Audit ISO 9001 : que se passe-t-il à chaque étape ?

Un audit ISO 9001 est une vérification indépendante : votre système de management de la qualité respecte-t-il la norme et fonctionne-t-il dans la pratique ? La plupart des organismes en connaissent plusieurs types : leurs propres audits internes, l'audit de certification en deux étapes, ainsi que les audits de surveillance et de renouvellement qui maintiennent un certificat en vigueur. Ce guide explique chacun d'eux, ce qu'examine un auditeur, comment les constats sont classés et comment préparer votre première certification.

Les types d'audit ISO 9001

Audit interne. Votre propre vérification, exigée par l'article 9.2. Vous planifiez un programme, vous auditez vos processus par rapport à la norme et à vos propres procédures, puis vous agissez sur vos constats. Un organisme de certification s'attend à voir au moins un cycle d'audit interne achevé avant de vous certifier.
Audit de certification. Réalisé par un organisme de certification accrédité, en deux étapes. L'étape 1 vérifie que vous êtes prêt ; l'étape 2 vérifie que le système fonctionne. Le certificat suit une étape 2 réussie.
Audit de surveillance. Une visite plus courte au cours de chacune des deux années suivant la certification. Elle échantillonne des parties du système pour confirmer qu'il reste maintenu.
Audit de renouvellement. Un audit plus complet avant la fin des trois ans de validité du certificat, qui le renouvelle pour un nouveau cycle.
Audit tierce partie. Un client vous audite en tant que fournisseur. Ce n'est pas une certification, mais la logique est souvent la même. Voir les audits internes, externes et tierce partie.

Étape 1 : la revue de préparation

L'étape 1 est une revue des informations documentées. L'auditeur confirme que votre SMQ existe sur le papier et couvre les exigences de l'ISO 9001. Il lit votre manuel qualité ou la déclaration de domaine d'application équivalente, vos processus documentés et la structure de vos enregistrements. Il vérifie aussi que vous avez défini le domaine d'application de la certification et identifié les processus qui en relèvent.

L'auditeur cherche les écarts, pas la perfection. Attendez-vous à une liste de constats à traiter avant l'étape 2. Parmi les constats fréquents à l'étape 1 : un programme d'audit interne manquant, aucune revue de direction réalisée, ou des objectifs énoncés mais non mesurables. L'étape 1 fixe aussi la date de l'étape 2, en général quelques semaines à quelques mois plus tard.

Étape 2 : l'audit de certification

L'étape 2 vérifie si le personnel suit les processus que vous avez documentés. L'auditeur s'entretient avec les personnes des différentes fonctions concernées, observe le travail en cours et remonte des enregistrements jusqu'à l'exigence qu'ils satisfont. Il procédera par échantillonnage. Si vous affirmez étalonner vos équipements selon un calendrier, il demandera les enregistrements d'étalonnage et vérifiera les dates.

Le déroulement du jour de l'audit

Un audit de certification suit un plan publié. Il s'ouvre par une courte réunion qui confirme le domaine d'application, le calendrier et les personnes que l'auditeur va rencontrer. L'auditeur déroule ensuite le plan : entretiens avec les personnes de chaque fonction concernée, observation du travail, demande des enregistrements qui prouvent qu'une exigence est satisfaite. Attendez-vous à un échantillonnage plutôt qu'à une lecture exhaustive, et à un fil suivi d'une exigence vers une procédure, puis vers un enregistrement, et retour.

L'auditeur consigne ses constats au fur et à mesure et les présente lors d'une réunion de clôture. Rien de cette réunion ne devrait vous surprendre si vous avez posé vos questions au cours de la journée. Avant qu'elle ne se termine, convenez du délai de réponse aux éventuelles non-conformités.

Les non-conformités et comment les solder

Les constats sont classés. Une non-conformité mineure est un manquement isolé : un processus non suivi, un enregistrement manquant. Une non-conformité majeure est une exigence absente ou systématiquement non satisfaite ; elle bloquera votre certificat jusqu'à ce que vous la corrigiez et en apportiez la preuve. Les auditeurs consignent aussi des observations et des pistes d'amélioration, qui n'appellent pas de réponse formelle mais méritent qu'on s'en occupe.

Solder une non-conformité ne se limite pas à corriger le cas. L'organisme de certification attendra trois éléments : la correction (ce que vous avez fait pour ce cas), la cause racine (pourquoi c'est arrivé) et l'action corrective (ce qui empêche que cela se reproduise), avec la preuve que l'action a été menée. Prévoyez au moins un constat mineur lors d'un premier audit. Un premier audit sans constat est rare.

Commencer par une analyse des écarts

Réalisez l'analyse des écarts avant de réserver l'une ou l'autre étape. Reprenez chaque article de l'ISO 9001, de l'article 4 à l'article 10, et notez trois choses : ce que l'article exige, ce que vous faites aujourd'hui, et l'écart. Attribuez à chaque écart un responsable et une date. C'est le document le plus utile que vous puissiez produire, car c'est la carte même que l'auditeur utilise, établie par vous d'abord.

Soyez attentif aux articles que les novices sous-estiment. L'article 6.1 sur les risques et opportunités demande la preuve de la façon dont vous les identifiez et agissez dessus. L'article 9 exige un cycle d'audit interne achevé et au moins une revue de direction avant l'étape 2. L'article 7.5 régit vos informations documentées, y compris la gestion des versions et la conservation.

Consultez aussi notre présentation de l'ISO 9001.

Liste de vérification des informations documentées

Ayez ces éléments prêts et à jour avant l'étape 1 :

La déclaration de domaine d'application qui définit ce que couvre le SMQ.
La politique qualité et des objectifs qualité mesurables.
Les descriptions de processus des activités concernées.
Un registre des risques et opportunités.
Les rôles et responsabilités.
La procédure de maîtrise des documents et des enregistrements, avec l'historique des versions.
Le programme d'audit interne, le calendrier et les rapports.
Le compte rendu de revue de direction, avec les éléments d'entrée et de sortie.
Les enregistrements d'actions correctives.
Les enregistrements de compétence et de formation du personnel concerné.
La maîtrise des fournisseurs et des processus externalisés.
La preuve de la surveillance, de la mesure et de tout étalonnage.

Les enregistrements de formation sont souvent le dossier le plus faible lors d'un premier audit. L'auditeur demandera qui a été formé, sur quoi et quand, et attendra une preuve datée. Conserver cette preuve au même endroit, rattachée à chaque rôle, élimine toute une catégorie de constats.

Après la certification : surveillance et renouvellement

Un certificat n'est pas un événement unique. Il court sur trois ans, avec un audit de surveillance chacune des deux années intermédiaires et un audit de renouvellement avant son expiration. Les audits de surveillance échantillonnent le système : n'importe quel processus peut donc être examiné, et l'auditeur vous demandera ce qui a changé depuis la dernière visite et comment vous avez soldé les constats précédents.

Les organismes pour qui la surveillance est facile sont ceux qui ont continué à faire vivre le système entre les visites : audits internes à l'heure, revues de direction tenues, actions correctives soldées. Ceux pour qui elle est difficile ont passé l'année suivant la certification sans y toucher.

Ce qu'apporte ComplyTrain

Le SMQ de ComplyTrain est structuré autour de l'ISO 9001. Vos documents, votre programme d'audit interne, vos revues de direction et vos enregistrements de formation vivent ainsi dans un seul système, au lieu d'être éparpillés sur des disques. Il suit l'état d'avancement de chaque norme, de l'analyse des écarts aux étapes 1 et 2, puis à la surveillance et au renouvellement. Il vous permet de remettre à l'organisme de certification un dossier de preuves unique et organisé. Chaque client fonctionne dans un tenant isolé (un schéma, un bucket et un pool d'utilisateurs par tenant), hébergé dans l'UE sur AWS eu-central-1 à Francfort. Soyons clairs : utiliser ComplyTrain ne vous certifie pas. C'est l'organisme de certification qui le fait. La plateforme vous aide à produire et à retrouver les preuves qu'il demande.

Découvrez comment elle pilote un programme d'audit sur la page gestion des audits, puis réservez une démonstration avec notre équipe pour préparer votre premier audit.