10 ans après sa première parution, la norme NF EN ISO 19011 évolue et s’intitule dorénavant :

« Lignes directrices pour l’audit des systèmes de management ». De prime abord, là où la

petite sœur ne « s’intéressait » qu’aux systèmes de management de la qualité et

environnemental, celle-ci s’applique à l’ensemble des systèmes de management (santé et

sécurité, risque, sécurité des denrée alimentaire, etc…).

Pour rappel, l’ISO 19011, parue en 2002, fait partie de la famille des normes qualité avec ses

trois sœurs : l’ISO 9000, « le Larousse » de la qualité ; l’ISO 9001, définissant les

exigencescertifiables pour les systèmes de management de la qualité ; et l’ISO 9004 pour la

gestion des performances durables de l’organisme.

Cette deuxième édition de la NF EN ISO 19011 annule et remplace la NF EN ISO 19011:2002

qui a fait l’objet d’une révision technique. Les principales différences entre les versions de 2002

et 2011 de la NF EN ISO 19011 sont les suivantes :

le domaine d’application de la présente Norme internationale qui se limitait dans la version

précédente à l’audit des systèmes de management de la qualité et de management

environnemental, concerne cette fois l’audit de tous les systèmes de management quels

qu’ils soient ;

la relation entre la NF EN ISO 19011 et la NF EN ISO/CEI 17021 est clarifiée ;

les méthodes d’audit à distance et le concept de risque sont introduits ;

la confidentialité est ajoutée comme nouveau principe ;

les Articles 5, 6 et 7 ont été réorganisés ;

une nouvelle Annexe B contient les informations supplémentaires, ce qui a conduit à la

suppression des textes encadrés ;

le processus de détermination et d’évaluation des compétences est renforcé ;

une nouvelle Annexe A présente des exemples illustratifs des connaissances et aptitudes

spécifiques à la discipline.

Et dans le détail, qu’en est-il ? S’agit-il d’une simple évolution, un « toilettage » ou peut-on

parler d’une révolution ?

1. Un domaine d’application élargi et clarifié

Cette nouvelle mouture, s’adresse à tous les utilisateurs s’intéressant à la réalisation des audits

des systèmes de management, qu’ils soient internes (première partie), portant sur les

fournisseurs (deuxième partie) ou pour les audits tierce partie (à titre de bonnes pratiques). On

notera que pour la réalisation des audits tierce partie, c’est toujours la norme NF EN ISO/CEI

17021:2011 qui définit les « règles du jeu ». Les interactions entre ces deux référentiels

s’éclaircissent donc, si tant est qu’un doute subsistait…

L’ISO 19001 ne spécifie par d’exigences (certifiables) mais fournit des lignes directrices sur le

management d’un programme d’audit, la planification et la réalisation d’un audit du système de

management, ainsi que sur la compétence et l’évaluation d’un auditeur et d’une équipe d’audit.

Ces 10 dernières années ont été marquées par l’émergence des systèmes de management

intégrés, s’appuyant sur de nouvelles normes de management telles que l’ISO 26000, l’ISO

31000, l’ISO 22000, l’ISO 27001, l’ISO 13485, l’ISO 15189, etc… la liste est longue ! Il était

donc devenu nécessaire, tant dans son appellation, que dans son domaine d’application de

l’étendre à ces nouveaux systèmes de management.

En résumé, sur ce point, hormis le changement de nom, il n’y a pas de différence

notable en terme de lignes directrices.

2. Introduction de la notion de risqueCa y est… La notion de risque est enfin clairement introduite dans la famille des

normes qualité !

L’approche adoptée se rapporte à la fois au risque que le processus d’audit n’atteint pas ses

objectifs et à l’éventualité que l’audit influe sur les activités et les processus de l’audité.

On a droit, au passage, à une définition plutôt laconique du terme « risque », à savoir qu’il s’agit

de l’effet de l’incertitude sur les objectifs.

Concrètement, cette notion de risque est intervient à trois reprises :

lors de l’élaboration du programme des audits (§ 5.3.4), où il convient d’évaluer les

risques qui pourraient compromettre l’atteinte des objectifs du programme ;

lors de la préparation de l’audit (§ 6.3.2), où il convient d’identifier les risques liés à la

réalisation des audits pour les entités auditées. Il s’agit ici dans risques liés à la santé,

l’environnement, la qualité des produits ou services, …

lors de la réalisation de l’audit lui-même (§ 6.4), où l’équipe d’audit doit présenter (en

réunion d’ouverture) la conduite à tenir en cas de risque généré par l’audit pour les équipes

auditées et communiquer aux audités si un risque immédiat et significatif est détecté lors des

entretiens.

En résumé, il est conseillé de faire évoluer vos procédures d’audit pour y intégrer cette

évaluation des risques et des actions entreprises pour limiter / réduire ces risques. La

revue du programme d’audit (planning des audits) doit dorénavant intégrer l’évaluation

des risques et de l’efficacité des mesures prises pour traiter ces derniers. Du côté des

compétences, les auditeurs doivent à présent (si tel n’était pas le cas…) être capables

de comprendre et d’évaluer les différents types de risques liés à l’audit.

Cette notion, à donc une importance particulière, qui ne bouleversera pas celles et ceux qui

étaient déjà orientés « risque » mais qui devrait améliorer les pratiques d’audit pour les autres…

3. Introduction des méthodes d’audit à distanceSur ce point, l’annexe B vient préciser quelques méthodes d’audit à distance, applicables si un

niveau de confiance suffisant existe entre l’auditeur et le personnel de l’audité. En résumé, on

n’y apprend rien de très surprenant mais cela reste un rappel utile…

4. Ajout du principe de confidentialitéBien que la précédente version insistait sur les principes déontologiques de l’auditeur, la version

2012 accorde un traitement privilégié et nécessaire à cette notion de confidentialité. En effet, les

audits sont des vecteurs de risque en ce qui concerne la maîtrise de la propriété intellectuelle

des entreprises. Qu’à cela ne tienne, l’auditeur est donc en garde sur le respect de la

confidentialité : un rappel utile !

Concrètement, la procédure d’audit (interne et/ou fournisseurs) doit prévoir les

modalités visant à garantir la confidentialité et la sécurité des données obtenues avant,

pendant et après l’audit et un rappel à ce sujet devra être évoqué lors de la réunion

d’ouverture. Le plan d’audit pourra également inclure une déclaration de

confidentialité afin de rassurer les audités…

5. Des exemples, encore des exemples !Pour celles et ceux qui, comme moi, sont avides d’exemples concrets et pratiques,

vous en aurez pour votre argent !

En effet, l’annexe A propose de nombreux exemples concrets en ce qui concerne les

connaissances et aptitudes spécifiques à la discipline des auditeurs sur diverses thématiques :

le management de sécurité des transports ;

le management environnemental ;

le management de la qualité ;

le management des enregistrements ;

le management des résilience, sûreté, état de préparation et continuité ;

la sûreté des informations ;

le management de la santé et de la sécurité au travail.

L’annexe B, quant à elle, vient fournir de précieuses informations complémentaires pour la

planification et la réalisation des audits :

Application des méthodes d’audit ;

Choix des sources d’information ;

Réalisation de la revue des documents ;

Préparation des documents de travail ;

Échantillonnage ;

Visites du site de l’audité ;

Conduite des entretiens ;

Constatations d’audit.

Ces informations étaient, pour la plupart, présentes sous forme d’encadrés dans la précédente

version. Cette nouvelle approche facilite grandement la lecture de la norme. Il s’agit d’un plus

non négligeable !

En conclusionSi certaines évolutions normatives peuvent laisser perplexe, comme l’ISO 9001:2008, l’ISO

19011:2012 est sans conteste une excellente surprise en ce début d’année. Pour répondre à la

question posée en préambule, on ne peut pas vraiment parler de révolution mais d’une évolution

nécessaire et donc bienvenue.

Pour 86 € HT, vous ferez un excellent investissement, qui, sur votre table de chevet, vous

tiendra compagnie durant les longues soirées d’hiver !