Rassembler les preuves pour les audits internes et de certification

Audits internes et audits de certification

Un audit interne est un audit que vous menez sur vous-même, pour vérifier que la pratique correspond à ce que disent vos procédures. Un audit de certification est mené par un organisme de certification externe selon une norme, souvent une norme de système de management comme ISO 9001 (qualité), ISO 14001 (environnement) ou ISO 45001 (santé et sécurité au travail). Les audits clients et fournisseurs se situent quelque part entre les deux.

Ce site ne décrit pas les exigences de ces normes article par article ; lisez la norme elle-même ou interrogez votre organisme de certification. De manière générale, un audit de système de management recherche des preuves que vous avez défini votre façon de travailler, que vous travaillez effectivement ainsi, que vous conservez des enregistrements qui le démontrent, et que vous en faites la revue et l'améliorez. Les preuves sont généralement des documents d'entreprise ordinaires : procédures, registres, dossiers de formation, fiches d'inspection, comptes rendus de réunion, actions correctives.

C'est une bonne nouvelle pour l'automatisation. Les preuves existent déjà, éparpillées entre dossiers, boîtes aux lettres et personnes. Le travail consiste à les rassembler.

Du plan d'audit à la liste des preuves

La plupart des audits commencent par un plan ou une liste de demandes de l'auditeur, ou par votre propre liste de contrôle d'audit interne. Transformer cela en preuves réunies passe chaque fois par les mêmes étapes :

1. Découper la demande en éléments individuels, chacun avec un responsable.
2. Retrouver ce qui existe déjà dans vos fichiers.
3. Demander aux responsables ce que vous ne trouvez pas.
4. Vérifier que chaque élément est la version en vigueur et couvre la période auditée.
5. Le classer de façon que l'auditeur puisse suivre la piste.
6. Tenir une liste des manques et décider quoi faire pour chacun.

Les étapes 1, 2, 3 et 5 ainsi que la liste des manques relèvent de l'administratif. L'étape 4 est en partie administrative (dates et versions) et en partie affaire de jugement. Décider quoi faire des manques relève du jugement.

Comment un collaborateur IA compile les preuves

The Everything peut lire le plan d'audit ou la liste de contrôle que vous lui fournissez et le traiter dans votre locataire Microsoft 365 :

• Recherche. Il cherche les documents correspondants dans SharePoint et OneDrive, comme les comptes rendus des deux dernières revues de direction, le registre des risques en vigueur ou les fiches d'inspection d'un site et d'une période donnés.
• Compilation. Il copie ou met en lien ce qu'il trouve dans un dossier d'audit, avec un index qui associe chaque élément demandé au fichier qui y répond.
• Relance. Pour les éléments introuvables, il interroge le responsable probable par e-mail ou dans Teams, relance et classe ce qui revient.
• Signalement. Il note les éléments qui semblent périmés ou hors de la période auditée, et liste les manques pour que vous les examiniez.
• Rédaction. Après l'audit, il peut transformer les constats en une liste d'actions correctives avec responsables et échéances, et prévenir les responsables à l'approche des dates.

Comme les mêmes documents alimentent chaque audit, tenir à jour toute l'année vos registres, vos documents maîtrisés et vos dossiers de formation allège considérablement chaque audit.

Gardez les originaux, pas des copies qui divergent

Un dossier d'audit doit renvoyer à vos documents réels, et non en devenir un second exemplaire. Quelques règles pratiques qui fonctionnent bien :

• Mettez un lien vers la version maîtrisée lorsque c'est possible, et ne copiez que si l'auditeur a besoin d'un instantané figé.
• Ne modifiez jamais un document pour qu'il fasse meilleure impression lors d'un audit. Si quelque chose manque, consignez le manque.
• Conservez l'index avec la date de sa constitution et le nom de la personne qui l'a approuvé.

Certains secteurs réglementés ont des règles explicites sur les pistes d'audit. Aux États-Unis, les règles de la FDA sur les enregistrements électroniques (21 CFR Part 11, §11.10(e), la réglementation fédérale américaine sur les enregistrements et signatures électroniques) exigent des « pistes d'audit sécurisées, générées par ordinateur et horodatées » et précisent que « les modifications d'un enregistrement ne doivent pas masquer les informations enregistrées précédemment ». Si vous êtes soumis à de telles règles, vérifiez comment vos systèmes d'enregistrement y répondent ; un assistant IA ne change rien à ces obligations.

Ce qui reste à une personne

• Pertinence. Savoir si un document démontre réellement ce dont l'auditeur a besoin relève du jugement de quelqu'un qui connaît le processus.
• L'échange avec l'auditeur. Ce sont des personnes qui répondent aux questions, expliquent le contexte et acceptent ou contestent les constats.
• Les manques. Décider comment réagir à une preuve manquante, et le faire honnêtement, est une décision de la direction.
• Les actions correctives. L'IA peut les suivre, mais c'est le responsable qui décide de la correction et confirme qu'elle est faite.

Avant de commencer

The Everything fonctionne au sein de votre locataire (tenant) Microsoft 365 avec des autorisations strictement limitées, mais vos données quittent bien le locataire pour le traitement par IA. Sa politique de confidentialité désigne Microsoft (Azure OpenAI) et OpenAI comme fournisseurs d'IA et indique que les fournisseurs peuvent traiter des informations hors de votre pays. Le site public ne revendique aucune certification telle que SOC 2 ou ISO 27001 et n'indique pas de pays d'hébergement.

Les dossiers d'audit ont tendance à accumuler des éléments sensibles : dossiers du personnel, rapports d'incident, contrats clients. Avant de commencer, vérifiez vos propres obligations en matière de confidentialité et de conservation des documents, ainsi que toute clause de confidentialité avec vos clients ou votre organisme de certification, et décidez dans quels sites et dossiers l'IA peut effectuer des recherches. The Everything ne revendique lui-même aucune certification : l'utiliser ne constitue donc pas une preuve de conformité à une quelconque norme.

Questions fréquentes