Les entreprises qui abordent leur première certification ISO de système de management ont tendance à imaginer un événement unique : l'audit. En réalité, la certification est un cycle de trois ans d'audits aux buts différents, et le certificat ne vaut que ce que vaut la performance de l'organisation sur l'ensemble. Connaître le cycle à l'avance change la façon de se préparer, et évite la surprise de la deuxième année qui piège tant de titulaires d'un premier certificat.
Cela vaut pour toute norme de système de management : ISO 27001, ISO 42001, ISO 9001, ISO 22301, ISO 27701 en extension, et d'autres. Le cycle est défini par ISO/IEC 17021-1, la norme que les organismes de certification accrédités doivent eux-mêmes respecter.
Qui vous audite
Un certificat ISO est délivré par un organisme de certification, parfois appelé registrar. L'organisme devrait être accrédité pour la norme concernée par un organisme national d'accréditation : le COFRAC en France, l'UKAS au Royaume-Uni, la DAkkS en Allemagne, l'ANAB aux États-Unis, et ainsi de suite, la plupart membres de l'International Accreditation Forum. L'accréditation est ce qui rend le certificat reconnu ; un certificat non accrédité est une opinion privée.
Les organismes de certification emploient ou missionnent des auditeurs. L'auditeur qui vous rend visite doit être compétent sur la norme et dans votre secteur, et doit être indépendant de vous : il ne peut pas avoir conseillé sur le système qu'il audite. C'est pourquoi les consultants en préparation et les auditeurs de certification sont des personnes différentes, et souvent des entreprises différentes.
Étape 1 : la préparation
L'étape 1 est une revue de votre préparation à l'audit réel. L'auditeur lit la documentation : périmètre, politique, méthode et résultats de l'appréciation des risques, déclaration d'applicabilité, objectifs, enregistrements d'audit interne et de revue de direction, et les principales procédures. Il vérifie que le périmètre a du sens, que les éléments obligatoires existent et que le système fonctionne depuis assez longtemps pour avoir produit des enregistrements.
L'étape 1 se fait souvent à distance et prend généralement un ou deux jours. Elle produit un rapport listant les points préoccupants qui pourraient devenir des non-conformités à l'étape 2. Ce n'est pas un succès ou un échec au sens de la certification, mais une étape 1 qui identifie des lacunes sérieuses conduit généralement à reporter l'étape 2. Traitez le rapport d'étape 1 comme une analyse d'écarts gratuite de la personne qui fera l'étape 2.
Étape 2 : l'audit de certification
L'étape 2 teste si le système fonctionne. L'auditeur échantillonne sur tout le périmètre : il interroge les responsables de mesures, examine les enregistrements, regarde les processus tourner. Pour ISO 27001, cela veut dire parcourir le traitement des risques, le contrôle d'accès, la gestion des changements, la gestion des incidents, la gestion des fournisseurs, la sauvegarde et le reste, en demandant la preuve derrière chacun. La durée est fixée par l'organisme de certification à partir de tableaux fondés sur le nombre de personnes dans le périmètre et la complexité, et va de deux ou trois jours pour une petite entreprise à des semaines pour une grande.
Les constats sont classés :
- Non-conformité majeure : une exigence n'est pas du tout satisfaite, ou une défaillance qui fait sérieusement douter de la capacité du système à atteindre ses objectifs. Une majeure bloque la certification jusqu'à ce qu'elle soit close et la clôture vérifiée, parfois avec une visite de suivi.
- Non-conformité mineure : un manquement à une exigence qui ne sape pas le système. Les mineures ne bloquent pas la certification, mais chacune a besoin d'un plan d'actions correctives accepté par l'organisme, et la clôture sera vérifiée à l'audit suivant.
- Observation ou piste d'amélioration : pas une non-conformité ; une note indiquant que quelque chose pourrait le devenir ou pourrait être mieux fait.
Sans majeure ouverte, l'auditeur recommande la certification, le relecteur indépendant de l'organisme confirme, et le certificat est délivré avec une validité de trois ans.
Années un et deux : la surveillance
Un certificat porte une condition : des audits de surveillance annuels, généralement à environ douze mois d'intervalle, le premier au plus tard douze mois après la décision de certification. Les audits de surveillance sont plus courts que l'étape 2, couramment un tiers de la durée, et échantillonnent au lieu de tout couvrir. Sur les deux visites de surveillance, l'organisme vise à avoir revu l'ensemble du système une fois de plus.
La surveillance vérifie toujours certaines choses : que l'audit interne et la revue de direction ont eu lieu, que les constats précédents ont été clos, que les réclamations et incidents ont été traités, que le périmètre est encore exact, et que le certificat et la marque sont utilisés correctement. Au-delà, l'auditeur choisit des domaines, avec un poids sur les changements et sur les endroits où des problèmes ont été trouvés auparavant.
C'est là que trébuchent les titulaires d'un premier certificat. L'énergie mise dans l'étape 2 se dissipe, la revue d'accès trimestrielle glisse vers l'annuel, l'audit interne est oublié, et l'auditeur de surveillance trouve un système qui a tourné pour la certification puis s'est arrêté. Les mineures sont ici courantes ; une majeure en surveillance peut conduire à la suspension du certificat.
Année trois : le renouvellement
Avant l'expiration du certificat, un audit de renouvellement revoit l'ensemble du système, à la lumière du cycle écoulé. Il est plus court que l'étape 2 d'origine, parce que l'organisme connaît déjà l'organisation, mais il couvre tout le périmètre et pose la question plus large : le système a-t-il été efficace pendant trois ans, et est-il encore approprié. Un renouvellement réussi délivre un nouveau certificat de trois ans et le cycle recommence.
Changer de périmètre ou d'organisme
Le périmètre peut être étendu en cours de cycle, avec un audit d'extension dimensionné au changement. Il peut aussi être réduit, ce sur quoi les organismes poseront des questions. Passer à un autre organisme de certification est possible ; le nouvel organisme revoit le certificat en cours et les rapports d'audit et peut certifier sur un audit de transfert plutôt que sur une étape 1 et 2 complètes, à condition que le certificat soit en règle.
Garder un certificat
Les organisations qui trouvent le cycle facile partagent trois habitudes. Le système de management a un responsable dont la mission continue après l'étape 2. Les mesures périodiques sont au calendrier avec leurs éléments, de sorte que les preuves de surveillance s'accumulent d'elles-mêmes. Et l'audit interne est fait correctement et à temps, de sorte que les constats de l'auditeur de certification sont rarement une nouveauté.
Le certificat est le produit visible. Le cycle est le vrai produit, et les acheteurs qui connaissent la différence demanderont vos rapports de surveillance, pas seulement le certificat au mur.