Module 0 — Introduction

Comprendre l’ISO/IEC 17021-1:2015

Le point de départ : ce qu’est cette norme, à qui elle s’adresse, pourquoi elle existe, et comment la lire — avant d’entrer dans les exigences des chapitres 5 à 10

Avant d’auditer la moindre exigence, il faut savoir ce que l’on tient entre les mains. L’ISO/IEC 17021-1 n’est pas une norme de système de management d’entreprise comme l’ISO 9001 ou l’ISO 14001 : c’est la norme qui encadre les organismes qui délivrent ces certifications. Ce module pose les repères indispensables — objet, périmètre, destinataires, structure, vocabulaire et histoire — pour que tout le reste de la formation prenne son sens.

Ce qu’est l’ISO/IEC 17021-1, et ce qu’elle n’est pas

Le titre complet de la norme dit déjà l’essentiel : « Évaluation de la conformité — Exigences pour les organismes procédant à l’audit et à la certification des systèmes de management ». L’objet de ce texte, ce ne sont pas les entreprises qui se font certifier ISO 9001, ISO 14001 ou ISO 27001 : ce sont les organismes qui délivrent ces certificats. La norme précise elle-même, dans son introduction, qu’elle spécifie des exigences pour les organismes qui réalisent l’audit et la certification de systèmes de management, et elle nomme ces organismes des organismes de certification. C’est un déplacement de point de vue qu’il faut faire d’emblée : ici, l’audité n’est pas l’entreprise, c’est l’organisme de certification lui-même.

La norme donne des exigences génériques pour ces organismes, quel que soit le domaine dans lequel ils certifient : la qualité, l’environnement, ou tout autre type de système de management. Le but affiché est clair : garantir que les organismes de certification opèrent d’une manière compétente, cohérente et impartiale. Ces trois mots — compétence, cohérence, impartialité — reviendront constamment ; ils forment le triangle sur lequel repose toute la crédibilité du dispositif. Un organisme qui respecte l’ISO/IEC 17021-1 est un organisme dont on peut raisonnablement penser que ses certificats veulent dire quelque chose.

Il faut donc dissiper tout de suite une confusion fréquente. L’ISO/IEC 17021-1 n’est pas une norme de système de management d’entreprise. Elle ne se substitue pas à l’ISO 9001 et ne s’applique pas à une entreprise industrielle ou de services lambda qui voudrait structurer sa qualité. Elle s’adresse exclusivement au maillon qui certifie. Une entreprise ne « se certifie » jamais ISO/IEC 17021-1 : elle se certifie ISO 9001, et l’organisme qui lui délivre ce certificat, lui, doit se conformer à l’ISO/IEC 17021-1 et en répondre devant son organisme d’accréditation.

Deuxième mise au point, tout aussi importante pour un futur auditeur : la certification de système de management concerne des organisations, pas des personnes. La norme définit sans ambiguïté qu’il s’agit d’une activité d’évaluation de la conformité par tierce partie portant sur le système de management d’une organisation. Certifier les compétences d’une personne relève d’un autre référentiel — l’ISO/IEC 17024 — qui n’est pas notre sujet. Retenir cette frontière évite bien des malentendus : ce que l’ISO/IEC 17021-1 régit, c’est la certification d’organisations par des organismes tiers, rien d’autre.

À qui s’adresse la norme

Le premier destinataire de la norme est l’organisme de certification lui-même, souvent désigné par son sigle OC. C’est lui qui doit démontrer qu’il satisfait à chaque exigence. Autour de lui gravitent d’autres acteurs que la norme distingue soigneusement, et qu’un professionnel doit savoir nommer sans les confondre : les auditeurs tierce partie qui conduisent les audits pour le compte de l’OC, les comités chargés de sauvegarder l’impartialité, et les organismes d’accréditation qui évaluent l’OC. Chacun a un rôle propre dans la chaîne de confiance.

La distinction centrale à intégrer est celle de trois acteurs souvent amalgamés dans le langage courant. Il y a d’abord le client, que la norme définit comme l’organisation dont le système de management est audité en vue de la certification : c’est l’entreprise qui veut son certificat ISO 9001. Il y a ensuite l’organisme de certification, la tierce partie indépendante qui réalise l’audit et prend la décision de certifier ou non. Il y a enfin l’organisme d’accréditation, qui n’audite pas l’entreprise mais l’organisme de certification, pour attester que ce dernier est bien compétent et impartial. Tout au long de cette formation, quand nous dirons « le client », il s’agira de l’entreprise auditée par l’OC ; quand nous dirons « l’évaluateur », il s’agira de l’évaluateur d’accréditation, par exemple le COFRAC en France, qui vient auditer l’OC.

La norme le dit elle-même dans une note du chapitre 1 : ce texte peut servir de document de référence pour l’accréditation, l’évaluation par les pairs ou d’autres processus d’audit. Autrement dit, l’ISO/IEC 17021-1 est le référentiel sur lequel l’organisme d’accréditation s’appuiera pour évaluer l’OC. C’est pourquoi le futur auditeur d’un OC, ou le responsable qualité de cet OC, doit lire chaque exigence en se demandant non pas « comment mon entreprise cliente s’y prend », mais « comment mon organisme prouvera à son évaluateur qu’il satisfait à cette clause ».

Une note du même chapitre 1 ajoute une précision de portée : un organisme de certification peut être non gouvernemental ou gouvernemental, avec ou sans autorité réglementaire. La norme ne présume donc pas d’un statut juridique particulier ; elle vise la fonction de certification, quel que soit le porteur. Un organisme opérant selon l’ISO/IEC 17021-1 n’est d’ailleurs pas tenu d’offrir tous les types de certification de systèmes de management : il peut se spécialiser sur un ou plusieurs domaines.

Pourquoi la norme existe

La raison d’être de la norme tient en un mot que l’on retrouve à chaque page de son introduction : la confiance. La certification d’un système de management est présentée comme l’un des moyens de donner l’assurance qu’une organisation a mis en place un système pour gérer les aspects pertinents de ses activités, produits et services, en cohérence avec sa politique et avec les exigences de la norme de management concernée. Toute la construction vise à rendre cette assurance crédible pour des parties qui, le plus souvent, n’ont pas les moyens d’aller vérifier par elles-mêmes.

L’ISO/IEC 17021-1 revendique une ambition qui dépasse le cadre d’un simple audit. Son observance, écrit la norme, doit garantir que les organismes de certification opèrent de manière compétente, cohérente et impartiale, facilitant ainsi la reconnaissance de ces organismes et l’acceptation de leurs certifications à l’échelle nationale et internationale. La formule finale est décisive : ce texte sert de fondement pour faciliter la reconnaissance de la certification de systèmes de management dans l’intérêt du commerce international. Derrière chaque exigence technique, il y a donc un enjeu économique : permettre qu’un certificat émis dans un pays soit accepté dans un autre, et éviter que chaque marché exige son propre contrôle.

La norme énonce précisément ce que la certification d’un système de management vient démontrer, de façon indépendante. Elle apporte trois démonstrations, qu’un professionnel doit connaître dans l’ordre. Premièrement, que le système de management de l’organisation est conforme aux exigences spécifiées. Deuxièmement, qu’il est capable d’atteindre de façon constante sa politique et ses objectifs déclarés. Troisièmement, qu’il est effectivement mis en œuvre. Ces trois volets se complètent : la conformité formelle ne suffit pas, il faut aussi la capacité à tenir dans la durée et la réalité de la mise en œuvre sur le terrain. C’est parce que la certification démontre ces trois choses à la fois qu’elle apporte de la valeur à l’organisation, à ses clients et aux parties intéressées.

Ce triptyque explique aussi la posture d’audit attendue. Un auditeur qui se contenterait de vérifier l’existence de documents raterait deux des trois démonstrations. La conformité se lit dans les documents et les preuves ; la capacité à atteindre les objectifs se lit dans les résultats et les tendances ; l’efficacité de la mise en œuvre se lit dans les pratiques réelles observées sur site. La norme demande de couvrir les trois, et c’est cette exigence de profondeur qui distingue une certification crédible d’un simple tampon administratif.

La structure de la norme

L’ISO/IEC 17021-1 s’organise selon une logique qu’il faut avoir en tête pour naviguer dans le texte. Les trois premiers chapitres posent le cadre : le chapitre 1 définit le domaine d’application, le chapitre 2 énumère les références normatives, et le chapitre 3 fixe les termes et définitions. Ces chapitres ne s’auditent pas ; ils donnent le vocabulaire et le périmètre. Le chapitre 3 mérite une lecture attentive, car il définit des notions dont la précision fait toute la différence en audit : le client, l’auditeur, la compétence, la non-conformité et sa gradation en majeure et mineure, le conseil en système de management, l’expert technique, le domaine technique, le temps d’audit, ou encore l’impartialité entendue comme la présence d’objectivité.

Le chapitre 4 est à part. Il décrit les principes sur lesquels repose une certification crédible : impartialité, compétence, responsabilité, ouverture, confidentialité, réactivité aux plaintes et approche par les risques. La norme prévient elle-même que ces principes sous-tendent les exigences des chapitres 5 à 10, mais qu’ils ne sont pas des exigences auditables à part entière. Le chapitre 4 est donc un préambule nécessaire, un guide de lecture pour tout ce qui suit, et non une liste de cases à cocher. Il fait l’objet du module suivant de cette formation.

Le cœur exigentiel de la norme se situe dans les chapitres 5 à 10. C’est là que se trouvent les exigences auditables proprement dites : exigences générales sur les questions juridiques et l’impartialité, exigences structurelles, exigences relatives aux ressources et à la compétence, exigences d’information, exigences de processus couvrant tout le déroulement d’un audit de certification, et enfin exigences relatives au système de management de l’organisme lui-même. Chacun de ces chapitres fera l’objet d’un module dédié, avec ses exigences citées puis expliquées.

Le chapitre 10 mérite une mention particulière, car sa logique surprend souvent au premier abord. Il traite du système de management de l’organisme de certification, et il offre deux options entre lesquelles l’OC choisit. La première consiste à établir un système de management conforme à l’ISO 9001, appliqué au périmètre de la certification. La seconde consiste à établir un système de management répondant directement aux exigences que la norme énonce elle-même. Autrement dit, l’organisme qui certifie les systèmes de management des autres doit lui-même disposer d’un système de management maîtrisé, et il peut le démontrer de deux façons équivalentes. La norme le dit dans son introduction : le chapitre 10 décrit deux moyens alternatifs de soutenir et de démontrer l’atteinte constante des exigences par l’établissement d’un système de management par l’organisme de certification.

La norme se termine par des annexes, de A à E, qui n’ont pas toutes le même poids. Elles apportent des précisions et des illustrations : critères de compétence détaillés, éléments de méthode, temps d’audit, principes de fonctionnement, et une illustration de la manière dont les nombreuses activités de certification s’enchaînent et interagissent, depuis la revue de la demande jusqu’à la fin de la certification. La norme signale d’ailleurs, dans son introduction, que l’Annexe E fournit une représentation de l’articulation de ces activités. Il faut vérifier, annexe par annexe, si elle est normative — c’est-à-dire d’application obligatoire — ou seulement informative, car cette qualité conditionne la manière dont l’évaluateur s’en servira.

Les formes verbales de la norme

Un point que la norme prend soin de fixer dès son introduction, et qui est absolument crucial pour un auditeur, concerne les formes verbales employées dans le texte. Toutes les phrases n’ont pas la même force juridique, et confondre une exigence avec une simple recommandation est l’une des erreurs les plus lourdes de conséquences en audit. La norme fixe quatre verbes et leur sens exact.

Le verbe « shall » — « doit » en français — indique une exigence. C’est le seul niveau opposable : ce qui est écrit avec « doit » est obligatoire, et son absence constitue une non-conformité. Le verbe « should » — « il convient de » — indique une recommandation : une bonne pratique fortement conseillée, mais dont l’absence, à elle seule, ne fonde pas une non-conformité. Le verbe « may » — « peut » — indique une permission : une possibilité offerte, laissée au choix de l’organisme. Enfin, « can » — également rendu par « peut » — indique une possibilité ou une capacité, au sens de ce qui est faisable, sans aucune notion d’obligation ni de permission.

La conséquence pratique est directe. Un auditeur ne rédige une non-conformité que sur un « doit » non satisfait. Bâtir une non-conformité sur un « il convient de », c’est confondre le souhaitable et l’obligatoire, et exposer sa conclusion à une contestation légitime. À l’inverse, traiter un « doit » comme une simple recommandation, c’est laisser passer un véritable écart. Lire la norme, c’est d’abord repérer ces verbes ; leur maîtrise est un réflexe professionnel de base. La norme renvoie, pour le détail, aux Directives ISO/IEC, Partie 2, qui codifient ces conventions d’écriture communes à toutes les normes internationales.

L’histoire et le statut de la version

L’ISO/IEC 17021-1:2015 est la première édition portant ce numéro avec le suffixe « -1 ». Elle a été préparée par le comité de l’ISO chargé de l’évaluation de la conformité, le CASCO, mise au vote des organismes nationaux membres de l’ISO comme de l’IEC, et approuvée par les deux organisations. Elle annule et remplace l’ISO/IEC 17021:2011, dont elle constitue une révision technique. Le passage de 2011 à 2015 n’est donc pas une simple actualisation de forme : c’est une révision de fond, qui a notamment introduit l’approche par les risques parmi les principes fondateurs.

Le suffixe « -1 » n’est pas anodin : il signale que la norme antérieure, unique, a été éclatée en plusieurs parties réunies sous un titre général commun, « Évaluation de la conformité — Exigences pour les organismes procédant à l’audit et à la certification des systèmes de management ». La Partie 1 porte les exigences proprement dites — c’est notre norme. Les Parties 2 à 7 sont des spécifications techniques, publiées sous le statut de Technical Specification, qui définissent les exigences de compétence domaine par domaine : compétences pour l’audit et la certification des systèmes de management environnemental pour la Partie 2, des systèmes de management de la qualité pour la Partie 3, des systèmes de management de la durabilité événementielle pour la Partie 4, des systèmes de management d’actifs pour la Partie 5, des systèmes de management de la continuité d’activité pour la Partie 6, et des systèmes de management de la sécurité du trafic routier pour la Partie 7. Cette architecture permet de faire évoluer les exigences de compétence propres à chaque domaine sans toucher au socle commun de la Partie 1.

Enfin, un mot sur le statut européen du texte. La norme a été reprise au niveau européen sous la référence EN ISO/IEC 17021-1:2015, adoptée par le CEN sans modification. Concrètement, la version internationale et la version européenne ont le même contenu ; le préfixe « EN » atteste simplement de son adoption comme norme européenne, ce que confirme la référence sous laquelle circule couramment ce document, BS EN ISO/IEC 17021-1:2015 pour sa reprise britannique. Pour un organisme opérant en Europe, c’est cette version reprise qui fait foi, à l’identique du texte international.

À retenir

• L’ISO/IEC 17021-1 régit les organismes de certification, pas les entreprises. Elle spécifie les exigences pour les organismes qui auditent et certifient les systèmes de management, afin qu’ils opèrent de manière compétente, cohérente et impartiale.
• Ce n’est pas une norme de système de management d’entreprise, et la certification concerne des organisations, pas des personnes. Une entreprise se certifie ISO 9001 ; l’organisme qui la certifie répond, lui, de l’ISO/IEC 17021-1 devant son organisme d’accréditation.
• Trois acteurs à ne jamais confondre : le client, entreprise auditée en vue de la certification ; l’organisme de certification, tierce partie qui audite et décide ; l’organisme d’accréditation, qui audite l’organisme de certification lui-même.
• La norme existe pour donner confiance et faciliter la reconnaissance mutuelle des certifications, fondement du commerce international. La certification apporte trois démonstrations : conformité aux exigences, capacité à atteindre politique et objectifs, mise en œuvre effective.
• Structure du texte : chapitres 1 à 3 pour le cadre et le vocabulaire, chapitre 4 pour les principes non auditables, chapitres 5 à 10 pour les exigences, annexes A à E pour les précisions. Le chapitre 10 offre deux options pour le système de management de l’organisme.
• Les formes verbales font foi : « doit » est une exigence, « il convient de » une recommandation, « peut » une permission ou une possibilité. Une non-conformité ne se rédige que sur un « doit » non satisfait.
• L’édition 2015 est la première sous le numéro -1 ; elle annule et remplace la version 2011 par révision technique. Le -1 marque l’éclatement en plusieurs parties : la Partie 1 porte les exigences, les Parties 2 à 7 les compétences par domaine sous forme de spécifications techniques. Le CEN l’a adoptée sans modification en EN ISO/IEC 17021-1:2015.

Note de source : ce module d’introduction s’appuie sur l’avant-propos, l’introduction, le domaine d’application (chapitre 1) et les termes et définitions (chapitre 3) de l’ISO/IEC 17021-1:2015, dans sa reprise BS EN ISO/IEC 17021-1:2015 confirmant l’adoption par le CEN sans modification. Ce chapitre ne contient pas d’exigences auditables : son contenu est présenté à titre de repères de compréhension, non comme des clauses dont l’absence constituerait une non-conformité. Les intitulés des Parties 2 à 7 et les formes verbales sont cités conformément au texte de la norme. Aucun élément extérieur au document source n’a été ajouté.