Structuré selon, conforme, certifié : ce que recouvre chaque terme

Trois mots reviennent souvent au sujet des normes, comme s'ils étaient interchangeables : une organisation suit une norme, elle y est conforme, ou elle est certifiée. Ce ne sont pas la même chose. Ils décrivent trois niveaux d'engagement différents, qui coûtent des sommes et des durées très variables. Et, ce qui décide des contrats, ils n'ont pas du tout le même poids aux yeux d'un client, d'un régulateur ou de l'évaluateur d'un appel d'offres.

Si vous abordez la conformité formelle pour la première fois, clarifier ces trois notions est le premier pas vraiment utile. Cela vous indique ce qu'on vous demande réellement, vous évite de trop investir dans un niveau que le marché n'exige pas, et, tout aussi important pour une entreprise qui sera un jour auditée, vous empêche d'avancer une affirmation que vous ne pourrez pas étayer. Ce guide traite les trois, avec des exemples, en prenant ISO 9001 comme norme de référence, car c'est celle que la plupart des organisations rencontrent en premier.

Suivre une norme : s'en servir comme boussole

Suivre une norme signifie que vous l'utilisez comme référence. Vous avez lu ISO 9001, ou une exigence qualité d'un client, et vous avez structuré votre façon de travailler autour de ses principes, parce qu'ils sont sensés. Vous tenez des registres, vous revoyez vos processus, vous agissez sur les problèmes dès qu'ils apparaissent.

Un exemple concret. Un atelier d'usinage de précision de quinze personnes décroche sa première commande auprès d'un fabricant plus grand. Le client évoque ISO 9001. Le responsable des opérations de l'atelier lit la norme, comprend que l'essentiel n'est que du bon sens mis par écrit, et se met à faire les choses évidentes : consigner les étapes des travaux critiques, enregistrer les réclamations clients, tenir chaque mois une courte revue de ce qui a mal tourné et de ce qu'il faut corriger. Six mois plus tard, l'entreprise fonctionne réellement mieux.

C'est suivre une norme, et c'est une démarche réelle et précieuse. C'est aussi entièrement auto-déclaré. Il n'y a pas de domaine d'application défini, pas de contrôle externe, et pas de preuves d'audit qu'un tiers accepterait. L'atelier utilise ISO 9001 ; il n'y répond encore d'aucune manière qu'il pourrait prouver.

Le piège ici est de langage. « Nous suivons ISO 9001 » décrit honnêtement une intention, mais dans une proposition, sur un site web ou lors d'un entretien commercial, la formule glisse très facilement vers quelque chose qui sonne comme une garantie. Pour un acheteur soumis à réglementation, ce glissement est exactement le genre d'exagération qui rompt la confiance. Suivez la norme autant que vous voulez ; décrivez cela comme suivre, pas davantage.

Conforme à une norme : répondre à chaque exigence

Conforme signifie que vous répondez réellement aux exigences, à toutes, pas seulement à celles qui étaient commodes. C'est ici qu'il faut comprendre qu'une norme n'est pas une ambiance : c'est une liste précise de choses à faire. ISO 9001:2015 est organisée en chapitres, et les exigences se trouvent principalement dans les chapitres 4 à 10 :

Contexte (chapitre 4) - vous avez identifié vos parties intéressées et ce que votre système de management de la qualité doit couvrir.
Leadership (chapitre 5) - la direction est impliquée de façon démontrable, avec une politique qualité et des responsabilités claires.
Planification (chapitre 6) - vous traitez délibérément les risques et les opportunités, plutôt que de réagir après coup.
Support (chapitre 7) - vous disposez des personnes, de la compétence et des informations documentées dont le système a besoin (le chapitre 7.5 est celui que l'on connaît sous le nom de « maîtrise des documents »).
Réalisation des activités opérationnelles (chapitre 8) - votre production ou votre prestation de service est planifiée et maîtrisée.
Évaluation des performances (chapitre 9) - vous menez des audits internes (9.2) et tenez des revues de direction (9.3).
Amélioration (chapitre 10) - vous traitez les non-conformités et les actions correctives de façon définie (10.2).

La conformité, c'est que chacun de ces points est réellement en place - et, point essentiel, que vous pouvez le montrer. La conformité sans preuves d'audit n'est en réalité que du suivi, avec plus d'assurance qu'il n'en a mérité.

À quoi ressemble une « preuve » en pratique. Prenons le traitement des non-conformités (chapitre 10.2). Être conforme, ce n'est pas dire « nous traitons les problèmes ». C'est pouvoir produire, pour un cas précis, toute la chaîne : la non-conformité a été signalée (un client a reçu une pièce hors tolérance le 3 mars) ; elle a été confinée (le stock restant a été mis en quarantaine le jour même) ; la cause racine a été recherchée (un montage usé qui avait dépassé son intervalle de contrôle) ; une action corrective a été menée (montage remplacé, intervalle de contrôle raccourci) ; et l'efficacité de l'action a été vérifiée (les 200 pièces suivantes mesurées dans la tolérance). Cette chaîne documentée est la preuve. Multipliez-la par chaque exigence et vous obtenez une organisation conforme.

Voici ce qui échappe souvent aux débutants : vous pouvez être réellement conforme sans être certifié. De nombreuses organisations le sont : elles répondent à chaque exigence et conservent les preuves, mais n'ont jamais mandaté d'organisme de certification pour le confirmer. C'est une position tout à fait légitime, et pour certains marchés elle suffit. Ce que vous ne pouvez pas faire, c'est décrire une conformité auto-évaluée en des termes qui laissent entendre qu'un tiers l'a vérifiée. « Conforme à ISO 9001 » est défendable si vous pouvez produire les preuves sur demande. « Certifié » ne l'est pas : ce mot a un sens précis, et il vient tout de suite.

Certifié selon une norme : un tiers accrédité l'a vérifié

Certifié signifie qu'un organisme de certification indépendant et accrédité vous a audité au regard de la norme et a délivré un certificat attestant que vous y répondez. C'est la version avec une signature qui n'est pas la vôtre.

La certification convertit le « nous répondons aux exigences » en quelque chose qu'un client peut accepter sans avoir à vous croire sur parole. Et si elle a du poids, c'est grâce à la chaîne d'indépendance qui la sous-tend :

Un organisme d'accréditation - DANAK au Danemark, UKAS au Royaume-Uni, DAkkS en Allemagne, chacun étant l'autorité reconnue au niveau national - supervise et accrédite les organismes de certification.
Un organisme de certification accrédité audite votre organisation.
Votre organisation reçoit le certificat.

Comme les organismes d'accréditation se reconnaissent mutuellement à l'international (via l'accord de reconnaissance multilatérale de l'IAF), un certificat accrédité délivré dans un pays est reconnu dans les autres. Un certificat émis par un organisme non accrédité existe, mais il n'apporte pas la même assurance - c'est pourquoi les acheteurs sérieux demandent non seulement le certificat, mais aussi la marque d'accréditation qui y figure.

Deux aspects de la certification prennent les gens au dépourvu :

Le domaine d'application. Un certificat est délivré pour un domaine d'application défini : un ensemble précis d'activités et de sites. Un certificat portant la mention « conception et fabrication de composants usinés sur le site d'Aarhus » ne couvre ni une seconde usine ni une nouvelle ligne de service. Revendiquer une certification plus large que le domaine d'application inscrit sur votre propre certificat est une exagération courante et dommageable.

C'est un cycle, pas un macaron. Une certification ISO type suit un cycle de trois ans. Elle commence par un audit initial en deux étapes (une revue de préparation de niveau 1, puis une évaluation de niveau 2 du système en fonctionnement). Pendant les trois ans, l'organisme de certification revient pour des audits de surveillance périodiques - généralement annuels - afin de confirmer que vous êtes toujours conforme. Avant l'échéance des trois ans, un audit de renouvellement relance le cycle. Une certification obtenue une fois, puis laissée à l'abandon, est une certification que vous perdrez lors de la prochaine visite de surveillance.

Tout cela fait de certifié le mot avec lequel il faut être le plus rigoureux. Le revendiquer à tort - ou revendiquer un domaine d'application que vous ne détenez pas - est, pour un acheteur soumis à réglementation, éliminatoire. Si vous êtes certifié, indiquez précisément selon quelle norme, par quel organisme, et pour quel domaine d'application. Si vous ne l'êtes pas encore, « en cours de certification ISO 9001 » est honnête et tout à fait respectable.

Distinguer les trois d'un coup d'œil

Qui l'atteste ? - Suivre : vous ; Conforme : vous, avec preuves ; Certifié : un tiers accrédité
Preuves requises - Suivre : aucune formellement ; Conforme : une trace complète et consultable ; Certifié : audité au regard de la norme
Domaine d'application défini ? - Suivre : non ; Conforme : de façon informelle ; Certifié : oui, inscrit sur le certificat
Obligation continue - Suivre : aucune ; Conforme : maintenir les preuves à jour ; Certifié : audits de surveillance, renouvellement
Ce sur quoi un acheteur peut s'appuyer - Suivre : une intention ; Conforme : la conformité, s'il vous audite ; Certifié : un certificat reconnu
Coût et effort relatifs - Suivre : faible ; Conforme : modéré, continu ; Certifié : plus élevé, continu

Quel niveau votre marché exige-t-il réellement ?

Le bon niveau n'est pas le plus élevé : c'est celui que le marché que vous visez demande réellement. Lisez l'exigence qui est devant vous avant de décider jusqu'où aller.

Un maître d'œuvre ou un appel d'offres public exigera souvent la certification et demandera d'emblée le numéro de certificat et le domaine d'application. Ici, une conformité étayée par des preuves ne suffit pas ; il vous faut le certificat accrédité, et il doit couvrir la prestation.
Un client commercial de taille moyenne peut se satisfaire de preuves de conformité : un questionnaire fournisseur complété, la consultation de vos procédures, peut-être un audit client de son côté. La certification aide, mais peut ne pas être obligatoire.
Un nouveau partenaire, en début de relation, peut simplement vouloir constater que vous prenez la norme au sérieux et que vous y travaillez.

Ajuster votre effort à ce qui est réellement exigé, voilà comment les petites organisations ouvrent de nouveaux marchés sans trop dépenser. L'erreur coûteuse est de viser vaguement « être conforme » ou « obtenir la certification » sans d'abord déterminer lequel des deux l'opportunité précise devant vous réclame.

Ce que cela coûte - en temps autant qu'en argent

Les frais que facture un organisme de certification ne sont généralement pas le plus gros de la facture. Le coût le plus important, c'est le temps interne : rédiger et faire valider les procédures, produire les preuves, mener les audits internes, tenir les revues de direction, et, point crucial, maintenir tout cela à jour entre les visites de surveillance. La conformité n'est pas un projet avec une date de fin ; c'est une discipline d'exploitation. Les organisations qui la traitent comme une course de dernière minute avant un audit la paient deux fois, car les preuves se sont dégradées le temps que le prochain audit arrive.

Comment on confond les trois - et pourquoi ça se paie

« Certifié » employé pour « conforme ». Quelqu'un écrit « certifié ISO 9001 » sur une présentation de capacités alors que l'organisation est, au mieux, conforme. Si un acheteur demande le certificat et qu'il n'existe pas, toutes les autres affirmations de cette présentation deviennent suspectes.
Débordement de domaine d'application. Une entreprise réellement certifiée se présente comme certifiée pour des activités que son certificat ne couvre pas. Techniquement, elle détient un certificat ; en pratique, elle le déforme.
« Conforme » sans preuves. Le cas le plus fréquent : une conviction réelle que l'organisation répond à la norme, sans trace consultable pour le démontrer. C'est du suivi, déguisé en conformité.

Chacun de ces cas est évitable, et chacun est du genre à transformer, sur un marché réglementé, une conversation prometteuse en porte close.

De suivre à certifié : la preuve est le pont

Le chemin se parcourt dans l'ordre - vous suivez une norme, vous y devenez réellement conforme et, lorsque le marché l'exige, vous vous faites certifier - et ce qui relie les trois, c'est la preuve. Le suivi devient conformité dès l'instant où vous pouvez produire les registres. La conformité devient certifiable dès l'instant où ces registres sont assez complets, à jour et organisés pour être remis à un auditeur sans quinze jours de préparation.

C'est la raison pratique d'être d'un système de management de la qualité. Un SMQ, c'est là où les exigences, les documents et les preuves vivent ensemble, tenus à jour au fil du travail plutôt que reconstitués sous pression avant un audit. Le SMQ de ComplyTrain est structuré autour des exigences d'ISO 9001 pour exactement cette raison, de sorte que le passage de « nous la suivons » à « voici les preuves, chapitre par chapitre » relève de la consultation plutôt que de l'archéologie.

Si c'est précisément vers la certification que vous vous dirigez, le processus est plus prévisible que ne l'imaginent la plupart des débutants - nous le détaillons étape par étape dans comment fonctionne la certification. Les audits, mécanisme derrière la conformité comme la certification, font l'objet d'un traitement détaillé dans les audits internes et externes expliqués. Et la page ISO 9001 expose en entier ce que cette norme attend de vous.

Voyez où vos preuves vivraient. Réservez une démo et nous vous montrerons comment ComplyTrain tient une trace conforme et prête pour l'audit - organisée selon les exigences mêmes de la norme - dans le cadre du travail quotidien, afin que « conforme » et, le moment venu, « certifié » soient bien plus proches l'un de l'autre.