Parmi les pièces qu’un organisme de certification de produits remet à son accréditeur, une seule dit comment il se regarde lui-même : le dernier rapport d’audit interne. L’évaluateur a toutes les raisons de l’ouvrir en premier, car l’ISO/IEC 17065 confie à l’audit interne une fonction précise, vérifier que l’organisme satisfait à la norme et que son système est effectivement mis en œuvre (8.6.1). Un rapport sans aucun écart, après une année de certificats délivrés, oriente l’évaluation vers les dossiers que l’audit n’a pas ouverts. Un rapport qui nomme deux écarts sur la revue de la demande, et montre leur traitement, indique au contraire où chercher. Tout part de ce document.

Une croyance l’accompagne souvent : l’audit interne d’un organisme de certification se conduirait comme celui de n’importe quel système de management, une fois par an, selon l’ISO 19011, procédure par procédure. Cet article la confronte au texte de l’ISO/IEC 17065:2012, qui a remplacé le Guide ISO/IEC 65 de 1996. Vous y suivrez l’ordre du principe à la preuve : la clause 8.6, le programme sur un cycle, une grille de vingt-huit lignes, les écarts à chercher en priorité, puis la préparation de l’évaluation d’accréditation. Un cas hypothétique et ce que le texte n’exige pas complètent l’ensemble.

Que demande la clause 8.6, et que devient-elle en option B ?

L’article 8 laisse le choix entre deux options, et ce choix commande la forme de l’audit interne. En option A, le système traite sept éléments, de la documentation générale (8.2) aux actions préventives (8.8), dont l’audit interne à la clause 8.6. En option B, un système conforme à l’ISO 9001, capable de soutenir et de démontrer la satisfaction cohérente des exigences de l’ISO/IEC 17065, vaut satisfaction des clauses 8.2 à 8.8 (8.1.3). L’audit interne est alors celui du système ISO 9001, qui doit aussi soutenir les exigences de l’ISO/IEC 17065. Les articles 4 à 7 s’appliquant dans les deux cas, un audit qui ignore l’impartialité, la revue de la demande ou la décision laisse hors de son champ la certification elle-même.

La clause 8.6 compte quatre paragraphes. Des procédures vérifient la satisfaction de la norme et la mise en œuvre effective du système, une note renvoyant à l’ISO 19011 pour la méthode (8.6.1). Le programme est planifié selon l’importance des processus et les résultats des audits précédents (8.6.2). Les audits ont lieu normalement au moins tous les douze mois, ou sont couverts en douze mois s’ils sont segmentés, et la fréquence se modifie par un processus décisionnel documenté dont chaque décision est enregistrée avec sa justification (8.6.3). Les auditeurs connaissent la certification, l’audit et la norme, n’auditent pas leur propre travail et informent les responsables audités (8.6.4). Aucune de ces exigences ne dit quoi échantillonner.

La fréquence est souvent racontée plus sévèrement qu’elle n’est écrite. Le texte ne réclame pas un audit tenu chaque mois de décembre, coincé entre la revue de direction et les congés de fin d’année : il dit « normalement », admet l’audit segmenté et prévoit lui-même la manière de s’écarter de la règle. Cette souplesse se paie en écrits, car espacer les audits sans processus décisionnel documenté ni enregistrement de la décision place l’organisme en écart sur 8.6.3. Quant à l’indépendance, 8.6.4 interdit d’auditer son propre travail et n’exige ni auditeur externe, ni équipe dédiée, ni rotation des auditeurs. Dans une petite structure, la répartition des segments suffit souvent, avec au besoin un auditeur externe sous contrat.

Pourquoi auditer des dossiers plutôt que des procédures ?

Le principe qui oriente l’audit interne figure à l’article 7 : l’organisme conserve des enregistrements qui démontrent que toutes les exigences du processus de certification, celles de la norme comme celles du programme, ont été satisfaites (7.12.1). L’annexe A en donne l’intention, puisque le client répond de la conformité aux exigences de certification et que l’organisme doit réunir des preuves objectives suffisantes pour décider (A.6). Un audit interne qui relit la procédure de revue de la demande sans ouvrir une seule demande contrôle donc la règle écrite et ignore son application. Les dossiers, eux, portent la preuve.

Un dossier complet suit l’ordre de l’article 7, que l’auditeur interne remonte : demande (7.2), revue de la demande (7.3), plan et résultats d’évaluation (7.4.1 et 7.4.9), revue (7.5), décision (7.6), documentation de certification (7.7), répertoire (7.8). Chaque maillon porte une date. Une date d’octroi ne peut pas précéder la date de décision (7.7.1 b), et des résultats datés après la revue contredisent 7.4.9. L’échantillon couvre chaque programme, chaque type de produit et chaque personne qui évalue, revoit ou décide, ainsi que les dossiers d’extension, de suspension ou de réclamation. Certaines exigences n’ont pas de dossier client, comme l’analyse des risques pour l’impartialité (4.2.3) ou les enregistrements du personnel (6.1.2.2). Leur preuve est un enregistrement système, qu’on attend à jour et réellement utilisé.

Comment répartir l’audit interne sur un cycle d’accréditation ?

Le programme gagne à suivre le cycle de l’accréditeur, puisque chaque surveillance demandera les résultats du dernier audit interne. Au Cofrac, le règlement d’accréditation CERT REF 05 (révision 19) fixe un premier cycle de quatre ans au plus, avec trois surveillances et une réévaluation espacées de douze mois, la première surveillance venant huit mois après la prise d’effet. Les cycles suivants durent au plus cinq ans, avec un intervalle de quinze mois. Le Conseil canadien des normes applique un cycle de quatre ans avec une surveillance annuelle, et la Belgique comme la Suisse accordent l’accréditation pour cinq ans au plus. L’intervalle entre deux évaluations reste donc proche de la fréquence normale de l’audit interne.

Puisque 8.6.3 impose de couvrir tout le système en douze mois, la latitude tient à la profondeur de l’échantillon : chaque année couvre les articles 4 à 8, et un thème y reçoit un échantillon renforcé, choisi selon 8.6.2. Poussée jusqu’au bout, l’idée d’une couverture égale de tout, tous les ans, reviendrait à rouvrir chaque dossier de l’année et à certifier une seconde fois chaque produit, cette fois pour soi. Le tableau propose une répartition pour un premier cycle Cofrac, à titre d’exemple : si vous avez connu des écarts sur la décision, ce thème passe en tête. Ce qui compte, c’est la justification du choix, écrite dans le programme. L’évaluateur la lira.

La grille d’audit interne ISO/IEC 17065, exigence par exigence

La grille suit l’ordre des articles 4 à 8 en vingt-huit lignes, une par exigence ou par groupe d’exigences qui se prouvent avec la même pièce. La question est formulée comme l’auditeur interne la pose, et la preuve attendue nomme l’enregistrement qui y répond, car une réponse orale sans pièce ne clôt aucune ligne. La dernière colonne décrit, de façon impersonnelle, la situation où la lecture du texte est le plus souvent prise en défaut. En option B, les deux dernières lignes cèdent la place à l’audit du système ISO 9001.

Vingt-huit lignes ne dispensent pas de lire les sous-clauses, en particulier les onze obligations de l’accord de certification (4.1.2.2) et les quatorze domaines d’autorité de 5.1.3. Pour descendre à ce niveau, la liste de vérification d’audit interne ISO/IEC 17065 de Management Qualité prolonge cette grille sous-clause par sous-clause. L’intention de chaque article est détaillée dans notre lecture des exigences de la norme ISO/IEC 17065 pour la certification des produits. Chaque ligne se conclut par conforme, écart ou piste d’amélioration. Cette forme prépare l’information des responsables que demande 8.6.4.

Quels écarts chercher en priorité ?

L’impartialité (4.2 et 5.2)

L’organisme identifie en continu les risques pour son impartialité, y compris ceux qui naissent des relations de son personnel (4.2.3), démontre comment il élimine ou réduit chacun d’eux et en informe le mécanisme de préservation de l’impartialité (4.2.4). L’écart fréquent tient à la continuité : une analyse rédigée pour l’accréditation initiale et jamais revue, alors que les déclarations de liens de 6.1.3 devraient l’alimenter. Un second écart touche la transmission, quand aucun compte rendu ne montre que le mécanisme a examiné les mesures de maîtrise, dont la revue de direction doit recevoir les retours (8.5.2 c). La preuve attendue est une analyse datée, révisée à chaque nouvelle déclaration, et un procès-verbal du mécanisme qui la cite. Le dispositif complet, de l’analyse des risques pour l’impartialité au comité de sauvegarde, fait l’objet d’un article distinct.

La revue de la demande (7.3)

La revue vérifie que les informations suffisent, que les divergences sont résolues, que le domaine de certification est défini, que les moyens d’évaluation existent et que l’organisme a la compétence et la capacité nécessaires (7.3.1) ; une demande hors de son expérience est repérée (7.3.2), et la décision de l’entreprendre est justifiée par un enregistrement (7.3.3). L’écart fréquent confond revue et acceptation commerciale : un devis signé, mais aucune trace datée des cinq vérifications ni du nom de qui les a faites. Un second écart apparaît lors des extensions, quand une famille de produits nouvelle est acceptée sans la justification de 7.3.3. La preuve attendue est une revue signée et datée, antérieure au plan d’évaluation, qui répond aux cinq points.

La décision prise par la personne qui a évalué (7.5 et 7.6)

La revue est faite par au moins une personne qui n’a pas participé à l’évaluation (7.5.1), et la décision par une personne ou un groupe lui aussi extérieur à l’évaluation (7.6.2). Revue et décision peuvent revenir à la même personne, en même temps, sans recommandation documentée (7.5.2). L’écart fréquent se produit là où peu de personnes sont qualifiées : l’évaluateur qui a conduit l’audit chez le client signe aussi la décision pendant l’absence du décideur habituel. Il se produit encore quand le décideur a pris part à une seule tâche d’évaluation, sans que le dossier le signale. L’auditeur interne le repère en comparant, dossier par dossier, l’affectation des tâches (7.4.2) et l’identité du décideur. La preuve attendue est cette affectation documentée, avec une règle écrite de suppléance.

Le répertoire des produits certifiés (7.8)

L’organisme tient à jour des informations sur les produits certifiés, au moins le produit, les documents normatifs et le client, et renseigne sur demande sur la validité d’une certification (7.8). Après une suspension, un retrait ou une réduction, l’information publique est modifiée pour qu’aucune indication erronée ne subsiste (7.11.3). L’écart fréquent est un produit suspendu encore affiché comme certifié, parce que la mise à jour du répertoire n’est rattachée à aucune étape de la suspension. La preuve attendue est la comparaison, à date, entre les décisions et l’état du répertoire.

Les enregistrements (7.12)

Les enregistrements démontrent que toutes les exigences du processus ont été satisfaites (7.12.1), restent confidentiels jusque dans leur transmission (7.12.2) et sont conservés au moins pour le cycle en cours et le précédent lorsque le programme prévoit une réévaluation complète par cycle, sinon pendant une durée fixée par l’organisme (7.12.3). L’écart fréquent est une durée de conservation jamais écrite, ou écrite pour le système de management sans viser les dossiers de certification. Un second écart touche les résultats d’un laboratoire non indépendant du client, présents sans l’enregistrement qui justifie la confiance accordée (6.2.2.2). Les dossiers envoyés par messagerie sans protection relèvent de 7.12.2. La preuve attendue est une règle de conservation datée et un dossier ancien retrouvé complet.

Ce que disent les listes publiques

Aucune liste ne publie de motifs. Les entrées, elles, sont publiques : sur le site du Cofrac, la liste des suspensions, résiliations et retraits d’accréditation comptait, au 5 octobre 2026, dix-huit entrées d’organismes de certification de produits et services (numéros en 5-) avec une fin d’accréditation entre 2022 et 2026 : quatre retraits, trois résiliations pour transfert et onze résiliations. Les listes du SAS du 4 septembre 2026 ne comptent aucun organisme suisse de certification de produits suspendu, et deux révocations, l’une demandée par l’organisme, l’autre par renonciation au renouvellement, soit aucune révocation d’office. Aucune de ces entrées ne peut être reliée à un type d’écart ; elles rappellent seulement qu’une accréditation se retire, et que l’audit interne voit un écart avant qu’il pèse sur une décision.

Comment préparer l’évaluation d’accréditation, de l’examen documentaire à la décision ?

Le règlement CERT REF 05 du Cofrac découpe l’accréditation initiale en instruction de la demande, recevabilité opérationnelle, préparation et réalisation de l’évaluation, décision, puis suivi des écarts. L’exercice est courant pour l’accréditeur : la section Certifications du Cofrac a réalisé 828 évaluations en 2025. Pour l’organisme, chaque étape se prépare avec la même question : quelle pièce l’évaluateur demandera, et qui la commentera. Les cinq étapes qui suivent reprennent cet ordre.

L’évaluation documentaire

Avant de se déplacer, l’évaluateur examine la documentation et sa cohérence avec la norme et les programmes exploités. Hors option A, le texte impose peu de documents, et ce sont eux qui structurent l’examen. L’option A y ajoute les procédures de 8.3 à 8.8, l’option B la documentation du système ISO 9001. Classées dans l’ordre de la norme, avec leur date de révision, ces pièces épargnent des questions préalables. Le dernier rapport d’audit interne et la revue de direction qui l’a examiné complètent l’ensemble.

• L’accord de certification type impose les onze obligations de 4.1.2.2, dont la présence d’observateurs.
• La structure organisationnelle est documentée (5.1.2), comme le mécanisme de préservation de l’impartialité (5.2.2).
• Les enregistrements du personnel couvrent les huit rubriques de 6.1.2.2, et chaque personne a signé l’engagement de 6.1.3.
• Les prestataires figurent sur une liste approuvée, avec contrat, qualification et surveillance documentées (6.2.2.4).
• Le processus des réclamations et des appels s’accompagne de son registre (7.13.1).
• La règle de conservation des enregistrements est écrite (7.12.3).

L’évaluation sur site

Sur site, l’évaluateur choisit des dossiers, les remonte de la demande à la décision et interroge ceux qui ont revu, décidé ou traité une réclamation. Ce qui se prépare, c’est la disponibilité : des dossiers complets retrouvés sans délai, des personnes présentes, un membre de la direction qui rend compte de la performance du système (8.2.3). Relire les dossiers atypiques avant la visite sert à ouvrir des actions correctives, jamais à retoucher un dossier après coup, ce qui créerait un écart plus grave. Un écart trouvé par l’organisme et en cours de traitement se présente tout autrement qu’un écart relevé par l’évaluateur.

Le témoignage d’une activité de certification

Le témoignage est l’observation, par l’accréditeur, d’une activité de certification conduite chez un client : audit, inspection, prélèvement ou essai. Au Cofrac, cette évaluation d’observation peut être planifiée jusqu’à six mois après le mois de l’évaluation du site principal. Le Conseil canadien des normes peut subordonner l’accréditation initiale à un témoignage programmé dans les six mois suivant l’octroi, sous peine de retrait. La préparation commence dans l’accord de certification, qui doit imposer au client d’accepter des observateurs (4.1.2.2 c), faute de quoi le témoignage peut être refusé. Elle se poursuit avec le choix d’une activité de la portée demandée, conduite par une personne formellement autorisée (6.1.2.1 d) selon un plan écrit (7.4.1). Cette personne représente l’organisme.

La réponse aux écarts

Les écarts relevés se traitent avec les étapes que l’option A impose déjà à toute non-conformité : identifier, chercher les causes, corriger, évaluer le besoin d’actions contre la récurrence, les mettre en œuvre, enregistrer les résultats et revoir l’efficacité (8.7.4). Les actions sont proportionnées à l’impact (8.7.3), ce qui écarte la refonte du système pour un écart isolé. La faiblesse fréquente d’une réponse confond correction et action corrective : remettre en état le dossier fautif ne dit rien des dossiers traités de la même façon. Une réponse solide élargit l’examen à l’échantillon pertinent, nomme la cause et prouve la correction comme l’efficacité, que l’audit interne suivant vérifiera.

La décision

La décision appartient à l’accréditeur et porte sur une portée, c’est-à-dire sur les programmes, produits et documents normatifs pour lesquels la compétence a été démontrée. Elle s’appuie sur le rapport d’évaluation et sur les réponses aux écarts. Au Cofrac, l’accréditation initiale ouvre un premier cycle de quatre ans au plus. Le programme d’audit interne de ce cycle commence le jour de sa prise d’effet. Une portée plus étroite que la demande peut signaler qu’une compétence n’a pas été démontrée ; l’extension se demandera plus tard.

Que donne la grille sur un cas hypothétique ?

Faisons varier l’échantillon, et non plus l’auditeur. Sur dix dossiers, neuf sont cohérents de la demande au répertoire, mais le dixième concerne un produit suspendu depuis trois semaines et toujours affiché comme certifié : écart sur 7.11.3, dont la cause tient à l’absence de lien entre la décision de suspension et la mise à jour du répertoire plus qu’à l’assistante. L’action corrective inscrit ce lien dans la procédure de suspension et s’étend aux autres suspensions et retraits de l’année. Avec cinq dossiers au lieu de dix, l’écart aurait pu attendre l’évaluation d’accréditation, d’où un échantillon qui inclut chaque suspension, et pas seulement chaque programme.

Qu’est-ce que le texte n’exige pas ?

• La certification ISO 9001 n’est pas requise pour l’option B (note de 8.1.3).
• L’ISO 19011 n’est citée qu’en note de 8.6.1 : elle guide la méthode sans être une exigence.
• L’audit annuel unique n’est pas imposé, puisque l’audit segmenté ou glissant est admis (8.6.3).
• Un auditeur externe n’est pas exigé : 8.6.4 interdit seulement d’auditer son propre travail.
• Identifier les risques pour l’impartialité n’implique pas une appréciation au sens de l’ISO 31000 (note 2 de 4.2.3).
• Les deux ans de 4.2.10 sont une indication de note, alors que ceux de 7.13.6, pour les réclamations et les appels, sont une exigence.
• Les procédures d’actions correctives et préventives peuvent être communes (note de 8.8.3).
• La surveillance n’est obligatoire que si le programme l’exige ou si une marque est apposée de façon continue (7.9).

Ces marges ont un prix. Ce que le texte laisse à l’organisme doit être écrit : la période de carence, la durée de conservation, la fréquence d’audit et sa justification. Chacune devient un écart lorsqu’elle reste implicite, parce que la norme demande à l’organisme de la fixer sans la fixer à sa place. Pour partir de documents déjà ordonnés sur ces points, le kit documentaire ISO/IEC 17065 de Management Qualité regroupe procédures, enregistrements et formulaires dans l’ordre de la norme. Il reste à les adapter aux programmes exploités.

Questions fréquentes

La croyance de départ voulait qu’un audit interne ISO/IEC 17065 se conduise comme n’importe quel audit de système, une fois par an, procédure par procédure, selon l’ISO 19011. Le texte corrige chaque morceau de cette phrase : la fréquence de douze mois se module par une décision écrite, l’ISO 19011 n’est qu’une note, et l’objet de l’audit est la preuve, dossier par dossier, que chaque exigence du processus de certification a été satisfaite (7.12.1). L’audit interne d’un organisme de certification ne vérifie pas seulement que les procédures existent ; il vérifie que chaque dossier prouve qu’elles ont été suivies. C’est aussi ce que fera l’évaluateur, le dernier rapport d’audit interne ouvert devant lui.

Sources : ISO (ISO/IEC 17065:2012, Évaluation de la conformité, Exigences pour les organismes certifiant les produits, les processus et les services, première édition ; clauses 4 à 8 et annexe A lues dans le texte), Cofrac (CERT REF 05, Règlement d’accréditation, révision 19, § 7 et § 8.1 ; rapport d’activité 2025, section Certifications ; liste des suspensions, résiliations et retraits d’accréditation, consultée le 5 octobre 2026, colonne État), SAS (liste des accréditations suspendues et liste des accréditations révoquées, 4 septembre 2026), Conseil canadien des normes (CBAP Program Overview, version 4), BELAC (arrêté royal du 31 janvier 2006, art. 7), Suisse (ordonnance sur l’accréditation et la désignation, art. 15).

Article fondé sur le texte de l’ISO/IEC 17065:2012. Rédigé le 5 octobre 2026 ; réécriture de l’article publié sous la même adresse.