Que se passe-t-il si je Échec d'un audit ISO ?
Les audits ISO sont déjà assez difficiles sans penser à la possibilité d'un échec. Cependant, si vous échouez à un audit ISO, tout n'est pas perdu. Voici le guide de Compleye sur ce qui se passe après un échec à l'audit et sur la manière dont votre organisation peut se remettre sur pied lors du prochain audit.
Introduction
L'ISO compte environ 25 000 normes et, en 2022, a accordé 2 407 109 certifications pour les 16 normes couvertes par l'étude ISO de cette année-là.. Cela fait beaucoup d'audits.
L'ISO ne publie pas de données sur le nombre d'organisations qui échouent à ses audits. Mais au vu du nombre d'audits réalisés chaque année, si vous échouez à un audit, vous pouvez vous consoler en vous disant que vous n'êtes pas seul.
L'échec d'un audit ISO est un défi, mais il ne signifie pas la fin du voyage de votre organisation vers la conformité. Cela signifie simplement qu'il vous faudra un peu plus de temps pour atteindre votre destination.
Dans ce guide Compleye, nous verrons ce qui se passe après un échec d'audit et comment vous pouvez vous remettre sur la voie du succès. N'oubliez pas, nous sommes toujours là si vous souhaitez discuter de votre rapport d'audit et s'assurer que les choses se passent mieux la prochaine fois.
Pourquoi les organisations risquent-elles d'échouer à un audit ISO ?
Dans sa forme la plus simple, l'échec d'un audit ISO signifie que votre organisation n'est pas conforme aux normes définies dans un cadre ISO.
Toutefois, les choses deviennent un peu plus complexes si l'on considère qu'un seul document mal structuré fera rarement pencher la balance du côté de l'échec. En règle générale, pour que votre organisation échoue à un audit ISO, il faut qu'il y ait
Non-conformités majeures - Il s'agit d'écarts importants par rapport à la norme ISO qui peuvent compromettre l'efficacité globale de vos systèmes. En tant que problèmes fondamentaux, ils devront être résolus avant que la certification puisse être accordée. Voici quelques exemples de non-conformités à la norme ISO 27001.
Effet cumulatif - Si une seule non-conformité mineure est susceptible d'entraîner un échec, les auditeurs prendront en compte l'effet cumulatif de plusieurs non-conformités mineures et leur impact potentiel sur la capacité de votre organisation à satisfaire aux exigences du cadre.
Questions systématiques - Un manque de contrôle ou de cohérence affectant plusieurs domaines de votre organisation ou de votre système de gestion peut entraîner un échec de l'audit. En effet, ces problèmes suggèrent que l'approche globale de votre organisation en matière de conformité n'est pas à la hauteur.
Absence de prise en compte des constatations antérieures - Si un audit antérieur a révélé plusieurs non-conformités mineures ou majeures, vous devez fournir la preuve que vous avez tenté d'y remédier et le processus que vous avez suivi pour ce faire. Si vous n'êtes pas en mesure de démontrer votre engagement en faveur d'un examen continu, préparez-vous à échouer.
Après l'échec d'un audit ISO
Si vous n'avez pas votre certification ISO...
Si vous ne possédez pas votre certification ISO et qu'il s'agit de votre première tentative, l'audit externe comprend deux phases :
Phase 1 : Au cours de cette phase, l'auditeur vérifie si vous avez abordé tous les aspects obligatoires des exigences de la norme ISO27001. Cette étape peut être comparée à un "examen théorique du permis de conduire". S'il s'avère que des sujets ou des éléments cruciaux manquent, vous disposez d'un délai limité (3 à 6 semaines) pour effectuer les réparations nécessaires. Par la suite, l'auditeur effectuera un nouvel audit avant de passer à la phase 2, ce qui entraînera des coûts supplémentaires. Une fois la phase 1 approuvée, la phase 2 commence. En général, il y a un écart de six semaines entre les deux phases au cours de la phase de planification, ce qui permet de tenir compte du temps nécessaire pour effectuer les réparations. Au cours de la phase 2, l'auditeur vérifie, par échantillonnage, la mise en œuvre de tout ce qui a été documenté.
Si vous avez votre ISO certification...
En fonction de la gravité et de l'impact des non-conformités au sein de votre organisation, vous pouvez perdre votre certification. Cette décision est prise par un comité au sein de l'organisme de certification. En général, les auditeurs se contentent de fixer un délai pour la mise en œuvre des mesures correctives et une date pour le prochain audit.
Si vous devez avoir une certification ISO...
Il se peut que votre organisation opère dans un secteur réglementé qui exige une certification ISO. Dans ce cas, un échec peut avoir des conséquences tangibles. Vous devrez être prêt à faire face à d'autres coûts résultant de retards dans la fourniture de services ou de produits, ainsi qu'à une atteinte à la réputation qui peut avoir un impact sur les décisions de vos clients/fournisseurs et sur le moral de vos employés.
Examiner le rapport d'audit
Que vous réussissiez ou non un audit ISO, votre auditeur vous remettra un rapport d'audit. C'est votre meilleur ami lorsqu'il s'agit d'examiner et d'améliorer votre entreprise. Veillez donc à le lire attentivement et à en discuter avec les personnes clés.
En particulier, vous devez vérifier les points suivants dans le rapport d'audit :
Non-conformités majeures/mineures et possibilités d'amélioration
Ce sont les principaux points sur lesquels vous devrez vous concentrer pour aller de l'avant. Selon UKConsulting, les domaines les plus courants dans lesquels des non-conformités sont apparues dans les normes ISO en 2023 sont les suivants:
- Conformité
- Processus
- Fournisseurs
- Compétence
- Incidents et mesures correctives
Votre rapport d'audit ISO devrait détailler les non-conformités de votre organisation. Veillez à consigner ces problèmes et à procéder à un examen plus approfondi de leurs causes/effets, afin de déterminer si les employés savent comment soulever les problèmes et quelles mesures correctives vous prendrez.
Examen des documents
La documentation est un aspect important de la conformité ISO. Mais, par rapport à la mise en œuvre de processus et de contrôles tangibles, de nombreuses organisations la considèrent comme une réflexion après coup. L'examen de la documentation dans le rapport d'audit mettra en évidence les lacunes de vos documents.
Changements dans les normes ISO
Il est utile de ressortir la norme complète après votre audit pour vous assurer que vous travaillez sur la base de la version la plus récente. En voici un exemple, Comme nous le soulignons dans cet article pratique, la norme ISO 27001 a été mise à jour en 2022, pour la première fois depuis près de 10 ans.. Votre organisation disposera de trois ans pour s'adapter aux changements apportés au cadre de référence ; tenez-en compte dans votre charge de travail.
Calendrier des actions correctives
Votre rapport d'audit peut spécifier des délais pour la mise en œuvre des changements. Cela vous aidera à évaluer l'importance des tâches nécessaires, à allouer des ressources et à fixer des délais internes dans ces domaines spécifiques.
En cas de non-conformité, vous devrez soumettre à l'auditeur un rapport CAPA (Corrective Action Preventive Action). L'auditeur vous fournira un modèle à cet effet, car chaque société d'audit a sa propre approche en matière de rapports. Les non-conformités critiques ou majeures doivent généralement être corrigées dans un délai de 6 à 12 semaines, et l'auditeur programmera une journée d'audit supplémentaire à cet effet (ce qui entraînera des frais supplémentaires). Les non-conformités mineures, les observations ou les améliorations seront examinées lors de l'audit de l'année suivante.
Preuve de conformité
Il est très peu probable que vous ne soyez pas du tout en conformité. Bien que les possibilités d'amélioration soient les domaines les plus importants à examiner et à discuter, le fait de souligner ce que vous avez fait de bien constitue un renforcement positif pour la direction et les employés.
Procédures de suivi et de retour d'information
La plupart des organismes de certification et des auditeurs vous fourniront leurs coordonnées afin que vous puissiez demander des éclaircissements sur toute question. Assurez-vous de bien comprendre les procédures de demande d'informations et l'étendue des éclaircissements que votre auditeur peut vous apporter.
Apporter des modifications
Après avoir examiné votre rapport d'audit et identifié les domaines sur lesquels vous devrez travailler, il est temps de planifier, de tester et de mettre en œuvre les changements. Vous devez :
- Élaborer un plan d'action, outlinl'attribution de tâches et de responsabilités spécifiques
- Fixer des délais réalistes pour la mise en œuvre des mesures correctives
- Communiquer les changements prévus aux personnes/services clés
- Effectuer des tests approfondis et identifier d'autres problèmes
- Suivre les progrès des activités de mise en œuvre, en adaptant les stratégies si nécessaire.
- Conserver des registres détaillés des progrès réalisés, des procédures révisées et des modifications apportées aux systèmes de gestion.
- Fournir la formation nécessaire aux employés impliqués dans les changements ou touchés par ceux-ci.
- Recueillir des informations et des commentaires auprès des parties prenantes en vue d'une amélioration ultérieure
- Examiner régulièrement et rechercher des possibilités d'amélioration
Réaliser un audit interne
La réalisation d'un audit interne est un moyen fiable d'augmenter les chances de réussite d'un audit externe. Profitez de notre liste de contrôle et de notre modèle d'audit interne gratuits ici.
Les audits internes sont utiles pour de nombreuses raisons :
- Comprendre le processus d'audit
- Identifier les domaines qui nécessitent une attention particulière avant de passer à l'acte
- Répondre aux exigences de l'examen interne
- Garantir une amélioration constante
Mais la réalisation d'un audit interne est un processus complexe en soi. De plus, sa planification peut prendre plus de temps qu'il n'en faut. C'est là que Compleye vient à la rescousse. Cliquez ici pour découvrir comment nous pouvons réaliser votre audit interne pour vous !
Au cours de votre audit interne annuel, vous devrez traiter les non-conformités constatées lors de l'audit externe de l'année précédente.
Recours ou nouvelle demande
Enfin, il est temps de tout recommencer.
Si votre certification est volontaire, chaque auditeur conclura l'audit externe en fixant une date pour l'année suivante. Vous conclurez un contrat de trois ans avec l'auditeur externe (pour ISO27001, ISO9001, etc.), et il n'y a pas de flexibilité dans la programmation des audits annuels.
Toutefois, si vous décidez de ne pas suivre cette voie, vous devrez présenter une nouvelle demande à votre organisme de certification pour une autre opportunité. Cette approche vous offre une certaine flexibilité en termes de temps disponible pour apporter des changements et affiner votre documentation et vos activités de mise en œuvre.
Cependant, plus les audits sont espacés, plus vous utiliserez de ressources et plus vous dépenserez d'argent. Pour réduire au maximum la durée et les coûts de ce processus, nous vous invitons à consulter le site web de la Commission européenne, Compleye vous permettra de vous mettre en conformité et d'être prêt pour la certification en 6 mois.
Chaque auditeur commencera l'audit externe en mentionnant qu'il existe une procédure d'appel pour les cas de désaccord sur les décisions et les plaintes générales. La procédure d'appel présente des avantages et des inconvénients uniques, et il peut être plus rapide et moins stressant d'apporter les changements nécessaires et de présenter une nouvelle demande.
Conclusion
Souvent, les organisations ne voient pas les audits ISO du bon côté. Il ne s'agit pas simplement d'un test dans lequel vous devez démontrer votre conformité, mais d'une opportunité pour vous de montrer à quel point vous avez travaillé à l'amélioration de votre entreprise.
Dilawar Laghari, auditeur ISO, a bien résumé la situation en disant "Si les normes ISO sont des repères fantastiques, il est toujours possible de repousser les limites. Considérez-les comme les fondations sur lesquelles vous pouvez construire une entreprise encore meilleure, en constante amélioration."
Si vous échouez à un audit ISO, vous ne vous sentez pas vraiment bien, mais c'est simplement une nouvelle chance pour vous de rendre votre organisation encore meilleure. Un échec à l'audit ajoute quelques mois supplémentaires (et, ne nous mentons pas, beaucoup d'argent et de ressources) au processus, mais il n'empêchera pas votre organisation d'obtenir sa certification.
Il est donc temps de revoir et d'améliorer les choses, et vous réussirez le prochain audit avec brio.
