Préparer un audit ISO en partant du travail réel.

Savoir quel audit vous préparez

Une première question évite beaucoup de malentendus : cherchons-nous à examiner nos pratiques en interne, à préparer une échéance de certification ou à vérifier un périmètre particulier ? Le but, les activités concernées, les références et les interlocuteurs doivent être explicites avant de demander des documents aux équipes.

ISO 19011 fournit des lignes directrices pour les audits de systèmes de management, la gestion des programmes d’audit et les compétences associées. Elle ne conduit pas elle-même à une certification. ^[1] Dans cette préparation, je distingue donc le cadre méthodologique de l’audit et les exigences du système effectivement examiné.

Je propose une fiche de cadrage courte : activités et sites concernés, période examinée, normes et autres références retenues, personnes à rencontrer et limites du travail prévu. Si plusieurs démarches sont concernées, indiquez lesquelles et dans quelle version. Un titre « audit ISO » ne suffit pas à définir ce périmètre.

Suivre une situation plutôt que parcourir seulement des dossiers

Pour préparer les échanges, je préfère suivre un exemple de travail de bout en bout. Comment une demande est-elle reçue ? Qui décide de la traiter ? Avec quelles informations ? Qui vérifie le résultat ? Que se passe-t-il si une difficulté apparaît ? Les documents trouvent alors leur place dans une histoire de travail que l’équipe peut expliquer.

Il ne s’agit pas de choisir uniquement le dossier le plus propre. Je propose d’examiner aussi une modification, un incident ou une situation moins habituelle, selon les enjeux du périmètre. Ce choix doit rester explicable : que voulons-nous comprendre à travers ces cas, et qu’est-ce qu’ils ne permettent pas de conclure ?

Préparer quelques situations ne signifie pas que l’on a examiné tout le système. Notez les activités vues, les personnes rencontrées et les éléments manquants. Cette limite protège contre une conclusion trop large, tirée d’une poignée d’exemples rassurants.

Pour approfondir ce point : Déployer l’IA : passer du pilote aux usages.

Construire une chaîne entre exigence, pratique et preuve

Je propose de travailler avec trois questions : qu’attend-on, comment cela se passe-t-il et sur quoi peut-on s’appuyer pour le constater ? Une procédure décrit une organisation prévue ; un entretien l’éclaire ; une trace d’activité peut aider à comprendre ce qui a été fait. Aucun de ces éléments ne dispense d’examiner sa pertinence pour la question posée.

Cette grille n’impose aucun modèle documentaire universel. Le support doit être adapté au fonctionnement de l’organisation et aux exigences réellement applicables. Je demande aussi de vérifier la date, la version et le lien avec l’activité : un fichier disponible n’est pas nécessairement la référence utilisée sur le terrain.

Pour approfondir ce point : Choisir un outil IA : commencer par le besoin.

Préparer les personnes à expliquer, pas à réciter

Les équipes doivent savoir à quoi sert l’échange et comment retrouver les éléments utiles. Je propose de partir de questions ordinaires : comment savez-vous quelle version utiliser, qui sollicitez-vous en cas de doute, comment une anomalie est-elle traitée ? Le vocabulaire de la réponse compte moins que sa précision et sa cohérence avec la pratique.

Si une information manque, il faut pouvoir le dire. Une préparation qui apprend à masquer les difficultés perd son utilité. On peut identifier une faiblesse avant l’échéance, préciser ce qui a déjà été fait et ce qui reste à vérifier. Créer après coup une trace présentée comme ancienne serait trompeur ; une action réalisée aujourd’hui doit être datée comme telle.

Le responsable de la démarche peut faciliter l’accès aux éléments sans répondre systématiquement à la place des personnes. L’objectif est que le fonctionnement soit compréhensible, y compris lorsque tout n’est pas encore stabilisé.

Un exemple : une consigne mise à jour mais mal diffusée

Je propose de séparer les éléments. Le constat : deux versions sont utilisées. L’explication reste à vérifier : lien conservé, copie locale, information non reçue ou autre difficulté. L’action immédiate peut être de remettre la bonne référence à disposition. La suite consiste à comprendre ce qui permettra d’éviter que la situation se reproduise.

La vérification ne devrait pas se limiter à retrouver le message envoyé. On peut examiner, après le délai convenu, quelles versions sont effectivement accessibles sur les postes concernés et comment les personnes retrouvent la référence. La qualification d’un éventuel écart dépendra de l’exigence applicable et des preuves recueillies ; je ne la déduis pas automatiquement de ce scénario.

Mutualiser sans effacer les différences

L’ISO décrit une structure harmonisée qui facilite l’articulation de plusieurs systèmes de management. ^[2] Ma proposition est de réutiliser les supports communs lorsqu’ils servent réellement les démarches concernées : planning, responsables, suivi des actions ou organisation des revues.

Cela ne rend pas identiques les objets examinés. Une preuve relative à la qualité d’une prestation ne démontre pas, par sa seule existence, la maîtrise d’un enjeu environnemental ou d’un risque lié à l’IA. Chaque ligne de travail doit conserver sa référence, sa question et la preuve attendue. Le guide du site sur les correspondances AI Act et ISO approfondit cette distinction.

Une même réunion peut suivre plusieurs actions, à condition que leurs objectifs restent lisibles. Je recherche une organisation cohérente, pas un tableau unique qui donnerait artificiellement l’impression que toutes les exigences sont couvertes.

Préparer la suite autant que l’échéance

À l’issue du travail, chaque difficulté retenue devrait conduire à une décision : responsable, action, délai et manière de vérifier ce qui a changé. Une action marquée « terminée » parce qu’un document a été envoyé n’est pas nécessairement une action dont l’effet a été observé.

La certification éventuelle relève d’un organisme certificateur externe ; l’ISO élabore les normes mais ne délivre pas les certificats. ^[3] Mon accompagnement porte sur la préparation et l’amélioration de la démarche, sans promettre le résultat de la décision de certification.

Le livrable utile peut être une cartographie des points à éclaircir et un plan d’action priorisé. Les sujets qui influencent directement le fonctionnement doivent rester visibles après l’audit. C’est cette continuité qui donne un sens à la préparation.