Exclusions ISO 9001 : ce que vous pouvez déclarer non applicable (et ce que vous ne pouvez pas)

La question classique : « On peut-tu enlever la conception? On fait juste exécuter ce que le client demande. »

Parfois oui. Souvent non. Et même quand la réponse est oui, la justification écrite ne tient pas toujours devant un auditeur.

ISO 9001:2026 est publiée depuis le 16 septembre 2026. C’est le moment de nettoyer ça. L’exercice est court et peut vous éviter une non-conformité sur une clause que vous pensiez réglée depuis votre certification 2015.

Une précision avant de commencer. ISO 9001:2026 est maintenant l’édition courante de la norme. Les organisations déjà certifiées selon ISO 9001:2015 disposent d’une période de transition, encadrée par le document Global ACI-TECH-3-TR publié le même jour que la norme. Deux dates comptent : à partir du 31 mars 2028, les nouvelles certifications accréditées ne peuvent être délivrées que selon la version 2026. Le 30 septembre 2029 est la limite pour terminer la transition. Selon votre calendrier et l’entente avec votre organisme de certification, votre prochain audit peut donc encore se faire selon l’édition 2015 ou servir d’audit de transition.

Le mécanisme d’applicabilité de la clause 4.3 demeure essentiellement le même dans les deux éditions. Je signale les écarts quand il y en a.

Le mot « exclusion » n’existe plus dans la norme

Petit rappel historique, parce qu’il explique la confusion.

ISO 9001:2008 avait une clause 1.2 qui permettait explicitement des « exclusions », limitées aux exigences de la clause 7 (Réalisation du produit). Tout le monde a pris l’habitude de dire « on exclut la 7.3 ».

ISO 9001:2015 a supprimé ce mécanisme. Le mot exclusion a disparu du texte. Il a été remplacé par une notion différente : l’applicabilité, traitée à la clause 4.3. ISO 9001:2026 ne revient pas là-dessus. La clause 4.3 conserve sa mécanique, y compris l’obligation de justifier toute exigence déclarée non applicable.

La différence n’est pas cosmétique. En 2008, vous retiriez une clause du champ. Depuis 2015, toutes les exigences de la norme s’appliquent par défaut à votre système de gestion de la qualité (SGQ). Vous démontrez qu’une exigence précise ne peut pas s’appliquer, compte tenu de la nature de vos activités. C’est un renversement du fardeau de la preuve.

Conséquence pratique : la question n’est plus « quelles clauses veut-on retirer? » mais « y a-t-il une exigence qui ne peut pas s’appliquer chez nous? »

Le test à deux barrières de la clause 4.3

La clause 4.3 vous demande de déterminer les limites et l’applicabilité de votre SGQ, de conserver le périmètre sous forme d’information documentée, d’y indiquer les types de produits et services couverts et de justifier toute exigence de la norme que vous jugez non applicable.

Une non-applicabilité doit franchir deux barrières en même temps.

Barrière 1 : l’exigence ne peut pas être appliquée à vos processus, produits ou services dans le périmètre déterminé. Il ne suffit pas de dire qu’elle n’est pas actuellement mise en œuvre. Il faut démontrer que les conditions visées par l’exigence ne se présentent pas dans votre contexte, ou que l’exigence est conditionnelle et que sa condition d’application n’est pas remplie.

Barrière 2 : cette décision ne compromet ni votre capacité ni votre responsabilité à fournir des produits et services conformes, ni l’amélioration de la satisfaction du client.

Les deux conditions sont cumulatives, pas alternatives. Si l’exigence peut réellement s’appliquer, elle doit être appliquée. C’est la logique de la clause 4.3. L’annexe A de l’édition 2026 précise le sens d’« applicable ».

Un mot sur les guides de l’Auditing Practices Group (APG) de l’ISO/TC 176 que je cite plus loin. Ils sont utiles, mais non normatifs : l’APG précise lui-même que ses documents n’ont pas été approuvés officiellement par l’ISO, l’ISO/TC 176 ou l’IAF.

Le tableau, clause par clause

Voici où vous avez du jeu et où vous n’en avez pratiquement aucun. Deux avertissements avant de lire le tableau.

La norme ne publie aucune liste officielle d’exigences excluables ou non. Le critère est celui de la clause 4.3, appliqué à votre cas. Ce tableau est une lecture pratique de ce critère, appuyée sur les guides d’audit de l’APG. Un auditeur peut conclure autrement dans un contexte particulier, mais il devra le justifier avec le même test.

La numérotation vaut pour les deux éditions, sauf la clause 6.1 qui se subdivise et la clause 10.3 qui disparaît en 2026. « Normalement toujours applicable » veut dire qu’une non-applicabilité serait exceptionnellement difficile à soutenir, pas qu’un texte l’interdit.

En pratique, les déclarations de non-applicabilité se concentrent surtout dans certaines exigences conditionnelles des clauses 7 et 8, particulièrement 7.1.5.2, 8.3 et certains éléments de 8.4 et 8.5. Ce n’est pas une liste officielle ni fermée : chaque décision doit être évaluée selon la clause 4.3.

Les quatre justifications qui ne passent pas

« Ça coûte trop cher. » Le coût n’est pas un critère d’applicabilité. C’est un critère de dimensionnement de votre système, pas d’exclusion.

« C’est externalisé. » L’APG est explicite là-dessus : aucune clause ne devient non applicable parce que l’activité est confiée à un tiers. Si vous sous-traitez la conception, la clause 8.3 reste applicable et l’auditeur vérifiera comment vous maîtrisez ce processus externalisé, via la clause 8.4. Vous ne pouvez pas sous-traiter votre responsabilité.

« Aucun client ne l’a demandé. » La norme n’est pas un contrat client. Elle vaut par elle-même une fois que vous demandez la certification.

« On a découpé le périmètre pour ne pas l’inclure. » Le périmètre peut être limité à une division, un site ou une gamme de services. Ce que vous ne pouvez pas faire, c’est dessiner un périmètre artificiel dont le seul objet est d’échapper à une exigence qui touche réellement les services inclus. Un périmètre qui induit le marché en erreur sur ce que couvre votre certificat sera contesté par l’organisme de certification, qui a ses propres obligations sous ISO/IEC 17021-1.

Les trois pièges qui coûtent des non-conformités

Piège 1 : la conception qui ne dit pas son nom. La justification « nous exécutons uniquement selon les spécifications du client » peut être valable lorsqu’un client ou une autre entité détient réellement l’autorité de conception et fournit des exigences complètes et approuvées. C’est le cas d’un atelier d’usinage qui reçoit un plan coté complet. Elle devient fragile dès que votre organisation définit ou modifie les caractéristiques du produit ou du service, traduit un besoin incomplet en spécifications, établit une architecture propre au client ou assume la responsabilité d’une solution répondant à des exigences fonctionnelles.

Le simple choix d’un outil, d’une séquence de travail ou d’une méthode de fabrication ne constitue pas automatiquement de la conception. Pour un service, par contre, définir une nouvelle méthode de prestation peut relever de 8.3 lorsque cette méthode fait partie des caractéristiques promises au client.

La bonne question : qui détient l’autorité et la responsabilité de définir ou de modifier les caractéristiques du produit ou du service livré?

Une firme de TI, d’ingénierie ou de services professionnels qui déclare 8.3 non applicable devrait refaire l’analyse avant qu’un auditeur la fasse à sa place. Ce n’est pas une règle écrite dans la norme. C’est un signal d’alarme, parce que ces firmes traduisent souvent un besoin incomplet en solution.

Piège 2 : la propriété du client mal comprise. Des entreprises de services déclarent 8.5.3 non applicable en pensant que la clause vise uniquement des pièces physiques laissées en consigne. Si un client vous confie des données, des documents, des renseignements personnels ou de la propriété intellectuelle, la clause 8.5.3 peut s’appliquer même en l’absence de pièces physiques. Il faut identifier ce qui est confié, le vérifier lorsque c’est pertinent, le protéger et signaler toute perte, détérioration ou impropriété d’utilisation.

C’est aussi un pont naturel entre le SGQ et la Loi 25 lorsque vous traitez des renseignements personnels confiés par un client. La Loi sur la protection des renseignements personnels dans le secteur privé, telle que modifiée par la Loi 25, exige qu’une entreprise détruise ces renseignements lorsque les finalités sont accomplies ou qu’elle les anonymise pour les utiliser à des fins sérieuses et légitimes, sous réserve d’un délai de conservation prévu par la loi. Un même inventaire peut soutenir les deux systèmes, à condition de distinguer les propriétaires, les personnes concernées, les finalités, les délais de conservation, les mesures de protection et les méthodes de destruction ou d’anonymisation.

Piège 3 : la justification recopiée d’un modèle trouvé en ligne. Un auditeur reconnaît un texte générique en trois secondes. Le paragraphe doit nommer vos activités, vos produits et vos services.

Si vous connaissez ISO 27001 : pourquoi il n’y a pas de SoA en ISO 9001

Cette section s’adresse à ceux qui gèrent les deux normes. Si ce n’est pas votre cas, sautez à la suivante.

C’est la comparaison qui embrouille tout le monde.

ISO/IEC 27001 impose une déclaration d’applicabilité (SoA) parce que sa structure le rend nécessaire. La norme a deux étages : les exigences des clauses 4 à 10 et l’annexe A, qui regroupe 93 contrôles de référence répartis en quatre thèmes. La clause 6.1.3 exige que vous déterminiez tous les contrôles nécessaires pour traiter vos risques, d’où qu’ils viennent, puis que vous les compariez à l’annexe A pour vérifier qu’aucun contrôle nécessaire n’a été omis. La SoA contient ensuite les contrôles nécessaires, la justification de leur inclusion, leur état de mise en œuvre et la justification des contrôles de l’annexe A que vous jugez inutiles. C’est un document de sélection.

Un point souvent mal compris : en ISO 27001, les clauses 4 à 10 ne sont pas plus excluables qu’en ISO 9001. La SoA porte sur les contrôles, pas sur ces clauses. Personne n’a jamais eu le droit d’exclure la revue de direction.

ISO 9001 n’a pas de catalogue de contrôles. Il n’y a rien à sélectionner. Tout le texte des clauses 4 à 10 est une exigence, donc il n’y a pas de document de sélection à produire.

Trois différences pratiques en découlent :

En ISO/IEC 27001, vous documentez les contrôles nécessaires et vous rendez compte de la couverture de l’annexe A. En ISO 9001, vous appliquez les exigences pertinentes du référentiel et vous justifiez les exigences que vous déterminez non applicables.

Où et comment le documenter

La seule information documentée exigée par la clause 4.3, c’est le périmètre. La justification de non-applicabilité doit s’y trouver. Pas dans un manuel qualité de quarante pages que la norme n’exige plus depuis 2015, pas dans un courriel à l’auditeur, pas dans une procédure enfouie.

Ne confondez pas deux gestes différents. Limiter le périmètre est un choix organisationnel encadré : il faut tenir compte du contexte, des parties intéressées, des produits et services ainsi que des processus nécessaires à leur fourniture. Déterminer une exigence non applicable est une décision différente, qui doit être justifiée dans l’information documentée décrivant le périmètre. Dans les deux cas, le résultat doit être exact, non trompeur et cohérent avec les activités réellement couvertes. Les deux vivent dans le même document, ce qui explique une bonne partie de la confusion.

Gabarit à adapter :

Périmètre du système de gestion de la qualité

Le système de gestion de la qualité de [Organisation] couvre [types de produits et services], réalisés à partir de [sites et adresses].

Ne sont pas couverts par ce périmètre : [activités, sites ou gammes non couverts, s’il y a lieu].

Exigences non applicables

Clause 8.3, Conception et développement des produits et services : non applicable. [Organisation] fournit [description précise des produits ou services] à partir de spécifications et de caractéristiques complètes établies et approuvées par [le client ou l’entité responsable de la conception]. [Organisation] ne détient pas l’autorité de définir ou de modifier les caractéristiques de conception du produit ou du service. Toute ambiguïté ou demande de modification est soumise à [l’autorité de conception] pour décision et approbation avant exécution.

L’organisation planifie et maîtrise ses méthodes de réalisation conformément aux clauses opérationnelles applicables, mais n’effectue ni ne sous-traite d’activité de conception ou de développement relevant de son propre domaine de responsabilité.

Cette non-applicabilité n’affecte ni la capacité ni la responsabilité de [Organisation] à fournir des produits et services conformes aux exigences applicables ni à améliorer la satisfaction du client.

Toutes les autres exigences d’ISO 9001 sont applicables.

Notez le choix de « applicables », pas « appliquées » dans la dernière ligne. Déclarer une exigence applicable est une décision de périmètre. Démontrer qu’elle est appliquée est le travail du reste de votre système et ça se prouve autrement. Une organisation peut très bien avoir une exigence applicable et une non-conformité dans sa mise en œuvre. Ne mélangez pas les deux dans le même document.

À côté du périmètre, tenez un tableau d’applicabilité interne. La norme ne l’exige pas. Il vous sauve du temps en audit, en surveillance annuelle et lors d’un changement de périmètre.

Relisez ce tableau à chaque revue de direction. Encore une fois, la norme ne l’exige pas : c’est une bonne pratique que je recommande. Une non-applicabilité est valide au moment où vous l’écrivez, pas pour toujours. Le jour où vous signez un premier contrat de développement sur mesure, votre justification 8.3 devient fausse et vous êtes en non-conformité jusqu’à ce que quelqu’un s’en aperçoive.

Les questions que l’auditeur va poser

Testez vos justifications avec ces questions avant qu’un tiers le fasse pour vous.

1. Montrez-moi où la non-applicabilité est documentée dans votre périmètre.
2. Qui a pris cette décision, quand et sur quelle base?
3. Est-ce que cette activité existe nulle part dans votre organisation, ou est-ce qu’elle est simplement faite par quelqu’un d’autre?
4. Si un client vous demande demain de proposer une solution plutôt que d’exécuter la sienne, qu’est-ce qui change dans votre système?
5. Sur le contrat que je viens de lire, qui a déterminé les caractéristiques du livrable, vous ou le client?
6. Vous dites ne pas concevoir. Qui définit et approuve les caractéristiques du produit ou du service? Qui décide des modifications lorsque les exigences initiales sont incomplètes ou ambiguës?
7. Cette exigence est-elle inapplicable, ou simplement non appliquée jusqu’à maintenant?
8. En quoi son absence n’affecte-t-elle pas la conformité de vos produits et services?
9. Cette justification a-t-elle été revue depuis combien de temps? Vos activités ont-elles changé depuis?
10. Le libellé de votre périmètre et de votre certificat décrit-il fidèlement les produits, services, sites et responsabilités de conception réellement couverts?

La question 7 résume tout l’article. Si l’une de ces questions vous fait hésiter, vous avez trouvé où travailler.

Ce que l’édition 2026 change là-dessus

Sur l’applicabilité elle-même, ISO 9001:2026 change peu de choses. La clause 4.3 conserve sa mécanique. L’annexe A publiée précise le sens d’« applicable ». Les exigences opérationnelles de 8.3 à 8.7 demeurent substantiellement stables. La clause 8 comporte quand même quelques changements au-delà de la terminologie : une restructuration de 8.1 et une clarification de la communication au client sur les mesures de contingence et les interruptions en 8.2.1. Si votre déclaration de périmètre est solide aujourd’hui, elle le restera.

Trois points valent votre attention quand même.

Le climat n’est pas une nouveauté de 2026. Depuis l’amendement ISO 9001:2015/Amd 1:2024, l’organisation doit déterminer si le changement climatique constitue un enjeu pertinent pour son SGQ. La clause 4.2 rappelle aussi que des parties intéressées pertinentes peuvent avoir des exigences liées au climat. L’édition 2026 intègre cette modification dans le texte principal. Vous pouvez conclure que le climat n’est pas un enjeu pertinent pour votre SGQ, mais vous devez avoir fait l’analyse et pouvoir en démontrer le résultat. Cette conclusion n’a pas nécessairement à figurer dans la déclaration de périmètre, même si elle peut influencer le périmètre lorsqu’elle est pertinente. Si vous n’avez rien consigné, vous n’êtes pas en retard sur 2026, vous êtes en retard sur 2024.

Citez l’intitulé, pas seulement la lettre. Les listes d’alinéas peuvent avoir été restructurées, comme l’a été celle de 8.1. Si votre déclaration de périmètre cite une lettre d’alinéa, vérifiez-la dans l’édition 2026. Citez l’intitulé de l’exigence en plus de sa référence.

La transition est une occasion de rouvrir le dossier. Si votre déclaration de périmètre date de votre certification initiale et que votre entreprise a changé d’activités depuis, l’analyse d’écart 2015 vers 2026 est l’occasion de la refaire sans que ça ait l’air d’un aveu. Vous avez jusqu’au 30 septembre 2029, mais l’audit de transition peut se faire pendant une surveillance, une recertification ou un audit distinct. Demandez son calendrier à votre organisme de certification : c’est lui qui fixera votre échéance pratique.

Pour le reste de la révision, j’en ai parlé dans ISO 9001:2026 : changements et plan de transition. L’analyse d’écart et la marche à suivre sont dans ce même article.

À faire cette semaine

1. Ouvrez votre déclaration de périmètre. La clause 4.3 exige qu’elle existe sous forme d’information documentée et qu’elle soit disponible. Si personne ne la trouve dans votre organisation, le problème n’est pas théorique.
2. Listez chaque exigence que vous avez déclarée non applicable. Comptez-les. Une longue liste n’est pas interdite, mais elle attire l’attention d’un auditeur.
3. Pour chacune, appliquez le test à deux barrières et écrivez la réponse. Si vous ne pouvez pas l’écrire en trois phrases précises qui nomment vos activités, la justification ne tient pas.
4. Sortez vos trois derniers contrats signés. Lisez qui définit les caractéristiques du livrable. Si c’est vous qui les définissez ou les modifiez, ou qui traduisez un besoin incomplet en spécifications, votre non-applicabilité 8.3 ne tient plus.
5. Remplissez le tableau d’applicabilité et ajoutez-le au point permanent de votre prochaine revue de direction.
6. Demandez à votre organisme de certification la date de votre prochain audit et le calendrier de votre transition vers 2026.

Bref, dans ISO 9001 il n’y a rien à exclure. Il y a seulement des exigences qui ne peuvent pas s’appliquer chez vous. À vous de le prouver.

Votre déclaration de périmètre ou une non-applicabilité vous semble fragile avant le prochain audit? Parlons-en.

Sources

• ISO 9001:2026, page officielle de la norme (statut Published, septembre 2026)
• ISO, annonce officielle du 16 septembre 2026
• Global ACI, exigences de transition pour ISO 9001:2026 (Global ACI-TECH-3-TR)
• ISO/TC 176 Auditing Practices Group, Scope and applicability (guide non normatif)
• ISO/TC 176 Auditing Practices Group, Auditing climate change issues in ISO 9001
• ISO 9001:2015/Amd 1:2024, amendement sur les enjeux climatiques
• Commission d’accès à l’information, conservation et destruction des renseignements personnels
• Loi sur la protection des renseignements personnels dans le secteur privé (LégisQuébec)
• AFNOR, fiche pratique sur les exigences non applicables
• NQA, Understanding Non-Applicable Requirements
• BSI, ISO 9001:2026 Key Changes and Guidance
• NSF, ISO 9001:2026 published on September 16, 2026