; 38 mesures ; 3 systèmes ; siège et 1 agence
                            critères : norme, DdA v1.1, politique IA v1.0, PR-IA-03
                            auditeurs : 2 internes + cabinet (A.6, A.7)
AI-2028-1   avril 2028      clauses 6, 8, 9, 10 ; A.5, A.6, A.7 ; tri des sinistres, détection
                            de fraude ; AI Act haut risque (obligations applicables depuis le
                            2 décembre 2027) ; auditeurs : 1 interne + cabinet
AI-2028-2   octobre 2028    clauses 5, 7 ; A.2, A.3, A.4, A.8, A.9 ; usage de l'IA générative par
                            le personnel, 2 agences ; auditeurs : 2 internes
AI-2029-1   avril 2029      clauses 4, 6, 9, 10 ; A.5, A.6, A.10 ; tri des sinistres, chatbot,
                            fournisseur LLM ; auditeurs : 1 interne + cabinet
AI-2029-2   octobre 2029    clauses 7, 8 ; A.7, A.8, A.9 ; 1 agence non visitée ; préparation du
                            renouvellement ; auditeurs : 2 internes

Ajustement : audit ciblé ajouté après un incident G3 ou G4, un nouveau système, une NC majeure.

Compte rendu de la revue de direction du 17 juin 2027

Participants        DG (président), référent IA, DPO, RSSI, directeurs des prestations et de
                    la relation adhérents, responsable fraude, responsable audit ; diffusé le 24 juin

a Actions précédentes (première revue : plan d'action du diagnostic d'octobre 2026) :

10 actions          7 terminées, 2 en cours, 1 en retard
en cours            surveillance de la dérive (tableau de bord livré pour le tri, pas pour le
                    chatbot) ; traçabilité des données (licences vérifiées, provenance 2024 non)
en retard           matrice de compétences IA (RH), nouvelle échéance septembre 2027

b Enjeux :

AI Act              règlement 2026/1744 en vigueur le 27 juillet 2026 ; obligations haut risque
                    au 2 décembre 2027 (annexe III) ; le tri des sinistres reste traité comme
                    haut risque par prudence
Fournisseur LLM     annonce le retrait de la version figée en mars 2028 (R4)

c Parties intéressées :

CSE                 demande un bilan annuel de l'usage de l'IA par le personnel
Association         demande que le courrier d'orientation du tri indique le délai prévu

d Performance :

Non-conformités     5 entrées au registre : 1 majeure (incident chatbot), 3 mineures,
                    1 observation ; 3 closes, efficacité vérifiée
Incidents           4 depuis novembre 2026 ; 2 G2 (INC-IA-2026-003 IA fantôme,
                    INC-IA-2026-004 chatbot), 2 G1
Signalements        ia-signalement@ : 11 reçus, tous accusés sous 1 jour ouvré
Surveillance        écart rural du tri : 7 % (cible 5 %) ; chatbot : 198 sur 200 au test
                    mensuel ; fraude : 93 % de validations sans modification (alerte à 95 %)
Audit AI-2027-1     0 majeure, 1 mineure (NC-2027-02), 1 observation (OBS-2027-01)
Objectifs IA 2027   4 sur 6 atteints ou en bonne voie

e Opportunités :

réutiliser le tableau de bord de dérive du tri pour le chatbot et la fraude
regrouper les revues 27001 et 42001 en une seule séance à partir de 2028

Décisions :

D1   écart rural : réentraînement avec données 2024-2026, objectif 5 % avant l'étape 2
     responsable data, octobre 2027
D2   R4 : appel d'offres pour un second fournisseur LLM ; achats, décembre 2027
D3   ressources : 10 jours de cabinet externe ajoutés en 2027 pour l'étape 2 ; DG
D4   bilan annuel IA au CSE chaque janvier ; référent IA
D5   courrier d'orientation : délai prévu ajouté ; directeur des prestations, septembre 2027
D6   AIMS : pas de changement de périmètre ; politique IA v1.1 (ajout de la règle de mise à
     jour de la base documentaire du chatbot) ; référent IA, juillet 2027
D7   lancer l'étape 1 en septembre 2027 comme prévu ; DG