Dossier · Audit des systèmes d’IA
Criticité et clôture des écarts d’audit IA
Un écart n’est pas clos parce qu’une action est annoncée. Il faut relier le constat à ses preuves, instruire le désaccord, attribuer la décision et vérifier que la correction produit le résultat attendu.
Constat
Écrire ce qui est observé avant de proposer une solution
Un constat réunit le critère, la condition observée et les pièces qui la soutiennent. Il distingue la cause établie de l’hypothèse, puis décrit l’effet plausible, sa vraisemblance, son étendue et l’efficacité des contrôles existants. Le remède vient ensuite : sinon la préférence pour une solution déforme le diagnostic.
- Critère
- La règle, l’objectif ou l’exigence contre laquelle le fait est examiné
- Condition
- Ce qui a été observé sur une version et une population identifiées
- Effet
- La conséquence plausible, son étendue et les personnes ou services concernés
- Décision
- Corriger, limiter, suspendre, refuser ou accepter formellement le risque
Criticité
Une couleur ne remplace pas une règle de classement
La criticité dérive de l’effet plausible, de sa vraisemblance, de son étendue et de la capacité réelle des contrôles à prévenir, détecter et corriger l’écart. La règle est annoncée dans le mandat ou le programme de travail. Elle doit conduire à la même classe lorsque les mêmes faits et hypothèses sont rejoués.
Un désaccord sur la criticité n’est pas absorbé dans une moyenne. Les parties identifient le fait contesté, la preuve manquante ou l’hypothèse différente. La conclusion conserve la position résiduelle si le contradictoire ne la résout pas.
Contradictoire
Faire répondre le responsable sans lui céder la conclusion
Le responsable du périmètre peut corriger une erreur factuelle, fournir une pièce, contester une interprétation ou accepter le constat. Sa réponse est instruite et conservée. L’auditeur reste responsable de la formulation finale, de la criticité proposée et des limites ; la direction reste responsable de la décision et de l’acceptation éventuelle du risque.
Clôture
Vérifier la correction dans la version réellement destinée au service
Une promesse de correction, un ticket fermé ou une nouvelle procédure ne suffisent pas. La clôture exige une décision explicite, un responsable, une échéance, une preuve de mise en œuvre et un test de vérification réussi — ou une acceptation de risque formalisée par l’autorité compétente.
Conclusion
Rendre visibles les faits, les réserves et le risque résiduel
La note de conclusion sépare les faits établis, les interprétations, les éléments non vérifiés et les désaccords persistants. Elle précise le niveau d’assurance obtenu et le risque résiduel, puis relie chaque décision à l’autorité qui la porte. La traçabilité ne sert pas à allonger le rapport : elle permet de défendre pourquoi le système a été maintenu, limité ou refusé.
Sources et références
- IIA — Normes mondiales d’audit interne (nouvel onglet)
Principes d’indépendance, de planification, d’éléments probants, de communication et de suivi des conclusions.
- ISO 19011:2018 (nouvel onglet)
Lignes directrices pour l’audit des systèmes de management : principes, programme, éléments probants.
- NIST AI RMF 1.0 (nouvel onglet)
Gouverner, contextualiser, mesurer et gérer les risques d’un système d’IA.
Questions fréquentes
Un ticket fermé suffit-il à clore un constat ?
Non. La correction doit être mise en œuvre dans la version concernée puis vérifiée contre le critère initial. À défaut, l’autorité compétente doit accepter formellement le risque résiduel.
Qui décide de la criticité finale ?
L’auditeur soutient le classement à partir de la règle annoncée et des preuves. Le responsable peut le contester et fournir d’autres éléments ; le désaccord résiduel reste visible dans la conclusion.
Dossier audit
Quels écarts restent ouverts sans décision explicite ?
Présentez le constat, la preuve disponible et le responsable attendu. Nous vérifions si la clôture peut être démontrée.