Audit interne
Pour comprendre notre approche d’audit interne externalisé, je réponds aux questions les plus fréquemment posées dans cet article.
Parce que j’écris beaucoup et que tu n’as pas forcément envie de lire tout mon article, je me suis permis de créer un sommaire afin de naviguer plus facilement et plus efficacement.
Comme vous l’avez peut-être remarqué, j’ai tendance à tutorat qui vous permettra de vous détendre et d’avoir une approche plus personnelle de l’article.
Table of Contents
La définition de l’audit interne :
Il faut bien commencer par ça la définition de l’audit interne et pour ce faire, je vais ressortir mon vieux dictionnaire ROBERT et ma bible, la norme ISO 9000 : 2015.
Définition dans le dictionnaire ROBERT : Activité indépendante et objective qui donne à une organisation une assurance sur le degré de maîtrise de ses opérations, lui apporte des conseils pour s’améliorer, et contribue à créer de la valeur ajoutée.
Définition dans la norme ISO 9000 : Processus méthodique, indépendant et documenté
Maintenant rentrons dans les détails afin de comprendre tout ça :
MÉTHODIQUE : signifie que c’est un processus structuré qui a une définition précise de ce qu’il faut faire. Une démarche méthodologique décrit l’ordonnancement des tâches à entreprendre.
INDÉPENDANT : Cela implique de créer une séparation entre les différents acteurs. Cette séparation doit également tenir compte des différentes responsabilités. L’indépendance est garante de l’objectivité de tes observations et de tes jugements.
DOCUMENTE : signifie qu’il doit exister des traces écrites de ce que tu as observé et que tu as constaté pendant l’audit. Ces traces formelles constituent des preuves.
La norme ISO 19011 :
La norme ISO 19011 a été élaborée par le comité technique ISO/TC 176 « management et assurance de la qualité ». Sa première version remonte à 2002.
Cette norme définit les lignes directrices pour l’audit des systèmes de management y compris les audits de première partie (audit interne) il fallait que je t’en parle car la suite de l’article s’appuie beaucoup sur cette fameuse norme 19011.
Quelles sont les fonctions voisines de l’audit interne ?
Plusieurs activités ont quelque chose en commun avec l’audit interne, notamment :
- l’audit externe qui est souvent appelé audit comptable et financier;
- l’inspection;
- le conseil et l’accompagnement qualité;
- le contrôle de gestion;
- l’audit fournisseur;
- le contrôle interne;
- l’audit processus;
Les principe de l’audit interne :
L’audit est un outil qui vise à fournir aux dirigeants d’une organisation des informations pour améliorer la performance de son système qualité. Pour que les conclusions de ton audit soient pertinentes, tu dois respecter les six principes fondamentaux.
La déontologie :
En tant qu’auditeur, tu dois souscrire à un certain nombre de qualité qui représente le fondement du professionnalisme comme :
– l’honnêteté;
– la responsabilité;
– le respect des exigences légales et réglementaires;
– l’impartialité;
– l’indépendance;
Les attributs de cette éthique sont généralement groupés en un traité appelé un code de conduite.
Si tu souhaites intervenir pour des organismes de certification, dans le cadre des audits tierce partie, tu dois t’engager en signant le code de bonne conduite de l’auditeur.
L’impartialité :
Tes missions d’audit doivent être réalisées de manière honnête et précise. Les constats, rapport, écarts éventuels, doivent être restitués avec le souci permanent d’être :
– opportun;
– complet;
– clair;
– précis;
La conscience professionnelle :
Tu dois conduire ta mission d’audit en mettant en œuvre des relations de confiance avec chacun des audités. Lorsque des décisions seront prises, elles devront s’appuyer sur l’ensemble des compétences et expériences professionnelles que tu as acquises.
La confidentialité :
Tu dois respecter des règles strictes de confidentialité afin d’assurer la sûreté des informations. Tu devras prendre des précautions afin d’assurer le traitement correct des informations classées sensibles ou confidentielles.
Tu devras aussi t’assurer que les informations mises à disposition dans le cadre de l’audit ne soient pas divulguées à des tiers non autorisés ; ni utilisées de manière inappropriée, qui pourrait porter préjudice aux intérêts de l’audité.
L’indépendance :
Pour être impartial, il faut pouvoir compter sur son indépendance. Aucun parti pris et aucun conflit d’intérêts ne doivent exister. Pour ce faire, tes constatations et conclusions ne seront fondées que sur des preuves.
L’approche fondée sur des preuves :
Tu te dois dans tes conclusions d’audit, de fournir des preuves rationnelles et factuelles. Ces preuves doivent être fiables et reproductibles. En cas de contestation dans ta conclusion ou tes écarts, la preuve assure le moyen de vérifier son authenticité.
Bon voila j’en compte bien 6 le compte y ai, passons à la suite.
Le management d'un programme d'audit :
Avant de commencer, il est important de ne pas confondre un programme d’audit et un plan d’audit
dans un programme on prévoit des audits sur une année par exemple et dans un plan on planifie les activités qui seront auditées je le précise en début de chapitre car sinon tu vas te perdre et ne plus rien y comprendre.
Un programme d’audit est défini dans la norme comme “des dispositions relatives à un ensemble d’un ou de plusieurs audits planifié pour une durée spécifique”
La définition de ton programme d’audit devra inclure :
– les objectifs,
– le calendrier du/des jour d’audit
– les instances décisionnaires, – Le rappel des procédures à utiliser
– les critères d’audit
– les méthodes
– les ressources nécessaires (équipes, moyens)
– les risques
Quel que soit le référentiel que tu vas auditer (Qualité, environnement, sécurité au travail, sécurité alimentaire, sécurité de l’information, sociétale) tu dois mettre en place un processus d’audit, conforme aux règles de la qualité.
Parlons justement de ces règles, regarde le dessin ci-dessous :
Alors tu as trouvé ce que c’est ? La bonne vieille roue de deming increvable et qui n’a pas pris une seule ride.
Le PDCA à toute sont importance dans le management d’un programme d’audit et il va s’organiser selon les 4 éléments de la démarche d’amélioration continue.
PLAN Planifier le programme d'audit :
La planification consiste à fixer des objectifs qui te permettront de piloter le programme d’audit. Ces objectifs devront être cohérents avec le système de management de l’organisme que tu vas auditer.
Ton plan devra préciser les ressources affectées au programme d’audit (dirigeant, direction générale, pilote processus, responsable d’un service etc…).
DO La réalisation du programme d'audit :
Tu devras organiser et coordonner les différents les processus / activités du programme d’audit. Pour ce faire, tu dois définir les objectifs et le périmètre et les critères de l’audit.
Chacun de ces éléments doit rester cohérent avec les objectifs globaux du programme d’audit.
Tu devras également définir le temps nécessaire pour auditer les processus / service et définir si besoin les autres auditeurs qui devront participer.
Les principaux facteurs de dimensionnement qui peuvent avoir une influence sur la charge de l’audit peuvent être :
– l’effectif de l’organisme à auditer (nombre de personnes concernées);
– le type d’activité;
– le nombre de sites concernés;
– le référentiel;
– audit combiné sur plusieurs référentiels (Qualité;
– sécurité, Environnement QSE);
CHECK Vérifier et surveiller le programme d'audit :
Il est de ta responsabilité de vérifier et surveiller le programme d’audit. tu devras également communiquer aux audités le planning afin qu’ils puissent le vérifier et le valider.
ATC Agir sur le programme d'audit :
En fin d’audit ou lors du débriefing de la journée, tu devras procéder à une revue des faits intervenus pendant le programme.Tu devras si nécessaire agir sur le programme en l’adaptant.
Exemple d’un programme d’audit interne :
Voici quelques exemples de plan d’audit interne en version PDF ci-dessous
La réalisation d’un audit interne
Un audit est un élément constitutif d’un programme d’audit. Le déroulement de la réalisation d’un programme d’audit suit un processus bien défini.
C’est ton rôle en tant qu’auditeur de suivre et de t’assurer du bon déroulement de l’audit interne.
Les variations du contenu de l’audit dépendent du périmètre et du type de référentiel choisi.
Avant de commencer dans le vif du sujet regardons ensemble le détail des points qui seront abordés à cette étape (la réalisation de l’audit interne)
Allez c’est parti !
Le déclenchement de l’audit interne
Avant de déclencher un audit interne, il est nécessaire que tu t’assures de la faisabilité de certains éléments comme par exemple :
- les objectifs,
- le périmètre,
- le référentiel normatif,
- les exigences légales et réglementaires
- les principaux acteurs (auditeurs et audités).
Ensuite, le facteur qui va déclencher l’audit est le résultat d’une décision entre toi et les autres acteurs.
Tu dois t’assurer que la ou les dates proposées sont cohérentes avec l’emploi du temps des principaux acteurs.
Bon bah super tu viens de déclencher un audit, maintenant au boulot, tu dois le préparer !
La préparation des activités d’audit :
La préparation d’un audit impliquera un certain nombre d’actions à savoir :
- réaliser une revue documentaire,
- réaliser le plan d’audit,
- préparer des tâches dans l’équipe d’audit
- préparer des documents de travail.
La revue documentaire :
Le système documentaire dans une entreprise comme les processus, les procédures / informations documentées, les instructions, les indicateurs et les enregistrements, sont des moyens de décrire son fonctionnement.
Il est donc nécessaire d’avoir les éléments pertinents pour réaliser ta revue documentaire.
La revue documentaire consiste à étudier les documents et les enregistrements définis et mis en place dans le système de management.
En cas de détection d’un écart pour non satisfaction des exigences par rapport au référentiel, des écarts devront être identifiés et formalisés.
Pour faciliter cette revue, j’ai schématisé les questions potentielles que tu devrais te poser
Le plan d’audit :
Un audit doit faire l’objet d’une préparation et tu dois préparer un plan d’audit en fonction des informations à ta disposition dans le programme d’audit, et la documentation fournie par l’audité.
Ton plan doit tenir compte des disponibilités des auditées et doit préfigurer la programmation dans le temps des actions à réaliser.
Tu devras proposer aux audités un projet de plan d’audit et prendre en compte, si besoin, les remarques et modifications.
Exemple de plan d’audit :
Tu trouveras ci-dessous quelques exemples partiels de plan d’audit qui pourront t’aider.
La répartition des tâches :
Dans le cas où tu n’es pas tout seul comme auditeur, tu devras répartir les ressources en phase avec le plan d’audit.
Tu devras en tant que responsable d’audit, affecter les bonnes compétences aux bonnes activités et si c’est nécessaire lors de la réunion d’ouverture, tu dois répartir les tâches de chacun.
Les documents de travail :
Afin de réaliser un audit, tu dois préparer à l’avance un certain nombre de documents. Dans le cas où tu diriges une équipe d’auditeurs, tu dois communiquer ces documents avant l’audit
Voici quelques exemples de documents de travail :
- un plan d’échantillonnage,
- une grille de contrôle,
- un formulaire d’enregistrement des preuves d’audit.
Tes documents de travail doivent être adaptés au type d’audit et être utilisés quel que soit le support d’information (papier ou électronique)
La réalisation de l’audit interne :
Les activités d’audit sont réalisées en suivant une séquence de traitement prédéfinie dans la norme 19011 le processus d’audit interne.
Ce processus est décomposé en plusieurs parties :
- la réunion d’ouverture;
- les observations et constatations;
- les recherches de preuves;
- la préparation des conclusions;
- la réunion de clôture;
La réunion d’ouverture :
La réunion d’ouverture initialise le début d’un audit dans une entreprise. Elle permet de rassembler l’auditeur et les audités afin que chacun des informations.
La réunion d’ouverture a pour objectifs de :
- présenter l’auditeur (ou les auditeurs le cas échéant);
- présenter les audités:
- rappeler les objectifs et le champ de l’audit;
- rappeler le référentiel concerné;
- présenter les méthodes d’audit utilisées;
- expliquer comment les écarts devront être traités;
- rappeler que l’audit est un outil d’amélioration;
- informer sur le respect de la confidentialité;
- rappeler le contenu du plan d’audit validé en amont.
En traitant avec le sourire, un maximum de ces éléments, tu réaliseras une bonne réunion d’ouverture.
Les observations :
Durant l’audit dans une entreprise, les observations ont pour objectif de déterminer la conformité du système de management qualité par rapport au référentiel.
Ces observations peuvent être liées à un examen des documents ou fonctionnements trouvés sur place ou lors de la revue documentaire.
Il faudra par la suite déterminer leurs conformités par un entretien avec les différents acteurs des processus de l’entreprise.
Au cours de ses entretiens, l’auditeur devra poser des questions aux audités. Ce questionnement porte sur les process et procédures des activités, la mise en œuvre des outils utilisés, les indicateurs, les tableaux de bord, les moyens de pilotage, le traitement des non-conformités, les actions d’amélioration.
Les constats :
Toutes les observations que tu as effectuées dans l’entreprise et le résultat d’un échantillonnage réalisé de manière cohérente.
Il existe deux types de constat :
Le constat est conforme aux critères d’audit et au référentiel il est donc conforme
Le constat n’est pas conforme aux critères d’audit et au référentiel il y a donc un écart
Dans le cas où un doute subsiste, tu devras effectuer des investigations plus en détail afin de vérifier ou d’infirmer une présomption d’écart.
Le concept de risque en audit interne c’est quoi ?
Mais pourquoi je parle de concept de risque dans un article sur l’audit interne !
Bha tout simplement parce que la notion de risque est l’élément clé dans vos prise de décision sur la nature des écarts et constats que vous rencontrez lors de vos missions.
Il est impossible de statuer sur la criticité d’une non-conformité ou un écart si vous n’évaluez pas le risque sur les activités de l’entreprise.
C’est votre rôle, je dirais même votre devoir d’identifier les risques éventuels des preuves objectives qui sont fournies par les entreprises.
Attention il ne faut pas confondre votre rôle de risquologie avec celui du manager des risques qui lui a pour mission de gérer les risques identifiés.
La définition du risque en quelques mots :
Le risque et un concept signifiant la possibilité que la combinaison d’un événement et d’un mode de fonctionnement empêche l’atteinte des objectifs.
Après avoir lu cette belle définition, je me suis permis de vous faire un petit dessin qui explique simplement ce qu’est un risque.
La recherche de preuve :
Le fait d’identifier un écart ne suffit pas. En tant qu’auditeur, tu devras apporter la preuve de la non-conformité par rapport aux critères d’audit et le référentiel visé.
Une preuve permet d’étayer un constat mais aussi permet de réduire considérablement le risque de contestation.
Les preuves d’audit constituent des enregistrements et sont conservées dans le rapport.
La préparation des conclusions d’audit :
Pour préparer ta conclusion, tu dois procéder à une revue de toutes les constatations de l’audit et créer une synthèse de ces constats.
Dans tes conclusions tu dois présenter l’efficacité du système de management (forces et faiblesses), son niveau de conformité et sa maturité.
Les pistes de progrès pourront également être communiquées.
La réunion de clôture :
L’animateur de la réunion de clôture c’est toi et tu devras réunir toutes les personnes qui ont participé à l’audit.
Voici quelques exemples de points abordés lors de la réunion de clôture :
- présenter les constats d’audit;
- détailler les preuves d’audit;
- mettre en évidence les points forts du système qualité;
- informer sur les points de faibles du SMQ;
- informer sur les pistes de progrès;
- informer sur le délai de traitement des écarts;
- répondre aux questions;
La rédaction et la diffusion du rapport d’audit :
Même si un grand nombre d’auditeurs rédigent lors de l’audit, tu dois rassembler tes constats dans un document appelé “le rapport d’audit.
Ce document devra être clair et précis et il sera diffusé aux destinataires définis.
Dans ce rapport tu pourras y intégrer le cas échéant :
- mentionner les dates et lieux de l’audit
- le critère de l’audit
- le champ de l’audit
- les noms des personnes rencontrées
- les constatations et les preuves
- des conclusions
Clôture de l’audit :
L’audit prend fin lorsque les documents (rapport, fiches d’écarts) sont communiqués aux personnes définies.
Suivi de l’audit :
Vous devez suivre l’état d’avancement des actions correctives ou d’amélioration mentionnées au rapport d’audit.
Lors de l’audit de suivi, il sera de votre responsabilité de vous assurer que les actions issues de l’audit précédent sont bien soldées.
Tout le monde peut-il devenir auditeur interne ?
Le métier d’auditeur interne ne s’improvise pas, il doit s’appuyer sur de la factualité en occurrence, les normes internationales comme l’ISO 9001, l’EN 9100, l’EN 9120, l’ISO 14001 etc … Il est donc nécessaire d’avoir suivi une formation et de maîtriser le ou les référentiels sur lesquels vous souhaitez devenir auditeur.
Il s’appuie également sur le un cadre de référence des pratiques professionnelles des audits internes.