ISO 19011 a été publiée en mai 2026. Si vous avez lu mon article sur la version 2018, ici je vous parle de la nouvelle version.
La structure reste la même : principes d’audit, programme d’audit, réalisation, compétence des auditeurs. Ce qui change, c’est le contenu à l’intérieur de ces chapitres.
Les audits à distance sont maintenant une méthode normale
La version 2026 définit formellement la notion d’audit à distance à la clause 3.4 : une méthode utilisée pour conduire des activités d’audit depuis tout endroit autre que les locaux de l’audité. L’ajout dans les définitions, c’est le signal que ce n’est plus une option de secours.
La clause 5.1 va plus loin : le programme d’audit doit maintenant documenter les méthodes d’audit à utiliser, y compris les méthodes d’audit à distance (item g). Ce n’est plus implicite, c’est une exigence du programme.
La clause 3.6 précise aussi que la portée d’un audit inclut désormais les emplacements physiques et virtuels. Un environnement infonuagique ou une plateforme numérique sont des sites auditables.
L’annexe A.16 encadre la conduite concrète des audits à distance. Elle couvre :
- La préparation technique : vérification des accès, protocoles convenus, plans de contingence en cas de panne.
- La sécurité des données et la confidentialité, y compris la gestion des pauses (mettre en sourdine, couper la caméra).
- La demande de permission avant toute capture d’écran ou enregistrement.
- La compétence spécifique requise : l’auditeur doit maîtriser les outils technologiques utilisés et savoir conduire un audit à distance efficacement.
L’annexe A.17 ajoute une précision sur les entretiens à distance (clause g) : dans un contexte virtuel, la communication non verbale est limitée. L’auditeur doit adapter le type de questions pour obtenir des preuves objectives.
Pour les détails opérationnels complets, la norme renvoie à ISO/IEC TS 17012:2024.
Le programme d’audit doit gérer ses propres risques
La clause 4.8 établit l’approche fondée sur les risques comme principe fondamental. La clause 5.3 l’applique directement au programme d’audit lui-même.
Les risques à évaluer incluent notamment :
- La sélection de la méthode d’audit : sur site, à distance, en tenant compte de la capacité de la méthode choisie à atteindre l’objectif d’audit (clause 5.3 d).
- La sécurité des méthodes TIC utilisées : plateformes non sécurisées, sélection inadéquate des outils (clause 5.3 k).
- La coordination et la confidentialité dans la mise en œuvre (clause 5.3 f).
Le programme doit documenter ces risques et les actions pour les adresser. La clause 5.1 b) est explicite : le programme doit inclure les risques et opportunités associés au programme d’audit (voir 5.3) et les actions pour y répondre.
Les audits combiné de plusieurs normes ont leurs propres exigences de compétence
La clause 7.2.3.5 introduit des exigences spécifiques pour les audits couvrant plusieurs disciplines. Le membre de l’équipe d’audit doit comprendre les interactions et les synergies entre les différents systèmes de gestion.
Le chef d’équipe, lui, doit comprendre les exigences de chaque norme auditée et reconnaître les limites de sa propre compétence dans chaque discipline.
L’annexe A.13 précise comment préparer les documents de travail pour les audits combinés : regrouper les exigences similaires de différents critères et coordonner les listes de vérification pour éviter les doublons.
L’annexe A.18.4 aborde les constats liés à plusieurs critères. Lorsqu’un constat touche plusieurs normes, l’auditeur peut soit émettre des constats séparés pour chaque critère, soit un constat unique qui regroupe les références aux différents systèmes. C’est un accord avec le client d’audit qui détermine l’approche.
La compétence des auditeurs intègre la technologie et la pensée critique
La clause 7.2.3.2 a) liste les connaissances et compétences génériques requises. Le point 10 est nouveau et concret :
L’auditeur doit comprendre l’opportunité et les conséquences de l’utilisation des TIC et des technologies émergentes pour conduire les audits, y compris les outils d’évaluation basés sur l’intelligence artificielle.
C’est la première fois que l’IA est mentionnée explicitement dans la norme.
Le point 4 réitère l’exigence de prioriser et de se concentrer sur les sujets significatifs. C’est la pensée critique appliquée : ne pas couvrir toutes les clauses de façon égale, mais concentrer l’effort là où le risque est plus élevé.
La clause 7.6 encadre le développement professionnel continu. Il doit tenir compte notamment des développements dans la pratique d’audit, y compris l’utilisation de la technologie (clause 7.6 b).
La santé et la sécurité des auditeurs sont formalisées
La clause 7.2.3.4 d) 3) précise que le chef d’équipe doit tenir compte de la santé et de la sécurité des membres de l’équipe d’audit, y compris en s’assurant que les dispositions pertinentes en matière de santé, sécurité et sûreté sont respectées.
L’annexe A.15 détaille ce que ça implique en pratique pour les visites sur site :
Obtenir les informations sur la sécurité, la santé (vaccinations recommandées, quarantaine), les normes culturelles et les heures de travail.
- Confirmer la disponibilité des équipements de protection individuelle (EPI) requis.
- Communiquer les procédures d’urgence : sorties de secours, points de rassemblement.
- Ne pas toucher ni manipuler d’équipements, sauf permission explicite.
Ce n’est pas nouveau dans la pratique. C’est nouveau dans le texte normatif.
Sources
Le texte cité dans cet article est tiré directement d’ISO 19011:2026. La norme est disponible auprès de l’ISO à l’adresse iso.org/standard/19011. Elle est sous droit d’auteur. J’ai inclus l’information afin de vous pointer aux bons endroits dans la norme.