En audit, la mauvaise surprise ne vient presque jamais de la norme. Elle vient de la préparation. Un organisme d’inspection qui découvre la veille qu’il n’a ni plan d’audit, ni guide d’entretien, ni méthode de libellé d’écart se retrouve à improviser. Et l’improvisation se voit. L’évaluateur COFRAC, lui, lit l’enregistrement d’audit interne avant même de poser la première question.
Cet article fait ce que les pages de service ne font pas : il vous donne le mode opératoire pour préparer vous-même votre audit interne ISO/IEC 17020, sans acheter de prestation. Rétroplanning daté, checklist par chapitre de la norme, méthode de libellé d’écart, trame de plan d’audit, échantillonnage des éléments les plus risqués. Le tout calé sur la version 2026, qui change une chose importante : l’audit interne n’est plus obligatoirement annuel à fréquence fixe, il devient fondé sur les risques.
La promesse est simple. À la fin, vous savez quoi faire, dans quel ordre, avec quels documents, et vous savez où l’écart tombe le plus souvent. La méthode de référence reste celle de l’ISO 19011. Le cadre opposable reste celui du COFRAC. On assemble les deux.
Sommaire
- Le cadre 2026 : ce qui change pour votre audit interne
- Le rétroplanning J-30 / J-15 / J-3
- La checklist par chapitre (4 à 8)
- La trame de plan d’audit et de guide d’entretien
- La méthode de libellé d’écart (constat / exigence / preuve)
- L’échantillonnage des éléments les plus risqués
- Le programme d’audit fondé sur les risques (8.4 / 8.6)
- FAQ
Le cadre 2026 : ce qui change pour votre audit interne
L’audit interne vit dans la clause 8.6 du chapitre système de management. Cette clause ne disparaît pas en 2026. Vous devez toujours auditer la conformité et l’efficacité de votre système. Ce qui change, c’est la cadence.
Sous la version 2012, l’audit interne devait couvrir le système à intervalles planifiés, lus en pratique comme une obligation annuelle. La version 2026 lève cette rigidité. Selon l’avant-propos de la norme, la pensée fondée sur le risque réduit certaines exigences prescriptives. L’audit interne et la revue de direction n’ont plus de fréquence annuelle fixe imposée : la programmation devient fondée sur les risques, au titre de la clause 8.4 (actions face aux risques et opportunités). C’est l’un des six changements officiels de l’édition.
Ne pas confondre « plus d’obligation annuelle » et « plus d’obligation ». L’audit interne reste exigé. Seule sa fréquence devient un choix justifié par les risques, pas un automatisme du calendrier.
L’erreur classique consiste à lire ce changement comme une permission de relâcher. En audit, c’est l’inverse. Une fréquence fondée sur les risques vous oblige à documenter pourquoi tel processus est audité tous les ans et tel autre tous les deux ans. Sans justification, l’évaluateur vous renvoie à la clause 8.4. La flexibilité a un prix : la traçabilité de la décision. La méthode d’audit reste celle de l’ISO 19011 ; le périmètre normatif reste la norme et les documents COFRAC applicables à votre portée accréditée.
Le rétroplanning J-30 / J-15 / J-3
Un audit interne ne se prépare pas la veille. Le rétroplanning ci-dessous part du jour de l’audit, noté J, et remonte. Il vaut pour un audit complet du système. Adaptez les durées à la taille de votre périmètre.
J-30 : cadrer. Vous fixez le périmètre, les processus couverts, les sites concernés et l’auditeur. Vous vérifiez son indépendance : il ne peut pas auditer son propre travail. Vous notifiez les audités. Vous rassemblez la documentation à relire : norme, documents COFRAC applicables, manuel, procédures, précédent rapport d’audit et état des actions correctives ouvertes.
J-15 : construire. Vous rédigez le plan d’audit (horaires, processus, audités, clauses visées). Vous préparez le guide d’entretien par chapitre. Vous relisez la documentation et repérez d’avance les zones faibles : sous-clauses nouvelles de la 2026, écarts non soldés du cycle précédent, processus modifiés depuis le dernier audit.
J-3 : échantillonner et finaliser. Vous tirez l’échantillon de dossiers d’inspection à examiner. Vous choisissez les plus risqués, pas les plus simples. Vous confirmez la logistique, l’accès aux enregistrements, la disponibilité des audités. Vous imprimez ou préparez vos supports de prise de notes. Le jour J, vous auditez ; vous ne préparez plus rien.
L’écart le plus fréquent à ce stade n’est pas un manque de fond. C’est l’audit interne planifié mais jamais réalisé dans les délais, faute d’avoir bloqué les dates assez tôt. Le rétroplanning existe pour ça.
La checklist par chapitre (4 à 8)
Voici une checklist de préparation, structurée chapitre par chapitre selon l’architecture exacte de la norme. Elle ne remplace pas la lecture de la norme : elle balise les points à vérifier en priorité. Cochez ce qui est prêt ; ce qui reste vide est votre liste de travail.
Chapitre 4 – Exigences générales
Chapitre 5 – Exigences structurelles
Chapitre 6 – Ressources
Chapitre 7 – Processus
Chapitre 8 – Système de management
Deux lignes méritent une attention particulière en 2026 : la 7.5 et la 8.4, toutes deux nouvelles. L’auditeur qui prépare son audit sans les avoir intégrées audite encore la version 2012. Une version plus complète et imprimable est disponible dans notre checklist d’audit interne ISO/IEC 17020.
La trame de plan d’audit et de guide d’entretien
Le plan d’audit est le document que l’évaluateur regarde en premier. Il prouve que l’audit a été préparé, pas improvisé. Selon l’ISO 19011, il cadre le déroulement et engage les audités sur un horaire. Une trame minimale suffit, à condition qu’elle soit complète.
Plan d’audit. Il porte au minimum : objectif et périmètre ; référentiel audité (norme et documents COFRAC applicables) ; date et lieux ; nom de l’auditeur et confirmation de son indépendance ; planning horaire par processus ; audités convoqués ; clauses visées à chaque créneau. Un plan sans créneaux datés n’est pas un plan, c’est une intention.
Guide d’entretien. Il se construit par chapitre, à partir de la checklist. Pour chaque clause, vous préparez la question ouverte qui fait parler, puis la preuve que vous demanderez à voir. La règle est de ne jamais poser une question dont la réponse ne se vérifie pas sur une preuve. « Comment qualifiez-vous vos inspecteurs ? » se double toujours de « montrez-moi le dossier de qualification de cet inspecteur ». L’entretien sans preuve produit un avis, pas un constat.
L’erreur classique du guide d’entretien : des questions fermées en cascade. L’audité répond oui, l’auditeur coche, et rien n’a été vérifié. La question ouverte plus la preuve, toujours.
La méthode de libellé d’écart (constat / exigence / preuve)
Un écart mal libellé est un écart contestable. La méthode tient en trois colonnes : le constat factuel, l’exigence visée avec sa clause exacte, la preuve qui appuie le constat. Si l’une des trois manque, l’écart ne tient pas.
| Constat (ce qui est observé) | Exigence (clause visée) | Preuve (élément examiné) |
|---|---|---|
| Le registre des conflits d’intérêts n’a pas été revu depuis la dernière entrée datant de plus d’un an. | Clause 4.1 – Impartialité (analyse et maîtrise des menaces). | Registre des liens, dernière mise à jour examinée pendant l’audit. |
| Le dossier d’inspection examiné ne porte pas la preuve d’autorisation de l’inspecteur ayant signé le rapport. | Clause 6.1 – Personnel (qualification et autorisation). | Dossier d’inspection échantillonné et fiche de qualification de l’inspecteur. |
| Le registre des risques n’a donné lieu à aucune action depuis sa création. | Clause 8.4 – Actions face aux risques et opportunités. | Registre des risques et plan d’actions associé, examinés pendant l’audit. |
Ne pas confondre constat et opinion. « L’impartialité est mal gérée » n’est pas un constat : c’est un jugement. « Le registre des conflits n’a pas été revu depuis plus d’un an » est un constat, parce qu’il décrit un fait vérifiable sur une preuve. L’écart classique observé en audit porte justement sur des constats trop vagues, sans clause citée ni preuve référencée, que l’audité conteste ensuite à juste titre.
L’échantillonnage des éléments les plus risqués
Auditer tous les dossiers est impossible. Auditer les dossiers les plus simples est inutile. L’échantillonnage consiste à choisir, sur le cycle, les éléments où un écart aurait le plus de conséquences. L’ISO 19011 traite l’échantillonnage comme un acte raisonné, pas comme un tirage au hasard.
Concentrez l’échantillon sur les zones à fort enjeu. Les dossiers d’inspection liés aux domaines réglementés, où l’accréditation conditionne l’agrément, méritent un examen prioritaire. Les processus modifiés depuis le dernier audit aussi. Les écarts non soldés du cycle précédent reviennent obligatoirement dans l’échantillon, pour vérifier l’efficacité réelle de l’action corrective au titre de la clause 8.5. Les nouvelles exigences 2026, en particulier la maîtrise des données (7.5) et le registre des risques (8.4), sont les premières que l’évaluateur testera ; testez-les avant lui.
Selon la logique de la clause 8.4, l’échantillonnage suit le risque. Un dossier d’inspection sur un périmètre réglementé pèse plus lourd qu’un dossier de routine. L’échantillon doit le refléter.
Le programme d’audit fondé sur les risques (8.4 / 8.6)
C’est l’adaptation centrale de 2026. Le programme d’audit n’est plus un calendrier annuel figé : il devient un plan pluriannuel qui module la fréquence selon le risque de chaque processus. La clause 8.6 demande le programme ; la clause 8.4 fournit la logique de priorisation.
En pratique, vous établissez un programme qui couvre l’intégralité du système et de la portée accréditée sur un cycle défini. À l’intérieur de ce cycle, vous auditez plus souvent ce qui est plus risqué : processus d’inspection cœur de métier, domaines réglementés, sous-clauses nouvelles, processus ayant généré des écarts. Vous auditez moins souvent ce qui est stable et à faible enjeu. La condition de validité tient en un mot : la justification. Chaque fréquence doit être traçable jusqu’au registre des risques.
Selon la clause 8.6, l’audit interne reste exigé. Selon la clause 8.4, sa fréquence se justifie par les risques. L’erreur classique sera d’espacer les audits sans rien écrire. L’évaluateur ne sanctionne pas l’espacement ; il sanctionne l’absence de justification.
La fin de l’obligation annuelle mérite un développement à part entière. Nous l’avons traité dans un article dédié sur la fin de l’audit interne annuel et le passage à la fréquence par les risques. Pour le panorama complet de la norme, le hub ISO/IEC 17020 rassemble tous les articles du cluster.
FAQ
L’audit interne ISO/IEC 17020 est-il encore obligatoire chaque année en 2026 ?
Non. La 2026 supprime l’obligation d’une fréquence annuelle fixe. La clause 8.6 impose toujours des audits internes, mais leur programmation devient fondée sur les risques au titre de la clause 8.4. Concrètement, l’organisme couvre tout son système sur un cycle qu’il définit lui-même, et concentre les passages les plus fréquents sur les processus les plus à risque. En pratique, un cycle annuel reste la solution la plus simple à défendre devant l’accréditeur, mais ce n’est plus une exigence imposée.
Qui peut réaliser l’audit interne d’un organisme d’inspection ?
Un auditeur compétent et indépendant de l’activité auditée. L’auditeur ne doit pas auditer son propre travail. Dans une petite structure, cela impose souvent de croiser les rôles ou de faire appel à un auditeur externe. La compétence se démontre par une qualification documentée, pas par un titre. La clause 8.6 demande que la sélection des auditeurs garantisse l’objectivité et l’impartialité du processus d’audit.
Combien de temps faut-il pour préparer un audit interne 17020 ?
Comptez environ un mois de préparation pour un audit complet du système. Le rétroplanning type démarre à J-30 avec le programme et le périmètre, passe à J-15 pour le plan d’audit et le guide d’entretien, puis à J-3 pour l’échantillonnage des dossiers et la logistique. La durée de réalisation dépend de la taille du périmètre : d’une à plusieurs journées d’audit selon le nombre de sites et de processus à couvrir.
Comment libeller correctement un écart d’audit interne ?
Un écart se libelle en trois temps : le constat factuel observé sur le terrain, l’exigence de la norme ou du document COFRAC visée par sa clause exacte, et la preuve qui appuie le constat. Un écart sans clause citée n’est pas opposable. Un écart sans preuve n’est pas défendable. La formule à éviter est le jugement de valeur : on décrit ce qui a été vu, pas ce qu’on en pense.
Quelle est la différence entre audit interne et audit blanc avant accréditation ?
L’audit interne est une exigence permanente de la clause 8.6 : il vérifie en continu la conformité et l’efficacité du système. L’audit blanc est une répétition générale, ponctuelle, qui simule l’évaluation COFRAC à venir. Un audit interne bien mené sert de socle à l’audit blanc, mais les deux ne se confondent pas. L’audit interne nourrit le programme toute l’année ; l’audit blanc se cale sur l’échéance d’évaluation.
Quels documents COFRAC consulter pour préparer son audit interne ?
Les documents opposables COFRAC pour le programme d’inspection encadrent les attentes au-delà de la norme. Le document INS REF 02 traite par exemple des méthodes d’inspection, y compris les inspections à distance et l’usage de l’IA et des drones. L’auditeur interne doit auditer la conformité à la norme et aux documents COFRAC applicables au périmètre accrédité.
Pour aller plus loin
Préparer son audit interne, c’est aussi disposer des bons modèles : plan d’audit, guide d’entretien, fiche d’écart, programme pluriannuel. Le Kit documentaire ISO/IEC 17020 rassemble 135 documents prêts à adapter, dont les trames d’audit interne alignées sur la version 2026. De quoi outiller votre audit sans repartir d’une page blanche.
Sources
ISO 19011 – Lignes directrices pour l’audit des systèmes de management, ISO : iso.org. ISO/IEC 17020:2026 – Évaluation de la conformité, exigences pour les organismes effectuant des inspections (3e édition, 27 mars 2026), clauses 8.4 et 8.6. COFRAC, document INS REF 02 (révision 07, 09/12/2020), exigences spécifiques pour l’accréditation des organismes d’inspection.
