Audits internes, externes, seconde partie : les audits qui décident de la conformité - et des contrats

« Audit » est un seul mot qui recouvre plusieurs réalités. Quand un collègue annonce un audit à venir, savoir de quel type il parle change tout : un audit interne que vous menez sur vous-même, l'audit externe d'un organisme de certification, ou un client qui vient vous inspecter avant de signer. Chacun a un objet différent, un auditeur différent et des enjeux différents. Pour les deux derniers, les conséquences sur les contrats et les appels d'offres sont directes. Ce guide les distingue et explique ce qu'un auditeur recherche réellement, ainsi que la portée des constats.

L'audit est le mécanisme qui sous-tend à la fois la conformité et la certification : c'est ainsi que l'affirmation « nous respectons les exigences » est mise à l'épreuve plutôt que simplement énoncée. Si la distinction entre conforme et certifié reste floue, ce guide la pose ; ici, nous entrons dans le détail des audits eux-mêmes.

Les trois parties, et pourquoi l'étiquette compte

Les audits se classent habituellement selon qui audite qui :

• Audit de première partie (interne) - vous vous auditez vous-même. Vos propres collaborateurs (ou une personne que vous engagez pour agir en votre nom) évaluent votre système de management par rapport à la norme et à vos propres procédures.
• Audit de deuxième partie - une partie ayant un intérêt direct vous audite. En pratique, il s'agit presque toujours d'un client (ou d'un client potentiel) qui audite un fournisseur avant ou pendant un contrat.
• Audit de tierce partie - un organisme indépendant, sans intérêt dans le résultat, vous audite. C'est l'audit de certification ; c'est précisément cette « tierce partie » qui donne sa valeur au certificat.

Ces catégories ne sont pas théoriques : un audit client et un audit de certification peuvent examiner le même système et aboutir aux mêmes constats, mais leurs conséquences diffèrent totalement. L'un touche une seule relation commerciale, l'autre un certificat sur lequel s'appuient tous vos clients.

Audits internes (première partie) : s'auditer soi-même, honnêtement

Un audit interne, c'est votre organisation qui vérifie son propre système de management par rapport à la norme et à ses propres procédures documentées. Sous ISO 9001, il n'est pas facultatif : l'article 9.2 l'exige. Mais sa vraie valeur ne tient pas à la conformité pour elle-même. C'est une répétition générale et un système d'alerte précoce : il détecte les problèmes avant un auditeur externe ou un client, tant qu'ils sont encore peu coûteux à corriger.

C'est un outil d'amélioration, pas une fonction de police. Mené comme une chasse au coupable, l'audit interne apprend seulement aux gens à cacher les problèmes jusqu'au départ de l'auditeur. Mené comme l'endroit le moins cher de l'organisation pour trouver une non-conformité - avant qu'elle n'atteigne un client ou un certificat - il obtient l'honnêteté dont il dépend. La cible, c'est le système, jamais la personne.

Piloter un programme efficace. L'article 9.2.2 vous demande de planifier le programme en fonction de l'importance de chaque processus, des changements qui affectent l'organisation et des résultats des audits précédents. Autrement dit : auditez plus souvent ce qui compte et ce qui a posé problème. Quatre éléments distinguent un programme qui trouve des problèmes de celui qui remplit seulement un calendrier :

• Une planification fondée sur le risque. Couvrez tout le système sur un cycle, mais pas de façon uniforme : un processus stable et à faible risque peut être audité une fois, un processus critique pour la sécurité, récemment modifié ou source de difficultés, plusieurs fois par an.
• La compétence et l'indépendance de l'auditeur. Un auditeur doit connaître la norme et le processus assez bien pour distinguer un véritable écart d'une variation sans importance, et être indépendant du domaine audité : personne n'audite son propre travail. Dans une petite structure, cela suppose des audits croisés, ou le recours à un auditeur externe agissant en votre nom. ISO 19011 est le référentiel international pour la compétence et l'impartialité des auditeurs.
• Les listes de vérification d'audit. Une liste de vérification traduit la norme et vos procédures en une liste concrète de points à examiner et à échantillonner, pour que deux auditeurs couvrent le même terrain et que l'audit de cette année soit comparable à celui de l'an dernier. C'est un plancher, pas un plafond : un bon auditeur suit les preuves d'audit au-delà de la liste.
• Le cycle de vie de l'audit. Tout audit suit le même déroulé : planifier (domaine d'application, critères, calendrier), réaliser (échantillonner les enregistrements, mener des entretiens, observer, recueillir des preuves objectives), rapporter (rédiger et classer les constats) puis clôturer et vérifier (convenir des actions correctives, les mettre en œuvre, confirmer qu'elles ont fonctionné). Cette dernière étape est la plus souvent négligée : un audit dont les constats ne sont jamais vérifiés comme clôturés n'est qu'à moitié un audit.

Un exemple concret. Chez un fabricant, l'auditeur interne examine la maîtrise documentaire (article 7.5) et constate que trois opérateurs travaillent avec une version périmée d'une instruction de travail mise à jour deux mois plus tôt. C'est un constat. Détecté en interne, il coûte un après-midi et une correction du mécanisme qui l'a laissé se produire. Détecté par un auditeur de certification, il devient une non-conformité inscrite à votre dossier. Détecté par un client, il devient une raison de douter de tout le reste.

Ce que recherchent les auditeurs reste constant, en interne comme en externe : la conformité à la norme et à vos procédures, des preuves que vous pouvez montrer plutôt qu'affirmer, l'efficacité (est-ce que cela fonctionne, ou n'est-ce que de la paperasse ?) et le suivi (les problèmes antérieurs ont-ils été corrigés à la racine, ou seulement rafistolés ?).

À quoi ressemble une bonne non-conformité

Soulevée en interne ou par un auditeur externe, une non-conformité n'est utile que si elle est bien rédigée. Un constat du type « la maîtrise documentaire doit être améliorée » ne vaut rien : impossible d'en débattre, d'en analyser la cause racine ou d'en vérifier la clôture, faute d'un élément précis à revérifier. Une bonne non-conformité énonce trois choses, dans l'ordre :

• L'exigence. L'article précis de la norme, ou votre propre procédure, qui n'a pas été respecté : ici, l'article 7.5.3 d'ISO 9001, qui exige que les informations documentées soient disponibles et adaptées à l'utilisation là où et quand elles sont nécessaires.
• Les preuves objectives. Ce qui a été réellement observé, avec assez de précision pour que quiconque puisse le revérifier : « aux postes 4, 7 et 9, les opérateurs travaillaient selon la révision B de WI-114, remplacée par la révision C émise deux mois plus tôt. » Pas une opinion : le fait.
• L'écart. La phrase qui relie les deux : les versions à jour doivent être disponibles au point d'utilisation ; trois exemplaires au point d'utilisation étaient périmés ; l'exigence n'est donc pas respectée.

Rédigé ainsi, le constat est clôturable : vous confirmez la correction en revérifiant ces postes. Les constats vagues échouent parce que vous ne pouvez jamais prouver qu'ils sont résolus.

Corriger le mécanisme, pas le cas isolé. Un constat bien rédigé ne vous dit que ce qui ne va pas, pas pourquoi. L'analyse des causes racines comble cet écart, et l'outil le plus simple consiste à demander « pourquoi » jusqu'à atteindre quelque chose qui mérite d'être changé. Reprenons le cas de l'instruction périmée :

• Pourquoi les opérateurs utilisaient-ils l'ancienne révision ? La version à jour n'a jamais atteint leurs postes.
• Pourquoi ? La mise à jour a été émise dans le système documentaire, mais les copies de l'atelier sont imprimées et affichées à chaque poste, et personne ne les a réimprimées.
• Pourquoi personne ne les a-t-il réimprimées ? Rien dans la procédure de modification n'attribue la responsabilité de remplacer les copies au point d'utilisation lorsqu'un document est révisé.
• Pourquoi cette étape manque-t-elle ? La maîtrise documentaire a été conçue pour un bureau où chacun lit à l'écran, et n'a jamais été adaptée lorsque des copies imprimées sont parties à l'atelier.
• Pourquoi n'a-t-elle jamais été adaptée ? La gestion des modifications relève de la qualité, qui ne voit pas comment les documents parviennent à l'atelier, et aucune revue n'a repéré la lacune.

La cause racine n'est pas « trois opérateurs négligents », mais une procédure de modification dépourvue d'étape maîtrisée pour retirer et remplacer les copies au point d'utilisation. Ainsi, toute révision future peut échouer silencieusement à atteindre l'atelier. Ajoutez cette étape, vérifiez que les anciennes copies sont retirées, et c'est toute la catégorie de problème qui se referme, pas seulement ce cas. C'est la distinction que trace l'article 10.2 entre correction (rééditer le document) et action corrective (corriger la raison pour laquelle il était erroné).

Audits externes (tierce partie / certification) : le verdict indépendant

L'audit de certification est l'évaluation par tierce partie décrite dans comment fonctionne la certification : une revue d'aptitude en étape 1, une évaluation du système en fonctionnement en étape 2, puis une surveillance annuelle et une recertification tous les trois ans. Ici, le point à souligner est la façon dont les constats sont gradués, car c'est ce qui détermine les enjeux :

• Non-conformité majeure - une exigence n'est pas respectée, ou une partie du système est défaillante. Une majeure doit être résolue, preuves à l'appui, avant qu'un certificat soit délivré ou maintenu ; non résolue, elle bloque la certification ou peut entraîner une suspension.
• Non-conformité mineure - un manquement isolé à une exigence. Traité généralement par un plan d'action corrective vérifié lors de la visite suivante.
• Piste d'amélioration - ni un échec ni une obligation, mais une suggestion à considérer.

Où passe la ligne. Majeure ou mineure, c'est un jugement de portée et d'impact, pas un barème figé. Un constat est majeur lorsqu'une exigence n'est pas prise en compte, qu'un processus est défaillant plutôt qu'en léger décalage, ou que le manquement menace la conformité du produit ou l'intégrité du système. Il est mineur lorsque le système fonctionne par ailleurs et que le décalage est isolé. Un seul document périmé est une mineure ; le même constat sur plusieurs processus sans lien devient un processus de maîtrise documentaire défaillant, soulevé comme une seule majeure : c'est le schéma, pas le cas isolé, qui constitue la défaillance.

Ce que signifie une piste d'amélioration en pratique. Une piste d'amélioration n'est pas une non-conformité : aucune exigence n'est enfreinte et vous n'êtes pas tenu d'agir. Les auditeurs en soulèvent lorsqu'ils repèrent une faiblesse qui n'a pas encore provoqué de défaillance, ou une pratique simplement meilleure que la vôtre : du renseignement gratuit, pas une critique. En ignorer une ne pose aucun problème ; en ignorer toute une série, qui refait surface plus tard sous forme de non-conformités, érode la confiance de l'auditeur dans votre jugement.

À distance, sur site ou hybride. Les audits à distance et hybrides sont désormais courants, avec des recommandations des organismes d'accréditation sur l'usage de la vidéo et du partage d'écran pour une partie du temps sur site. La moitié documentaire d'un audit se prête bien à l'écran : documents maîtrisés, entretiens, enregistrements de revues de direction et d'audits internes. Ce qui ne s'y prête pas, c'est tout ce qui est physique : observer un processus en marche, comparer la copie du poste avec le système, échantillonner les étiquettes d'étalonnage. Un audit hybride traite donc les documents à distance et réserve la visite à ces vérifications. Le distant n'est pas l'option la plus facile : vos preuves doivent être accessibles à l'écran en temps réel, et un partage d'écran raté révèle à quel point vos informations sont réellement maîtrisées.

L'indépendance de l'auditeur est tout l'enjeu : sans intérêt à vous faire réussir, son certificat est celui qu'un client accepte au lieu de vous auditer lui-même. Un seul certificat accrédité remplace des dizaines d'audits clients distincts, et c'est en grande partie ce qui fait la valeur commerciale de la certification.

Audits de deuxième partie (client) : quand un contrat est en jeu

Un audit de deuxième partie, c'est un client qui vous audite : celui qui a la portée commerciale la plus immédiate. Un donneur d'ordre, un acheteur réglementé, ou tout client pour qui votre travail comporte un risque peut vous auditer avant d'attribuer un contrat (audit préalable à l'attribution ou d'agrément fournisseur) puis périodiquement pendant celui-ci (surveillance).

Ce qui le distingue. Un auditeur de certification vous évalue par rapport à la norme ; un client vous évalue par rapport à ses exigences : la norme en général incluse, plus les conditions contractuelles, réglementaires ou sectorielles qui comptent pour lui. Là où la certification échantillonne sur l'ensemble de la norme, la liste de vérification d'un client est plus étroite et bien plus approfondie sur les quelques points qui touchent son contrat. En général, elle creuse :

• La traçabilité de ce qu'il achète - pouvez-vous relier un article livré à ses matières, son lot ou sa fournée, et suivre en aval tous les endroits où il est passé, pour les pièces précises qu'il commande ?
• La maîtrise du processus dont il dépend - le procédé spécial au cœur de son produit (traitement thermique, soudage, stérilisation, codage), examiné bien plus étroitement qu'une évaluation générale.
• La déclinaison de ses exigences - les clauses qu'il vous transmet contractuellement, et la preuve que vous répercutez les clauses pertinentes à vos propres sous-traitants.
• La notification des modifications et le traitement des dérives - allez-vous le prévenir avant de changer une matière, un procédé ou un sous-fournisseur ; et comment mèneriez-vous un rappel ou confineriez-vous un lot non conforme qui l'a déjà atteint ?
• Les règles propres à son secteur - un acheteur réglementé peut superposer les attentes de sa branche à ISO 9001 : les déclinaisons AS9100 d'un client de l'aéronautique, les attentes GxP d'un acheteur pharmaceutique, les exigences réglementaires d'un fabricant de dispositifs médicaux.

Ce sont des domaines qu'un audit de certification n'effleure qu'en passant ; pour le client, ils sont tout l'objet de la visite.

Impacts contractuels et sur les appels d'offres. C'est là que l'audit cesse d'être un exercice qualité pour devenir un exercice commercial :

• Le statut de fournisseur agréé. De nombreux acheteurs tiennent une liste de fournisseurs agréés ; un audit de deuxième partie réussi en est souvent le ticket d'entrée, un audit raté vous en tient à l'écart. Pas de place sur la liste, pas d'invitation à remettre une offre.
• La qualification aux appels d'offres. Les appels d'offres publics et ceux des grandes entreprises privées font souvent de la certification un critère éliminatoire : soit vous détenez le certificat accrédité couvrant le bon domaine d'application, soit vous êtes écarté avant même que votre offre soit lue. Un certificat expiré, ou dont le domaine d'application ne couvre pas les travaux, échoue ici tout autant que l'absence totale de certificat.
• Conditions contractuelles et sanctions. Les contrats inscrivent de plus en plus la conformité comme une obligation vivante et contraignante : maintenir la certification pendant toute la durée, autoriser des audits sur préavis, et clôturer les constats dans des délais convenus - souvent une fenêtre fixe pour les majeures et plus longue pour les mineures, preuves soumises à l'acceptation du client. Manquez à cela et les sanctions s'aggravent : une demande d'action corrective, puis une fréquence d'audit accrue ou une mise à l'épreuve, puis des commandes suspendues ou un retrait de la liste des fournisseurs agréés, et - en cas de manquement persistant ou d'un certificat laissé expirer en cours de contrat - une résiliation pour manquement. Les mêmes clauses vous obligent généralement à répercuter des obligations équivalentes sur vos sous-traitants, si bien qu'un constat dans votre chaîne d'approvisionnement devient un constat contre vous.
• Retombées sur la réputation. Un client qui découvre un problème grave lors d'un audit n'enregistre pas seulement une non-conformité ; il révise son jugement sur vous en tant que fournisseur. Les constats voyagent.

Le fil conducteur, c'est que les résultats d'audit ne sont pas classés puis oubliés : ils conditionnent l'accès aux marchés et façonnent les conditions qui vous sont proposées.

Faciliter chaque audit : les mêmes preuves, disponibles à la demande

Les trois types d'audit demandent au fond la même chose : des preuves à jour et accessibles que votre système fait ce qu'il prétend faire. Chaque auditeur - interne, de certification ou client - veut les mêmes enregistrements : documents maîtrisés, non-conformités clôturées, audits internes réalisés, revues de direction. Les organisations qui redoutent les audits rassemblent ces preuves à partir de rien à chaque fois ; celles qui les prennent avec sérénité les tiennent en continu, comme un sous-produit de leur activité.

C'est là l'argument pratique en faveur d'un système de management de la qualité. Le QMS de ComplyTrain réunit en un seul endroit les documents, le programme d'audit, les constats et leurs actions correctives, ainsi que l'enregistrement de la revue de direction, organisés selon les exigences de la norme. Préparer l'un des trois types d'audit devient alors une question de recherche plutôt que de reconstruction. La page ISO 9001 détaille les exigences que ces audits évaluent.

La saison des audits ne devrait pas virer à l'exercice d'évacuation. Réservez une démonstration et nous vous montrerons comment ComplyTrain alimente les audits internes, de certification et clients à partir des mêmes preuves toujours à jour, pour qu'un constat reste l'exception, pas la règle.