Certification ISO/UNDP 53001 et cycle d'audit : questions fréquentes

Une certification par tierce partie signifie qu'un organisme certificateur indépendant, sans lien avec l'organisation auditée ni avec ses clients, évalue le système de management des ODD au regard de l'ISO/UNDP 53001. Il audite selon les règles de l'ISO/IEC 17021-1, puis des personnes extérieures à l'audit décident de délivrer ou non le certificat.

Première, deuxième et troisième partie

La pratique de l'audit distingue trois situations. L'audit de première partie est conduit par l'organisation elle-même : c'est l'audit interne prévu au chapitre 9 de la norme. L'audit de deuxième partie est mené par un client chez son fournisseur, selon ses propres attentes. L'audit de troisième partie est confié à un organisme qui n'a d'intérêt ni chez l'un ni chez l'autre.

Seul ce dernier débouche sur un certificat opposable aux tiers. La norme ISO/UNDP 53001 a été conçue pour ce cas : ses exigences, réparties dans les chapitres 4 à 10, sont formulées de manière vérifiable. La certification reste volontaire ; aucune réglementation ne l'impose.

Ce que l'indépendance apporte, et ses limites

L'indépendance ne se déclare pas, elle se démontre. L'ISO/IEC 17021-1 impose à l'organisme certificateur des exigences de compétence, de cohérence des décisions et d'impartialité : il ne conseille pas l'organisation qu'il certifie, il identifie et traite ce qui pourrait influencer son jugement, et la décision revient à des personnes qui n'ont pas audité.

Le certificat atteste qu'un système de management conforme aux exigences est en place et fonctionne sur un périmètre donné. Il ne mesure pas l'ampleur de la contribution aux ODD et ne vaut pas classement. Le déroulement complet figure sur la page processus de certification.

Le cycle de certification ISO/UNDP 53001 dure trois ans. Il s'ouvre par un audit initial en deux étapes, suivi d'une décision de certification. Des audits de surveillance ont lieu au moins une fois par année civile, le premier dans les 12 mois suivant la décision. Un audit de renouvellement intervient avant l'échéance du certificat.

Les jalons du cycle

Le cycle suit le schéma que l'ISO/IEC 17021-1 fixe pour tous les systèmes de management :

• audit initial, en deux étapes : l'étape 1 examine la conception du système et l'état de préparation de l'organisation, l'étape 2 évalue sa mise en œuvre et son efficacité ;
• décision de certification, prise par des personnes qui n'ont pas conduit l'audit ;
• surveillances, au moins une par année civile, la première dans les 12 mois qui suivent la décision ;
• renouvellement, réalisé avant la date d'échéance pour éviter toute interruption.

Chaque audit donne lieu à un rapport et, le cas échéant, à des constats que l'organisation doit traiter.

Pourquoi un cycle plutôt qu'un contrôle ponctuel

Un système de management des ODD vit : les priorités évoluent, les indicateurs sont revus, la direction arbitre. Un audit unique ne dirait rien de la durée. Le cycle permet à l'auditeur de suivre dans le temps la façon dont l'organisation tient ses engagements et corrige ses écarts.

Sur trois ans, l'ensemble des exigences de la norme ISO/UNDP 53001 est couvert, même si chaque surveillance n'en examine qu'une partie. Certains éléments reviennent à chaque visite : revue de direction, audit interne, traitement des non-conformités, suivi des objectifs liés aux ODD retenus, usage du certificat.

À l'étape 1, l'auditeur examine la conception du système de management des ODD et l'état de préparation de l'organisation à l'étape 2. Il revoit, en partie à distance, les informations documentées et vérifie le périmètre, l'analyse du contexte, le choix des ODD prioritaires, ainsi que la tenue ou la programmation d'un audit interne et d'une revue de direction.

Une revue de conception

L'étape 1 ne cherche pas encore à prouver que le système fonctionne. Elle établit s'il est construit de façon à pouvoir fonctionner. L'auditeur lit les informations documentées, s'entretient avec les responsables et, selon les cas, visite les lieux. Il cherche notamment à établir :

• que le domaine d'application est défini et cohérent avec les activités réellement exercées ;
• que l'analyse du contexte et des parties intéressées a conduit à un choix argumenté d'ODD prioritaires ;
• que des objectifs et des indicateurs de suivi ont été fixés ;
• que l'audit interne et la revue de direction ont eu lieu, ou sont programmés de façon crédible avant l'étape 2.

L'auditeur regarde aussi la prise en compte des ODD 5, 8 et 13, que la norme ISO/UNDP 53001 fait traiter par toutes les organisations, selon BSI, éditeur de la version britannique.

Ce qui sort de l'étape 1

L'étape 1 se conclut par un rapport qui signale les points susceptibles d'être classés en non-conformité à l'étape 2. Ce sont des alertes sur la conception, pas encore des constats sur l'efficacité. Elle sert aussi à arrêter la durée et le plan de l'étape 2 : sites à visiter, personnes à rencontrer, processus à échantillonner.

Si le système n'est manifestement pas prêt, l'étape 2 peut être reportée. Les deux étapes sont mises en regard dans l'article sur l'audit en deux étapes.

À l'étape 2, l'auditeur évalue la mise en œuvre effective et l'efficacité du système de management des ODD. Sur site et, pour une part, à distance, il rencontre la direction et les équipes, échantillonne des enregistrements, observe les pratiques et vérifie que les objectifs liés aux ODD prioritaires sont suivis, analysés et pris en compte dans les décisions.

De la conception à la preuve

L'étape 2 répond à une autre question que l'étape 1 : le système produit-il ce qu'il annonce ? L'auditeur part des points relevés à l'étape 1 et vérifie, exigence par exigence de la norme ISO/UNDP 53001, que les dispositions décrites sont appliquées. Il cherche des traces datées et cohérentes entre elles : un indicateur suivi sur plusieurs périodes, une décision de la direction qui cite les résultats ODD, un écart interne traité jusqu'à sa clôture.

Il interroge des personnes à différents niveaux, pas seulement le responsable du système. Un salarié qui ignore les priorités retenues, alors que la politique les présente comme partagées, est un indice que l'auditeur approfondit.

Les conclusions de l'étape 2

L'étape 2 se termine par une réunion de clôture où l'équipe d'audit présente ses constats : conformités, non-conformités majeures ou mineures, observations. Le rapport les formalise, avec la recommandation de l'équipe.

La décision n'appartient pas à l'auditeur. Elle est prise ensuite par des personnes qui n'ont pas participé à l'audit, une fois les non-conformités majeures corrigées et vérifiées, et le plan d'actions accepté pour les mineures. Ce que recouvrent ces catégories est détaillé dans la question sur la différence entre non-conformité majeure et mineure.

L'audit de surveillance vérifie, au moins une fois par année civile, que le système de management des ODD reste conforme et efficace entre l'audit initial et le renouvellement. Le premier a lieu dans les 12 mois suivant la décision de certification. Plus court que l'audit initial, il porte sur une partie des exigences et sur des points examinés chaque fois.

Ce qui est examiné à chaque surveillance

Une surveillance ne refait pas l'audit initial. L'organisme certificateur construit un programme qui couvre, sur l'ensemble du cycle, toutes les exigences de la norme ISO/UNDP 53001. Certains sujets reviennent pourtant chaque année :

• l'audit interne et la revue de direction de la période ;
• le traitement des non-conformités relevées lors de l'audit précédent et l'efficacité des actions correctives ;
• l'évolution des objectifs et des indicateurs liés aux ODD retenus ;
• les changements survenus : organisation, sites, activités, priorités ;
• l'usage fait du certificat et des références à la certification ;
• les réclamations reçues au sujet du système.

Ce qu'une surveillance peut déclencher

Une surveillance aboutit aux mêmes types de constats qu'un audit initial. Une non-conformité mineure donne lieu à un plan d'actions, vérifié ensuite. Une non-conformité majeure non traitée dans le délai fixé peut conduire à la suspension du certificat, voire à son retrait : les règles figurent sur la page suspension et retrait.

Une surveillance qui ne peut pas se tenir dans l'année civile prévue, du fait de l'organisation, expose aux mêmes conséquences. Le maintien du certificat dépend donc de la régularité du suivi autant que de son contenu.

Le renouvellement a lieu avant l'échéance du certificat de trois ans. L'audit de renouvellement examine le système de management des ODD dans son ensemble et sur toute la durée du cycle : résultats obtenus, évolution des priorités, traitement des écarts successifs. Une nouvelle décision de certification ouvre ensuite un nouveau cycle.

Un regard sur le cycle entier

L'audit de renouvellement couvre toutes les exigences de la norme ISO/UNDP 53001 et ressemble à une étape 2 complète, enrichie de l'historique. L'auditeur relit les rapports précédents, les constats et leurs suites. Il cherche à établir que le système a gagné en maturité : les indicateurs ont-ils été suivis sans rupture ? Les ODD prioritaires ont-ils été réexaminés quand le contexte a changé ? Les revues de direction ont-elles conduit à des décisions ?

Une organisation qui présente les mêmes écarts à chaque visite, chaque fois corrigés en surface, montre que la cause n'a pas été traitée. Ce schéma est relevé et peut justifier une non-conformité majeure si l'efficacité du système est en jeu.

Calendrier et continuité

L'audit et la décision doivent intervenir avant la date d'échéance pour que le nouveau certificat prenne le relais sans interruption. Les non-conformités majeures doivent être corrigées, et leur correction vérifiée, avant cette décision. Si le renouvellement n'aboutit pas à temps, le certificat expire ; les conditions d'un éventuel rétablissement sont fixées dans le règlement de certification.

Le renouvellement est aussi l'occasion d'ajuster le périmètre lorsque les activités ont évolué.

Le périmètre d'un certificat ISO/UNDP 53001 précise les activités, les sites et, le cas échéant, les entités couvertes par le système de management des ODD audité. Il figure sur le certificat. L'auditeur vérifie qu'il correspond au domaine d'application défini par l'organisation et qu'il ne suggère pas une couverture plus large que la réalité.

Du domaine d'application au libellé du certificat

La norme ISO/UNDP 53001 demande à l'organisation de déterminer elle-même le domaine d'application de son système, en tenant compte de son contexte et de ses parties intéressées : c'est l'objet du chapitre 4. L'organisme certificateur rédige ensuite le libellé qui apparaîtra sur le certificat, à partir de ce domaine et de ce qu'il a effectivement audité.

Le libellé nomme les activités, les implantations et, si nécessaire, les entités juridiques. Une formulation vague, ou qui reprend le nom d'un groupe entier alors qu'une seule filiale a été auditée, n'est pas retenue.

Ce que l'auditeur contrôle

L'auditeur cherche à établir que les limites sont justifiées. Exclure une activité qui pèse fortement sur les ODD retenus, par exemple la production quand seul le siège est inclus, appelle une explication solide. Il vérifie aussi que les interfaces avec les parties exclues sont maîtrisées et que des décisions prises hors périmètre ne vident pas le système de sa substance.

Le périmètre conditionne ensuite la durée d'audit, l'échantillonnage et la communication autorisée. Il peut évoluer en cours de cycle, par extension ou par réduction.

Pour une organisation multisite, l'audit ISO/UNDP 53001 porte sur la fonction centrale qui pilote le système de management des ODD et sur un échantillon de sites. L'échantillonnage n'est admis que si tous les sites relèvent du même système, sous une autorité commune. L'auditeur vérifie ce pilotage central et la cohérence des pratiques locales.

Les conditions d'un échantillonnage de sites

Un certificat multisite suppose un système de management unique, conforme à la norme ISO/UNDP 53001 sur l'ensemble des sites : mêmes priorités ODD, objectifs déclinés par site, revue de direction commune, audit interne couvrant tous les sites, capacité de la fonction centrale à imposer des actions correctives localement. L'auditeur commence par vérifier ces conditions. Si chaque site fonctionne de manière autonome, l'échantillonnage n'est pas justifié et chacun doit être audité.

Le choix des sites visités n'est pas laissé à l'organisation. L'organisme certificateur combine une sélection raisonnée (taille, activités, sites où les enjeux ODD sont les plus marqués, écarts antérieurs) et une part aléatoire.

Effet d'un écart sur l'ensemble

Dans un système multisite, une non-conformité constatée sur un site interroge l'ensemble. L'auditeur cherche à savoir si elle est isolée ou si elle révèle une faiblesse du pilotage central. L'organisation doit alors démontrer que la cause a été examinée sur tous les sites concernés, pas seulement là où l'écart a été vu.

Le certificat énumère les sites couverts. Pour un groupe composé de sociétés distinctes, la question se pose autrement : voir la certification d'un groupe et de ses filiales.

La durée d'un audit ISO/UNDP 53001 dépend surtout de l'effectif couvert, du nombre de sites, de la complexité des activités et du périmètre. L'organisme certificateur la détermine selon une méthode documentée, comme l'exige l'ISO/IEC 17021-1, puis la traduit en devis. Le coût découle de ce temps d'audit, de la rédaction du rapport et des déplacements.

Les facteurs pris en compte

Le temps d'audit ne se négocie pas comme un forfait commercial. Il doit suffire à évaluer réellement le système au regard de la norme ISO/UNDP 53001. Les principaux paramètres sont :

• le nombre de personnes travaillant dans le périmètre, y compris à temps partiel ou en sous-traitance régulière ;
• le nombre de sites et la nature des activités exercées sur chacun ;
• la diversité des processus qui pèsent sur les ODD retenus ;
• l'existence d'un système déjà certifié selon une autre norme, qui peut justifier un audit combiné ;
• les langues de travail et le besoin éventuel d'un interprète.

Un temps d'audit réduit en dessous de ce qu'exige le périmètre affaiblirait la valeur du certificat.

Comment se présente le devis

Le devis détaille le temps d'audit de chaque étape du cycle : étape 1, étape 2, surveillances, renouvellement. Les frais de déplacement et, le cas échéant, d'interprétation y figurent à part. Les tarifs de Gardiant Certification sont établis sur devis : la durée d'audit est calculée pour chaque organisation et indiquée dans le devis.

Une demande de devis reçoit une réponse sous 2 jours ouvrés ; le devis est valable 3 mois. Un écart important entre deux devis pour un même périmètre tient souvent à une estimation différente de l'effectif ou des sites.

Oui. Une organisation certifiée ISO/UNDP 53001 peut demander l'extension de son périmètre à de nouveaux sites, activités ou entités en cours de cycle. L'organisme certificateur examine la demande, réalise un audit d'extension, seul ou couplé à une surveillance, puis prend une nouvelle décision. Le certificat modifié conserve en principe l'échéance du cycle en cours.

Ce que l'audit d'extension vérifie

L'auditeur concentre son examen sur ce qui entre dans le périmètre. Il vérifie que le nouveau site ou la nouvelle activité est réellement intégré au système existant et qu'il satisfait aux exigences de la norme ISO/UNDP 53001 : analyse du contexte mise à jour, ODD prioritaires réexaminés au regard des nouveaux enjeux, objectifs et indicateurs déclinés, inclusion dans le programme d'audit interne et dans la revue de direction.

Une acquisition récente, rattachée sur le papier mais gérée selon ses anciennes règles, ne remplit pas ces conditions. L'auditeur le constate en interrogeant les équipes concernées et en cherchant des enregistrements produits selon les dispositions communes.

Durée et décision

La durée de l'audit d'extension dépend de l'ampleur de l'ajout. Une extension modeste peut être traitée lors d'une surveillance déjà prévue ; une extension importante justifie un audit spécifique. La décision d'étendre le certificat est prise, comme toute décision de certification, par des personnes qui n'ont pas audité.

La réduction de périmètre suit la logique inverse : elle est demandée par l'organisation, ou décidée par l'organisme certificateur lorsqu'une partie du périmètre ne satisfait plus aux exigences. Voir aussi le périmètre d'un certificat.