Comment fonctionne la certification : les étapes, de la décision au certificat

Pour une organisation qui l'aborde pour la première fois, la certification peut ressembler à une boîte noire : vous savez qu'il vous faut le certificat, vous savez qu'un auditeur intervient, et l'espace entre les deux reste flou. La réalité est bien plus prévisible. La certification à une norme de système de management comme ISO 9001 suit une séquence éprouvée. En connaître les grandes lignes à l'avance, c'est déjà l'essentiel de ce qui distingue une première certification sereine d'une course de dernière minute coûteuse.

Ce guide parcourt tout le chemin : de la décision de viser la certification jusqu'à l'obtention (et la conservation) du certificat. Il prend ISO 9001 pour exemple, mais la même structure vaut pour la plupart des certifications accréditées de systèmes de management. Si la différence entre suivre une norme, y être conforme et être certifié n'est pas encore claire pour vous, commencez ici. Cet article prend le relais une fois que vous avez décidé que la certification était l'objectif.

Étape 0 : définir le domaine d'application, et s'y tenir

Avant qu'un auditeur n'intervienne, vous prenez une décision qui conditionne tout le reste : le domaine d'application de la certification. Il s'agit de définir ce qui est certifié : quelles activités, quels sites, quels produits ou services. « Conception et fabrication de composants usinés sur le site d'Aarhus » est un domaine d'application ; « fourniture de services informatiques infogérés depuis le bureau de Copenhague » en est un autre.

Le domaine d'application est déterminant : il fixe la limite que l'auditeur évaluera et le libellé exact qui figurera sur votre certificat. Trop large, vous vous chargez de travaux et de preuves inutiles. Trop étroit, le certificat ne couvrira pas les contrats que vous cherchez à remporter. Lisez l'appel d'offres ou l'exigence client qui motive la certification, et définissez un domaine d'application qui couvre ces travaux, sans aller au-delà de ce que vous pouvez réellement soutenir.

Étape 1 : analyse des écarts - mesurer la distance à la norme

La première vraie activité est une analyse des écarts honnête : une comparaison, exigence par exigence, entre ce que la norme demande et ce que vous faites réellement aujourd'hui. Pour ISO 9001, cela revient à parcourir les articles 4 à 10 et à se demander, pour chaque exigence : « est-ce en place, est-ce prouvé, ou est-ce absent ? »

Un exemple concret. Une scale-up logicielle réalise l'analyse des écarts et constate qu'elle maîtrise déjà une grande partie de l'article 8 (réalisation) : elle dispose d'un processus de développement et de mise en production maîtrisé. Mais l'article 9.2 (audit interne) n'a jamais été appliqué, l'article 9.3 (revue de direction) se résume à des échanges informels qui ne laissent aucune trace, et l'article 7.5 (informations documentées) est dispersé entre trois outils sans gestion des versions. L'analyse des écarts transforme le « on est sans doute bons » en une liste concrète de choses à construire. Cette liste devient le plan de l'étape suivante.

Vous pouvez réaliser l'analyse des écarts vous-même, ou faire appel à un consultant pour la mener. Dans les deux cas, le résultat est le même : une liste d'écarts hiérarchisée, qui devient votre carnet de tâches de mise en œuvre.

Étape 2 : construire le système et produire les preuves

C'est la phase la plus longue, et elle ne se précipite pas : les audits de certification recherchent des preuves dans la durée, pas un système activé la semaine précédente. Vous comblez les écarts : vous rédigez et validez les procédures, mettez en place la maîtrise documentaire, définissez le traitement des non-conformités et des actions correctives, puis vous faites fonctionner le système assez longtemps pour produire des enregistrements.

C'est ce dernier point que les débutants sous-estiment. Un auditeur qui évalue la revue de direction (9.3) veut voir que des revues ont effectivement eu lieu, avec leurs éléments d'entrée et leurs actions consignés. Celui qui évalue l'audit interne (9.2) veut voir des audits réalisés et leurs constats. Vous devez donc dérouler au moins un cycle complet de ces activités (des audits internes, une revue de direction, quelques vraies non-conformités traitées de bout en bout) avant d'être auditable. Cette phase dure couramment quelques mois ; sa durée dépend de la distance révélée par l'analyse des écarts.

Deux activités méritent d'être soulignées, car l'organisme de certification les cherchera expressément :

• Un audit interne complet du système de management par rapport à la norme, avec des constats consignés et traités. (Les audits internes sont traités en détail dans audits internes et externes expliqués.)
• Une revue de direction au cours de laquelle la direction examine la performance du système et prend des décisions à son sujet, avec les éléments d'entrée et de sortie documentés.

Les deux sont des exigences à part entière et la preuve que votre système fonctionne réellement, sans avoir été mis en scène pour l'occasion.

Faut-il faire appel à un consultant ?

Autour de l'analyse des écarts, la plupart des débutants se demandent s'ils doivent solliciter une aide extérieure. Il n'y a pas de réponse unique, mais il y a une ligne à ne pas franchir.

Un bon consultant justifie ses honoraires en raccourcissant la courbe d'apprentissage : il a mené l'analyse des écarts de nombreuses fois, sait quelles preuves un auditeur d'étape 2 demandera, et peut vous empêcher de construire une bureaucratie que la norme n'a jamais exigée. Pour une petite équipe qui découvre une norme de système de management, cela peut transformer une année de tâtonnements en quelques mois ciblés.

Les coûts sont réels eux aussi. Un système qu'un consultant rédige à votre place plutôt qu'avec vous tend à devenir un système que vos équipes ne s'approprient pas et abandonnent discrètement une fois le consultant parti, ce qui ressort au premier audit de surveillance. Il existe aussi une limite stricte : un consultant peut aider à construire le système, mais ne doit pas être celui qui l'audite. L'audit interne (article 9.2) doit être indépendant de l'activité auditée, comme l'est par définition l'évaluation de l'organisme de certification. Une aide à la construction est légitime ; externaliser le jugement de son bon fonctionnement ne l'est pas.

Étape 3 : choisir un organisme de certification accrédité

Vous ne vous certifiez pas vous-même, et vous ne voulez pas d'un certificat émis par un organisme non accrédité. Choisissez un organisme de certification accrédité par une autorité d'accréditation reconnue : DANAK au Danemark, UKAS au Royaume-Uni, DAkkS en Allemagne, et leurs homologues ailleurs, tous reconnus mutuellement dans le cadre de l'accord IAF. Un certificat accrédité est celui que les acheteurs et les évaluateurs d'appels d'offres accepteront sans autre question.

Au-delà de cela, les organismes de certification ne sont pas interchangeables, et le devis le moins cher est rarement le bon choix. Comparez directement quatre éléments :

• L'autorité d'accréditation qui le soutient. L'accréditation est accordée schéma par schéma, et non comme un label global. Vérifiez donc que l'organisme est accrédité pour la norme que vous visez et consultez le registre public de l'autorité plutôt que de vous fier à un logo sur un site web.
• L'expérience du secteur et du schéma. Un auditeur qui a passé des années sur votre type d'activité lit vos preuves plus vite et pose des questions plus fines qu'un auditeur qui découvre votre secteur. Pour une entreprise logicielle, un auditeur qui maîtrise la façon dont un processus de développement et de mise en production produit des enregistrements vaut mieux qu'un généraliste.
• La disponibilité des auditeurs par rapport à votre calendrier. Si c'est une date limite d'appel d'offres qui vous presse, la contrainte déterminante n'est souvent pas la vitesse à laquelle vous construisez le système, mais la date à laquelle l'organisme peut programmer l'étape 1 et l'étape 2. Renseignez-vous sur les délais avant de vous engager, pas après.
• Le coût total sur trois ans, et non le tarif affiché. La certification suit un cycle de trois ans, si bien que la première facture n'est qu'une partie du coût. Demandez le tableau complet (étape 1 et étape 2, les deux visites de surveillance, les éventuels frais journaliers ou de déplacement) et comparez les organismes sur le total à trois ans.

À propos des systèmes de management intégrés

Si vous prévoyez de vous certifier à plus d'une norme, par exemple ISO 9001 pour la qualité aux côtés d'une norme de management environnemental ou de santé et sécurité au travail, il vaut généralement mieux les planifier ensemble plutôt que comme des projets distincts. Les normes ISO modernes de systèmes de management partagent une structure de haut niveau commune : le même squelette des articles 4 à 10 et les mêmes exigences en matière d'informations documentées, d'audit interne et de revue de direction. Cette ossature commune permet à un seul jeu de maîtrise documentaire, à un seul programme d'audit interne et à une seule revue de direction de couvrir toutes les normes. Un organisme de certification peut alors les évaluer en un seul audit combiné : moins d'efforts en double, et souvent moins de temps sur site. Décidez tôt, dès l'étape du domaine d'application : greffer une seconde norme sur un système conçu pour une seule représente plus de travail que de concevoir pour les deux d'emblée.

Étape 4 : l'audit de certification - étape 1 et étape 2

L'audit de certification initial se déroule en deux étapes, délibérément séparées.

Étape 1 - revue de préparation. L'auditeur vérifie que votre système de management existe et qu'il est prêt à être évalué en profondeur. Il examine vos informations documentées, confirme le domaine d'application, consulte vos enregistrements d'audit interne et de revue de direction, et repère tout ce qui rendrait une évaluation complète inutile. Voyez l'étape 1 comme la confirmation par l'auditeur qu'il y a bien un système à auditer, et le signalement de points d'attention pendant qu'il vous reste le temps d'agir : ce n'est pas un examen que l'on réussit ou échoue, mais un avertissement avant la vraie évaluation.

Étape 2 - l'évaluation. Quelques semaines plus tard, l'auditeur revient évaluer le système en fonctionnement par rapport à chaque exigence applicable, pour vérifier que le système décrit dans vos documents est bien celui que vous faites tourner. Les constats sont classés, généralement en non-conformités majeures (une exigence n'est pas satisfaite, ou une partie entière du système est défaillante), non-conformités mineures (un manquement ponctuel à une exigence) et opportunités d'amélioration (non exigées, mais à noter).

Une non-conformité majeure doit être résolue avant qu'un certificat puisse être délivré ; l'auditeur voudra la preuve que vous l'avez corrigée et que vous en avez traité la cause. Les non-conformités mineures nécessitent généralement un plan d'action corrective vérifié lors de la visite suivante. Il est tout à fait normal de repartir avec quelques constats : un sans-faute est l'exception, pas la règle.

À quoi ressemble concrètement une journée d'étape 2. Elle s'ouvre par une brève réunion d'ouverture : l'auditeur confirme le domaine d'application, présente le déroulé de la journée et convient des personnes à rencontrer et des horaires. L'essentiel de la journée est consacré à l'échantillonnage : l'auditeur extrait des enregistrements précis (« montrez-moi les trois derniers comptes rendus de revue de direction » ; « montrez-moi comment cette réclamation a été clôturée »), interroge des personnes de la direction jusqu'aux opérationnels, et observe le travail tel qu'il se fait réellement. Elle se termine par un retour quotidien, un débriefing bref pour qu'aucune surprise ne surgisse à la clôture, et une réunion de clôture où l'auditeur présente et classe les constats et expose la suite. Vous repartez ainsi en sachant exactement ce qui doit, le cas échéant, être résolu avant la délivrance d'un certificat.

Étape 5 : le certificat - ce que vous obtenez réellement

Une fois les constats résolus à la satisfaction de l'auditeur, l'organisme de certification délivre le certificat. Il indique la norme, votre organisation, le domaine d'application, l'organisme émetteur et sa marque d'accréditation, ainsi que les dates. C'est cette marque d'accréditation qui donne au certificat sa valeur auprès des tiers.

Lisez votre propre certificat attentivement et utilisez-le avec précision. Le domaine d'application qui y figure est celui que vous pouvez revendiquer, et rien de plus. Si l'on vous demande si vous êtes certifié, la réponse honnête cite la norme, l'organisme et le domaine d'application exactement tels qu'ils sont rédigés.

Un calendrier concret : de la décision au certificat

Plaçons l'exemple sur un calendrier. Notre scale-up logicielle a décidé au mois 0 de viser la certification parce que l'appel d'offres d'un maître d'œuvre l'exigeait. Les durées ne sont pas des promesses ; elles suivent l'ampleur des écarts et le temps que l'équipe peut y consacrer, mais les grandes lignes sont typiques.

• Mois 0. Décision prise ; domaine d'application ébauché comme « conception, développement et support de la plateforme SaaS de l'entreprise », avec un plan et un responsable interne.
• Mois 1. Analyse des écarts par rapport aux articles 4 à 10 : la réalisation (article 8) est largement en place ; l'audit interne (9.2), la revue de direction (9.3) et la maîtrise documentaire (7.5) sont les écarts.
• Mois 2 à 4. La phase de construction : procédures validées, maîtrise documentaire mise en place, processus de non-conformité et d'action corrective (10.2) défini, puis mis en œuvre, et non simplement rédigé.
• Mois 5. Assez de temps s'est écoulé pour de vrais enregistrements : un audit interne réalisé, une première revue de direction consignée, quelques non-conformités réelles traitées de bout en bout.
• Mois 6. Organisme de certification engagé ; revue de préparation d'étape 1 tenue, avec quelques observations à régler avant l'étape 2.
• Mois 7 à 8. Évaluation d'étape 2 ; une non-conformité mineure clôturée ; certificat délivré une fois l'auditeur satisfait.

Environ sept à huit mois entre la décision et le certificat pour cette organisation. Une organisation présentant des écarts plus importants, ou disposant de moins de temps, mettra plus longtemps. Le facteur déterminant est la distance mise au jour par l'analyse des écarts, pas le calendrier.

Étape 6 : surveillance et recertification - conserver le certificat

La certification est un cycle de trois ans, pas un événement ponctuel. L'organisme de certification revient pour des audits de surveillance, généralement annuels, afin de confirmer que le système fonctionne toujours et que les constats antérieurs ont été clôturés. Ces audits sont plus légers que l'étape 2 initiale, mais bien réels : un système qui s'est discrètement dégradé depuis la certification ressortira ici, et des problèmes graves ou persistants peuvent suspendre ou retirer le certificat.

Avant l'échéance des trois ans, un audit de recertification, d'une profondeur comparable à l'étape 2 initiale, renouvelle le cycle pour trois années de plus. Les organisations qui trouvent la recertification facile sont celles qui ont maintenu le système vivant tout du long : documents à jour, audits internes continus, revues de direction régulières, preuves qui s'accumulent comme sous-produit du travail. Celles qui la vivent comme une épreuve sont celles qui ont traité le premier certificat comme une ligne d'arrivée.

Ce qui fait la différence : des preuves qui s'entretiennent d'elles-mêmes

Relisez les étapes et une chose revient : l'auditeur veut des preuves à jour et facilement accessibles. L'analyse des écarts trouve là où elles manquent ; la phase de construction les génère ; l'étape 2 les met à l'épreuve ; la surveillance confirme qu'elles continuent d'être produites. Le principal facteur de difficulté d'une certification est de savoir si vos preuves s'accumulent au fil du travail ou doivent être reconstituées avant chaque audit.

C'est à cela que sert un système de management de la qualité. Le SMQ de ComplyTrain est structuré autour des exigences mêmes de la norme : les documents restent maîtrisés, les audits internes et les revues de direction laissent leurs enregistrements, et les non-conformités portent la trace de leurs actions correctives. L'étape 1, l'étape 2 et chaque visite de surveillance se résument alors à montrer ce qui existe déjà. La page ISO 9001 expose les exigences par rapport auxquelles l'ensemble du processus vous évalue.

Vous préparez une première certification ? Réservez une démo et nous vous montrerons comment ComplyTrain organise par article les preuves qu'un auditeur demande, pour que le chemin de la décision au certificat soit une ligne droite.