Audit de conformité

Qu'est-ce qu'un audit ?

L'audit de conformité évalue si l'organisme respecte les obligations auxquelles il est soumis : réglementation, clauses contractuelles, engagements volontaires et politiques internes. À la différence de l'audit qualité, l'accent porte sur la CONFORMITÉ et non sur la performance.

Pourquoi la réaliser ?

L'objectif est d'anticiper le risque de sanction, d'amende et de rupture contractuelle. Le prix de la non-conformité est le plus souvent bien supérieur au coût de la mise en conformité.

Qui le demande ?

Organismes des secteurs fortement réglementés
Groupes opérant dans plusieurs pays
Entreprises établissant ou renforçant une fonction conformité
Parties souhaitant vérifier leurs obligations contractuelles
Conseils d'administration et comités d'audit

Critères d'audit

Les critères sont le registre des obligations de conformité de l'organisme : législation applicable, exigences de permis et de licence, clauses contractuelles, règles sectorielles et politiques internes. L'actualité de ce registre détermine directement la validité de l'audit.

Périmètre de l'audit

L'actualité et la portée du registre des obligations de conformité
La validité des permis, licences et autorisations
Le mécanisme de veille des évolutions législatives
Le suivi des obligations contractuelles
Conformité aux politiques et procédures internes
L'exécution des obligations de rapport et de notification
Formation et sensibilisation à la conformité
Le mécanisme de signalement et de lancement d'alerte
Les cas passés de non-conformité et les mesures prises
Le suivi de la performance de conformité

Normes associées

ISO 37301
ISO 19011
ISO 37001
ISO 31000

Déroulement de l'audit

1Définition du périmètre et des critèresCe qui est audité et selon quels critères est précisé par écrit : code de conduite client, cahier des charges, norme ou questionnaire.
2Recueil d'informations préalablesLa taille et l'activité de l'audité, son historique d'audit et les non-conformités ouvertes sont examinés.
3Plan d'auditLa date, l'équipe et le calendrier de l'audit sont préparés ; les zones à visiter et les fonctions à interroger sont planifiées.
4Réunion d'ouvertureL'objet, le périmètre, la méthode et le format de restitution sont exposés ; les principes de confidentialité et d'impartialité sont confirmés.
5Audit sur siteLes zones de production ou de service sont parcourues, les enregistrements examinés et les salariés interrogés. Les constats sont consignés sur-le-champ.
6Classement des constatsLes constats sont gradués selon la classification du référentiel utilisé (critique / majeur / mineur / observation).
7Réunion de clôtureLes constats sont présentés à la direction, justifiés, et les attentes en matière d'actions correctives sont exposées.
8Rapport et suiviLe rapport d'audit est établi ; un plan d'actions correctives est obtenu et sa clôture suivie. Si nécessaire, un audit de suivi est réalisé.

Constats

Les constatations sont classées selon la gravité de la non-conformité. La non-conformité légale constitue toujours la catégorie la plus grave et exige le plus souvent une action immédiate ; les écarts par rapport à la politique interne peuvent être corrigés sur une plus longue période.

Rapport d'audit

Identification de l'organisme, de l'auditeur et de l'audité
Date, durée et périmètre de l'audit
Critères ou questionnaire appliqués
Domaines et processus audités
Constats et leur classement
Preuves et photographies étayant les constats
Notation ou classement, si le référentiel l'exige
Plan d'actions correctives et état de clôture

Limites du livrable

Cet audit documente la situation observée au moment de l'audit et dans le périmètre audité. L'audit repose sur l'échantillonnage : les enregistrements examinés et les zones visitées sont choisis pour représenter l'ensemble, ce qui ne signifie pas que chaque enregistrement a été contrôlé. Le rapport n'est ni une garantie ni un certificat et ne dégage pas l'audité de sa responsabilité.

Accréditation

L'accréditation varie selon le type d'audit. Les audits de tierce partie fondant la certification de systèmes de management relèvent de l'ISO/IEC 17021-1, ceux fondant la certification de produits de l'ISO/IEC 17065 ; ces domaines sont soumis à accréditation. Les audits de première et de seconde partie, ainsi que ceux régis par les règles propres au propriétaire d'un référentiel (SMETA, amfori BSCI…), ne relèvent pas de la certification accréditée ; ils suivent les lignes directrices ISO 19011 et produisent un rapport. EUROLAB dispose d'accréditations internationalement reconnues selon l'ISO/IEC 17021-1 et l'ISO/IEC 17065, délivrées par des organismes signataires de l'accord IAF ; les audits pouvant être proposés sous périmètre accrédité sont confirmés par écrit au stade de l'offre.

Périmètre et habilitations

Audits associés

Questions fréquentes

Un audit de conformité donne-t-il un avis juridique ?

Non. L'auditeur établit des constatations au regard des obligations définies ; l'interprétation de la législation et ses conséquences juridiques relèvent du conseil juridique. Le rapport d'audit constitue une donnée d'entrée pour cette évaluation.

L'audit est-il basé sur l'échantillonnage ?

Oui. L'auditeur ne peut pas examiner tous les enregistrements et tous les produits ; l'échantillonnage est effectué pour représenter l'ensemble. L'absence de constatations lors d'un audit ne signifie donc pas qu'il n'existe aucune non-conformité ; un audit apporte une assurance, non une preuve absolue.

La date de l'audit est-elle annoncée à l'avance ?

Cela dépend du référentiel et de la politique de l'acheteur. Des audits annoncés, semi-annoncés (avec une fenêtre temporelle) et inopinés peuvent être utilisés. Un audit inopiné vise à empêcher que les enregistrements soient préparés pour l'audit et devient de plus en plus courant.