Audit ISO/UNDP 53001, constats et non-conformités : questions fréquentes

L'auditeur ISO/UNDP 53001 combine quatre méthodes : entretiens avec la direction et les équipes, revue des informations documentées, observation des activités et échantillonnage d'enregistrements. Il croise ces sources pour établir des preuves objectives. L'ISO 19011 donne les lignes directrices de cette pratique ; l'ISO/IEC 17021-1 fixe les règles propres à l'audit de certification.

Quatre sources de preuve

Chaque méthode apporte un type de preuve différent :

• les entretiens révèlent la compréhension réelle des priorités ODD et la façon dont les décisions sont prises ;
• la revue documentaire montre ce que l'organisation a décidé et consigné : politique, objectifs, résultats d'indicateurs, comptes rendus ;
• l'observation confronte ce qui est écrit à ce qui se passe, par exemple lors d'une réunion de pilotage ou sur un site d'exploitation ;
• l'échantillonnage vérifie, sur une sélection d'enregistrements, qu'une pratique est appliquée de manière constante.

Une preuve tirée d'une seule source reste fragile. L'auditeur cherche des recoupements : un objectif cité en entretien doit se retrouver dans les documents et dans les résultats suivis.

À distance ou sur site

Une partie de l'audit peut se dérouler à distance, notamment la revue documentaire de l'étape 1 et certains entretiens. L'observation des activités et la rencontre des équipes se prêtent moins à la distance. Le plan d'audit, transmis à l'avance, précise les modalités de chaque séquence.

L'auditeur ne propose pas de solution aux écarts qu'il identifie. Il les décrit, les rattache à une exigence de la norme ISO/UNDP 53001 et laisse l'organisation choisir ses corrections.

L'auditeur ne peut pas tout examiner. Il sélectionne un échantillon d'enregistrements, de décisions, de personnes et parfois de sites, assez large et assez varié pour être représentatif. Il combine une sélection raisonnée, orientée vers les enjeux ODD les plus importants et les écarts passés, et une part de hasard qui évite un échantillon composé par l'organisation.

Ce que l'on échantillonne

Dans un audit fondé sur la norme ISO/UNDP 53001, l'échantillon porte sur des objets variés : relevés d'indicateurs liés aux ODD prioritaires, comptes rendus de revue de direction, dossiers d'action corrective, décisions d'investissement ou d'achat où les ODD devaient être pris en compte, rapports d'audit interne, personnes à interroger dans différents services.

L'auditeur désigne lui-même ce qu'il veut voir. S'il demande des décisions récentes du comité de direction, il ne se contente pas de celles que l'organisation juge les plus démonstratives.

Ce que l'échantillon permet de conclure

Un écart trouvé dans l'échantillon n'est pas un accident à écarter. L'auditeur cherche à savoir s'il est isolé ou systématique, et peut élargir l'échantillon pour le déterminer. Un défaut récurrent sur plusieurs éléments tirés au hasard pèse plus lourd qu'un oubli ponctuel, et peut faire basculer le constat de mineur à majeur.

À l'inverse, l'absence d'écart dans l'échantillon n'exclut pas un défaut ailleurs : l'audit repose sur des preuves partielles. C'est l'une des raisons pour lesquelles le cycle prévoit des surveillances annuelles qui varient les éléments examinés.

L'auditeur rencontre la direction parce que l'ISO/UNDP 53001 place la contribution aux ODD au niveau de la gouvernance. Il cherche à établir que la direction a arbitré le choix des ODD prioritaires, qu'elle suit les résultats, qu'elle alloue des ressources et que ses décisions stratégiques tiennent compte des engagements pris. Une délégation complète au responsable RSE ne suffit pas.

Ce que l'entretien cherche à établir

Le chapitre 5 de la norme ISO/UNDP 53001, consacré au leadership, demande un engagement démontrable de la direction. L'entretien ne vise pas à faire réciter la politique. L'auditeur pose des questions concrètes : quelles décisions récentes ont été modifiées au regard des ODD retenus ? Quels résultats ont été présentés en revue de direction, et qu'en a-t-on conclu ? Quels moyens ont été accordés, ou refusés, et pourquoi ?

Il confronte ensuite ces réponses aux comptes rendus et aux budgets. Une direction qui découvre en entretien les indicateurs de son propre système fournit un indice fort de pilotage déficient.

Quand l'écart devient sérieux

L'absence d'implication de la direction n'est pas un détail de forme. Si les priorités ODD ne sont jamais discutées là où se prennent les décisions, le système ne peut pas atteindre ses résultats. L'auditeur peut alors relever une non-conformité majeure, même si la documentation est complète.

L'entretien avec la direction a lieu à l'étape 2, à chaque renouvellement et, selon le programme, lors des surveillances. Les autres méthodes sont présentées dans la question sur les méthodes d'audit.

Un audit ISO/UNDP 53001 peut produire quatre types de constats : la conformité à une exigence, la non-conformité mineure, la non-conformité majeure et l'observation, aussi appelée opportunité d'amélioration. Chaque constat est rattaché à une exigence précise et appuyé sur des preuves objectives. Seules les non-conformités appellent une réponse formelle de l'organisation.

Les quatre catégories

• Conformité : les preuves montrent qu'une exigence de la norme ISO/UNDP 53001 est satisfaite. Elle n'est pas toujours détaillée dans le rapport, mais elle est établie.
• Non-conformité mineure : une exigence n'est pas entièrement satisfaite, sans que la capacité du système à atteindre ses résultats soit compromise.
• Non-conformité majeure : l'écart compromet cette capacité, par exemple une exigence non traitée ou un doute sérieux sur la maîtrise d'un processus.
• Observation : un point de vigilance ou une piste d'amélioration, qui n'est pas une non-conformité.

La qualification revient à l'équipe d'audit. Elle est présentée lors de la réunion de clôture, où l'organisation peut apporter des éléments, mais elle ne se négocie pas.

Comment un constat est rédigé

Un constat de non-conformité réunit l'exigence concernée, la preuve observée et l'écart entre les deux. Il ne contient pas de recommandation. « Les objectifs liés à l'ODD retenu ne comportent pas d'indicateur de suivi » est un constat ; proposer un tableau de bord serait un conseil, que l'organisme certificateur ne peut pas formuler.

Cette rédaction permet à l'organisation de traiter la cause et à l'organisme de vérifier ensuite la correction. La frontière entre mineure et majeure fait l'objet d'une question dédiée.

Une non-conformité majeure compromet la capacité du système de management des ODD à atteindre ses résultats : exigence non traitée, doute sérieux sur la maîtrise d'un processus. Une mineure n'a pas cet effet. La majeure doit être corrigée, et sa correction vérifiée, avant toute décision favorable ; pour une mineure, l'organisme accepte un plan d'actions correctives.

Le critère de bascule

La différence ne tient pas au nombre de lignes manquantes dans un document, mais à l'effet sur le système. L'auditeur se demande : si l'écart persiste, le système bâti selon la norme ISO/UNDP 53001 peut-il encore produire les résultats attendus pour les ODD retenus ?

Exemples génériques :

• un indicateur mal renseigné sur une courte période, alors que le suivi existe et a été repris : plutôt mineure ;
• aucun objectif fixé pour un ODD que l'organisation déclare prioritaire : plutôt majeure, car une exigence n'est pas traitée ;
• une revue de direction tenue mais incomplète : mineure, sauf si elle ne permet aucune décision sur les priorités.

Plusieurs mineures touchant une même exigence ou un même processus peuvent, ensemble, révéler une défaillance et être regroupées en majeure.

Conséquences pour la certification

Avant une certification initiale ou un renouvellement, une non-conformité majeure bloque la décision tant que la correction et l'action corrective n'ont pas été vérifiées. Cette vérification peut exiger une visite complémentaire. En cours de cycle, une majeure non traitée dans le délai fixé expose à une suspension.

Pour une mineure, l'organisation présente une analyse de cause et un plan d'actions ; leur efficacité est contrôlée au plus tard lors de l'audit suivant. Voir la levée des non-conformités.

Non. Une observation, ou opportunité d'amélioration, n'est pas une non-conformité : aucune exigence de l'ISO/UNDP 53001 n'est enfreinte. L'auditeur signale un point de vigilance. L'organisation n'est pas tenue d'y répondre formellement, mais une observation restée sans suite peut se transformer en écart lors d'un audit ultérieur, si le risque signalé s'est réalisé.

Pourquoi l'auditeur formule des observations

L'observation sert à signaler une fragilité avant qu'elle ne devienne un défaut. Par exemple : un indicateur ODD dont la méthode de calcul n'est connue que d'une personne ; une analyse des parties intéressées qui n'a pas été revue depuis un changement d'activité ; une revue de direction qui traite des résultats mais peu des risques.

Dans chacun de ces cas, l'exigence de la norme ISO/UNDP 53001 est satisfaite au moment de l'audit. L'auditeur ne peut pas relever de non-conformité, mais il juge utile de nommer le risque.

Ce que l'observation n'est pas

Une observation n'est pas un conseil. Elle décrit une situation, jamais la manière d'y remédier : l'organisme certificateur ne peut pas proposer de solution sans compromettre son impartialité. Elle n'entre pas non plus dans la décision de certification.

Lors de l'audit suivant, l'auditeur regarde ce que sont devenues les observations. Si le risque s'est concrétisé, par exemple un indicateur devenu inexploitable après un départ, le constat sera cette fois une non-conformité. Les autres catégories sont présentées dans les constats d'un audit.

Une non-conformité ISO/UNDP 53001 est levée lorsque l'organisme certificateur a vérifié la correction de l'écart et l'action corrective qui traite sa cause. L'organisation transmet une analyse de cause, les corrections réalisées et un plan d'actions. Pour une majeure, la vérification précède la décision ; pour une mineure, l'efficacité est contrôlée au plus tard à l'audit suivant.

Correction, analyse de cause, action corrective

La levée repose sur trois éléments distincts, que l'auditeur examine séparément :

• la correction élimine l'écart constaté : l'indicateur manquant est renseigné, la revue de direction est complétée ;
• l'analyse de cause explique pourquoi l'écart s'est produit ; une cause du type « oubli », sans explication du mécanisme, est rarement acceptée ;
• l'action corrective agit sur la cause pour éviter que l'écart se reproduise ailleurs ou plus tard.

Une correction sans action corrective ne lève pas une non-conformité majeure. La norme ISO/UNDP 53001 applique d'ailleurs la même logique aux écarts internes, au chapitre 10.

Vérification sur pièces ou sur site

Selon la nature de l'écart, la vérification se fait sur pièces ou lors d'une visite complémentaire. Un écart sur un enregistrement peut se vérifier à distance. Un écart sur une pratique, ou sur l'implication de la direction, exige souvent de revoir les personnes concernées.

L'auditeur rend un avis sur les éléments reçus. S'ils sont insuffisants, l'organisation peut les compléter dans le délai imparti. Les règles de délai sont présentées dans la question sur les délais de traitement des écarts.

L'ISO/IEC 17021-1 impose à l'organisme certificateur de fixer le délai accordé pour la correction et les actions correctives, et de vérifier leur traitement avant toute décision favorable lorsqu'une non-conformité est majeure. Le délai exact figure dans le règlement de certification et est rappelé dans le rapport. Un dépassement peut empêcher la certification ou entraîner une suspension.

Un cadre fixé par chaque organisme

L'ISO/IEC 17021-1, qui encadre les organismes chargés de certifier la conformité à la norme ISO/UNDP 53001, ne donne pas ici un délai unique pour tous les cas. Elle exige que l'organisme définisse ses règles, les communique à l'avance et les applique de façon cohérente. Trois temps sont généralement distingués :

• la réponse attendue après l'audit : analyse de cause et plan d'actions ;
• la mise en œuvre et la preuve de la correction pour une non-conformité majeure, sans laquelle aucune décision favorable n'est possible ;
• la vérification de l'efficacité des actions pour une mineure, qui peut attendre l'audit suivant.

Lors d'un audit initial, si les majeures ne sont pas traitées à temps, l'organisme peut devoir conduire une nouvelle étape 2 avant de statuer.

Les délais prévus par Gardiant

Le règlement de certification de Gardiant Certification fixera ces délais. Les engagements prévus sont un rapport d'audit sous 10 jours ouvrés et une décision 3 semaines au plus après l'audit, une fois les non-conformités majeures levées.

Lorsqu'une correction ne peut objectivement aboutir dans le délai, par exemple parce qu'elle dépend d'un investissement, l'organisme apprécie si la mesure provisoire et le plan présenté suffisent. Ce qu'il vérifie pour lever un écart est décrit dans la levée d'une non-conformité.

La certification ISO/UNDP 53001 est refusée lorsque l'organisme certificateur ne peut pas conclure que le système de management des ODD satisfait aux exigences : non-conformité majeure non corrigée dans le délai, plan d'actions insuffisant pour des mineures, preuves manquantes, ou informations inexactes sur le périmètre. La décision est motivée par écrit.

Les situations qui conduisent à un refus

Le refus n'est pas une sanction mais la conclusion d'une évaluation. Il intervient notamment quand :

• une non-conformité majeure relevée à l'étape 2 n'a pas été corrigée, ou sa correction n'a pas pu être vérifiée, dans le délai fixé ;
• l'analyse de cause et le plan d'actions présentés pour des non-conformités mineures ne sont pas acceptables ;
• l'audit n'a pas pu être mené à son terme, faute d'accès aux personnes, aux sites ou aux informations nécessaires ;
• des informations fournies se révèlent inexactes, par exemple sur l'effectif ou les activités couvertes.

Les personnes qui décident n'ont pas conduit l'audit. Elles examinent le rapport et les réponses de l'organisation, et peuvent demander des compléments avant de statuer.

Après un refus

La décision indique ses motifs, rattachés aux exigences de la norme ISO/UNDP 53001. L'organisation peut la contester par la voie de l'appel. Elle peut aussi présenter une nouvelle demande ; l'organisme détermine alors s'il faut reprendre tout ou partie de l'audit initial.

Un refus n'est pas rendu public. Il n'empêche pas de poursuivre la démarche ODD, mais exclut toute communication laissant croire à une certification. Les voies de contestation sont présentées dans le recours contre une décision.

Oui. Une organisation peut faire appel d'une décision de certification ISO/UNDP 53001 qui lui est défavorable : refus, suspension, retrait, réduction de périmètre. L'ISO/IEC 17021-1 impose à l'organisme certificateur un processus d'appel documenté, instruit par des personnes qui n'ont pris part ni à l'audit ni à la décision contestée.

Appel et réclamation

Deux démarches sont à distinguer. L'appel vise une décision de certification et demande qu'elle soit reconsidérée. La réclamation porte sur une insatisfaction plus large : comportement d'un auditeur, délai non tenu, déroulement de l'audit, ou plainte d'un tiers contre une organisation certifiée.

Dans les deux cas, l'organisme accuse réception, instruit le dossier et communique sa conclusion par écrit. Pour Gardiant Certification, les engagements prévus pour les réclamations sont un accusé de réception sous 5 jours ouvrés et une réponse sous 30 jours. La procédure figure sur la page réclamations et appels.

Ce que l'appel examine

L'appel n'est pas un nouvel audit. Les personnes chargées de l'instruire vérifient que les constats reposent sur des preuves, qu'ils sont correctement rattachés aux exigences de la norme ISO/UNDP 53001 et que la décision découle logiquement du dossier. L'organisation peut apporter des éléments qu'elle estime mal pris en compte.

Sauf disposition contraire du règlement de certification, l'appel ne suspend pas la décision contestée. Il n'entraîne aucune mesure défavorable contre l'organisation qui l'exerce. Les motifs habituels d'une décision négative sont décrits dans le refus de certification.