L'audit interne qui ne trouve jamais rien

Le scénario se répète dans les organisations certifiées, avec de légères variations. L'audit interne a lieu au printemps. L'auditeur, qui dans de nombreux petits SMSI est aussi la personne ayant rédigé les politiques, suit une liste de contrôle dérivée des mêmes politiques. Le rapport ne mentionne aucune non-conformité. La revue de direction enregistre « aucun constat majeur », et l'année se poursuit. Lorsque ce scénario se répète plusieurs fois de suite, cela est interprété comme une preuve de maturité : le SMSI fonctionne, les audits sont calmes, et le certificat reste valide lors de la surveillance suivante.

Le 27 mai 2026, l'ISO a publié ISO 19011:2026, la quatrième édition des lignes directrices pour l'audit des systèmes de management, et a retiré l'édition 2018 qu'elle remplace (publiée le 3 juillet 2018, retirée le même jour que la nouvelle édition). Pendant un ou deux ans, de nombreux programmes d'audit continueront de se référer à l'édition 2018, et rien dans un certificat ne dépend de cette édition, car le texte certifiable de l'ISO/IEC 27001:2022 exige un programme d'audit, mais pas une édition spécifique des lignes directrices d'audit. Ce changement d'édition est simplement une occasion opportune pour poser la question autour de laquelle les lignes directrices ont toujours été construites, et que même une série de constats nuls pose rarement : s'agissait-il d'un audit, ou d'une relecture de ses propres devoirs ?

Notre position est un pari, non une évidence : lorsqu'un programme d'audit interne n'a relevé aucun constat pendant deux ou trois cycles consécutifs, l'hypothèse la plus raisonnable n'est pas que le SMSI est excellent. C'est que le programme a dérivé vers un accord avec l'organisation qu'il audite. La vision opposée, selon laquelle des audits sans constat sont simplement ce qu'un SMSI mature produit, est respectable et parfois vraie. Nous ne vous demanderons donc pas de prendre notre parole pour argent comptant, mais nous vous donnerons plutôt le critère qui permet de distinguer les deux situations.

Ce que demande réellement l'article 9.2

L'ISO/IEC 27001:2022 (troisième édition, publiée le 25 octobre 2022 ; l'amendement sur l'action climatique Amd 1:2024, publié le 23 février 2024, ne modifie pas l'article 9.2) exige que l'organisation mène des audits internes « à intervalles planifiés » pour fournir des informations sur la conformité du SMSI aux exigences de l'organisation et de la norme, ainsi que sur son efficacité et son entretien (9.2.1). L'article 9.2.2 exige ensuite un programme d'audit planifié, établi, mis en œuvre et maintenu, couvrant la fréquence, les méthodes, les responsabilités, les exigences de planification et de reporting ; les critères et le périmètre d'audit définis pour chaque audit ; la sélection des auditeurs et la conduite des audits de manière à garantir l'objectivité et l'impartialité du processus ; la communication des résultats à la direction concernée ; et la conservation d'informations documentées comme preuve du programme et de ses résultats. Une exigence de l'article 9.2.2 fait la majeure partie du travail en silence : le programme doit prendre en compte l'importance des processus concernés et les résultats des audits précédents.

Remarquez ce que l'article n'exige pas : un nombre particulier de constats. Un rapport sans constat n'est pas interdit ; l'audit doit fournir des informations, et l'absence de constat est une réponse possible. Ce qu'un rapport sans constat ne peut pas faire, en revanche, c'est établir que le processus d'audit a accompli sa mission. Et l'article charge l'audit de deux éléments qu'un programme confortable a tendance à abandonner : l'indépendance, sous la forme d'objectivité et d'impartialité, et l'efficacité, au sens où l'audit existe pour produire des informations sur le fonctionnement du système, et non simplement pour vérifier l'existence de documents.

Le programme est un instrument, et les instruments se dérèglent

La contribution de l'ISO 19011, dans ses deux éditions, est de traiter le programme d'audit comme un système géré à part entière : objectifs, périmètre, méthodes et fréquence choisis délibérément, résultats intégrés en retour, et le programme lui-même surveillé et amélioré. La propre description de la norme par l'ISO la présente comme des lignes directrices pour l'audit des systèmes de management, couvrant les principes de l'audit, la gestion des programmes d'audit et la conduite des audits de systèmes de management. Elle précise également qu'il s'agit de lignes directrices qui ne mènent pas elles-mêmes à une certification. Les principes de l'audit incluent depuis longtemps l'indépendance : les auditeurs doivent être indépendants de l'activité auditée dans la mesure du possible, et lorsque cela n'est pas réalisable, tous les efforts doivent être déployés pour éliminer les biais et encourager l'objectivité. L'impartialité est la source des conclusions de l'audit. Cette discipline existe pour la même raison qu'existe l'étalonnage des instruments : un programme d'audit est un dispositif de mesure, et un dispositif de mesure qui renvoie la même valeur quelle que soit l'entrée a cessé de mesurer.

D'après notre expérience, la dérive vers un audit complaisant prend quatre formes reconnaissables. Deux d'entre elles contournent des exigences explicites de l'article 9.2, une autre contredit l'objectif même de l'audit, et la dernière exploite une faille laissée ouverte par le texte :

L'auditeur audite son propre travail. Dans les petits SMSI, la personne ayant rédigé les politiques, mis en œuvre les contrôles et appliqué la liste de contrôle est souvent la même, car le chevauchement entre « comprendre les contrôles » et « avoir le temps » est presque total. L'article 9.2.2 exige l'objectivité et l'impartialité du processus d'audit, et le principe d'indépendance de l'ISO 19011 est écrit précisément pour cette situation : soyez indépendant de l'activité que vous auditez dans la mesure du possible, et lorsque ce n'est pas possible, traitez le biais comme un risque à éliminer plutôt qu'à ignorer. Noter votre propre travail ne rend pas l'audit impossible ; sauter l'atténuation, si. D'après notre expérience, c'est la dérive qui commence le plus tôt, précisément parce qu'aucun artefact unique ne prouve qu'elle s'est produite.

Les critères sont les documents du SMSI. Les politiques d'une organisation sont des critères d'audit légitimes, et tester les preuves opérationnelles par rapport à celles-ci est exactement ce qu'un audit devrait faire. L'échec commence lorsque les politiques constituent l'intégralité des critères. L'audit ne pose alors qu'une seule question : la pratique correspond-elle à la politique ? Il ne se demande jamais si la politique elle-même répond aux exigences de la norme ou si le système est efficace. Cet audit peut se poursuivre pendant des années sans aucun constat, alors que le SMSI est non conforme à la norme et inefficace dans la pratique, car le seul accusé était le document, et le document était aussi le juge. L'article 9.2.1 demande des informations sur la conformité aux exigences de l'organisation et de la norme, ainsi que sur l'efficacité. Auditer uniquement en fonction des artefacts du SMSI est la manière dont un audit revient sans constat tout en abandonnant deux des trois exigences.

Le périmètre est figé depuis la première année. Le programme visite les mêmes domaines, avec la même profondeur et la même liste de contrôle, à chaque cycle. Un périmètre qui ne bouge jamais n'est pas automatiquement non conforme : ce que l'article 9.2.2 exige, c'est que le programme prenne en compte l'importance des processus concernés et les résultats des audits précédents, et cette prise en compte peut légitimement donner la même réponse d'une année sur l'autre. Notre désaccord porte sur les programmes reconduits sans cette reconsidération, alors que l'organisation a changé en dessous : nouveaux produits, nouvelle région, incident, fournisseurs remplacés. Une série de constats nuls produite par un plan non reconsidéré est un fait concernant le plan, non le système.

Les constats sont négociés à la baisse. Les non-conformités deviennent des observations, les observations deviennent des « opportunités de réflexion », et le registre reste vert. La norme laisse l'organisation libre de définir la gravité : rien dans le texte ne prescrit comment un constat est classé, et c'est cette marge de manœuvre qui permet cette dérive. Les étiquettes sont libres ; le résultat sous-jacent, non. Quel que soit le nom que le registre lui donne, l'audit doit toujours produire des informations précises sur la conformité et les communiquer à la direction concernée, et un registre vert qui cache discrètement un problème rouge défie les deux. D'après notre expérience, la négociation se fait rarement lors d'une seule réunion. Elle s'accumule, un « appelons cela une observation » à la fois.

La position honnête en contrepoint, et le test que nous proposons

Commençons par la concession : un bon SMSI peut réellement produire peu de constats. Les équipes ayant mis en œuvre délibérément leurs contrôles, vérifié leur efficacité et corrigé ce qu'elles ont trouvé lors de la mise en œuvre peuvent mener des audits calmes parce que le système est calme. L'absence de constat n'est pas une preuve d'un programme défaillant, et traiter chaque rapport sans constat comme un drapeau rouge serait en soi une source de bruit.

Rien dans la norme ne tranche le débat à votre place, alors voici le test que nous proposons. Il est le nôtre, non celui du texte. Un audit sans constat est une preuve lorsque celui-ci s'inscrit dans un programme capable de montrer son travail lorsqu'on le lui demande :

• le plan d'audit répond aux résultats précédents, aux incidents et aux changements dans l'organisation (l'exigence de prise en compte de l'article 9.2.2 couvre l'importance des processus et les résultats des audits précédents ; les incidents et les changements organisationnels sont des entrées qu'un programme réfléchi intègre pour décider de ce qui compte) ;
• les affectations des auditeurs sont traçables, de sorte que l'organisation puisse démontrer concrètement l'objectivité et l'impartialité, plutôt que de simplement l'affirmer ;
• les résultats parviennent à la revue de direction, qui les inclut parmi ses entrées (9.3.2), sous une forme permettant à la revue d'en raisonner.

Le programme n'a pas besoin de changer de cap à chaque cycle, et il n'a pas besoin de produire un constat : une revue peut légitimement conclure qu'aucun changement n'est nécessaire. En revanche, l'objectivité et l'impartialité ne sont pas optionnelles à aucun cycle. L'important est que le programme puisse produire son raisonnement, non qu'il doive produire un problème.

Un audit sans constat qui s'inscrit dans un programme ne disposant d'aucun de ces éléments n'est pas une preuve. C'est un voyant lumineux dont l'ampoule a été retirée : le silence est réel, mais il ne véhicule pas l'information qu'il semble transmettre.

Pourquoi c'est l'audit le plus coûteux à simuler

Comparez les autres audits du cycle. L'audit de l'organisme certificateur est délimité : l'effort d'audit requis selon l'ISO/IEC 27006-1:2024 (publié le 1er mars 2024, Annexe C) part du nombre de personnes travaillant sous le contrôle de l'organisation dans le périmètre et s'ajuste en fonction de facteurs de complexité. L'organisme certificateur s'appuie généralement sur des échantillonnages, car une visite délimitée ne peut pas tout tester ; son indépendance est encadrée, et son accréditation en dépend. L'audit interne, lui, a un profil opposé : aucune formule de durée prescrite par un organisme externe ni de surveillance par un organisme d'accréditation, bien qu'il suive lui aussi un calendrier planifié. C'est le seul audit du cycle où l'organisation auditée choisit l'auditeur, définit les critères, détermine le périmètre et contrôle les preuves, ce qui explique pourquoi l'article 9.2 place ses exigences d'objectivité et d'impartialité à cet endroit.

C'est aussi pourquoi un audit interne creux est le plus coûteux. L'audit de l'organisme certificateur est une inspection périodique et délimitée depuis l'extérieur, tandis que la surveillance, la gestion des incidents et la revue des risques fonctionnent en continu. L'audit interne est le mécanisme dont la seule mission est de rechercher activement vos problèmes par rapport à des exigences définies. Un audit interne qui ne contredit jamais la direction a été détourné pour devenir une cérémonie qui certifie l'absence de nouvelles.

L'édition 2026 de l'ISO 19011 arrivera dans les programmes d'audit au cours des un ou deux prochaines années, et mettre à jour le numéro d'édition dans la ligne de référence du programme est la partie la moins coûteuse de l'exercice. Si c'est la seule mise à jour effectuée, l'organisation aura accompli la dérive décrite dans ce billet, comme prévu. Si votre série de constats nuls s'inscrit dans un programme qui reconsidère son objectif, gère le risque de biais lorsque les auditeurs sont proches de leur propre travail, et audite par rapport à la norme plutôt qu'à lui-même, conservez cette série. D'après notre expérience, les séries qui peuvent démontrer autant sont l'exception, et c'est précisément pourquoi cette exception mérite d'être préservée.