Exigences ISO 9001 : ce que la norme demande réellement

Cherchez ce qu'exige ISO 9001 et vous tomberez sur deux types de réponses : une liste de numéros de chapitres qui ne vous apprend rien, ou la page d'un consultant qui laisse entendre qu'il vous faut bien plus que le nécessaire. La norme elle-même fait 30 pages. L'essentiel du travail consiste à décider ce qui s'applique à vous. Voici ce qu'elle demande vraiment.

Les sept chapitres qui portent des exigences

ISO 9001:2015 comporte dix chapitres. Les trois premiers traitent du domaine d'application, des références et des termes ; ils ne contiennent aucune exigence. Tout ce qui est auditable se trouve dans les chapitres 4 à 10 :

• Chapitre 4, Contexte : qui sont vos parties intéressées, ce qu'elles attendent, et où vous avez tracé la limite de votre système de management de la qualité.
• Chapitre 5, Leadership : la responsabilité de la direction, une politique qualité et des responsabilités clairement définies.
• Chapitre 6, Planification : les risques et opportunités susceptibles de vous empêcher de livrer, des objectifs qualité mesurables, et la façon dont vous gérez le changement.
• Chapitre 7, Support : les personnes, la compétence, l'infrastructure, les équipements de mesure et les informations documentées.
• Chapitre 8, Réalisation des activités opérationnelles : le travail lui-même, de la compréhension d'une exigence client à la maîtrise des fournisseurs et à la libération du produit.
• Chapitre 9, Évaluation des performances : la surveillance, l'audit interne et la revue de direction.
• Chapitre 10, Amélioration : ce que vous faites quand quelque chose ne va pas.

Un auditeur les parcourt dans l'ordre. Rien dans cette liste n'a de quoi surprendre. La difficulté ne tient presque jamais à la compréhension d'un chapitre ; elle tient à la production de la preuve que vous l'avez appliqué.

Ce qui doit être consigné par écrit

La révision de 2015 a remplacé « documents et enregistrements » par un terme unique, informations documentées, et a cessé de prescrire un jeu de documents. Aucun manuel qualité n'est requis, ni aucune liste obligatoire de six procédures. Il reste une courte liste d'éléments que la norme vous impose de tenir à jour ou de conserver.

Tenus à jour, c'est-à-dire maintenus à l'état courant :

• Le domaine d'application du système de management de la qualité (4.3).
• La politique qualité (5.2) et les objectifs qualité (6.2).
• Les informations documentées que vous jugez nécessaires au fonctionnement de vos processus (4.4.2). Ce jugement vous appartient, et un auditeur le confrontera à ce dont vos équipes ont réellement besoin pour faire le travail.

Conservés, c'est-à-dire gardés comme preuve de ce qui s'est passé :

• L'étalonnage et la traçabilité de la mesure (7.1.5.2).
• Les preuves de compétence (7.2).
• La revue des exigences client avant tout engagement (8.2.3.2).
• Les éléments d'entrée, les maîtrises et les éléments de sortie de la conception, lorsque la conception vous concerne (8.3).
• L'évaluation et la surveillance des prestataires externes (8.4.1).
• La libération des produits et services, avec la personne qui l'a autorisée (8.6).
• Les éléments de sortie non conformes et le traitement que vous leur avez appliqué (8.7.2).
• Les résultats de surveillance et de mesure (9.1.1), les résultats d'audit interne (9.2.2), et les éléments de sortie de la revue de direction (9.3.3).
• Les non-conformités et les actions correctives (10.2.2).

Voilà l'ensemble de ce qui est obligatoire. Tout le reste relève des informations documentées que vous avez choisi de conserver, et la norme demande seulement que vous les maîtrisiez : qu'elles soient disponibles là où le travail se fait, sous une forme utilisable, protégées de toute modification involontaire, et que vous puissiez distinguer une version d'une autre. La maîtrise documentaire est à l'origine de la plupart des constats d'audit dans ce domaine, et presque aucun ne porte sur des documents manquants. Ils portent sur l'utilisation de la mauvaise version.

Ce qu'ISO 9001 n'exige pas

Quatre choses que l'on met en place en croyant que la norme les impose :

• Un manuel qualité. Supprimé en 2015. Beaucoup d'organisations en gardent un parce qu'il sert de repère utile, ce qui est une bonne raison. Ce n'est pas une exigence.
• Six procédures documentées. C'était l'édition de 2008. La norme actuelle vous laisse décider quels processus nécessitent des procédures écrites.
• Un représentant de la direction. La révision de 2015 a confié ces tâches à la direction plutôt qu'à une seule personne désignée.
• L'action préventive comme processus distinct. Elle a été remplacée par l'approche par les risques du chapitre 6.1, censée traverser tout le système plutôt que d'exister à côté.

Si votre système contient ces éléments parce qu'un modèle les prévoyait, ce n'est pas une non-conformité. C'est une charge que vous avez choisie, et autant le savoir.

Comment un auditeur vérifie une exigence

Une exigence n'est pas satisfaite parce qu'un document l'affirme. Un auditeur procède par sondage : il choisit un rôle, un processus ou une commande et le suit d'un bout à l'autre, en demandant la preuve à chaque étape. Une exigence énoncée, la formation qui la soutient, l'enregistrement qui montre qu'elle a été appliquée, et la revue qui a détecté l'écart quand elle ne l'a pas été.

C'est pourquoi les informations documentées qui n'existent que pour satisfaire la norme tendent à échouer. Elles n'ont aucune trace derrière elles. Les procédures qui passent sont celles que les gens suivaient déjà, consignées fidèlement. Voyez comment fonctionne réellement la certification pour ce qui se passe pendant l'audit lui-même, et la présentation d'ISO 9001 pour la correspondance entre les chapitres et un système de management en fonctionnement.

Une vérification rapide avant votre prochain audit

Prenez un processus et répondez à cinq questions à son sujet :

1. Est-il dans le domaine d'application, et l'énoncé du domaine d'application le mentionne-t-il ?
2. Existe-t-il une exigence documentée le concernant, et correspond-elle à ce que font les gens ?
3. Les personnes qui l'exécutent sont-elles compétentes, et en existe-t-il la preuve ?
4. Existe-t-il un enregistrement montrant qu'il a eu lieu, daté et attribuable ?
5. Lors du dernier écart, existe-t-il une non-conformité et une action corrective qui la clôt ?

Si l'une des réponses est non, c'est le constat, et vous l'avez trouvé avant l'auditeur. C'est tout l'objet du chapitre 9.