ISO 9001:2026 : ce qui change par rapport à 2015 et les actions à mener
ISO 9001:2026 a été publiée en septembre 2026. Évolutions par rapport à l'édition 2015, délais de transition et liste de contrôle pratique pour votre prochain audit.
ISO
Normes ISO relatives aux systèmes de management
Les équipes qualité et sécurité qui exploitent un système de management fondé sur les normes ISO, ainsi que les fournisseurs dont les clients en exigent un.
Les normes ISO derrière un système de management et leur répartition : quelques-unes sont certifiables, la plupart sont des guides ou des jeux de mesures. Savoir laquelle est laquelle décide de ce que vous pouvez affirmer.
Ce que c'est
La distinction qui détermine ce que vous pouvez déclarer
L'ISO publie des dizaines de milliers de normes. Celles que rencontre une équipe conformité se répartissent en deux groupes que l'on confond en permanence. Un petit nombre sont des normes de système de management : elles énoncent des exigences, et un organisme de certification accrédité peut vous auditer par rapport à elles et délivrer un certificat. Les autres sont des lignes directrices, des codes de bonne pratique ou des ensembles de mesures. Elles sont tout aussi utiles, mais elles ne donnent pas lieu à certification.
Se tromper ici coûte cher dans un appel d'offres. Un fournisseur qui inscrit « certifié ISO 31000 » dans une offre affirme à l'évaluateur une chose impossible : l'ISO 31000 est une ligne directrice et n'a aucun schéma de certification. Le même piège guette l'ISO 27002 et l'ISO 27005.
Qualité
ISO 9001 est la norme du système de management de la qualité, celle que visent la plupart des contrats lorsqu'ils demandent « un système qualité ». Elle est certifiable, et elle sert aussi de socle au monde de la défense : l'AQAP 2110 en reprend les exigences et y ajoute celles de l'OTAN.
Sécurité de l'information
Une seule norme certifiable, entourée de publications qui la rendent applicable :
- ISO 27001 - le système de management de la sécurité de l'information. C'est la norme certifiable ; tout ce qui suit vient l'appuyer.
- ISO 27002 - l'ensemble de mesures qui sous-tend un certificat ISO 27001 : ce que chaque mesure signifie concrètement.
- ISO 27005 - des lignes directrices pour l'appréciation du risque de sécurité de l'information exigée par les articles 6.1.2 et 6.1.3 de l'ISO 27001.
- ISO 27017 - des mesures propres au cloud, et le partage des responsabilités entre vous et votre prestataire.
- ISO 27018 - la protection des données personnelles traitées dans le cloud.
L'ISO 27017 et l'ISO 27018 sont des codes de bonne pratique, non des certifications distinctes. Vous êtes certifié par rapport à l'ISO 27001 ; ces deux textes étendent l'ensemble de mesures et peuvent entrer dans le domaine d'application de ce certificat.
Risque
ISO 31000 est la ligne directrice internationale pour le management du risque de toute nature, et elle n'est volontairement pas certifiable. Sa valeur tient à un vocabulaire commun et à un processus défendable, ce que recherche un auditeur lorsqu'il vous demande comment vous avez jugé une chose acceptable.
Comment l'ISO s'articule avec les normes de la défense
Si vous fournissez la défense, l'ISO 9001 constitue rarement toute la demande. Les publications AQAP s'appuient sur elle : l'AQAP 2110 reprend les exigences de l'ISO 9001 et y ajoute la gestion de configuration, l'assurance qualité gouvernementale et le risque contractuel, tandis que l'AQAP 2310 fait de même avec l'EN 9100. Un système ISO 9001 est donc le socle que vous bâtiriez dans les deux cas, et le travail défense vient s'y ajouter.
Ce n'est pas la norme que vous cherchiez ?
ComplyTrain ne se limite pas aux normes décrites sur ce site. Le produit s'organise autour d'un arbre d'exigences, et un tel arbre peut être construit pour toute norme, tout accord ou toute spécification contractuelle qui contient des exigences - ISO 13485, ISO 14001, ISO 45001, IEC 62443, EN 9100 et les autres comprises. Les pages présentées ici sont ce que nous avons documenté à ce jour, non la limite de ce que le système prend en charge.
Nous ajoutons des normes à la demande, et la liste s'étoffe régulièrement. Si la norme exigée par votre client ou votre contrat ne figure pas ici, indiquez-nous laquelle il vous faut et nous vous expliquerons ce que sa prise en charge dans votre espace de travail implique.
Comment nous aidons
Comment ComplyTrain vous aide à faire fonctionner un système de management ISO
La plupart des équipes gèrent plusieurs de ces systèmes en même temps : un système qualité, un système de sécurité et un cadre de management du risque. C'est dans leur recoupement que se cachent les efforts redondants :
- Le système qualité structuré selon ISO 9001 : audits, non-conformités, action corrective jusqu'à clôture - Management de la qualité
- Les exigences de chaque norme suivies comme un ensemble, tracées jusqu'aux preuves d'audit qui les satisfont, de sorte qu'une même preuve réponde à plusieurs normes à la fois - Management des exigences
- Manuels, procédures et informations documentées sous gestion des versions, avec validation - Maîtrise documentaire
- Un registre des risques sur une échelle cohérente et calibrée, comme le demande ISO 31000 et comme l'exige la clause 6.1 d'ISO 27001 - Management du risque
- Des enregistrements de compétence qui prouvent la compréhension, et non la simple présence - Management de la formation
L'arbre des exigences est le cœur du produit, et non une fonctionnalité propre à chaque norme. Ajouter une norme pour laquelle nous n'avons pas encore rédigé de page relève donc du contenu, pas du développement. Demandez-la, et nous pouvons l'ajouter.
ComplyTrain ne détient aucune certification ISO et n'en revendique aucune. C'est le système dans lequel vous construisez et faites fonctionner votre propre système de management, et où résident les preuves de votre certificat.
Request access to this standard
Tell us how you need to work with ISO and what you need from it. We will come back to you about what ComplyTrain can do.
Thank you. Your list is on its way to your inbox, and we will come back to you on what working with these standards in ComplyTrain involves, usually within one business day.
Questions
À quelles normes ISO pouvez-vous réellement obtenir une certification ?
Parmi celles présentées ici, ISO 9001 et ISO 27001. Elles énoncent des exigences, et un organisme de certification accrédité vous audite au regard de ces exigences. ISO 27002, ISO 27005, ISO 27017, ISO 27018 et ISO 31000 relèvent des lignes directrices, des codes de bonne pratique ou des ensembles de mesures : elles appuient une certification sans en constituer une. Revendiquer une certification à l'une d'elles dans une réponse à un appel d'offres, c'est une affirmation qu'un évaluateur peut réfuter.
Pouvons-nous être certifiés ISO 27017 ou ISO 27018 ?
Non, pas en tant que certificats autonomes. Ce sont des codes de bonnes pratiques qui étendent l'ensemble des mesures de sécurité ISO 27002 aux services cloud et aux données à caractère personnel dans le cloud. Le certificat que vous détenez est l'ISO 27001, et ces mesures peuvent être intégrées à son domaine d'application.
La norme ISO 31000 est-elle certifiable ?
Non, et c'est un choix délibéré. L'ISO 31000 fournit des lignes directrices pour le management du risque, pas des exigences auditables. Elle vous donne un vocabulaire commun et un processus défendable. C'est précisément ce qu'un auditeur cherche à comprendre lorsqu'il veut savoir comment vous avez conclu qu'un risque était acceptable.
Quel est le lien entre l'ISO 9001 et l'AQAP 2110 ?
La norme AQAP 2110 reprend les exigences de l'ISO 9001 et y ajoute celles de l'OTAN : gestion de configuration, assurance qualité par les autorités gouvernementales, risque sur l'exécution du contrat et droit d'accès du client. Un système conforme à l'ISO 9001 constitue donc le socle, et le travail lié à l'AQAP en représente le complément. La norme AQAP 2310 fait de même avec l'EN 9100 pour l'aéronautique et le spatial.
La norme ISO dont nous avons besoin ne figure pas dans cette liste. Pouvez-vous la prendre en charge ?
Oui. Les pages de ce site présentent les normes documentées à ce jour, mais elles ne délimitent pas ce que le produit prend en charge. ComplyTrain repose sur une arborescence d'exigences, que l'on peut construire pour toute norme comportant des exigences, y compris ISO 13485, ISO 14001, ISO 45001 et IEC 62443. Nous ajoutons des normes sur demande. Indiquez-nous celle dont vous avez besoin et nous vous expliquerons ce que sa prise en charge implique dans votre espace de travail.
Mise en œuvre
Piloter plusieurs normes ISO sans faire le travail deux fois
C'est dans le recoupement entre le système qualité, le système de sécurité et le cadre de management du risque que se cache l'essentiel des efforts redondants.
Distinguez ce qui est certifiable de ce qui vient en appui
Sachez lesquelles de vos normes peuvent donner lieu à une certification et lesquelles ne le peuvent pas. C'est ce qui détermine ce que vous pouvez inscrire dans un appel d'offres, et ce qu'un auditeur vous demandera réellement de prouver.
Traitez chaque norme comme un ensemble d'exigences
Pas sous forme de manuel. Un ensemble suivi se compte, et les écarts sont visibles avant que quelqu'un d'autre ne les découvre.
Une même preuve d'audit pour répondre à plusieurs référentiels
Le contrôle d'accès, l'évaluation des fournisseurs et les enregistrements de compétence figurent dans plusieurs normes. Correctement tracé, un même enregistrement répond à chacune sans qu'il faille le réécrire.
Conservez une appréciation du risque défendable
Une échelle cohérente et calibrée, dont la logique est consignée, correspond à ce que décrit ISO 31000 et à ce qu'attend la clause 6.1 d'ISO 27001.
Si vous devez y arriver sans fonction qualité
Une norme arrive le plus souvent comme une condition contractuelle, pas comme un projet que quelqu'un avait prévu, et souvent dans une entreprise sans responsable qualité. Le logiciel est la moitié de la réponse. Les consultants de Skylen sont l'autre moitié, et parce qu'ils construisent sur ComplyTrain dès le premier jour, il vous reste un système vivant que votre équipe possède, plutôt qu'un classeur et un consultant reparti.
Analyse d'écart
Une lecture article par article de votre position face à la norme citée par votre contrat, traduite en un plan priorisé que vous pouvez suivre avec nous ou seul.
Ce que couvre l'analyseMise en œuvre accompagnée
Nos consultants construisent le système avec votre équipe - procédures, maîtrise des informations documentées, les enregistrements à tenir et le rythme de la revue de direction - et vous préparent à l'audit de certification.
Comment se déroule une missionFonction qualité externalisée
Nous exploitons et maintenons le système de management de la qualité pour vous, afin qu'une petite équipe atteigne et conserve une norme sans recruter un responsable qualité.
Ce que couvre l'externalisation
Sources officielles
Les sources primaires de cette page. Lorsqu'une norme y est citée, la page de l'éditeur fait autorité.
Ce que fait ComplyTrain
Un seul système pour tout le programme de conformité. Commencez par le module dont vous avez le plus besoin.
Formulaires et suivi
Recueillez les informations de la même manière à chaque fois et décidez à l'avance de la suite à donner.
Contrôles et assurance
Sachez si vos contrôles fonctionnent réellement, et pas seulement si une politique affirme qu'ils existent.
Planification de projet
Transformez les travaux de conformité que vous connaissez déjà en un plan assorti de responsables, de dépendances et d'échéances.
Conformité des produits
Sachez ce que vous pouvez proposer, et conservez les preuves qui justifient chaque configuration dans laquelle vous le proposez.
Rapports et analyses
Huit rapports intégrés, présents dans chaque module. Planifiez-les, diffusez-les et classez-les là où sont conservées vos preuves d'audit.
Veille média
L'actualité de votre secteur qui compte pour votre organisation. Notre IA la lit, l'évalue et vous l'envoie sous forme de synthèse périodique, dans votre langue.
Subventions et appels d'offres
L'IA lit le dossier d'appel d'offres et en extrait les exigences, les délais et les règles. Elle vous aide ensuite à rédiger la réponse à partir de vos contenus validés, chaque étape restant sous votre contrôle.
Gestion des parties prenantes et des fournisseurs
Un registre unique et à jour des fournisseurs et partenaires dont vous dépendez. Chacun fait l'objet d'une évaluation du risque, se réévalue automatiquement aux échéances prévues et alimente directement votre registre des risques.
Gestion des exigences
Visualisez chaque exigence qui vous concerne, quelle que soit la norme, y compris vos propres contrats et politiques, reliée aux informations documentées, aux preuves d'audit et aux processus qui la satisfont.
Management du risque
Identifiez, évaluez, traitez et revoyez vos risques au même endroit. L'IA aide chacun à mener une évaluation dans les règles, et chaque décision laisse une trace défendable.
Gestion des formations
Attribuez les formations, prouvez qu'elles ont été assimilées et conservez les preuves de compétence qu'un auditeur réclame.
Maîtrise des informations documentées
Rédigez vos informations documentées avec l'IA, gardez chaque version sous contrôle et exportez-les à vos couleurs. Le tout au même endroit.
Système de management de la qualité
Audits, actions correctives, processus et approbations dans un seul système de management de la qualité, organisé autour de la norme ISO 9001.
Les dernières publications
La revue de direction qui améliore vraiment l'entreprise
Menez une revue de direction ISO 9001 (clause 9.3) qui transforme les preuves d'audit en décisions : les bons éléments d'entrée, des éléments de sortie exploitables et une fréquence adaptée à vos risques.
Audit ISO 9001 : ce qui se passe, étape par étape
Les types d'audit ISO 9001, ce que vérifient les étapes 1 et 2, la gradation et la clôture des non-conformités, et comment préparer votre première certification.