Audit interne externalisé : ce que couvre un cycle annuel confié à un tiers
Un cycle d'audit interne confié à un tiers doit vous remettre cinq pièces : le programme d'audit annuel, un plan par mission, un rapport par mission avec constats classés et preuves, un état périodique de clôture des actions et un bilan pour la revue de direction. Le prestataire planifie, audite sur site et suit les clôtures. Il ne réalise pas vos actions correctives et ne tient pas le rôle de responsable qualité. L'audit reste le vôtre : selon ISO 19011, un audit interne est conduit par l'organisme ou en son nom. Vous répondez donc du programme et de ses suites devant l'organisme de certification.
ISO 9001 et l'audit interne confié à un tiers : ce qu'elle exige, ce qu'elle laisse au contrat
ISO 9001 demande des audits internes à intervalles planifiés, sans fixer de périodicité : le rythme annuel est un usage. Elle demande un programme d'audit qui fixe la fréquence, les méthodes, les responsabilités et les modalités de compte rendu. Ce programme tient compte de l'importance des processus, des changements survenus et des résultats des audits précédents. Chaque audit a ses critères et son périmètre. Les auditeurs sont choisis de façon à préserver l'objectivité et l'impartialité du processus d'audit. Les résultats sont rapportés à la direction concernée. Les corrections et les actions correctives sont engagées sans délai indu. Les preuves du programme et des résultats sont conservées. ISO 14001 et ISO 45001 suivent la même structure. Aucune des trois n'impose un auditeur salarié, et aucune n'allège ces exigences quand l'auditeur vient de l'extérieur. La norme ne dit rien du contrat : faites-y écrire qui arrête le programme, qui tranche un désaccord sur un constat et qui prononce la clôture d'une action. La forme des pièces ci-dessous relève de la pratique, pas de la norme.
- Programme d'audit annuel écrit : processus couverts, référentiel, sites, période de chaque mission, auditeur pressenti, motif des priorités retenues.
- Critères et périmètre fixés pour chaque mission dans un plan d'audit transmis aux audités avant la visite.
- Preuves de la qualification et de l'indépendance de l'auditeur conservées dans votre système : formation d'auditeur, expérience du secteur, absence de participation aux activités auditées.
- Rapports, constats, preuves et état des actions conservés chez vous comme informations documentées, et non dans les seuls dossiers du prestataire.
Le déroulé d'un cycle annuel d'audit interne externalisé
- Arrêter le programme d'audit annuel — Le prestataire propose le programme à partir de votre cartographie des processus, des rapports d'audit précédents, des réclamations et des changements de l'année. La direction le valide par écrit ; votre correspondant le diffuse aux pilotes de processus. Tout report de mission en cours de cycle passe par une révision du programme, validée de la même façon.
- Établir le plan d'audit à partir de vos documents — Vous donnez accès aux procédures, aux enregistrements, aux indicateurs et au dernier rapport de l'organisme de certification. L'auditeur prépare ses questions sur pièces. Le plan d'audit qui en sort fixe les horaires, les fonctions rencontrées, les critères et les documents à tenir disponibles. Vous le diffusez aux audités et vous réservez leurs agendas.
- Tenir la mission sur site — L'auditeur qualifié ouvre la mission en réunion, interroge les pilotes de processus, observe les postes et prélève des enregistrements. Chaque constat est rattaché à une exigence et à une preuve : document référencé, enregistrement daté, observation située. La réunion de clôture présente les constats aux audités. Un désaccord se consigne en séance, pas après le rapport.
- Recevoir le rapport et affecter les actions — Le rapport classe les constats selon la grille écrite au contrat, par exemple : non-conformité majeure, non-conformité mineure, point sensible, piste d'amélioration. Votre correspondant vérifie qu'il reprend les constats de la réunion de clôture, sans ajout ni retrait, puis affecte chaque non-conformité à un responsable, avec une analyse de cause et une échéance. Le prestataire ne rédige pas ce plan d'actions : il le reçoit.
- Suivre les clôtures et dresser le bilan du cycle — Le prestataire tient l'état de clôture des actions : ouverte, réalisée, vérifiée efficace. Il n'inscrit une clôture que sur preuve ; l'efficacité se vérifie sur pièces ou à la mission suivante. En fin de cycle, il remet un bilan : missions réalisées au regard du programme, constats par processus, actions en retard, récurrences. Votre correspondant l'inscrit parmi les éléments d'entrée de la revue de direction.
Ce que l'auditeur de certification cherche dans votre cycle d'audit interne
- Le programme couvre-t-il les processus et les exigences du référentiel sur la période qu'il s'est fixée, et la priorité donnée à certains processus est-elle motivée par écrit ?
- Qui a choisi l'auditeur, sur quels critères, et où sont les preuves de sa compétence et de son indépendance vis-à-vis des activités auditées ?
- Chaque constat du rapport renvoie-t-il à une exigence précise et à une preuve retrouvable sur place ?
- Chaque non-conformité interne porte-t-elle une analyse de cause, une action, une échéance tenue et une vérification d'efficacité enregistrée ?
- La revue de direction a-t-elle examiné les résultats d'audit, et son compte rendu porte-t-il une décision sur les actions en retard ?
Votre part du cycle externalisé : rendre les audités disponibles, corriger, décider
Trois charges restent chez vous. La première est la disponibilité : les audités sont présents aux horaires du plan, les documents sont accessibles avant la mission, les ateliers et les postes sont ouverts à l'auditeur. Une mission tenue sans le pilote du processus produit un rapport incomplet. La deuxième est la correction : l'analyse de cause, l'action corrective et sa preuve sont produites par vos équipes. Un auditeur qui rédige l'action corrective ne peut plus en vérifier l'efficacité sans se juger lui-même. La troisième est la décision : la direction valide le programme, arbitre les moyens d'une action et statue sur le bilan du cycle. Désignez un correspondant unique. Il reçoit les rapports, relance les responsables et transmet les preuves de clôture. Restent hors du cycle d'audit interne : l'audit de certification, l'audit financier et l'audit de vos fournisseurs.
Des cinq pièces d'un cycle d'audit interne externalisé, une seule dit s'il a servi : non le rapport du tiers, mais l'état des actions que vos équipes ont menées jusqu'à la preuve.
Les dérives qui vident un audit interne externalisé de sa portée
- Confier l'audit à celui qui tient le système — Le consultant qui a rédigé vos procédures ou qui anime votre système audite alors son propre travail. L'organisme de certification peut le relever comme un défaut d'objectivité et d'impartialité. Exigez un auditeur extérieur à l'équipe qui tient le système, faites écrire cette règle au contrat et demandez son nom avant chaque mission.
- Classer le rapport sans ouvrir d'actions — Le rapport est lu, puis rangé. L'audit de surveillance approche et les non-conformités internes n'ont ni responsable ni analyse de cause. L'auditeur de certification peut alors relever en écart ce que votre propre rapport avait déjà signalé. Dès réception du rapport, chaque non-conformité reçoit un responsable nommé et une échéance. Le suivi du prestataire ne remplace pas cette décision.
- Reconduire le même programme d'un cycle à l'autre — Mêmes processus, même ordre, mêmes questions. L'activité lancée dans l'année, le processus réorganisé et celui qui concentre les réclamations passent au même rang que les autres. L'auditeur de certification peut relever un programme qui ignore les changements et les constats précédents. Faites-le réviser à chaque cycle et gardez la version précédente : l'écart entre les deux montre ce qui a été pris en compte.
- Laisser les preuves chez le prestataire — Rapports, listes de vérification et preuves restent dans l'outil du tiers. Le contrat s'arrête : vous n'avez plus de rapport antérieur à présenter en audit de certification. Faites-y écrire la remise des pièces et de l'état des actions après chaque mission et à son terme. Les preuves nominatives peuvent relever de la loi 09-08 sur la protection des données à caractère personnel, à vérifier dans le texte applicable.
Questions fréquentes
Un audit interne externalisé est-il recevable par l'organisme de certification ?
Oui dans son principe. ISO 9001, ISO 14001 et ISO 45001 n'exigent pas un auditeur salarié, et ISO 19011 décrit l'audit interne comme conduit par l'organisme ou en son nom. La recevabilité se joue sur pièces : preuves de compétence et d'indépendance de l'auditeur, programme couvert, constats traités. Un référentiel sectoriel peut ajouter ses exigences de qualification, à vérifier dans le texte applicable.
L'audit interne confié à un tiers remplace-t-il l'audit de certification ?
Non. L'audit interne est conduit en votre nom et sert votre direction. L'audit de certification est conduit par un organisme de certification tiers, indépendant de vous et de votre prestataire, qui délivre et maintient le certificat. L'un ne se substitue pas à l'autre : votre cycle d'audit interne fait lui-même partie de ce que l'auditeur de certification vient examiner.
Que se passe-t-il si l'audit de certification relève un écart que le cycle d'audit interne n'avait pas vu ?
Aucun cycle d'audit interne ne l'exclut : un audit procède par échantillonnage, il ne voit pas tout, et l'auditeur de certification peut prélever ailleurs. Vous traitez cet écart comme les autres : analyse de cause, action corrective, preuve de clôture. Faites ensuite réviser le programme : le processus concerné y remonte. Le cycle vous doit la recherche des écarts et le suivi de leur clôture, pas un audit de certification sans constat.
Ce que nous tenons, ce que vous gardez
Une fonction confiée n'est pas une responsabilité transférée : la décision reste chez vous, la tenue du dispositif passe chez nous. La page de la famille le précise offre par offre : découvrir TargetUp Systems.