Audit interne ISO 9001 : ce que l’auditeur doit vérifier

Réaliser un audit interne ISO 9001 est une obligation : l’exigence 9.2 de la norme impose de conduire des audits à des intervalles planifiés. Mais la norme ne fournit ni la grille de questions, ni la profondeur attendue, et beaucoup d’audits internes se réduisent à une relecture de procédures qui n’apprend rien à personne. Cette page détaille le contenu réel de l’exercice : ce que l’exigence 9.2 impose, ce que l’auditeur doit vérifier dans chaque famille de processus, le piège de l’audit purement documentaire et le circuit de traitement des constats.

Ce que l’exigence 9.2 impose à l’audit interne

Le point 9.2 de l’ISO 9001:2015 assigne à l’audit interne une double finalité. Il doit fournir des informations permettant de déterminer si le système de management de la qualité est conforme, d’une part aux exigences que votre organisme s’est lui-même fixées, d’autre part à celles de la norme. Il doit aussi établir si ce système est mis en œuvre et tenu à jour de manière efficace. Cette seconde moitié est celle qu’on oublie : un système documentairement irréprochable mais que personne n’applique doit ressortir de l’audit.

Concrètement, l’exigence 9.2.2 attend de votre organisme qu’il sache démontrer les points suivants :

• un programme d’audit planifié, établi et tenu à jour, précisant la fréquence, les méthodes, les responsabilités et les modalités de compte rendu ;
• un programme construit en tenant compte de l’importance des processus concernés, des modifications ayant une incidence sur l’organisme et des résultats des audits précédents ;
• des critères et un périmètre définis pour chaque audit, pas seulement pour le programme dans son ensemble ;
• des auditeurs choisis de façon à garantir l’objectivité et l’impartialité du processus d’audit ;
• des résultats rapportés à la direction concernée, puis des corrections et des actions correctives engagées sans délai indu ;
• des informations documentées conservées comme preuves de la mise en œuvre du programme et des résultats obtenus.

Le programme d’audit : la première pièce que l’on examine

Le programme d’audit couvre un cycle : il fixe quels processus seront audités, quand, par qui et selon quelles méthodes. Le plan d’audit, lui, organise une mission donnée. La norme ne fixe aucune fréquence : c’est à vous de la justifier. Un processus de réalisation critique, une activité récemment réorganisée ou un processus qui a concentré des non-conformités méritent d’être audités plus souvent qu’une fonction support stable. Un programme qui repasse chaque année sur tous les processus, à l’identique et avec le même temps pour chacun, révèle surtout qu’aucune analyse de risque ne l’a construit.

Pour structurer ce programme, la référence reste l’ISO 19011, « Lignes directrices pour l’audit des systèmes de management », dont la quatrième édition a été publiée en mai 2026 : principes d’audit, pilotage du programme, réalisation des audits et compétence des auditeurs. C’est un guide, pas un référentiel d’exigences : personne ne vous auditera « contre » l’ISO 19011, mais s’en inspirer donne au programme la colonne vertébrale que le 9.2 réclame. Cette mécanique n’a d’ailleurs rien de propre à l’ISO 9001 : les organismes accrédités par le COFRAC la retrouvent dans leurs propres référentiels, où l’audit interne est un levier décisif de l’accréditation.

Ce que l’auditeur vérifie, processus par processus

Un système ISO 9001 s’audite par processus, pas chapitre par chapitre. L’auditeur qui déroule la norme article après article produit un rapport illisible et passe à côté des interfaces, là où les systèmes se déchirent réellement. La bonne pratique consiste à établir, pour chaque processus audité, la liste des exigences qui le concernent, puis à vérifier sur pièces et sur place.

Les processus de direction

L’auditeur vérifie que la politique qualité et les objectifs existent, mais surtout qu’ils vivent : des objectifs mesurables, suivis, cohérents avec les enjeux internes et externes que l’organisme a identifiés et avec les attentes de ses parties intéressées. La revue de direction s’examine dans les deux sens : ses éléments d’entrée couvrent-ils ce que la norme prévoit (performance des processus, satisfaction des clients, résultats d’audits, état des actions), et ses décisions ont-elles été suivies d’effet ? Les risques et opportunités identifiés doivent se retrouver dans des actions concrètes, pas dans un tableau rempli une fois puis oublié.

Les processus de réalisation

C’est là que l’audit se gagne. L’auditeur remonte le fil d’affaires réelles : la revue des exigences a-t-elle eu lieu avant l’engagement envers le client ? Les modifications en cours de contrat sont-elles tracées ? La production ou la prestation se déroule-t-elle dans les conditions maîtrisées prévues ? Si l’organisme conçoit des produits ou des services, les revues, vérifications et validations de conception laissent-elles des traces exploitables ? Les prestataires externes qui influent sur la conformité sont-ils évalués et surveillés selon des critères définis ? Et lorsqu’un élément de sortie non conforme apparaît, est-il identifié et maîtrisé pour ne pas être livré par erreur ?

Les processus support

Les compétences d’abord : pour les fonctions qui affectent la performance du système, l’auditeur demande les preuves (formations, habilitations, tutorat) et vérifie leur adéquation avec ce que les personnes font réellement. Viennent ensuite les ressources de surveillance et de mesure, dont l’étalonnage ou la vérification doit être démontré lorsque la validité des résultats en dépend, l’infrastructure, et la maîtrise des informations documentées : les documents disponibles au poste de travail sont-ils à la bonne version, les enregistrements exigés sont-ils réellement produits et protégés ?

La boucle d’amélioration

L’auditeur vérifie enfin que l’organisme se mesure et en tire quelque chose : des indicateurs définis, collectés et analysés, une perception du client suivie et exploitée, des non-conformités enregistrées avec leur traitement, des actions correctives dont l’efficacité a été évaluée. Un registre de non-conformités vide n’est pas un bon signe : il traduit rarement une absence de problèmes, plutôt une absence de détection.

Le piège classique : auditer la conformité documentaire, pas l’efficacité

Le travers le plus répandu consiste à vérifier que chaque exigence a son paragraphe de procédure, puis à conclure. Ce contrôle de correspondance a son utilité pendant la construction du système ; en audit interne, il ne répond qu’à la moitié de la question. L’exigence 9.2 demande aussi de déterminer si le système est mis en œuvre et tenu à jour de manière efficace, ce qu’aucune lecture de procédure ne peut établir.

La différence se joue dans la méthode. L’auditeur qui cherche l’efficacité part du terrain : il choisit des dossiers réels, en remonte le déroulement, interroge les personnes sur ce qu’elles font plutôt que sur ce que dit le document, puis croise les réponses avec les enregistrements. Il s’intéresse aux résultats des processus autant qu’à leur description : ce processus atteint-il ses objectifs, et sinon, qu’a-t-on décidé ? Un rapport d’audit interne sans aucun constat, année après année, doit vous alerter : soit le système est remarquable, soit l’audit ne cherche pas.

L’impartialité de l’auditeur : une exigence, pas un conseil

L’exigence 9.2.2 demande de sélectionner les auditeurs et de conduire les audits de manière à garantir l’objectivité et l’impartialité du processus. La traduction opérationnelle est connue : on n’audite pas son propre travail. Le responsable qualité qui a rédigé les procédures d’un processus peut difficilement en auditer la pertinence, et le pilote d’un processus ne peut pas en être l’auditeur.

Dans les petites structures, cette règle se heurte vite à l’effectif. Les solutions existent : croiser les auditeurs entre services ou entre sites, former un second auditeur interne pour couvrir les processus du premier, ou confier tout ou partie du programme à un auditeur externe. La norme n’impose pas que l’auditeur soit salarié de l’organisme ; elle impose qu’il soit impartial et compétent sur ce qu’il audite.

Du constat à l’action corrective : ce que deviennent les résultats

Un audit interne produit des constats, et ces constats ont un circuit imposé : les résultats sont rapportés à la direction concernée, puis les corrections et les actions correctives sont engagées sans délai indu. La distinction entre les deux structure la réponse. La correction traite le cas détecté : le dossier incomplet est complété, le produit non conforme est trié. L’action corrective s’attaque à la cause pour empêcher la répétition, ce qui suppose une véritable analyse : pourquoi ce dossier était-il incomplet, et pourquoi le processus ne l’a-t-il pas détecté ? L’efficacité de l’action doit ensuite être vérifiée, et l’ensemble conservé en informations documentées.

Ce traitement est lui-même audité. Lors de l’audit de certification, l’auditeur de votre organisme certificateur, lui-même accrédité par le COFRAC selon l’ISO/IEC 17021-1, examinera votre programme d’audit interne, vos rapports et le sort réservé aux constats. Des audits internes exigeants suivis d’actions abouties comptent parmi les preuves les plus lisibles qu’un système fonctionne ; des rapports complaisants suivis de rien produisent l’effet inverse.

Faire de l’audit interne ISO 9001 un exercice utile

Un audit interne ISO 9001 bien mené est l’un des rares moments où un système de management se regarde en face : un programme construit sur les risques, un auditeur impartial, une investigation menée sur pièces et sur place, des constats traités jusqu’à la vérification d’efficacité. Si le temps d’auditeur qualifié ou le recul nécessaire vous manquent, les auditeurs de 3D Synergie réalisent des audits internes avec un regard extérieur exigeant, et restituent des constats directement exploitables par votre plan d’actions.