Comment mener un audit interne qui trouve quelque chose

La plupart des audits internes ne trouvent rien, et c'est bien là le problème. Un programme qui rend une copie vierge à chaque cycle ne prouve pas que le système est sain ; il prouve que personne n'a cherché assez loin. L'audit interne est l'endroit le moins coûteux de l'organisation pour découvrir un problème. Une non-conformité relevée ici coûte une fraction de ce que coûterait la même non-conformité relevée par un organisme de certification ou par un client.

Ce qu'exige réellement l'article 9.2

ISO 9001 demande quatre choses, et elles sont moins prescriptives que ne le supposent la plupart des programmes :

• Un programme d'audit planifié en tenant compte de l'importance des processus concernés, des changements ayant une incidence sur l'organisation et des résultats des audits précédents. Autrement dit, fondé sur le risque, et non pas simplement tout passer en revue une fois par an.
• Des critères et un domaine d'application définis pour chaque audit.
• Des auditeurs choisis de façon à garantir l'objectivité et l'impartialité du processus. La norme précise que les auditeurs ne doivent pas auditer leur propre travail.
• Des résultats communiqués à la direction concernée, avec une correction et une action corrective menées sans délai injustifié.

Aucune fréquence n'est imposée, aucun modèle de liste de contrôle n'est requis, et rien n'exige que l'auditeur détienne un certificat. Ce qui est attendu, en revanche, c'est que le programme soit conçu plutôt que subi.

Le planifier pour qu'il trouve quelque chose

Deux décisions déterminent l'utilité d'un audit, et toutes deux se prennent avant que quiconque n'arpente le terrain.

La première : que regarder. Un programme qui audite tous les articles de la norme à tour de rôle passera l'essentiel de son temps sur des points qui allaient bien l'an dernier. Un programme qui met l'accent sur les processus où le travail dérape vraiment fera autrement. Examinez vos non-conformités, vos réclamations clients et vos incidents évités de justesse du dernier cycle, et laissez-les fixer le calendrier.

La seconde : qui audite. L'indépendance est l'exigence, mais c'est la compétence qui rend l'exercice utile. Une personne d'un autre service qui connaît assez bien le processus pour poser une deuxième question trouvera davantage qu'un auditeur chevronné à qui il faut expliquer les bases.

Auditer la pratique, pas la procédure

L'audit interne échoue le plus souvent parce qu'il confronte les informations documentées à elles-mêmes. Quelqu'un lit la procédure, demande si elle est suivie, on lui répond oui, il coche la ligne et passe à la suite. Rien n'a été vérifié.

L'autre approche consiste à suivre un cas réel. Prenez une commande, un lot, une demande de modification ou un dossier de formation, et suivez-le d'un bout à l'autre en réclamant les preuves à chaque étape. Là où la piste est complète, le processus fonctionne. Là où elle se rompt, vous avez trouvé quelque chose, et il s'agit en général de l'une de ces trois situations : la procédure décrit un travail que personne ne fait, le travail a lieu mais ne laisse aucune trace, ou la trace existe mais personne ne l'a examinée.

C'est aussi le moyen le plus rapide de découvrir que le document maîtrisé et le document utilisé sont deux versions différentes, la non-conformité la plus fréquente en matière de maîtrise documentaire.

Rédiger une non-conformité sur laquelle on peut agir

Une non-conformité comporte trois parties, et c'est sur celle du milieu que la plupart des rapports échouent :

1. L'exigence. Quel article, quelle procédure, quelle clause contractuelle.
2. La preuve. Ce que vous avez constaté, avec assez de détails pour qu'un tiers puisse le retrouver : le numéro du document, la date, le lot, la fonction de la personne.
3. L'écart. Ce que montre la preuve, au regard de ce que demande l'exigence.

Ce qu'une non-conformité ne doit pas contenir, c'est une solution. Décider comment y remédier revient au pilote du processus, qui connaît des contraintes que l'auditeur ignore. Un rapport d'audit qui prescrit la correction obtient généralement la correction prescrite, qu'elle traite ou non la cause.

Soyez clair sur la gravité, également. Une non-conformité est une exigence non satisfaite. Une observation est ce qui en deviendra une si on la laisse aller. Qualifier tout d'observation pour ménager le rapport prive la direction du seul signal dont elle dispose.

Boucler la boucle

Une non-conformité n'est pas close parce que quelqu'un a rédigé une action corrective. Elle est close une fois l'action réalisée et qu'un élément montre qu'elle a fonctionné. Cela suppose une échéance, un responsable désigné, et une vérification ensuite, souvent un nouvel échantillon du même processus au cycle suivant.

L'action corrective s'attaque à la cause, pas à l'incident. Si un enregistrement manquait, la correction consiste à le compléter ; l'action corrective, c'est ce qui explique pourquoi il manquait, en général une étape qui n'a jamais été réaliste, une transmission dont personne n'est responsable, ou une formation dispensée une seule fois. Notre fonctionnalité de système de management de la qualité est structurée autour des articles de l'ISO 9001, de sorte que la non-conformité, l'action et la preuve restent rattachées au même processus plutôt que réparties entre trois systèmes.

Un programme qui en vaut la peine

Jugez le programme à ce que vous coûte le fait de vous tromper. Si un audit de certification ou un audit client relève des points que vos audits internes ont laissés passer, le programme est décoratif, et la solution la moins coûteuse consiste souvent à auditer moins de processus, mais correctement, plutôt que tous, mais à la va-vite. Voyez les trois types d'audit de conformité pour comprendre comment l'audit interne se situe par rapport aux autres.