Audit interne et audit externe : ce que chacun vérifie

« Audit » est un seul mot qui recouvre plusieurs réalités. Quand un collègue annonce un audit à venir, il est essentiel de savoir de quel type il s'agit : un audit interne que vous menez sur vous-même, l'audit externe d'un organisme de certification, ou un client qui vient vous inspecter avant de signer. Chacun a un objectif différent, un auditeur différent et des enjeux différents. Pour les deux derniers, les conséquences touchent directement les contrats et les appels d'offres. Ce guide les distingue, précise ce qu'un auditeur cherche réellement et montre comment les constats se propagent.

Les audits sont le mécanisme à la base de la conformité comme de la certification : ils permettent de vérifier l'affirmation « nous répondons aux exigences » plutôt que de la tenir pour acquise. Si la différence entre conforme et certifié reste floue, ce guide la pose ; ici, nous entrons dans le détail des audits eux-mêmes.

Les trois parties, et pourquoi l'étiquette compte

On classe habituellement les audits selon qui audite qui :

Audit de première partie (interne) - vous vous auditez vous-même. Vos propres équipes (ou une personne que vous mandatez à cet effet) évaluent votre système de management par rapport au standard et à vos propres procédures.
Audit de seconde partie - une partie ayant un intérêt direct vous audite. En pratique, il s'agit presque toujours d'un client (effectif ou potentiel) qui audite un fournisseur avant ou pendant un contrat.
Audit de tierce partie - un organisme indépendant, sans intérêt dans le résultat, vous audite. C'est l'audit de certification ; c'est précisément cette indépendance qui donne sa valeur au certificat.

Ces distinctions ne sont pas théoriques : un audit client et un audit de certification peuvent examiner le même système et aboutir aux mêmes constats, mais les conséquences diffèrent totalement. L'un touche une seule relation commerciale, l'autre un certificat sur lequel tous vos clients s'appuient.

Audits internes (première partie) : s'auditer soi-même, honnêtement

Un audit interne, c'est votre organisation qui vérifie son propre système de management par rapport au standard et à ses propres procédures documentées. Sous ISO 9001, il n'est pas facultatif : l'article 9.2 l'exige. Mais sa vraie valeur ne tient pas à la conformité pour elle-même. C'est une répétition et un système d'alerte précoce, qui repère les problèmes avant un auditeur externe ou un client, tant qu'ils sont encore peu coûteux à corriger.

C'est un outil d'amélioration, pas une fonction de police. Mené comme une chasse au coupable, un audit interne apprend simplement aux gens à cacher les problèmes jusqu'au départ de l'auditeur. Mené comme l'endroit le moins coûteux de l'organisation pour trouver une non-conformité - avant qu'elle n'atteigne un client ou un certificat - il gagne l'honnêteté dont il dépend. La cible, c'est le système, jamais la personne.

Gérer un programme efficace. L'article 9.2.2 demande de planifier le programme en fonction de l'importance de chaque processus, des changements qui affectent l'organisation et des résultats des audits précédents. En clair : auditez plus souvent ce qui compte et ce qui a posé problème. Quatre éléments distinguent un programme qui trouve les problèmes d'un programme qui se contente de remplir un calendrier :

Une planification fondée sur le risque. Couvrez tout le système sur un cycle, mais pas de façon uniforme : un processus stable et peu risqué peut être audité une fois, un processus critique pour la sécurité, récemment modifié ou source d'ennuis, plusieurs fois par an.
Compétence et indépendance de l'auditeur. Un auditeur doit connaître le standard et le processus assez bien pour distinguer un écart réel d'une variation sans conséquence, et être indépendant du domaine audité : personne n'audite son propre travail. Dans une petite structure, cela suppose des audits croisés, ou le recours à un auditeur externe agissant pour votre compte. ISO 19011 est la ligne directrice internationale sur la compétence et l'impartialité des auditeurs.
Les grilles d'audit. Une grille traduit le standard et vos procédures en une liste concrète d'éléments à vérifier et à échantillonner, de sorte que deux auditeurs couvrent le même terrain et que l'audit de cette année soit comparable à celui de l'an dernier. C'est un plancher, pas un plafond : un bon auditeur suit les preuves au-delà.
Le cycle de vie de l'audit. Chaque audit suit le même déroulé : planifier (domaine d'application, critères, calendrier), réaliser (échantillonner les enregistrements, mener des entretiens, observer, recueillir des preuves d'audit objectives), restituer (rédiger et classer les constats) et clôturer et vérifier (convenir des actions correctives, les mettre en œuvre, confirmer qu'elles ont fonctionné). C'est cette dernière étape que l'on saute le plus souvent : un audit dont les constats ne sont jamais vérifiés à la clôture n'est qu'un demi-audit.

Un exemple concret. Chez un fabricant, l'auditeur interne examine la maîtrise des informations documentées (article 7.5) et trouve trois opérateurs qui travaillent d'après une version périmée d'une instruction de travail mise à jour il y a deux mois. C'est un constat. Détecté en interne, il coûte un après-midi et une correction du mécanisme qui l'a permis ; détecté par un auditeur de certification, il devient une non-conformité à votre dossier ; détecté par un client, une raison de douter de tout le reste.

Ce que cherchent les auditeurs est constant, en interne comme en externe : la conformité au standard et à vos procédures, des preuves que vous pouvez montrer plutôt qu'affirmer, l'efficacité (est-ce que ça fonctionne, ou n'est-ce que du papier ?) et le suivi (les problèmes antérieurs ont-ils été corrigés à la racine, ou rafistolés ?).

À quoi ressemble une bonne non-conformité

Soulevée en interne ou par un auditeur externe, une non-conformité n'est utile que si elle est bien rédigée. Un constat qui dit « la maîtrise documentaire est à améliorer » ne vaut rien : impossible de l'argumenter, d'en chercher la cause racine ou de vérifier sa clôture, car il n'y a rien de précis à recontrôler. Un bon constat énonce trois choses, dans l'ordre :

L'exigence. L'article précis du standard, ou votre propre procédure, qui n'a pas été respecté - ici, l'article 7.5.3 d'ISO 9001, qui exige que les informations documentées soient disponibles et adaptées à l'usage là où et quand elles sont nécessaires.
La preuve objective. Ce qui a été effectivement observé, assez précis pour que quiconque puisse le recontrôler : « aux postes 4, 7 et 9, les opérateurs travaillaient d'après la révision B de WI-114, remplacée par la révision C émise deux mois plus tôt. » Pas une opinion : le fait.
L'écart. La phrase qui relie les deux : les versions à jour doivent être disponibles au point d'utilisation ; trois exemplaires au point d'utilisation étaient périmés ; l'exigence n'est donc pas respectée.

Rédigé ainsi, le constat est clôturable : vous confirmez la correction en recontrôlant ces postes. Les constats vagues échouent parce que vous ne pouvez jamais prouver qu'ils sont résolus.

Corriger le mécanisme, pas le cas isolé. Un constat bien rédigé ne vous dit encore que ce qui ne va pas, pas pourquoi. L'analyse des causes racines comble ce manque, et l'outil le plus simple consiste à demander « pourquoi » jusqu'à atteindre quelque chose qui mérite d'être changé. Reprenons le cas de l'instruction périmée :

Pourquoi les opérateurs utilisaient-ils l'ancienne révision ? La version à jour n'est jamais parvenue à leurs postes.
Pourquoi ? La mise à jour a été émise dans le système documentaire, mais les exemplaires de l'atelier sont imprimés et affichés à chaque poste, et personne ne les a réimprimés.
Pourquoi personne ne les a-t-il réimprimés ? Rien dans la procédure de modification n'attribue la responsabilité de remplacer les exemplaires au point d'utilisation lorsqu'un document est révisé.
Pourquoi cette étape manque-t-elle ? La maîtrise documentaire a été écrite pour un bureau où chacun lit à l'écran, et n'a jamais été adaptée quand des exemplaires imprimés sont partis à l'atelier.
Pourquoi n'a-t-elle jamais été adaptée ? La maîtrise des modifications relève de la qualité, qui ne voit pas comment les documents parviennent à l'atelier, et aucune revue n'a détecté le manque.

La cause racine n'est pas « trois opérateurs négligents », mais une procédure de modification dépourvue d'étape maîtrisée pour retirer et remplacer les exemplaires au point d'utilisation. Toute révision future peut donc silencieusement ne pas atteindre l'atelier. Ajoutez cette étape, vérifiez que les anciens exemplaires sont retirés, et c'est toute la catégorie de problème qui se ferme, pas seulement ce cas. C'est la distinction que l'article 10.2 établit entre la correction (rééditer le document) et l'action corrective (corriger la raison de l'erreur).

Audits externes (tierce partie / certification) : le verdict indépendant

L'audit de certification est l'évaluation de tierce partie décrite dans le fonctionnement de la certification : une revue de préparation en étape 1, une évaluation du système en fonctionnement en étape 2, puis une surveillance annuelle et une recertification tous les trois ans. Ici, le point à retenir est la façon dont les constats sont gradués, car c'est cela qui détermine les enjeux :

Non-conformité majeure - une exigence n'est pas respectée, ou une partie du système est défaillante. Une majeure doit être résolue avec preuves à l'appui avant qu'un certificat soit délivré ou maintenu ; non résolue, elle bloque la certification ou peut entraîner une suspension.
Non-conformité mineure - un manquement isolé à une exigence. Traité en général par un plan d'action corrective vérifié à la visite suivante.
Piste d'amélioration - ni un manquement ni une obligation, mais une suggestion à considérer.

Où passe la ligne. Majeure ou mineure relève d'un jugement de portée et d'impact, pas d'un barème fixe. Un constat est majeur quand une exigence n'est pas traitée, quand un processus est défaillant plutôt que légèrement en écart, ou quand le manquement menace la conformité du produit ou l'intégrité du système ; il est mineur quand le système fonctionne par ailleurs et que l'écart est isolé. Un document périmé est une mineure ; le même constat sur plusieurs processus sans lien est un processus de maîtrise documentaire défaillant, soulevé comme une seule majeure. C'est le motif récurrent, pas le cas isolé, qui constitue le manquement.

Ce qu'une piste d'amélioration signifie en pratique. Une piste d'amélioration n'est pas une non-conformité : aucune exigence n'est enfreinte et vous n'êtes pas tenu d'agir. Les auditeurs en soulèvent lorsqu'ils voient une faiblesse qui n'a pas encore causé de manquement, ou une pratique simplement meilleure que la vôtre : du renseignement gratuit, pas une critique. En ignorer une, aucun problème ; en ignorer une série qui refait surface ensuite en non-conformités, et vous entamez la confiance de l'auditeur dans votre jugement.

À distance, sur site ou hybride. Les audits à distance et hybrides sont désormais courants, avec des lignes directrices des organismes d'accréditation sur l'usage de la vidéo et du partage d'écran pour une partie du temps sur site. La moitié documentaire d'un audit se transpose bien à l'écran : documents maîtrisés, entretiens, enregistrements de revue de direction et d'audit interne. Ce qui ne se transpose pas, c'est tout ce qui est physique : observer un processus en cours, comparer l'exemplaire du poste au système, échantillonner les étiquettes d'étalonnage. Un audit hybride traite donc les documents à distance et réserve la visite à ces vérifications. Le distanciel n'est pas l'option plus facile : vos preuves doivent être accessibles à l'écran en temps réel, et un partage d'écran maladroit en dit long sur la maîtrise réelle de vos informations.

L'indépendance de l'auditeur est tout l'enjeu : n'ayant aucun intérêt à vous faire passer, son certificat est celui qu'un client accepte au lieu de vous auditer lui-même. Un seul certificat accrédité tient lieu de dizaines d'audits clients distincts, et c'est là une bonne part de ce qui fait la valeur commerciale de la certification.

Audits de seconde partie (client) : quand un contrat est en jeu

Un audit de seconde partie, c'est un client qui vous audite : celui à l'incidence commerciale la plus immédiate. Un donneur d'ordres, un acheteur réglementé, ou tout client pour qui votre travail comporte un risque, peut vous auditer avant d'attribuer un contrat (audit de préqualification ou d'approbation fournisseur) et périodiquement pendant son exécution (surveillance).

Ce qui le distingue. Un auditeur de certification vous évalue par rapport au standard ; un client vous évalue par rapport à ses exigences - le standard le plus souvent compris, plus les conditions contractuelles, réglementaires ou sectorielles qui comptent pour lui. Là où la certification échantillonne l'ensemble du standard, la grille d'un client est plus étroite et bien plus approfondie sur les quelques points qui touchent son contrat. Elle creuse généralement :

La traçabilité de ce qu'ils achètent - pouvez-vous relier un article livré à ses matières, son lot ou sa fournée, et vers l'aval à tous les endroits où il est parti, pour les pièces précises qu'ils commandent ?
La maîtrise du processus dont ils dépendent - le procédé spécial au cœur de leur produit (traitement thermique, soudage, stérilisation, marquage), examiné bien plus étroitement qu'une évaluation générale.
La répercussion de leurs exigences - les clauses qu'ils vous transmettent contractuellement, et la preuve que vous répercutez les clauses pertinentes à vos propres sous-traitants.
La notification des changements et le traitement des échappements - les préviendrez-vous avant de changer une matière, un procédé ou un sous-fournisseur ; et comment mèneriez-vous un rappel ou contiendriez-vous un lot non conforme déjà parvenu chez eux ?
Les règles propres à leur secteur - un acheteur réglementé peut superposer à ISO 9001 les attentes de sa branche : les répercussions AS9100 d'un client de l'aéronautique, les attentes GxP d'un acheteur pharmaceutique, les exigences réglementaires d'un fabricant de dispositifs médicaux.

Ce sont les domaines qu'un audit de certification n'effleure qu'en passant ; pour le client, ils sont toute la raison de la visite.

Incidences contractuelles et sur les appels d'offres. C'est là que les audits cessent d'être un exercice qualité pour devenir un exercice commercial :

Le statut de fournisseur approuvé. Beaucoup d'acheteurs tiennent une liste de fournisseurs approuvés ; un audit de seconde partie réussi en est souvent le ticket d'entrée, et un audit échoué vous en exclut. Pas de place sur la liste, pas d'invitation à remettre une offre.
La qualification aux appels d'offres. Les appels d'offres publics et ceux des grands groupes privés font souvent de la certification un critère éliminatoire : soit vous détenez le certificat accrédité pour le bon domaine d'application, soit vous êtes écarté avant même que votre offre soit lue. Un certificat expiré, ou dont le domaine d'application ne couvre pas les travaux, échoue ici tout autant que l'absence totale de certificat.
Conditions contractuelles et recours. Les contrats inscrivent de plus en plus la conformité comme une obligation active assortie de sanctions : maintenir la certification pendant toute la durée, autoriser les audits sur préavis et clôturer les constats dans des délais convenus - souvent une fenêtre fixe pour les majeures et plus longue pour les mineures, avec preuves soumises à l'acceptation du client. Manquez à cela et les recours s'aggravent : une demande d'action corrective, puis une fréquence d'audit accrue ou une mise à l'épreuve, puis des commandes retenues ou un retrait de la liste des fournisseurs approuvés, et - en cas de manquement persistant ou de certificat laissé expirer en cours de contrat - une résiliation pour faute. Les mêmes clauses vous obligent en général à répercuter des obligations équivalentes à vos sous-traitants, de sorte qu'un constat dans votre chaîne d'approvisionnement devient un constat contre vous.
Retombées sur la réputation. Un client qui trouve un problème sérieux lors d'un audit ne se contente pas d'enregistrer une non-conformité ; il révise son jugement sur vous en tant que fournisseur. Les constats circulent.

Le fil conducteur, c'est que les résultats d'audit ne sont pas classés puis oubliés : ils conditionnent l'accès aux marchés et façonnent les conditions qui vous sont proposées.

Rendre chaque audit plus simple : les mêmes preuves, disponibles à la demande

Les trois audits demandent au