Un audit interne est le regard que l’entreprise porte sur elle-même : le système qualité est-il vécu tel qu’il est décrit, et est-il efficace ? ISO 9001 exige, au chapitre 9.2 (édition 2015), des audits internes selon un programme planifié. Pour une PME, c’est l’une des meilleures occasions de repérer les faiblesses avant que la clientèle ou un organisme de certification ne le fasse. Ce guide montre comment planifier un audit interne, qui devrait le conduire, ce qu’il advient des constats et ce que le rapport doit contenir. Le texte de la norme n’est pas reproduit.
État de la norme : ISO 9001:2026 a paru le 16 septembre 2026. Le numéro de chapitre 9.2 provient de l’édition 2015 (vérifiez la numérotation dans votre édition). Les papiers d’aide de l’APG consultés se rapportent à l’édition 2015. Avant une certification, vérifiez numéros et exigences dans le texte de la norme.
À quoi servent les audits internes
Le portail PME de la Confédération décrit l’audit interne comme un contrôle visant à vérifier que le système de management est appliqué correctement et efficacement dans la pratique, et que les procédures définies correspondent encore à la pratique vécue. Il sert aussi souvent de préparation à une certification. Selon l’Auditing Practices Group (APG, un groupe informel de spécialistes d’ISO/TC 176 et de l’International Accreditation Forum IAF ; ses papiers ne sont pas formellement confirmés par l’ISO et l’IAF), c’est un retour d’information à la direction : il montre où le système présente des faiblesses et où des améliorations sont possibles.
Selon l’objectif, le portail distingue l’audit de système (toutes les exigences sont-elles remplies ?), l’audit de processus (un processus atteint-il ses objectifs ?), l’audit de produit et l’audit de conformité (les exigences légales et contractuelles sont-elles respectées ?). Un audit interne peut combiner plusieurs de ces angles.
Le guide de référence de la profession est ISO 19011. L’édition 2018 est retirée ; depuis mai 2026, la quatrième édition, ISO 19011:2026, fait foi. Elle traite des principes de l’audit, de la conduite d’un programme d’audit, de la réalisation des audits et de l’évaluation de la compétence. L’APG précise qu’ISO 9001 n’exige pas d’appliquer ISO 19011 : c’est une aide, pas une obligation. Nous ne citons aucun numéro de chapitre d’ISO 19011, faute d’avoir consulté l’édition 2026.
Le programme d’audit : quoi auditer et quand
Dans l’édition 2015, la norme exigeait (chapitre 9.2.2, par analogie avec la citation de l’APG) un programme d’audit qui fixe la fréquence, les méthodes, les responsabilités, les exigences de planification et le compte rendu, en tenant compte de l’importance des processus, des changements dans l’entreprise et des résultats des audits précédents. Si l’édition 2026 modifie quelque chose ici, vérifiez-le dans le texte de la norme. Selon l’APG, ISO 9001 ne prescrit ni la fréquence ni la durée des audits.
L’APG recommande une approche fondée sur les risques : les processus à risque plus élevé ou ayant connu des écarts passent en premier dans le programme, tout comme les domaines récemment modifiés. Soyez particulièrement attentif là où une défaillance aurait des conséquences graves, où la clientèle était insatisfaite ou où des exigences légales pourraient être violées. Le guide de planification de l’APG est écrit pour les audits de certification, mais sa logique se transpose. Il distingue deux niveaux : le programme (quels audits sur l’ensemble du cycle) et le plan d’audit individuel (comment un audit se déroule). Il rappelle aussi qu’il n’est pas nécessaire de contrôler chaque domaine chaque année si l’on procède selon les risques et que la justification est consignée, et qu’un programme peut être adapté tant qu’il remplit son but. Pour les programmes internes, c’est une transposition de la pratique, cohérente avec ce que dit l’APG des audits internes. Pratique, non normatif : planifiez par processus, non par chapitre de la norme, et contrôlez ensemble les processus liés afin de rendre visibles les interfaces.
Qui audite : compétence et indépendance
L’APG décrit ce que les auditeurs de certification évaluent dans l’audit interne : la compétence des auditeurs, l’objectivité et l’impartialité de la démarche, la prise en compte des risques dans la planification, l’implication de la direction et l’utilisation des résultats. L’entreprise devrait avoir défini les compétences que doivent posséder les auditeurs internes et veiller à leur formation et à leur observation.
Pour l’indépendance : qui audite son propre travail en voit difficilement les angles morts. L’APG cite à ce sujet une recommandation d’ISO 9004 : confier les audits à des personnes non impliquées dans l’activité examinée ; ce n’est expressément pas une exigence auditable d’ISO 9001. Pratique, non normatif : dans les petites entreprises, l’audit croisé, où les responsables contrôlent chacun le domaine de l’autre, ou le recours à une personne externe a fait ses preuves.
Réaliser l’audit
Un bon audit repose sur des questions qui demandent des preuves : un document, un enregistrement, un échantillon, une observation. Choisissez des échantillons qui disent quelque chose et consignez ce que vous avez vu, pas seulement ce que l’on vous a raconté. Les listes de contrôle aident, tant qu’elles ne remplacent pas l’attention. Pour les processus liés, il vaut la peine d’examiner les interfaces dans le même audit. L’APG conseille aux auditeurs de certification de s’entretenir tôt avec la direction du contexte, de l’orientation et du pilotage ; cet entretien peut être repris dans un audit interne. Les auditeurs de certification aiment consulter l’audit interne vers la fin, pour le comparer à leurs propres constats.
Constats et suites données
Un constat est le résultat de l’évaluation des preuves. En pratique, on distingue couramment écarts, remarques, pistes d’amélioration et points forts. La répartition en non-conformités majeures et mineures est une pratique que les logiciels et les organismes aménagent différemment ; nous ne pouvons pas la fonder, sur les sources consultées, comme prescription de la norme.
L’essentiel est ce qui suit : chaque écart exige une personne responsable, un délai et, plus tard, la preuve que la mesure a été efficace. L’APG attend des auditeurs de certification qu’ils vérifient comment le résultat des audits internes est utilisé pour juger de l’efficacité du système et repérer des améliorations. Un audit sans suite est un papier sans valeur.
Le rapport d’audit
Le rapport résume ce qui a été examiné, ce qui a été trouvé et ce qui en découle. Pratique, non normatif : indiquez le périmètre, les critères, la période et les auditeurs, résumez dans une synthèse l’impression générale, les points forts et les écarts, et concluez par un bilan assorti d’une recommandation. Il doit servir à la direction et pouvoir, plus tard, tenir lieu de preuve.
Exemple pratique : Muster Elektrotechnik GmbH
La Muster Elektrotechnik GmbH est une entreprise fictive d’installations électriques de 18 collaborateurs, avec six processus actifs : vente, planification, montage, achats, personnel et amélioration. La direction établit un programme d’audit 2026 à 2028 et pondère selon le risque :
| Année | Processus audités | Justification |
|---|---|---|
| 2026 | Montage, achats | le plus de réclamations, évaluation des fournisseurs en suspens |
| 2027 | Vente, planification | interface avec le montage, nouveau modèle d’offre |
| 2028 | Personnel, amélioration | risque moindre, clôture du cycle |
Les six processus sont ainsi couverts en trois ans. Le premier audit, A-2026-01, a lieu le 12 novembre 2026. La responsable d’audit est la responsable de l’administration, qui n’est responsable ni du montage ni des achats ; elle est assistée du chef de projet planification. Les questions proviennent des processus et des chapitres de la norme du périmètre : 14 questions. Résultat : 11 conformes, 1 écart, 1 remarque et 1 point fort, soit 14 réponses au total.
Trois constats en découlent. L’écart concerne l’évaluation des fournisseurs 2026, qui n’a pas été réalisée : une non-conformité mineure avec mesure, délai au 15 janvier 2027 et vérification de l’efficacité le 31 mars 2027. La remarque porte sur un étiquetage inégal des procès-verbaux de contrôle, le point fort sur la remise soigneuse des documents de montage. La responsable d’audit rédige la synthèse et la conclusion, la direction qualité approuve le rapport, qui est archivé en PDF. Le 31 mars 2027, la responsable de l’administration vérifie que l’évaluation des fournisseurs est désormais en place.
Checklist
- Un programme d’audit fixe quels processus sont audités et quand, avec justification.
- Les risques plus élevés, les écarts antérieurs et les changements passent en premier.
- Tous les processus sont couverts sur la période du programme, ou écartés pour un motif justifié.
- Les auditeurs sont qualifiés et n’auditent pas leur propre travail.
- Périmètre, critères et date sont connus à l’avance.
- Les questions demandent des preuves, pas seulement des déclarations.
- Chaque écart a un responsable, un délai et une vérification de l’efficacité.
- Le rapport résume points forts, écarts et conclusion.
- La direction connaît les résultats et les exploite dans la revue de direction.
La solution KMU | base
Sous Système de management › Audits, vous trouvez la liste avec les boutons Certification et, pour les personnes ayant le droit pour les audits, Programme d’audit, Listes de contrôle, Auditeurs et Nouvel audit. Le groupe Système de management est d’abord replié.
Programme et planification. Dans le programme d’audit sur trois ans au maximum, vous planifiez les audits par année et voyez quels processus actifs ne figurent encore dans aucun audit sur la période. Les audits peuvent être internes, externes ou chez des fournisseurs (audits internes, externes et fournisseurs) ; vous saisissez date, périmètre, objectifs, critères, processus, chapitres de la norme, responsable d’audit et auditeurs, et obtenez un numéro d’audit par année, par exemple A-2026-01.
Auditeurs. La page Auditeurs montre, pour chaque personne, les preuves de qualification issues du référentiel de compétences avec leur validité (auditeurs avec qualification). Si quelqu’un est lui-même responsable d’un processus du périmètre, le système le signale par un message (vérification de l’indépendance).
Questions. Sans liste de contrôle propre, les questions sont générées à la préparation à partir des processus et des chapitres de la norme du périmètre. Vous tenez vous-même des listes de contrôle réutilisables ou les générez à partir de chapitres choisis, la question d’audit étant alors formulée avec nos propres mots (listes de contrôle réutilisables). À la préparation, les questions sont figées.
Réalisation. Vous saisissez les réponses même hors ligne ; à la reconnexion, tout est synchronisé, et vous tranchez vous-même chaque conflit, question par question (saisie hors ligne pendant l’audit). D’une réponse « Non-conformité » ou « Remarque », un clic crée un constat avec mesure de suivi (questions d’audit issues du périmètre et constat en un clic). Les écarts génèrent une mesure assortie d’un délai, les non-conformités majeures en plus une non-conformité (constats avec suites).
Rapport. Vous rédigez synthèse et conclusion, approuvez le rapport et obtenez un PDF déposé dans le noyau d’archivage (rapport d’audit en PDF avec archivage). L’audit n’est clôturé que lorsque le rapport est sûrement dans l’archive ; si cela échoue, il reste ouvert et vous répétez l’approbation.
Limites à connaître :
- La vérification de l’indépendance signale seulement que quelqu’un est responsable d’un processus du périmètre. Elle ne bloque pas l’audit et n’évalue ni la compétence ni d’autres conflits d’intérêts.
- Le programme couvre trois ans au maximum. Quand et à quelle fréquence auditer, le logiciel ne le décide pas.
- Les types de constats (non-conformité majeure, non-conformité mineure, remarque, piste d’amélioration, point fort) sont la répartition de QMS | base, pas du texte de norme.
- Pour le rapport, toutes les questions doivent avoir reçu une réponse ; l’approbation n’est possible qu’avec le droit pour les audits.
- Le logiciel ne vérifie pas la qualité technique d’un constat. Cela reste l’affaire des auditeurs.
Le guide de QMS | base explique l’utilisation. Consultez la démo ou ouvrez un compte d’essai. Pour toute question, la page Contact est à votre disposition. Les conditions figurent sous Prix.
Sources
- ISO : ISO 9001:2026, Quality management systems – Requirements (Edition 6, publiée le 16.09.2026) (en anglais), consulté le 27.10.2026.
- ISO : ISO 19011:2026, Guidelines for auditing management systems (Edition 4, 2026-05 ; édition 2018 retirée) (en anglais), consulté le 27.10.2026.
- ISO 9001 Auditing Practices Group : Guidance on Internal Audits (Edition 1, Amd 1, 19.07.2020, pour l’édition 2015 ; non confirmé par l’ISO et l’IAF) (en anglais), consulté le 27.10.2026.
- ISO 9001 Auditing Practices Group : Guidance on Audit Planning (13.01.2017) (en anglais), consulté le 27.10.2026.
- Portail PME de la Confédération (SECO) : Audit d’un système de management : les directives sont-elles respectées ?, consulté le 27.10.2026.
Les tableaux, exemples et recommandations portant la mention « pratique » sont des aides rédactionnelles et non du texte normatif. Ce guide ne remplace aucun conseil juridique ou fiscal. État des informations : 27.10.2026.