Programme d'audit interne : ce que l'organisme de certification y cherche en premier

Programme d'audit interne : ce que l'organisme de certification y cherche en premier

Certifié ISO 9001, vous devez tenir un programme d'audit interne, le mettre en œuvre et en conserver la preuve. L'auditeur de l'organisme de certification commence rarement par vos rapports. Le plus souvent, il demande le programme et le rapproche de votre cartographie des processus. Il cherche ensuite qui a audité quoi, avec quelle qualification, et ce que sont devenus les constats. Un processus absent, un auditeur qui audite son propre travail ou une action jamais clôturée se repèrent dès cette lecture.

L'exigence du référentiel sur le programme d'audit interne, et ce qu'elle vous laisse décider

Dans son édition 2015, ISO 9001 demande des audits internes à intervalles planifiés. Elle ne fixe aucune fréquence : vous la décidez. Le programme couvre la fréquence, les méthodes, les responsabilités, les exigences de planification et le compte rendu. Il tient compte de l'importance des processus, des changements qui touchent l'organisme et des résultats des audits précédents. Pour chaque audit, vous définissez les critères et le périmètre. Le choix des auditeurs et la conduite des audits préservent l'objectivité et l'impartialité de l'audit. Les résultats sont rapportés à la direction concernée. Les corrections et les actions correctives sont engagées sans délai indu. Vous conservez la preuve de la mise en œuvre du programme et des résultats. ISO 14001 et ISO 45001 portent une exigence voisine. Pour toute autre édition, relisez ces termes dans le texte applicable. ISO 19011 donne des lignes directrices pour gérer le programme et évaluer les auditeurs ; elle n'est pas un référentiel de certification. Les lignes ci-dessous traduisent l'exigence en pratique, sans en être le texte.

• Le programme indique, pour chaque audit, le processus, le périmètre, les critères, la période et l'auditeur désigné.
• En face de chaque fréquence, le programme porte le motif écrit qui l'explique.
• Aucun auditeur n'est affecté à une activité qu'il tient, qu'il a conçue ou dont il répond.
• Chaque non-conformité renvoie à une preuve, à une action, à un responsable, à une échéance et à une vérification d'efficacité.

Relire votre programme d'audit comme le ferait un auditeur externe

1. Rapprocher le programme de la cartographie — Posez côte à côte la cartographie des processus et le programme d'audit. Cochez chaque processus rattaché à un audit, y compris la direction, les achats, la maîtrise des activités externalisées et les équipes de nuit. Faites de même avec la liste des sites et les exigences du référentiel. Ce qui reste non coché sur le cycle forme la liste des trous de couverture : inscrivez chaque ligne au programme, avec sa période.
2. Écrire le motif de chaque fréquence — Ajoutez au programme une colonne « motif » : pour chaque processus, pourquoi ce rythme. Trois critères suffisent : le poids du processus sur la conformité du produit ou du service, les changements qu'il a connus, les constats de son dernier audit. Un processus qui a reçu une non-conformité ou changé de pilote remonte dans le programme. Un rythme identique pour tous signale un calendrier, pas un programme.
3. Vérifier l'indépendance ligne par ligne — Sur chaque ligne du programme, écrivez qui pilote le processus et qui en a rédigé les procédures. Si l'auditeur désigné est l'un des deux, ou s'il supervise l'activité, réaffectez-la. Le responsable qualité n'audite donc ni la maîtrise documentaire, ni le traitement des non-conformités, ni la gestion du programme. Faute d'auditeurs qualifiés, formez-en dans d'autres services et croisez-les, ou désignez un auditeur extérieur.
4. Constituer le dossier de qualification des auditeurs — Fixez par écrit vos critères : formation à l'audit, connaissance du référentiel, connaissance du métier audité, audits réalisés en observation. Réunissez pour chaque auditeur l'attestation de formation, la liste de ses audits et l'évaluation de sa pratique. L'auditeur externe peut demander ce dossier, en particulier quand un rapport lui paraît superficiel.
5. Suivre chaque constat jusqu'à la clôture — Tenez un état unique des constats : libellé, preuve, cause, action, responsable, échéance, date de clôture, vérification d'efficacité. Rapprochez-le des rapports : aucun constat ne doit manquer. Présentez cet état en revue de direction. L'action reste à la charge du processus audité ; l'auditeur vérifie qu'elle a traité la cause, il ne la réalise pas.

Cartographie, auditeurs, clôtures : ce que l'organisme de certification rapproche du programme d'audit

• Tous les processus de la cartographie, tous les sites et toutes les exigences du référentiel sont couverts sur le cycle que vous avez défini.
• Les processus à fort enjeu, modifiés ou déjà porteurs de constats sont audités plus souvent ou plus en profondeur que les autres, et le programme l'écrit.
• Le nom de l'auditeur figure sur chaque audit, et aucun n'a audité son propre travail, celui de son service ou un dispositif qu'il a mis en place.
• Chaque auditeur répond aux critères de qualification que vous avez fixés, et les preuves existent : attestation de formation, audits réalisés, évaluation.
• Le programme prévu et le programme réalisé concordent ; tout report est daté, motivé et replanifié, et chaque constat est suivi jusqu'à une clôture vérifiée.

Avant l'audit de surveillance : ce que change un programme d'audit interne tenu toute l'année

Réparti sur l'année et tenu, le programme laisse entre chaque audit interne et la venue de l'organisme de certification le temps de traiter les constats. Les pilotes de processus reçoivent leur plan d'audit à l'avance et rassemblent leurs enregistrements. Les rapports arrivent à la direction pendant que les faits sont encore récents. La revue de direction dispose d'un bilan : audits prévus et réalisés, constats par processus, actions closes, actions en retard. Un report s'écrit au moment où il se décide, avec son motif et sa nouvelle date ; il ne se découvre plus en fin d'année. Le responsable qualité gère le programme ; les processus qu'il tient sont audités par un autre. Le jour de l'audit externe, vous présentez un dossier tenu au fil de l'année au lieu de le reconstituer. Rien de cela ne préjuge du résultat de l'audit de certification : l'auditeur externe se prononce sur ses propres constats.

Quand le responsable qualité audite le système qu'il tient, ce n'est pas un audit interne mais une relecture : le nom porté sur chaque ligne du programme suffit à le montrer.

Les défauts du programme d'audit qui exposent à un écart

• Le programme réduit à un calendrier — Le document liste des dates et des processus, sans critères, sans périmètre, sans méthode et sans raison donnée aux fréquences. L'auditeur externe peut demander pourquoi tel processus est audité à ce rythme. Faute de réponse étayée, il est fondé à relever que le programme ne tient compte ni de l'importance des processus ni des résultats précédents.
• Le responsable qualité auditeur unique — Il est souvent le seul formé à l'audit : son nom figure sur toutes les lignes, y compris celles des processus qu'il pilote. Sur ces lignes, l'impartialité n'est plus démontrable, quelle que soit la qualité du rapport. La parade tient en une ligne du programme : un autre auditeur, interne ou extérieur, pour tout ce qu'il tient.
• Tous les audits regroupés avant l'audit externe — Le programme annonce des audits répartis sur l'année ; les rapports portent tous des dates voisines, juste avant la venue de l'organisme de certification. L'écart entre prévu et réalisé se lit dans les dates. Les actions n'ont pas eu le temps d'être menées, et la revue de direction a pu se tenir sans résultats d'audit.
• Des constats clos sans vérification — L'état des actions affiche « clos » dès que l'action est déclarée faite. Aucune preuve n'est jointe et personne n'a vérifié que la cause a disparu. L'auditeur externe peut prendre un constat ancien et retourner sur le terrain. S'il retrouve le même défaut, la clôture est remise en cause et, avec elle, le suivi du programme.

Questions fréquentes

Faut-il auditer tous les processus chaque année ?

ISO 9001 ne l'exige pas en ces termes : elle demande des intervalles planifiés et vous laisse fixer le rythme de chaque processus. L'auditeur externe s'attend en général à voir tout le système couvert sur votre cycle. Écrivez votre règle de fréquence dans le programme, avec le motif retenu pour chaque processus, et appliquez-la. Les règles de votre secteur restent à vérifier dans le texte applicable.

Le responsable qualité peut-il réaliser lui-même les audits internes ?

Il peut auditer les processus qu'il ne tient pas : la production, les achats, la maintenance. Il n'audite pas ce dont il répond : la documentation du système, le traitement des non-conformités, la gestion du programme d'audit. Pour ces sujets, désignez un auditeur d'un autre service, formé et évalué, ou un auditeur extérieur à l'entreprise. Inscrivez son nom dans le programme.

Un auditeur extérieur à l'entreprise suffit-il à démontrer l'indépendance ?

Non, pas à lui seul. S'il a rédigé vos procédures ou tenu votre système comme consultant, il audite son propre travail, au même titre qu'un salarié. Vérifiez qu'il n'est pas intervenu sur les activités qu'il audite, conservez la preuve de sa qualification et gardez chez vous la décision sur les actions correctives. L'audit interne confié à un tiers reste votre audit : vous en répondez.

Former ceux qui restent en interne

Une fonction externalisée s'appuie toujours sur un correspondant chez vous. Nos parcours certifiants s'adressent à ces fonctions : voir les formations.