Audit de tierce partie — Audit indépendant et certification

Qu'est-ce qu'un audit ?

Un audit de tierce partie est mené par un organisme indépendant, sans intérêt commercial dans l'organisme audité ni chez ses clients. En certification de systèmes de management, il est réalisé selon l'ISO/IEC 17021-1 ; impartialité, compétence et indépendance de la décision sont des exigences fondamentales de cette norme.

Pourquoi la réaliser ?

L'objectif est de produire, sur la conformité de l'organisme, une assurance indépendante des parties et reconnue internationalement. Elle réduit le besoin d'un audit par chaque client et diminue ainsi la charge d'audit totale dans la chaîne d'approvisionnement.

Qui le demande ?

Organisations demandant une certification
Fournisseurs dont les clients exigent un certificat accrédité
Entreprises soumissionnant à des appels d'offres publics
Fabricants recherchant une reconnaissance internationale pour l'exportation
Organisations souhaitant offrir la même assurance à plusieurs clients

Critères d'audit

Les critères d'audit sont la norme ou le référentiel de certification (ISO 9001, ISO 14001, ISO 45001, ISO/IEC 27001, IATF 16949, etc.), ainsi que la propre documentation de l'organisation et la législation applicable. Les critères sont fixés par le référentiel, et non par l'organisme d'audit ; cela rend les résultats comparables entre organisations.

Périmètre de l'audit

Satisfaction de toutes les exigences de la norme
L'exactitude de la définition du périmètre et sa correspondance avec l'activité réelle
L'efficacité de la mise en œuvre des processus
Conformité aux exigences légales et autres
Enregistrements d'audit interne et de revue de direction
L'efficacité des actions correctives
Suivi des indicateurs de performance et des objectifs
Adéquation des ressources et compétence du personnel
Contrôle des processus externalisés
L'utilisation correcte du certificat et de la marque

Normes associées

ISO/IEC 17021-1
ISO/IEC 17065
ISO 19011
Documents obligatoires de l'IAF

Déroulement de l'audit

1Établissement du programme d'auditLes domaines à auditer, la fréquence et les priorités sont définis sur une base de risque. Le programme est planifié annuellement selon la taille de l'organisme et la criticité des processus.
2Plan d'audit et équipeL'objectif, le périmètre et les critères de l'audit sont définis par écrit ; l'équipe d'audit est désignée au regard de la compétence et de l'impartialité.
3Revue documentairePolitiques, procédures, rapports d'audit antérieurs et enregistrements d'actions correctives sont examinés avant l'audit.
4Réunion d'ouvertureLe périmètre, la méthode, le programme et le format de restitution sont communiqués à l'audité.
5Recueil des preuvesLes preuves objectives sont recueillies par entretiens, examen des enregistrements et observation sur site. Un constat n'est pas une opinion sans preuve mais une conclusion vérifiable.
6Évaluation des constatsLes preuves recueillies sont comparées aux critères d'audit ; les non-conformités et les pistes d'amélioration sont classées.
7Réunion de clôture et rapportLes constats sont présentés à l'audité, les objections sont entendues et le rapport d'audit est établi.
8Suivi des actions correctivesPour chaque non-conformité, une analyse des causes profondes et un plan d'actions correctives sont demandés ; le suivi se poursuit jusqu'à vérification de l'efficacité.

Constats

Les constatations sont classées en non-conformité majeure, non-conformité mineure ou observation. Une non-conformité majeure indique que le système ne satisfait pas à une exigence ou que son efficacité s'est effondrée, et le certificat n'est délivré qu'après sa clôture. Les non-conformités mineures sont clôturées dans un délai défini.

Rapport d'audit

Objectif, périmètre et critères de l'audit
Équipe d'audit et date de l'audit
Domaines audités et fonctions rencontrées
Enregistrements examinés
Constats : non-conformités et pistes d'amélioration
Preuves objectives fondant chaque constat
Conclusion de l'audit et appréciation globale
Actions correctives attendues et leur délai

Limites du livrable

Un audit de tierce partie ne se transforme pas toujours en certificat : un certificat n'est délivré que dans le cadre d'un référentiel accrédité et après examen par un décideur indépendant. Un audit réalisé par un organisme non accrédité est également un audit de tierce partie, mais ne bénéficie pas de la reconnaissance internationale que confère la chaîne d'accréditation. De plus, le certificat montre la conformité du système au moment de l'audit ; il ne garantit pas la qualité de chaque produit.

Accréditation

L'accréditation varie selon le type d'audit. Les audits de tierce partie fondant la certification de systèmes de management relèvent de l'ISO/IEC 17021-1, ceux fondant la certification de produits de l'ISO/IEC 17065 ; ces domaines sont soumis à accréditation. Les audits de première et de seconde partie, ainsi que ceux régis par les règles propres au propriétaire d'un référentiel (SMETA, amfori BSCI…), ne relèvent pas de la certification accréditée ; ils suivent les lignes directrices ISO 19011 et produisent un rapport. EUROLAB dispose d'accréditations internationalement reconnues selon l'ISO/IEC 17021-1 et l'ISO/IEC 17065, délivrées par des organismes signataires de l'accord IAF ; les audits pouvant être proposés sous périmètre accrédité sont confirmés par écrit au stade de l'offre.

Périmètre et habilitations

Audits associés

Questions fréquentes

L'équipe ayant réalisé l'audit peut-elle prendre la décision de certification ?

Non. L'ISO/IEC 17021-1 exige que la décision de certification soit prise par un décideur indépendant de l'équipe d'audit. Cela vise à empêcher que la relation établie par l'équipe d'audit avec le client n'influence la décision.

Puis-je obtenir un certificat auprès d'un organisme non accrédité ?

Vous recevrez techniquement un certificat, mais celui-ci ne bénéficiera pas de la reconnaissance internationale offerte par l'arrangement de reconnaissance multilatérale de l'IAF. Vos clients et les autorités d'appel d'offres exigent généralement un certificat accrédité ; vérifier la marque d'accréditation et l'organisme d'accréditation sur le certificat est la bonne approche.

Comment la durée de l'audit est-elle déterminée ?

Le nombre de jours d'audit est calculé sur la base des tableaux des documents obligatoires de l'IAF, selon l'effectif de l'organisation, le nombre de sites, le risque d'activité et la complexité du périmètre. Un organisme de certification ne peut pas le raccourcir arbitrairement.