Projetons-nous. Mardi 12 janvier 2027, 9 heures. Votre auditrice interne étale sur la table la grille du processus achats (celle de 2019, imprimée la veille). Le responsable achats s’assoit, parcourt la première colonne et lance la seule question qui compte : « On est audités sur la 2015 ou sur la 2026 ? » Silence.

Cette scène, je la vois arriver dans beaucoup de PME cet hiver. La sixième édition de l’ISO 9001 est publiée depuis le 16 septembre 2026, vos certificats 2015 restent valables, et votre programme 2026-2027 a été écrit avant tout ça. Résultat : personne ne sait sur quel texte contrôler, ni quoi examiner de plus. La grille de 2019, elle, ignore la 6.1.3 et la culture de la qualité.

Dans ce guide, je lis avec vous la clause 9.2 telle qu’elle est publiée (pas telle que le projet la laissait entrevoir). Je vous donne les quatorze nouveautés à inspecter, chapitre après chapitre de 4 à 10, avec la question à poser et la preuve à exiger. Puis l’arbre de décision qui fixe votre référentiel d’après l’échéance de votre prochain audit externe. Et je termine par ce que la norme ne réclame pas, parce que c’est là qu’on va essayer de vous vendre des choses. Allez, on y va !

L’essentiel, si vous n’avez que deux minutes

• 9.2.1 : inchangée. Des audits internes « à intervalles planifiés », pour la conformité et l’efficacité. Elle gagne un titre, « Généralités », rien d’autre.
• 9.2.2 : réorganisée. Le programme monte dans le chapeau, six alinéas deviennent quatre (a à d), chaque mission reçoit des objectifs en plus de ses critères et de son champ, les résultats vont « aux responsables concernés », la preuve documentée demeure, la note renvoie toujours à l’ISO 19011.
• Le programme tient compte « des changements ayant une incidence sur l’organisme » (exigence déjà présente en 2015) : à mon sens, le passage à l’édition 2026 en fait partie.
• Quatorze points nouveaux ou renforcés à inspecter, en plus de la 9.2.2 elle-même (objectifs d’audit, voir plus haut) : 4.1, 4.2 c), 5.1.1 i) et k), 5.3 f), 6.1.2, 6.1.3, 6.3, 7.1.4, 7.1.6, 7.3 e), 8.2.1 e), 8.4.3, 9.3.2, 10.1. Une interrogation et une pièce justificative pour chacun, dans le tableau plus bas.
• Le référentiel à retenir dépend de deux échéances : votre prochain passage de l’organisme certificateur et son accréditation pour la 2026. Les cinq dates Global ACI courent du 31 mars 2027 au 30 septembre 2029.
• Pas exigé : procédure écrite, auditeur certifié, rythme annuel, ligne « intelligence artificielle ».

Ce que la clause 9.2 publiée dit vraiment

J’ai mis l’édition 2026 en regard de la 2015, ligne à ligne. Lafiche ISO 9001:2026 vous donnera la référence ; le contenu, le voilà.

9.2.1 Généralités : rien ne bouge, et tant mieux

La 9.2.1 porte désormais un titre, et c’est sa seule retouche. L’organisme« doit conduire des audits internes à intervalles planifiés » pour savoir si le système est conforme à ses propres exigences et à celles de la norme, et s’il est « efficacement mis en œuvre et tenu à jour ». Alinéas a) et b) : identiques à 2015 ! Votre objectif reste donc double, conformité et efficacité. Je le rappelle parce que bien des grilles n’examinent que le premier volet. Un processus conforme et inutile, ça existe. J’en croise régulièrement.

9.2.2 Programme d’audit interne : six points deviennent un chapeau et quatre alinéas

C’est ici que ça bouge. En 2015, la 9.2.2 alignait six alinéas, de a) à f), et le programme était le premier d’entre eux. En 2026, il monte dans le chapeau : l’organisme « doit planifier, établir, mettre en œuvre et tenir à jour un ou plusieurs programmes d’audit, couvrant notamment la fréquence, les méthodes, les responsabilités, les exigences de planification et le compte rendu ». Un second paragraphe précise ce que ce programme prend en considération : l’importance des processus concernés, les résultats des missions précédentes, « ainsi que les changements ayant une incidence sur l’organisme ». Vous me voyez venir ? Le passage à l’édition 2026 est un changement de cette nature. Votre planning doit donc l’intégrer. C’est la lecture la plus sûre.

Viennent ensuite quatre alinéas. L’organisme doit : a) définir les objectifs, les critères et le champ de chaque audit ; b) sélectionner des auditeurs et conduire les audits de façon à garantir l’objectivité et l’impartialité du processus ; c) s’assurer qu’il est rendu compte des résultats aux responsables concernés ; d) entreprendre sans délai indu la correction et les actions correctives appropriées. Puis une phrase seule : des informations documentées « doivent être disponibles comme preuve de la mise en œuvre du ou des programmes d’audit et des résultats d’audit ». Et une note qui renvoie à l’ISO 19011 pour les recommandations, comme en 2015.

Qu’est-ce qui change réellement ? Deux choses, plus une nuance de traduction, vérifiées mot à mot. Un : l’alinéa a) réclame les objectifs de chaque audit, en plus des critères et du champ ; la 2015 ne parlait que de critères et de périmètre. La nuance : les résultats vont « aux responsables concernés ». La version anglaise de 2015 disait déjà « relevant management », pas « top management » : la formulation française est plus claire, le fond ne change pas. Deux : « conserver des informations documentées » cède la place à « disponibles comme preuve », comme partout ailleurs (l’annexe A.2 e) explique la nuance : des preuves objectives, sans portée juridique). Le reste ? Même matière, autre ordre. Les sites qui annoncent une « refonte de l’audit interne » n’ont pas lu la clause.

La fréquence, tranchée par le texte

Une fois par an ? Une fois par cycle de trois ans ? Pas de rythme fixe ? Les blogs que j’ai parcourus affirment les trois (pour une seule clause). La norme, elle, n’avance aucun chiffre. Elle dit « à intervalles planifiés », et l’annexe A.9.2 ajoute que« la détermination de la fréquence et du champ d’audit est influencée par l’évaluation par l’organisme des risques pertinents et des évolutions des enjeux externes et internes ». Traduction pour 2027 : vous êtes en transition, c’est une évolution de vos enjeux, votre calendrier doit le refléter. Pas forcément davantage de missions. Des missions mieux ciblées ! Au passage, l’annexe A.9.3 glisse une phrase que personne ne cite : en revue de direction, les tendances issues des audits « se rapportent à tous les audits, y compris les audits de première, seconde et tierce partie ». Si votre revue n’exploite que vos propres rapports, il lui manque les deux tiers de la matière.

Qui peut auditer ? Ce que dit la définition 3.18

La norme possède maintenant son propre article 3, et l’audit y est défini (3.18) avec sept notes. Deux d’entre elles tranchent ce que tout le monde se demande. Note 2 : un audit interne « est conduit par l’organisme lui-même ou par une partie externe pour le compte de celui-ci ». Un consultant peut donc s’en charger (première partie quand même). Note 5 : « l’indépendance peut être démontrée par l’absence de responsabilité vis-à-vis de l’activité à auditer ». Pas besoin d’un service dédié : il suffit que l’auditeur ne pilote pas ce qu’il contrôle. Pour la méthode d’entretien, le déroulé et les cinq phases classiques, ma page sur l’audit interne en version 2015 reste valable. Spoiler : rien de cela n’a bougé.

Ce que l’auditeur interne vérifie de nouveau, article par article

Maintenant, la partie que personne n’écrit. Pas les étapes (vous les connaissez), mais ce que l’auditeur interne doit vérifier de nouveau en 2026, chapitre par chapitre. J’ai retenu les clauses classées nouvelles ou renforcées dans ma comparaison des éditions ; les 68 sous-clauses complètes, je les détaille dans le guide des exigences ISO 9001:2026. Pour chaque ligne : ce qui bouge, la question que je poserais, la preuve que j’attendrais. En audit, une question sans preuve attendue n’est pas une question. C’est une conversation.

Article 4 : le climat et le tri des parties intéressées

La 4.1 oblige à déterminer si des enjeux découlent des changements climatiques (exigence issue de l’amendement ISO 9001:2015/Amd 1:2024, qui modifiait déjà l’édition 2015). Déterminer, pas agir ! Votre question tient en une ligne : « Où est la réponse ? » Un « non, justifié ainsi » dans l’analyse de contexte vaut mieux qu’un paragraphe de bonnes intentions. La 4.2 c) exige de dire lesquelles des exigences des parties intéressées sont traitées par le SMQ. Un tableau qui en aligne quarante sans trier ne répond plus à la clause. Réclamez le tri ; le motif de chaque exclusion n’est pas exigé, mais il montre que le tri a été réfléchi.

Article 5 : la culture ne se lit pas, elle s’entend

La 5.1.1 i) demande à la direction de promouvoir une culture de la qualité et un comportement éthique ; la note 2 fournit quatre marqueurs observables (valeurs partagées, attitudes, pratiques, actions). Aucun document n’est exigé. Alors comment auditer ? En entretien avec la direction, en croisant avec ce que disent les équipes (7.3 e). Une question ouverte, puis laissez venir : « Donnez-moi une décision des six derniers mois où la qualité a pesé plus lourd que le délai. » Le silence est un constat. Le k) ajoute l’approche par les opportunités : faites citer une opportunité portée par la direction. La 5.3 f) élargit une responsabilité déjà prévue en 2015 (l’intégrité du SMQ lors des changements) : elle vise désormais la continuité et le maintien du système, y compris pendant les changements. Cherchez un nom, pas un principe !

Article 6 : là où votre grille de 2019 est la plus fausse

Le chapitre qui bouge le plus. La 6.1.2 ne couvre plus que les risques et demande de les déterminer, de les analyser, de les évaluer ; la 6.1.3, nouvelle, fait de même pour les opportunités, avec des actions « appropriées au contexte de l’organisme ». Un registre sans analyse ni évaluation, c’est un écart, même s’il fait trente lignes. Attention : la proportionnalité se mesure désormais à l’impact des risques sur les résultats attendus du système, pas seulement sur la conformité des produits. La 6.3 passe de quatre à sept points. Ma méthode : prenez le dernier changement réel (un nouvel ERP, un déménagement, le départ d’une personne clé) et déroulez les sept points dessus. Communication, surveillance de l’efficacité, examen des résultats : ce sont les trois que personne n’a.

Article 7 : trois clauses, trois méthodes

La 7.1.4 s’audite par observation, parce que l’environnement de travail, que la clause demande de déterminer, fournir et « pérenniser » (la version anglaise de 2015 disait « maintain »), se voit ; la nouveauté certaine est dans sa note : certains de ses facteurs peuvent être influencés par la culture de la qualité et le comportement éthique. La 7.1.6 s’audite en entretien avec l’expert de la maison : les connaissances doivent être conservées, appliquées, partagées, et une connaissance qui tient dans une seule tête n’est ni conservée ni partagée. La 7.3 e) s’audite avec le personnel, à qui vous demandez ce que la culture de la qualité veut dire dans son poste. Attention, c’est là que ça se corse : il n’y a pas de bonne réponse à cocher. Vous cherchez de la cohérence entre le discours de la direction et celui de l’atelier. Quand l’atelier ne sait pas de quoi vous parlez, vous avez votre constat.

Article 8 : deux lignes à ajouter, pas plus

Le plus stable des sept. La 8.2.1 e) veut que les clients reçoivent des informations sur les mesures d’urgence, perturbations de fourniture comprises (une note liste les canaux, du site Internet à la FAQ). Demandez par quel canal un client apprendrait un retard de production demain matin. La 8.4.3 étend les exigences communiquées aux prestataires externes à leurs interactions avec vos clients (d) et autorise la vérification « dans les locaux des prestataires externes ou ailleurs » (f). Le contrat le dit-il ? Un enregistrement de vérification existe-t-il ?

Article 9 : auditer la revue de direction avec huit entrées

Vous auditez l’article 9 avec l’article 9, c’est toujours un peu vertigineux. La 9.3.2 gagne une entrée c) : les changements dans les besoins et attentes des parties intéressées. Les tendances, en d), sont réordonnées, sans portée normative (A.2). Les alinéas g) et h) séparent l’efficacité des actions face aux risques et face aux opportunités. Prenez le dernier compte rendu de revue de direction et cochez les huit entrées (oui, les huit). Il en manque en général une. Parfois deux ! Quant à la 9.2 elle-même, vérifiez que le programme cite l’édition 2026 parmi les changements ayant une incidence sur l’organisme.

Article 10 : l’amélioration qui ne vient pas d’un écart

La 10.1 absorbe l’ancienne 10.3, demande de traiter les opportunités « dans le cadre de l’amélioration continue » et étend l’alinéa a) aux processus ; la réponse aux besoins et attentes futurs, déjà présente en 2015, devient un alinéa b) à part. Question d’audit : « Montrez-moi une amélioration de l’année qui ne vient pas d’une non-conformité. » Si tout votre plan d’amélioration sort du registre des écarts, la 10.1 b) n’est pas couverte. Et c’est souvent le cas, je vous le dis sans détour.

Petit tableau récap, le seul de cet article qui mérite d’être imprimé. Question et preuve sont les miennes ; la colonne « ce qui change » vient du texte.

Quatorze lignes. Pas quatre-vingts ! Cerise sur le gâteau : la plupart se vérifient en moins de dix minutes si la preuve existe, et en trente secondes si elle n’existe pas. Vous êtes toujours avec moi ? Bien. Parce que la question suivante est celle de la salle de réunion de janvier 2027.

J’audite en 2015 ou en 2026 ? L’arbre de décision

« On est audités sur la 2015 ou sur la 2026 ? » La réponse dépend de deux dates : celle de votre prochain audit externe, et celle à laquelle votre organisme certificateur sera accrédité pour la 2026. Ces dates ne sont pas dans la norme (le mot « transition » n’y figure pas, je l’ai cherché). Elles viennent du document Global ACI-TECH-3-TR 2029-09-30 (M), version 1.0, émis le 4 septembre 2026 et applicable le 16 septembre 2026, qui s’impose aux accréditeurs et, par eux, aux organismes certificateurs. Les délais se comptent « à compter du dernier jour du mois de publication », donc du 30 septembre 2026. Cinq dates :

• 31 mars 2027 : les accréditeurs sont prêts à évaluer les organismes certificateurs sur la 2026. Avant, ne comptez pas sur un audit externe en 2026.
• 30 juin 2027 : les organismes certificateurs ont remis leur déclaration de transition. Celui qui renonce a prévenu ses clients par écrit avant cette date. Rien reçu au 1er juillet 2027 ? Posez la question !
• 30 septembre 2027 : les accréditeurs ont rendu leurs décisions. À partir de là, l’organisme qui a obtenu la sienne peut vous auditer sur la 2026.
• 31 mars 2028 : plus aucune certification initiale sur la 2015.
• 30 septembre 2029 : fin de validité de tous les certificats 2015, quelle que soit la date imprimée dessus. Le client qui refuse la transition voit le sien expirer ce jour-là, c’est écrit.

Le détail de chaque date et le tableau de décision par cycle de certification, je les ai écrits dans le guide de la version 2026 et de son calendrier de transition. Ici, je garde ce qui touche votre programme. Trois règles du même document : l’audit de transition de l’organisme se fait avec une surveillance, un renouvellement ou un audit spécial ; il couvre les exigences modifiées, les changements de contexte et les autres changements nécessaires de votre système ; il peut se faire à distance si les objectifs d’audit sont démontrés. Du temps supplémentaire ? Le document répond « possiblement », et ajoute qu’un temps supplémentaire peut ne pas être nécessaire pour un audit de système complet. Un audit interne 2026 propre, preuves à l’appui, est votre meilleur argument contre la journée facturée en plus. Gardez la phrase sous le coude !

Le principe, maintenant. Votre audit interne vous appartient. La norme vous demande d’en définir les critères (9.2.2 a), et rien ne vous interdit de contrôler sur la 2026 dès cet automne, certificat 2015 ou pas. Ce qui compte : couvrir le référentiel de votre prochain audit externe, et couvrir la 2026 avant que l’organisme ne la regarde. D’où l’arbre ci-dessous, qui est ma lecture du document Global ACI. Les dates sont les siennes, les conseils sont les miens.

Vous hésitez entre deux lignes ? Prenez celle qui vous fait auditer sur la 2026 le plus tôt. Un an trop tôt, cela vous coûte quatorze questions de plus. Six mois trop tard, les écarts sont découverts par l’organisme, et là, c’est lui qui écrit le rapport ! Si vous voulez un regard extérieur sur vos documents avant l’audit de transition, notre audit à blanc IA (399 euros, ISO 9001) fait ce travail à partir de votre documentation. Je le dis une fois, c’est fait.

Comment réécrire votre programme d’audit 2026-2027 ?

Reprenons le chapeau de la 9.2.2 comme un plan de rédaction. Ce qu’un programme couvre : la fréquence, les méthodes, les responsabilités, les exigences de planification, le compte rendu. Ce qu’il prend en considération : l’importance des processus, les résultats précédents, les changements ayant une incidence sur l’organisme. Votre programme 2026-2027 doit répondre à chaque mot. En gros, huit lignes à réécrire :

• 1. Le critère, par audit : ISO 9001:2026, ou 2015 plus écart 2026 selon votre ligne de l’arbre. « La norme ISO 9001 » sans édition ne suffit plus.
• 2. Les objectifs de chaque audit (nouveau dans l’alinéa a) : un audit de système sur la 2026, un audit d’écart sur les quatorze lignes, des audits de processus ciblés. Un objectif s’écrit avec un verbe : « vérifier que risques et opportunités sont traités séparément ».
• 3. La fréquence et son argument : citez l’annexe A.9.2. Les processus touchés par la transition (contexte, planification, revue de direction) passent en tête de l’année ; les autres gardent leur rythme.
• 4. Les méthodes par clause : entretien pour 5.1.1 i) et 7.3 e), observation pour 7.1.4, revue documentaire pour 6.3 et 9.3.2, échantillonnage sur les changements réels de l’année.
• 5. Les auditeurs et l’impartialité (alinéa b) : un nom par audit, la règle d’indépendance (aucune responsabilité sur l’activité auditée), une formation à l’édition 2026 attestée au titre de la 7.2. Une partie externe est possible.
• 6. Le compte rendu (alinéa c) : destinataires nommés, pilote de processus inclus, délai de remise.
• 7. La correction et les actions correctives (alinéa d) : « sans délai indu » se traduit par une date par constat, pas par « au prochain audit ».
• 8. Les preuves : programme approuvé, plans, rapports, suivi des actions. Exactement ce que la phrase finale de la 9.2.2 demande, ni plus ni moins.

Pour ne pas repartir d’une page blanche, notre checklist d’audit interne ISO 9001 donne la trame par clause ; elle sert de base aux objectifs et au champ de chaque audit, et vous y ajoutez les quatorze questions du tableau. Bref, ai-je encore besoin de vous convaincre que le programme se réécrit en une demi-journée, pas en un trimestre ?

(Petite digression : j’ai un faible pour les grilles d’audit au format paysage. Personne ne m’a jamais expliqué pourquoi la colonne « preuve » y est toujours la plus étroite, alors que c’est la seule qui compte. Si vous refaites la vôtre cet hiver, élargissez-la ! Fin de la digression.)

Ce qu’on ne vous demande pas

Attention, c’est là qu’on va vous vendre des choses. J’ai relu la 9.2, la 7.5 et l’article 3 avec une seule question : qu’est-ce qui n’y est pas ? Lisez bien !

• Une procédure d’audit interne documentée : la 9.2.2 demande un ou plusieurs programmes, et des informations documentées comme preuve de leur mise en œuvre et des résultats. Pas de procédure. La note de la 7.5.1 sur l’étendue variable des informations documentées est inchangée.
• Un auditeur certifié : le texte demande l’objectivité et l’impartialité (9.2.2 b) et la compétence (7.2). Le mot « certification » apparaît une seule fois dans toute la norme, dans une note de la définition de l’audit, pour les audits de tierce partie. Pas pour vos auditeurs.
• Une fréquence annuelle : « à intervalles planifiés », influencés par les risques et les évolutions des enjeux (A.9.2). Vous choisissez, vous justifiez.
• Un modèle de rapport : rendre compte aux responsables concernés et conserver la preuve des résultats. La forme est la vôtre.
• Un critère sur l’intelligence artificielle : zéro occurrence d’« intelligence artificielle » et d’« IA » dans le texte publié, une seule de « numérique », en note de la 7.1.6. Tout le reste est en note ou en annexe informative.
• Un audit interne de transition séparé : la norme ne le nomme pas. Un audit d’écart intégré au programme suffit.
• Deux grilles : une grille 2026 couvre l’essentiel de la 2015 ; pour un critère 2015, ajoutez seulement les formulations disparues, par exemple 5.3 « comprises » ou l’adéquation des éléments de sortie de la planification en 8.1. Le double critère de l’arbre veut dire quatorze lignes de plus, repérées comme telles, pas deux documents.

Alors oui, sur le papier, la « formation certifiante auditeur interne 2026 » et la « refonte complète de votre processus d’audit » font sérieux. Mais entre nous, le texte tient en une page et demie, et vous venez de la lire. Formez vos auditeurs à la 2026, oui, c’est la 7.2 ! Le reste est une option, pas une exigence.

Foire aux questions

La grille d’audit interne 2026 à cocher

Les 68 sous-clauses titrées du sommaire 2026 (articles 4 à 10), une case chacune, une étiquette sur la clause nouvelle et les quatorze renforcées (dont 9.2.2 et 10.1). Cochez ce que votre programme couvre déjà. Ce n’est pas un score, c’est une carte : les cases vides disent où vos prochains plans d’audit doivent aller. Ça tombe bien, vous savez maintenant quoi demander sur chaque ligne !

Je pense qu’à présent, vous savez quoi auditer, sur quel texte, et quand. Le responsable achats de janvier 2027 aura sa réponse avant de s’asseoir. À bientôt !

Sources : ISO (ISO 9001:2026, Systèmes de management de la qualité, Exigences, sixième édition, 2026-09 ; clauses 3.18, 9.2.1, 9.2.2, annexes A.2, A.9.2 et A.9.3 lues dans l’édition française), ISO (ISO 19011, Lignes directrices pour l’audit des systèmes de management, citée en note de la 9.2.2), Global ACI (Global ACI-TECH-3-TR 2029-09-30 (M), Transition requirements for ISO 9001:2026, v1.0, 4 septembre 2026 ; annonce du 16 septembre 2026).

Article fondé sur le texte publié le 16 septembre 2026. Rédigé le 5 octobre 2026.