Questions fréquentes sur l’audit et la certification

L'IRCA (International Register of Certificated Auditors) est le registre international des auditeurs de systèmes de management, rattaché au Chartered Quality Institute (CQI) britannique. Être certifiée IRCA atteste d'une formation d'auditeur reconnue, d'une expérience d'audit vérifiée et de l'engagement à respecter un code de conduite professionnel et à maintenir ses compétences. C'est une référence internationale pour les auditeurs ISO 9001, ISO 14001 et ISO 45001.

L'audit interne, dit de première partie, est réalisé par ou pour l'organisation afin de vérifier l'efficacité de son propre système. L'audit fournisseur, dit de seconde partie, est conduit par un client chez son fournisseur. L'audit de certification, dit de tierce partie, est réalisé par un organisme certificateur accrédité et indépendant : lui seul délivre le certificat. Les trois suivent les lignes directrices de l'ISO 19011.

Pour une PME, comptez généralement de 6 à 12 mois entre l'analyse d'écart et l'audit de certification. La durée dépend de la maturité de vos pratiques, de la disponibilité des équipes et du nombre de sites. Le système doit avoir fonctionné suffisamment longtemps pour produire des preuves : au moins un audit interne et une revue de direction avant l'audit initial.

Oui. Basée à Villette-d'Anthon (Isère), à l'est de Lyon, j'interviens en Auvergne-Rhône-Alpes et partout en France. Certaines étapes, comme la revue documentaire ou les points de suivi, peuvent être menées à distance.

Non, et c'est une garantie pour vous. La norme ISO/IEC 17021-1, qui encadre les organismes certificateurs, interdit qu'une personne ayant apporté du conseil en système de management à une organisation participe à son audit de certification dans les deux années qui suivent. Je respecte strictement cette règle d'impartialité.

C'est un système unique qui répond simultanément aux exigences de plusieurs normes, le plus souvent ISO 9001, ISO 14001 et ISO 45001. Grâce à la structure harmonisée commune à ces normes, la politique, l'analyse des risques, la maîtrise documentaire, les audits internes et la revue de direction sont mutualisés. L'organisation gagne en cohérence et l'effort de maintien des certifications diminue.

Le budget comprend deux volets distincts. L'accompagnement, s'il est externalisé, dépend du nombre de jours d'intervention nécessaires. La certification est facturée par l'organisme certificateur, selon une durée d'audit déterminée par des règles internationales (document IAF MD 5), principalement en fonction de l'effectif et de la complexité des activités ; elle couvre l'audit initial, les audits de surveillance annuels et le renouvellement à trois ans. Je vous remets un devis détaillé après un premier échange sur votre situation.

Vérifiez que chaque exigence de la norme est traitée et que vous disposez des preuves associées ; réalisez un audit interne complet et une revue de direction ; traitez les écarts relevés ; informez les équipes du déroulement de l'audit et du rôle de chacun. Un audit à blanc conduit dans les conditions réelles reste le meilleur moyen de mesurer votre niveau de préparation.

Une non-conformité majeure, c'est-à-dire une défaillance qui met en cause la capacité du système à atteindre les résultats attendus, bloque la décision de certification. L'organisation doit en analyser les causes et mettre en œuvre corrections et actions correctives, dont l'organisme certificateur vérifie l'efficacité, parfois par un audit complémentaire. Une non-conformité mineure fait l'objet d'un plan d'action accepté par l'organisme.

Non. Une organisation peut construire seule son système de management. Le recours à une consultante permet d'accélérer la démarche, d'éviter une documentation surdimensionnée et de bénéficier du regard d'une professionnelle de l'audit sur la manière dont les exigences seront évaluées.

Les normes demandent des audits à intervalles planifiés, sans fixer de fréquence. L'usage est de couvrir l'ensemble du périmètre au moins une fois par cycle de certification, et souvent chaque année. Le programme doit tenir compte de l'importance des processus, des changements intervenus et des résultats des audits précédents.

Tout collaborateur formé aux techniques d'audit et à la norme concernée, à condition qu'il n'audite pas son propre travail. Une formation d'auditeur interne fondée sur l'ISO 19011, complétée par des premiers audits réalisés en binôme, permet de constituer une équipe d'auditeurs internes compétente.

Non. Depuis la version 2015 de l'ISO 9001, le manuel qualité n'est plus exigé. La norme parle d'informations documentées : c'est à vous de déterminer celles qui sont nécessaires à l'efficacité de votre système, en plus de celles expressément requises. Beaucoup d'organisations conservent un document de présentation du système, plus court et plus utile.

Les éléments d'entrée sont fixés par les normes : état des actions décidées lors des revues précédentes, évolution des enjeux internes et externes, retours des parties intéressées, atteinte des objectifs, performance des processus, non-conformités et actions correctives, résultats de surveillance et d'audit, performance des prestataires externes, adéquation des ressources, efficacité des actions face aux risques et opportunités, opportunités d'amélioration. Les éléments de sortie sont les décisions d'amélioration, de changement et de ressources, conservées comme informations documentées.

Oui, jusqu'à la fin de la période de transition fixée au 30 septembre 2029. À partir du 31 mars 2028, les nouvelles certifications accréditées ne pourront être délivrées que selon l'ISO 9001:2026. La transition peut être réalisée lors d'un audit de surveillance ou de renouvellement : anticipez avec une analyse d'écart sur les nouveautés, la mise à jour du système, puis un audit de transition planifié avec votre organisme certificateur.

L'aspect est la cause, l'impact la conséquence. La consommation de gaz d'une chaudière est un aspect environnemental ; l'émission de gaz à effet de serre qui en résulte est l'impact. La norme demande d'identifier les aspects de vos activités, d'évaluer ceux qui sont significatifs et de les maîtriser.

Non. Le document unique d'évaluation des risques professionnels (DUERP) reste une obligation légale pour tout employeur, quelle que soit sa taille. L'ISO 45001 est volontaire : elle organise autour de cette évaluation un système complet de prévention, avec participation des travailleurs, objectifs, maîtrise opérationnelle, audits et amélioration continue.

Non. L'ISO 26000 est une norme de lignes directrices, sans exigences. Une démarche RSE fondée sur l'ISO 26000 peut toutefois faire l'objet d'une évaluation par un tiers ou d'une labellisation, qui en attestent la maturité.

L'HACCP est une méthode d'analyse et de maîtrise des dangers, obligatoire pour les exploitants du secteur alimentaire. L'ISO 22000 intègre cette méthode dans un système de management complet et certifiable. La FSSC 22000 ajoute à l'ISO 22000 des programmes prérequis sectoriels et des exigences complémentaires ; elle est reconnue par la GFSI et souvent demandée par la grande distribution.

Elle est obligatoire pour les prestataires qui souhaitent bénéficier de fonds publics ou mutualisés : OPCO, CPF, France Travail, Régions, État, Agefiph. Un organisme financé exclusivement par des entreprises sur leurs fonds propres ou par des particuliers n'y est pas soumis, mais la certification reste un gage de qualité reconnu.

Le respect des bonnes pratiques de fabrication est obligatoire pour les produits cosmétiques mis sur le marché européen (article 8 du règlement (CE) n° 1223/2009). L'ISO 22716 n'est pas imposée en tant que telle, mais sa mise en œuvre vaut présomption de conformité à cette obligation. La certification ISO 22716 est volontaire.