Système de management de la qualité ISO 9001

Ce qu'est ISO 9001

ISO 9001 est la norme internationale du système de management de la qualité. C'est le cadre par lequel un organisme répond de façon constante aux exigences de ses clients et de la réglementation, tout en améliorant sa façon de travailler dans le temps. Publiée par l'International Organization for Standardization, c'est la certification de système de management la plus répandue au monde : plus d'un million d'organismes certifiés, dans presque tous les secteurs.

Au fond, elle pose une seule question, avec rigueur : pouvez-vous démontrer que votre organisme fait de manière fiable ce qu'il annonce ? La norme ne prescrit pas comment fabriquer votre produit ni comment fournir votre service. Elle fixe ce que doit contenir un système qualité performant (des processus définis, des informations documentées maîtrisées, des personnes compétentes, un management du risque et des preuves d'amélioration) et vous laisse les modalités. Les mots comptent ici : suivre ISO 9001, y être conforme et y être certifié sont trois choses distinctes. Nous les distinguons dans suivre, conforme, certifié.

Pourquoi ISO 9001 existe

Une qualité qui repose sur les exploits individuels est fragile : elle s'en va avec la personne clé qui part, et elle ne se prouve ni à un client ni à un auditeur après coup. ISO 9001 existe pour faire de la qualité une propriété du système plutôt que de la personne : reproductible, documentée et démontrable. Pour un acheteur, le certificat d'un fournisseur signifie en raccourci « cet organisme maîtrise son travail, je n'ai donc pas à contrôler tout ce qu'il m'envoie ». C'est pourquoi, dans les chaînes d'approvisionnement réglementées et critiques pour la sécurité, il conditionne souvent le droit de répondre à l'appel d'offres.

Qui a besoin d'ISO 9001

ISO 9001 ne dépend d'aucun secteur. Elle est utilisée par des industriels, des sociétés d'ingénierie et de construction, des éditeurs de logiciels et des sociétés de services, des établissements de santé et des organismes publics. Un organisme la vise en général pour l'une de ces trois raisons :

• Un client ou un appel d'offres l'exige. Les maîtres d'œuvre, les acheteurs publics et les grands OEM en font couramment une condition du contrat.
• Elle sert de socle à une norme sectorielle. AQAP 2110 (défense OTAN), AS9100 (aéronautique) et IATF 16949 (automobile) reposent toutes sur ISO 9001 et y ajoutent des exigences. Vous ne pouvez pas les satisfaire sans elle.
• L'organisme recherche la discipline opérationnelle (moins de non-conformités, moins de reprises, des responsabilités plus claires) qu'apporte un système qualité maîtrisé, indépendamment de tout certificat.

Comment la norme est structurée

La version actuelle, ISO 9001:2015, suit la « structure de haut niveau » commune à toutes les normes modernes de système de management ISO. Ses exigences figurent aux articles 4 à 10. Sous forme de liste, elles peuvent sembler abstraites ; voici donc ce que chacune demande concrètement.

• Article 4 - Contexte de l'organisme. Déterminez qui vous servez, qui d'autre a un intérêt dans votre qualité (autorités, propriétaires, fournisseurs clés) et, la décision dont tout le reste dépend, le domaine d'application de votre système qualité : les activités et les sites qu'il couvre. Vous représentez aussi votre travail comme un ensemble de processus, ce qui prépare l'approche processus décrite plus loin.
• Article 5 - Leadership. La direction doit porter le système, pas le déléguer à un responsable qualité isolé dans son coin. Concrètement, cela suppose une politique qualité qui a du sens, des objectifs qualité reliés à l'activité et des responsabilités clairement attribuées, avec pour preuve un engagement réel des dirigeants, pas seulement une signature au bas d'un document.
• Article 6 - Planification. Identifiez les risques et opportunités pour votre qualité et décidez délibérément de ce que vous en ferez. C'est aussi ici que vous fixez des objectifs qualité mesurables et planifiez les changements pour les atteindre, afin que l'amélioration soit planifiée et non le fruit du hasard.
• Article 7 - Support. Les ressources qui font tourner le système : les personnes et leur compétence, la conscience de l'utilité du système, et les informations documentées maîtrisées (article 7.5) : une seule version à jour de chaque document, disponible là où on en a besoin, les versions périmées étant retirées. Bien maîtriser les documents supprime toute une catégorie de constats d'audit.
• Article 8 - Réalisation des activités opérationnelles. Le cœur de la norme : comment vous planifiez, maîtrisez et fournissez votre produit ou service. Il couvre les exigences des clients, la conception le cas échéant, la maîtrise des prestataires externes et, point important, la façon de traiter un travail non conforme, pour qu'une non-conformité soit contenue et traitée plutôt que livrée.
• Article 9 - Évaluation des performances. Comment vous vérifiez que le système fonctionne : surveillance et mesure, audit interne (article 9.2) et revue de direction (article 9.3), où la direction examine les preuves et prend des décisions. Les audits internes sont votre propre système d'alerte précoce ; nous expliquons comment les mener dans audits internes, externes, de seconde partie.
• Article 10 - Amélioration. Comment vous progressez : traitement des non-conformités et action corrective (article 10.2), c'est-à-dire corriger non seulement le cas, mais sa cause, et amélioration continue dans le temps. C'est l'article dont les effets se cumulent : un organisme qui traite vraiment les causes profondes cesse de rencontrer deux fois le même problème.

Trois idées traversent l'ensemble. L'approche processus : gérez votre travail comme un ensemble de processus reliés, avec des éléments d'entrée, de sortie et des responsables définis. Le cycle Planifier-Réaliser-Vérifier-Agir : planifiez un changement, réalisez-le, vérifiez le résultat, agissez sur ce que vous en tirez. C'est le moteur de l'amélioration continue. Enfin, l'approche par les risques, rendue explicite dans la révision de 2015 : anticipez ce qui peut mal tourner et intégrez les mesures de maîtrise, au lieu de réagir après une défaillance.

Sous les articles reposent les sept principes de management de la qualité qui fondent la norme : orientation client, leadership, implication du personnel, approche processus, amélioration, prise de décision fondée sur des preuves et management des relations avec les parties intéressées. Ils sont le « pourquoi » derrière le « quoi ».

ISO 9001 et les normes sectorielles

Pour beaucoup d'organismes, ISO 9001 n'est pas la destination, mais le socle. Plusieurs des normes que les industries réglementées exigent réellement s'appuient directement sur elle et ajoutent des exigences propres au secteur à un système de niveau ISO 9001 :

• AQAP 2110 - les exigences OTAN d'assurance qualité pour les fournisseurs de la défense. Elle suppose un système ISO 9001 et y ajoute des attentes propres à la défense, comme la gestion de la configuration et les dispositions pour l'assurance qualité gouvernementale.
• AS9100 - la norme qualité de l'aéronautique. Elle intègre intégralement ISO 9001 et y superpose des exigences aéronautiques : prévention des pièces contrefaites, inspection du premier article, maîtrise renforcée des risques et de la configuration.
• IATF 16949 - la norme de l'automobile, bâtie sur ISO 9001 avec un large corps d'exigences supplémentaires pour la chaîne d'approvisionnement automobile.

La conséquence pratique est la même à chaque fois : vous ne pouvez pas satisfaire la norme sectorielle sans satisfaire d'abord ISO 9001. Construire un véritable système ISO 9001 n'est donc que rarement un effort perdu, même quand la cible finale est AS9100 ou AQAP 2110 : c'est la base sur laquelle viennent se fixer les exigences sectorielles.

Obtenir la certification, et la conserver

La certification est un processus défini et prévisible, pas une boîte noire : une analyse d'écart par rapport à la norme, la construction puis l'exploitation du système assez longtemps pour générer des preuves, enfin un audit en deux étapes par un organisme de certification accrédité (étape 1 : préparation ; étape 2 : évaluation en fonctionnement). Ce n'est pas non plus un label acquis une fois pour toutes : des audits de surveillance annuels et une recertification tous les trois ans le maintiennent en vie. Nous parcourons tout le chemin, étape par étape, dans comment fonctionne la certification.

Ce qui décide si tout cela est pénible ou fluide tient à une seule chose : vos preuves s'accumulent-elles au fil du travail, ou faut-il les reconstituer avant chaque audit ? D'où l'intérêt de garder le système en un seul endroit plutôt que dispersé entre disques et boîtes mail.

Idées reçues courantes

• Ce n'est pas une marque de qualité produit. ISO 9001 certifie votre système de management, pas votre produit. Elle atteste que vous fabriquez des produits constants et maîtrisés, pas qu'un produit donné est le meilleur du marché.
• Ce n'est pas un exercice de paperasse. La révision de 2015 a délibérément réduit la liste des procédures obligatoires. Vous conservez les informations documentées dont vos processus ont réellement besoin, pas un classeur monté pour satisfaire un auditeur.
• Elle n'impose pas de logiciel. La norme est neutre sur le plan technologique. Un logiciel supprime la friction liée à la tenue à jour des enregistrements et à leur disponibilité pour l'audit, mais l'exigence porte sur une maîtrise démontrable, quel qu'en soit le moyen.

L'intérêt pour l'entreprise

Au-delà des contrats qui l'exigent, un système ISO 9001 qui fonctionne se rembourse par moins de non-conformités et moins de gestion de crise, par des audits plus rapides et moins pénibles, et par une façon de travailler partagée et documentée qui survit au renouvellement des équipes. Le coût de la norme, c'est la discipline de la faire vivre ; le coût de ne pas l'avoir, dans une chaîne d'approvisionnement réglementée, c'est de ne pas être dans la salle.