Programme d'audit interne ISO 9001 : prompts pour le bâtir

Le programme d'audit interne dit quels processus seront audités dans l'année, quand, par qui et avec quelle méthode. Il se bâtit en partant des risques : on audite d'abord et plus souvent là où les problèmes sont probables ou graves. L'assistant aide à poser cette priorisation, à répartir les audits sur l'année, puis à préparer le plan et la grille de chaque audit.

Ce que disent les guides ISO

Le guide de l'ISO 9001 Auditing Practices Group sur les audits internes (édition 1, amendement 1 du 19/07/2020, écrit pour l'édition 2015) rappelle que le programme d'audit couvre la fréquence, les méthodes, les responsabilités, la planification et le compte rendu, et tient compte de l'importance des processus, des changements dans l'organisation et des résultats des audits précédents. Il ajoute :

• les processus à risque élevé ou à non-conformités fréquentes doivent être prioritaires ;
• une attention particulière va aux processus où une défaillance a des conséquences graves, provoque l'insatisfaction des clients ou un manquement réglementaire ;
• la norme ne fixe ni fréquence, ni durée, ni périmètre : l'approche par les risques permet de les définir ;
• l'ISO 19011, guide pour l'audit, peut aider, mais l'ISO 9001 n'impose pas de l'utiliser.

L'édition en vigueur de la norme est ISO 9001:2026, publiée le 16/09/2026 selon le comité ISO/TC 176 : vérifiez les exigences exactes sur l'audit interne dans votre exemplaire.

Prioriser les processus

Tu es responsable qualité d'une PME de [activité] certifiée ISO 9001 (ou en préparation).
Voici mes processus, avec pour chacun : non-conformités et réclamations des 12 derniers mois, changements récents (personnel, outil, client, réglementation), résultat du dernier audit, conséquence d'une défaillance pour le client.
[Tableau]

1. Attribue à chaque processus un niveau de priorité (élevé, moyen, faible) et justifie-le en une phrase à partir de mes données.
2. Propose une fréquence d'audit par niveau (par exemple : deux fois par an, une fois par an, une fois sur deux ans), en rappelant que c'est mon choix et pas une exigence chiffrée de la norme.
3. Signale les processus pour lesquels mes données sont insuffisantes pour décider.

À vérifier : que la priorité découle de vos données et pas d'une idée générale de l'assistant sur ce qui « est important » dans votre secteur.

Répartir sur l'année

Avec ces priorités, construis le programme d'audit de l'année [année] sous forme de tableau : processus, mois prévu, durée estimée, auditeur (rôle), critères d'audit (norme, procédures internes, exigences client), statut.
Contraintes : pas d'audit en [périodes chargées] ; aucun auditeur n'audite son propre service ; les processus prioritaires sont audités avant la revue de direction prévue en [mois].

Choisir et préparer les auditeurs

Le même guide indique que l'organisation doit avoir défini les compétences de ses auditeurs internes, et qu'un auditeur doit connaître les risques liés à un échantillonnage mal choisi ou à des preuves mal pondérées.

Prépare une grille d'auto-évaluation pour un auditeur interne débutant : connaissance du processus audité, de la norme et des procédures, conduite d'entretien, recueil de preuves, rédaction des constats, impartialité. Pour chaque point, trois niveaux décrits concrètement et une action pour progresser.

Le plan d'un audit et sa grille

Le guide sur les processus propose des questions types pour auditer un processus, rattachées au cycle planifier, faire, vérifier, agir : « Pouvez-vous m'expliquer ce que vous faites ? », « De quelles informations avez-vous besoin pour commencer ? », « Qui reçoit le résultat de votre travail ? », « Quels enregistrements sont conservés ? », « Que peut-il mal se passer et que feriez-vous ? ».

Prépare le plan de l'audit interne du processus « [processus] » prévu le [JJ/MM/AAAA] : objectif, périmètre, critères, personnes rencontrées (rôles), horaires, documents à consulter avant.
Puis une grille de 12 à 15 questions ouvertes, inspirées de ces questions types : [questions ci-dessus]. Pour chaque question, indique la preuve à demander (enregistrement, observation, indicateur) et le lien avec les non-conformités passées de ce processus : [liste].

À vérifier : que la grille porte sur votre processus réel. Une grille qui suit le plan de la norme article par article passe à côté de ce qui se fait vraiment au poste.

Un programme d'audit peut passer par un compte professionnel dédié

Un programme d'audit sans détails (processus, mois, rôles) n'est pas très sensible. La CNIL, dans ses questions-réponses sur l'IA générative (18/07/2024), estime qu'un service grand public peut être envisagé pour un usage non confidentiel, avec des adresses professionnelles dédiées et la réutilisation des données d'usage désactivée. Ce n'est plus le cas dès que vous collez l'historique des non-conformités, les réclamations nominatives ou les constats d'audit précédents : réservez ces éléments à un outil dont les conditions vous conviennent, ou résumez-les en chiffres.

Après l'audit, voyez le rapport d'audit interne.