Si vous avez reçu ou conduit un audit en visioconférence, cette norme vous concerne directement.
Guide — Photo by Aron Visuals on Unsplash
ISO/IEC TS 17012:2024 est la première spécification technique internationale consacrée exclusivement aux méthodes d’audit à distance dans les systèmes de gestion.
Elle a été publiée en juillet 2024, et ISO 19011:2026 y fait référence directement.
Une précision importante : c’est une spécification technique (TS), pas une norme internationale (IS). Elle n’établit pas de nouvelles exigences de certification. Elle fournit des lignes directrices que les organisations auditantes et les audités doivent utiliser pour s’assurer qu’un audit à distance atteint les mêmes objectifs qu’un audit sur site.
À qui s’applique cette norme
La clause 1 est claire : ISO/IEC TS 17012 s’applique à toutes les organisations qui planifient et conduisent des audits de systèmes de gestion : internes (première partie), chez leurs fournisseurs (deuxième partie) ou par des organismes de certification (troisième partie).
Si vous êtes audité, cette norme vous donne les bases pour savoir ce que votre auditeur est censé faire avant, pendant et après un audit à distance. Si vous êtes auditeur, elle décrit vos obligations.
Avant de commencer : huit conditions à remplir
La clause 5.2.2 liste les conditions qui doivent toutes être remplies avant d’utiliser des méthodes d’audit à distance :
- Les méthodes à distance ne compromettent pas l’atteinte des objectifs du programme d’audit.
- Leur utilisation est appropriée et acceptée par les parties concernées.
- Les technologies ont été sélectionnées et leur gestion a été définie.
- L’information disponible est suffisante pour les appliquer.
- La portée et les limites de l’utilisation à distance ont été définies dans le programme.
- La capacité des deux parties à utiliser les méthodes : compétences du personnel, capacités techniques et physiques : a été confirmée.
- Les différences de compréhension des méthodes à distance entre l’auditeur et l’audité ont été résolues.
- Un accord prévoit comment modifier la méthode si nécessaire.
Le point 6 est souvent ignoré. L’audité doit aussi être capable d’utiliser les outils. Si ce n’est pas confirmé avant l’audit, c’est un risque qui doit être géré selon la clause 5.3.
Les risques que la norme identifie
La clause 5.3 impose une évaluation des risques spécifique à l’utilisation des méthodes à distance.
La norme fournit une table de risques à la Table 1. Voici les plus critiques :
Processus qui requièrent une observation physique. Certains processus ne peuvent pas être audités efficacement à distance. L’odorat, la vibration, la température, les conditions d’humidité ne s’observent pas en visioconférence. La norme le dit explicitement.
Intégrité des preuves. La lisibilité réduite des documents, la mauvaise résolution vidéo, ou une visibilité partielle du processus peuvent compromettre la fiabilité des conclusions d’audit.
Absence d’un plan de contingence. Si les outils tombent en panne et qu’aucune alternative n’a été prévue, les objectifs d’audit sont compromis. Ce n’est pas une option, c’est une exigence.
Protection des données. Les exigences spécifiques à la protection des données et à la sécurité de l’information lors de l’échange de documents numériques doivent être définies avant l’audit. Une brèche potentielle de la législation sur la protection des données est identifiée comme risque concret.
Les avantages réels, selon la norme
La Table 2 recense aussi les opportunités. Elles méritent d’être nommées :
- Réduction du temps de déplacement : économies directes, réduction des émissions carbone.
- Flexibilité de planification : experts techniques peuvent être impliqués facilement pour de courtes périodes, même en dehors du fuseau horaire local.
- Portée élargie : des processus couvrant plusieurs sites peuvent être audités simultanément sans déplacement.
- Audits de courte notice : en cas de déviation soudaine, un groupe peut se réunir rapidement pour clarifier un problème.
- Santé et sécurité des auditeurs : aucune exposition aux conditions dangereuses sur site, conflits, risques sanitaires ou de transport.
Ce dernier point est rarement mis de l’avant. L’audit à distance est aussi un outil de protection des auditeurs.
La préparation : ce qui doit être convenu avec l’audité
La clause 6.3.2.3 est l’une des plus opérationnelles de la norme. Avant l’audit, les éléments suivants doivent être confirmés et convenus avec l’audité :
- La durée de l’audit par journée, en tenant compte des fuseaux horaires.
- Les moyens de communication alternatifs si l’outil principal devient indisponible.
- Les protocoles d’utilisation des plateformes audio et vidéo.
- La fonctionnalité de la technologie : accès à la plateforme, disponibilité des documents en format électronique, qualité audio/vidéo, accès aux salles de travail virtuelles (breakout rooms).
- Les accords sur la confidentialité, la sécurité des données et les droits d’accès.
- L’information que l’audité doit mettre à disposition à l’avance.
- La propriété intellectuelle, la conservation des enregistrements, les habilitations de sécurité.
- Si des enregistrements, transcriptions ou photos seront utilisés : et la base légale pour le faire.
La collecte de preuves à distance : des limites à connaître
La clause 6.4.7.3 liste les considérations spécifiques à la collecte d’information en mode à distance. Deux méritent une attention particulière.
L’auditeur doit vérifier que les documents qu’il voit sont ceux qu’il a demandés, et non ceux que l’audité veut lui montrer. En audit sur site, l’auditeur peut demander directement un document dans une armoire. À distance, il dépend de ce que l’audité partage. La clause 7.2.3.2 d) en fait une compétence distincte de l’auditeur.
L’intégrité des données doit être établie. Lorsque l’auditeur consulte des bases de données ou des systèmes à distance, il doit s’assurer que les données qu’il examine n’ont pas été manipulées. La clause 7.2.3.2 f) en fait une obligation explicite.
Trois types d’audits à distance
L’annexe A.1 distingue trois configurations :
Entièrement à distance (A.1.1) : aucune activité sur site n’est prévue. La faisabilité dépend de l’évaluation des risques liés à la nature des produits et services, à l’accès à distance aux processus et à la documentation.
Hybride ou mixte (A.1.2) : au moins une partie est conduite sur site. Par exemple, un auditeur couvre la production sur site pendant qu’un autre révise les documents à distance. C’est souvent l’approche la plus réaliste et la plus robuste.
Avec auditeur substitut ou délégué (A.3.3) : concept nouveau. Un auditeur substitut est une personne présente physiquement chez l’audité qui agit comme les yeux et les oreilles de l’équipe d’audit distante. Il n’est pas responsable de poser des questions, sauf si guidé par l’auditeur responsable. Il doit respecter les mêmes exigences d’impartialité que les auditeurs. Ce modèle peut être utile quand un accès à distance complet n’est pas possible mais qu’un déplacement n’est pas justifié.
Ce que le rapport d’audit doit maintenant inclure
La clause 6.5.2 est directe : le rapport d’audit doit documenter les méthodes à distance utilisées, leur portée et leur efficacité, y compris les avantages et les limites rencontrés.
La norme va plus loin : si l’intelligence artificielle a été utilisée pour générer une partie du rapport, ce fait doit être déclaré et démontrer que les principes de confidentialité et de conscience professionnelle ont été respectés. L’étendue de l’utilisation des TIC dans la conduite de l’audit doit apparaître dans le rapport et les dossiers associés.
Ce que ça change pour vous
Si vous recevez des audits à distance : vous pouvez demander à votre auditeur de documenter les méthodes utilisées et leurs limites dans le rapport. Ce n’est pas une demande excessive, c’est ce que la clause 6.5.2 exige.
Si vous planifiez des audits à distance : la liste des éléments à confirmer avec l’audité (clause 6.3.2.3) est un outil de planification directement utilisable. Chaque point non confirmé est un risque à documenter dans votre programme selon la clause 5.3.
Source
ISO/IEC TS 17012:2024 est disponible auprès de l’ISO à l’adresse iso.org.