En bref. L’audit interne sert à trouver ses propres écarts avant qu’un tiers ne les montre. Il suppose un programme, des auditeurs indépendants de l’activité auditée, des constats appuyés sur des preuves, et une exploitation réelle des résultats.
Beaucoup d’organisations le traitent comme une formalité annuelle : une journée, un rapport, un classement. C’est du temps perdu deux fois — le temps de l’audit, et celui qu’il aurait fait gagner.
Ce que la norme demande
- Un programme d’audit planifié, tenant compte de l’importance des processus et des résultats des audits précédents.
- Des critères et un périmètre définis pour chaque audit.
- Des auditeurs objectifs et impartiaux, qui n’auditent pas leur propre travail.
- Des résultats rapportés à la direction concernée.
- Des corrections et actions correctives engagées sans délai indu.
- La conservation des preuves de mise en œuvre du programme et des résultats.
Rien, dans le corps des exigences, n’impose de tout auditer chaque année, ni d’y consacrer un service. Ce qui est attendu, c’est que le programme soit construit sur le risque et l’historique, pas sur une rotation mécanique.
L’indépendance de l’auditeur
C’est la contrainte structurante dans les petites structures : on ne peut pas auditer son propre processus. La solution habituelle consiste à former plusieurs personnes de services différents et à les faire s’auditer mutuellement — le responsable production audite les achats, le responsable achats audite la logistique.
Cette organisation croisée a un effet secondaire précieux : elle fait circuler la connaissance des interfaces, là où se logent la plupart des dysfonctionnements. Lorsque la ressource interne manque, l’audit peut être confié à un tiers, y compris à un cabinet de conseil, à condition qu’il n’ait pas conçu le processus qu’il audite.
Préparer l’audit
- Définir le périmètre et les critères : quels processus, quelles exigences du référentiel, quelles procédures internes.
- Prendre connaissance des documents, des indicateurs et des écarts relevés précédemment.
- Bâtir un guide d’entretien orienté sur les preuves : non pas « avez-vous une procédure ? » mais « montrez-moi le dernier cas traité ».
- Communiquer le planning aux audités suffisamment tôt pour qu’ils soient disponibles — un audit surprise ne prouve rien d’utile.
Conduire l’audit
Un audit se conduit sur le terrain, pas dans une salle de réunion avec le responsable qualité. La méthode tient en trois gestes : demander comment on fait, faire montrer un cas réel, vérifier que ce qui est montré correspond à ce qui est écrit.
| Question posée | Ce qu’elle produit |
|---|---|
| « Avez-vous une procédure ? » | Une réponse par oui ou par non, sans valeur |
| « Montrez-moi la dernière fois que le cas s’est présenté » | Une preuve, ou son absence |
| « Que faites-vous si le seuil est dépassé ? » | La réalité du pilotage |
| « Qui décide quand vous n’êtes pas là ? » | La solidité de l’organisation |
Un constat d’audit doit toujours être rattaché à une exigence précise et appuyé sur un élément vérifiable. « La gestion documentaire est perfectible » n’est pas un constat : c’est une opinion.
Formuler les constats
Trois catégories suffisent : la non-conformité, quand une exigence n’est pas satisfaite ; la remarque ou piste de progrès, quand le fonctionnement est conforme mais fragile ; le point fort, qui mérite d’être signalé et qu’on oublie systématiquement. Chaque non-conformité entre ensuite dans le circuit décrit dans notre guide non-conformité et action corrective.
Exploiter les résultats
Un rapport d’audit qui ne débouche sur rien vaut moins que pas d’audit du tout : il documente que l’organisation savait, et n’a rien fait. Les résultats alimentent obligatoirement la revue de direction, et le programme de l’année suivante tient compte des constats de l’année écoulée.
Un bon signal de maturité : le nombre de constats augmente les premières années. Cela ne veut pas dire que l’organisation se dégrade, mais que les auditeurs deviennent compétents.
La compétence des auditeurs
Auditer est un métier : conduire un entretien sans mettre l’audité en position de défense, chercher la preuve sans jouer au policier, formuler un constat factuel. Une formation d’auditeur interne est presque toujours nécessaire, et la preuve de cette compétence est elle-même attendue en audit de certification. Les parcours de formation certifiants constituent un moyen d’y répondre, à condition de rattacher chaque action au besoin identifié pour le poste.
Questions fréquentes
À quelle fréquence faut-il auditer ?
La norme ne fixe pas de fréquence : elle demande un programme construit sur l’importance des processus et les résultats antérieurs. En pratique, l’ensemble du périmètre doit avoir été couvert au cours du cycle de certification, et les processus à risque sont audités plus souvent.
Un consultant externe peut-il réaliser l’audit interne ?
Oui, c’est fréquent quand la ressource interne manque ou pour apporter un regard neuf. La seule limite est l’impartialité : il ne peut pas auditer un processus qu’il a lui-même conçu. Dans ce cas, l’audit doit être confié à un autre intervenant.
Faut-il auditer les prestataires externes ?
Pas nécessairement sur place. La norme demande de maîtriser les processus externalisés, ce qui peut passer par un audit fournisseur, par des contrôles à réception ou par des exigences contractuelles. Le niveau de maîtrise se justifie par le risque.
Que faire si un audité refuse de collaborer ?
C’est un signal de direction, pas un problème d’auditeur. Le refus indique que la démarche n’a pas été portée par la hiérarchie, ou qu’elle est perçue comme un contrôle des personnes. Le mandat de l’audit doit être rappelé par la direction, et l’objet recentré sur les processus.
En résumé
L’audit interne est le seul dispositif qui vous appartient entièrement dans le système : vous en fixez le programme, vous en choisissez la profondeur, vous en tirez ce que vous voulez. C’est aussi le meilleur investissement d’une démarche, parce qu’il transforme un contrôle subi en outil de pilotage. Le cadre général des normes de systèmes de management est décrit par l’Organisation internationale de normalisation.