Faut-il avoir réalisé un audit interne et une revue de direction avant de déposer la demande d’accréditation, ou des procédures approuvées suffisent-elles ? L’ISO/IEC 17020:2026 ne tranche pas : elle fixe les exigences applicables à l’organisme et laisse à l’accréditeur les conditions de dépôt. La réponse figure dans le règlement de la section Inspection du COFRAC, INS REF 05, révision 16, applicable depuis le 1er novembre 2025. Son paragraphe 7.2 est net : à la période d’évaluation envisagée, et non au dépôt de la demande, l’activité visée doit avoir démarré, et un audit interne et une revue de direction couvrant les domaines présentés doivent avoir été réalisés. Des procédures approuvées ne suffisent donc pas : il faut un système qui a déjà fonctionné et produit ses propres enregistrements.

Mettre en place ISO 17020, c’est construire tout ce qui doit exister avant ce rendez-vous, puis traverser les étapes conduites par l’accréditeur : demande, évaluation initiale, surveillance, renouvellement. La norme compte huit articles ; ses exigences vont de l’article 4, impartialité et confidentialité, à l’article 8, système de management, avec l’annexe A, normative, sur l’indépendance, et l’annexe B, informative. Cette troisième édition, datée de mars 2026, remplace celle de 2012. Ce guide sépare, pour chaque chantier, ce que la norme exige de ce qui n’est qu’un moyen recommandé : un moyen peut être allégé, une exigence manquante devient un écart.

Mettre en place ISO 17020 commence par fixer le périmètre et le type d’indépendance

Le réflexe serait d’ouvrir le projet par les procédures d’inspection, les plus proches du métier. Le texte place pourtant deux décisions en amont. La première est le périmètre : la clause 5.2.3 demande de définir et de documenter les activités d’inspection couvertes, avec leur domaine, leur étendue, leur stade et leurs référentiels. La seconde est le type d’indépendance, que la clause 5.1 renvoie à l’annexe A. La clause 5.2.4 y ajoute l’analyse des risques et des responsabilités nés des activités, pour dimensionner les provisions, assurance ou réserves, analyse que l’édition 2012 (5.1.4) ne détaillait pas. Tant que ces points restent ouverts, chaque procédure risque d’être reprise.

L’édition 2026 remplace les types A, B et C par deux catégories, soumises selon son introduction aux mêmes exigences d’impartialité. Le type A suppose les quatre conditions de A.1 : indépendance vis-à-vis des parties concernées ; aucune activité de conception, fabrication, fourniture, installation, achat, possession, utilisation ou maintenance des items inspectés ou concurrents similaires, ni par l’organisme ni par son entité juridique ; aucun lien avec une entité distincte qui s’y livre, si ce lien permet d’influencer le résultat d’une inspection. Tout organisme qui n’y satisfait pas relève du type non-A (A.2) : séparation des responsabilités entre l’inspection et les autres activités, et interdiction pour une même personne d’inspecter un item qu’elle a conçu, fabriqué, fourni, installé ou entretenu, sauf exigence de schéma qui l’autorise explicitement sans compromettre les résultats. Un ancien type B ou C, rattaché par définition à une organisation qui conçoit, fabrique ou entretient les items, relève donc du type non-A.

Un organisme constitué en société distincte appartient à une société mère qui détient aussi un fabricant d’équipements sous pression, et il inspecte ce type d’équipement. Le paramètre qui décide est la capacité des propriétaires à influencer le résultat d’une inspection. Si la mère et la société sœur n’en ont aucune, la propriété commune n’empêche pas le type A : c’est l’exemple 2 de A.1 d). Si un contrat donne à la société sœur une autorité sur l’organisme, la condition tombe et l’organisme relève de A.2 pour ces inspections. Le COFRAC peut vérifier le type dès la recevabilité (INS REF 05, § 7.2), et sa décision d’accréditation porte sur ce type (§ 7.4). Le détail des critères figure dans notre article sur le classement type A et type non-A.

Livrables exigés : description des activités d’inspection (5.2.3), conformité à l’annexe A selon le type retenu (5.1), analyse des responsabilités et provisions (5.2.4). Moyen recommandé : une note de cadrage qui les rassemble. Porteur : la direction, avec le futur responsable qualité. Ces pièces reviendront dans la demande.

L’impartialité se construit ensuite, car la clause 4.1 exige une surveillance continue des menaces

Il est tentant de réduire l’impartialité à une politique signée par la direction. La clause 4.1 demande un dispositif plus actif. L’organisme surveille ses activités et ses relations, y compris celles de son personnel, pour identifier en continu les menaces sur son impartialité (4.1.3). Il élimine ou réduit leur effet et démontre comment il le fait (4.1.4), là où l’édition 2012 lui demandait d’être en mesure de le démontrer. S’y ajoutent l’engagement de la direction (4.1.5), une structure qui protège l’impartialité (4.1.6) et une rémunération du personnel d’inspection qui n’influence pas les résultats (4.1.7). La politique relève de la clause 8.2, qui demande des politiques et objectifs documentés sans jamais parler de signature.

Le registre des liens et des menaces, que la norme ne nomme pas, reste un moyen commode de tenir surveillance et démonstration au même endroit. L’évaluateur peut vérifier que des menaces ont été identifiées récemment, que chacune a un traitement et que le résultat remonte en revue de direction (8.7.2 m). Une liste dressée au lancement du projet, puis jamais rouverte, contredit le texte, qui parle d’identification continue. La confidentialité (4.2) complète ce socle par des engagements juridiquement opposables couvrant les informations obtenues ou créées pendant les inspections.

Livrables exigés : politiques et objectifs couvrant l’impartialité (8.2), engagement de la direction envers l’impartialité (4.1.5), surveillance et traitement des menaces (4.1.3 et 4.1.4), engagements de confidentialité (4.2.1). Moyens recommandés : une politique signée et datée, un registre des liens et des menaces. Porteurs : la direction et le responsable qualité. La note de 4.2.1 cite le contrat ou une politique publiée comme formes d’engagement.

Le manuel n’est plus cité, mais organisation, compétences, équipements et prestataires doivent être prouvés

Le mot « manuel » ne figure pas dans l’ISO/IEC 17020:2026, alors que l’édition 2012 le citait en exemple dans son option A (8.1.2). La norme demande un système de management documenté (8.1.1), auquel toute la documentation liée aux exigences est rattachée ou renvoie (8.3.4). Un ensemble cohérent de documents référencés satisfait donc le texte. Le contenu est exigé : structure d’organisation, place dans l’organisation mère, responsabilités et autorités (5.3.1), fonctions décrites dans une fiche de poste ou un autre document (5.3.5). Deux fonctions doivent être identifiables : la direction technique, qui porte l’autorité sur les méthodes, les exigences de compétence et la réalisation des inspections (5.3.2), et les personnes chargées du système de management (5.3.4).

Le personnel occupe neuf sous-clauses. La clause 6.1.2 exige un processus documenté de gestion des compétences : exigences, sélection, formation initiale, autorisation, surveillance, formation continue. Chaque inspecteur est observé en train d’inspecter, sauf preuves suffisantes de compétence continue (6.1.7), là où l’édition 2012 parlait d’observation sur site (6.1.9). La clause 6.1.9 exige des informations documentées sur la compétence, que la fiche individuelle porte simplement. Les équipements ont aussi leurs pièces exigées, à planifier tôt : vérifications en service et étalonnage selon un programme (6.2.4), procédures de maintenance et pour les équipements défectueux (6.2.5 et 6.2.10), enregistrements (6.2.11).

Reste ce que l’organisme ne fait pas lui-même, de l’étalonnage aux services informatiques (6.3.1). La clause 6.3.2 exige une procédure et des enregistrements pour définir les exigences, choisir, suivre et réapprécier les prestataires, et la clause 6.3.6 une trace des prestataires approuvés et des services couverts. La sous-traitance d’inspection reste exceptionnelle (6.3.3), le client peut s’y opposer (6.3.4) et l’organisme garde la responsabilité des résultats (6.3.5). Le registre des prestataires approuvés est ici presque une exigence nommée.

Livrables exigés : organisation et fonctions décrites (5.3.1 et 5.3.5), direction technique et responsables du système désignés (5.3.2 et 5.3.4), gestion, surveillance et preuves des compétences (6.1.2, 6.1.5 et 6.1.9), procédures et enregistrements des équipements et des prestataires (6.2 et 6.3). Moyens recommandés : le manuel, les fiches de compétence individuelles. Porteurs : le responsable qualité et la direction technique. Le format de chaque pièce reste libre.

Les méthodes d’inspection portent la technologie, et la clause 7.5 porte le système de données

L’article 7 suit l’inspection du contrat au rapport. Une procédure de revue des demandes, offres et contrats vérifie que l’item, l’inspection et les moyens sont définis, avec enregistrement (7.1.1 et 7.1.5). Les méthodes non normalisées, y compris celles développées en interne, reçues du client ou modifiées, sont documentées (7.2.3), et toutes les méthodes traitent les points de 7.2.5, de l’échantillonnage aux critères de décision. Les modifications d’enregistrements restent traçables jusqu’aux observations d’origine (7.4.4). Le rapport comporte au moins les neuf mentions de 7.6.2.

La clause 7.5 passe volontiers pour le point d’ancrage des drones et de l’intelligence artificielle, puisqu’elle est nouvelle et porte sur les données. Le texte dit autre chose. La clause 7.5.1 demande de valider le système qui collecte, traite, stocke ou restitue les données d’inspection, ainsi que toute modification avant sa mise en œuvre, logiciel du commerce compris. La clause 7.5.2 protège données et enregistrements contre l’accès non autorisé, la falsification et la perte, et fait consigner les défaillances du système. Poussée jusqu’au bout, la lecture « drone » imposerait une procédure de vol à qui contrôle des extincteurs avec un manomètre et un carnet ; la clause demande seulement de protéger les relevés et de valider le logiciel où ils sont ressaisis.

La technologie se traite à trois autres endroits. La clause 6.2.9 vise notamment le traitement de données, l’intelligence artificielle, la réalité augmentée et l’inspection à distance. L’édition 2012 (6.2.13) ne citait qu’ordinateurs et équipements automatisés. Les méthodes traitent les activités où le jugement de l’inspecteur s’appuie sur la technologie et les résultats issus de l’intelligence artificielle ou de développements numériques (7.2.5 b et f), et la clause 7.2.6 impose de valider les méthodes non normalisées, technologie comprise. Le COFRAC l’avait anticipé dans INS REF 02 (révision 07, applicable depuis janvier 2021) : quand une technologie remplace en partie l’œil humain, ce document recommande de vérifier que le résultat est au moins aussi fiable (notes 7.1.1n3 et 7.1.3n2). Une unique « procédure 7.5 » laisserait donc sans réponse la validation exigée par 7.2.6.

Livrables exigés : revue des demandes (7.1), méthodes non normalisées documentées et validées (7.2.3 et 7.2.6), rapports conformes à 7.6.2, validation et protection du système de données (7.5), procédures de recours et de plaintes avec description publique (7.7 et 7.8). Moyen recommandé : une procédure dédiée à l’inspection à distance, que la norme ne nomme pas. Dès qu’une technique à distance est utilisée, la clause 6.2.9 b) exige déjà des procédures de protection de l’intégrité et de la sécurité des données. Porteur : la direction technique, avec les inspecteurs référents.

Le système de management exige des actions face aux risques, sans méthode formelle imposée

La clause 8.1.2 fixe six éléments, des politiques et responsabilités à la revue de direction. La clause 8.1.3 permet d’y satisfaire par un système de management de la qualité, par exemple conforme à l’ISO 9001, s’il soutient et démontre le respect constant de la 17020 : c’est l’héritière de l’option B de 2012. Les livrables classiques restent la maîtrise des documents et des enregistrements (8.3), puis la gestion des non-conformités et des actions correctives (8.5). La clause 8.4.4 ajoute la recherche du retour des clients, que l’édition 2012 citait seulement parmi les données d’entrée de la revue (8.5.2 b).

La clause 8.4 est parfois lue comme l’obligation d’une analyse de risques formalisée, selon l’ISO 31000, qui piloterait la fréquence des audits. Le texte est plus sobre : l’organisme prend en compte les risques et opportunités liés aux inspections (8.4.1), puis planifie des actions, leur intégration au système et la mesure de leur efficacité (8.4.2). La note de 8.4.2 précise qu’aucune méthode formelle ni aucun processus documenté de management des risques n’est exigé. Les actions sont proportionnées à l’impact potentiel sur la validité des résultats (8.4.3). Un tableau de cotation sans action planifiée ne répond donc pas à 8.4.2.

La fréquence des audits relève de la clause 8.6, qui ne renvoie pas à 8.4. Les audits ont lieu à intervalles planifiés (8.6.1), selon un programme qui tient compte de l’importance des activités, des changements et des résultats antérieurs, couvre toutes les exigences, tous les domaines et tous les sites, et exclut l’audit de son propre travail (8.6.2 a à c). Dans son option A, l’édition 2012 imposait un audit au moins tous les douze mois, ajustable selon l’efficacité et la stabilité démontrées (8.6.4), et une revue au moins annuelle ou glissante sur douze mois (8.5.1.2). La revue se tient désormais elle aussi à intervalles planifiés (8.7.1). Côté COFRAC, la note 8.6.4n1 d’INS REF 02 demande de justifier la fréquence d’audit, et INS INF 60 maintient les exigences de ce document que la norme n’a pas reprises.

Livrables exigés : politiques et objectifs (8.2), maîtrise des documents et des enregistrements (8.3), actions face aux risques et retour des clients (8.4.2 et 8.4.4), non-conformités (8.5), programme d’audit (8.6.2), revue de direction enregistrée (8.7). Moyen recommandé : un registre ou une analyse formalisée des risques. Porteur : le responsable qualité, avec la direction. La note de 8.4.2 laisse la méthode libre.

L’audit interne et la revue de direction ferment la construction interne, l’audit à blanc reste facultatif

Une fois le système en service et les premières inspections enregistrées, deux jalons ferment la construction interne. L’audit interne confronte le système aux exigences de la norme et aux propres exigences de l’organisme (8.6.1), et la revue de direction examine des données d’entrée enregistrées en quinze rubriques (8.7.2 a à o). Ces jalons conditionnent la suite, puisque INS REF 05 exige qu’ils aient été réalisés à la période d’évaluation envisagée (§ 7.2). Les écarts relevés passent par la procédure de 8.5 et sont traités sans retard injustifié (8.6.2 e).

L’audit à blanc, simulation de l’évaluation, n’est demandé ni par la norme ni par le règlement d’accréditation. Il ne faut pas le confondre avec les missions « à blanc » que le COFRAC exige quand l’accréditation précède le démarrage d’une activité réglementée. Ces missions sont conduites comme des missions réelles, sans valeur réglementaire, et servent à l’observation d’activités (INS REF 05, § 7.2 et 7.3.5). Un écart trouvé en audit à blanc se traite à son rythme. Relevé par l’équipe d’évaluation, il appelle un plan d’actions sous quinze jours et des actions en moins de six mois (annexe 2, § B).

Le tableau relie chaque livrable, document ou non, à sa clause, à son statut et à son porteur

Le tableau rassemble les livrables de la construction interne. La colonne « Statut » sépare l’exigé du recommandé, pour éviter les réécritures inutiles. Certains enregistrements propres au domaine ou au schéma n’y figurent pas. Le tableau couvre en revanche les pièces qui structurent la demande et l’évaluation initiale.

La demande et l’évaluation initiale suivent les délais du règlement COFRAC, distincts de ceux du projet

La demande se dépose avec le formulaire INS FORM 01, et sa réception ouvre l’instruction (INS REF 05, § 7.1). L’instruction vérifie la complétude du dossier, sa compatibilité avec les politiques du COFRAC et les ressources disponibles, puis aboutit à une convention qui acte le périmètre à évaluer. L’examen de recevabilité opérationnelle (§ 7.2) vérifie ensuite que les dispositions sont en place et éprouvées, sur la base du formulaire INS FORM 86. Le dossier est clos si l’organisme ne répond pas dans les six mois suivant la signature de la convention, ou si l’évaluation n’a pas lieu dans l’année qui suit la recevabilité. Le parcours complet, frais compris, est détaillé dans notre article sur l’accréditation ISO 17020 des organismes d’inspection.

L’équipe et le périmètre sont annoncés au moins deux mois avant la période d’évaluation, et le plan au moins quinze jours avant le début (§ 7.3 et 7.3.8). L’évaluation initiale, en présentiel, combine examen documentaire, examen d’enregistrements avec traçabilité de dossiers, observation des installations, entretiens et observation d’activités (§ 7.3.5). Le rapport est émis dans le mois suivant la clôture (§ 7.3.8), et chaque écart appelle un plan d’actions dans les délais de l’annexe 2. La décision porte sur les activités et le type d’indépendance, et peut accorder un périmètre plus restreint que celui demandé (§ 7.4).

La surveillance et le renouvellement vérifient, cycle après cycle, que le système continue de fonctionner

Le premier cycle dure au plus quatre ans : trois surveillances et une réévaluation à douze mois d’intervalle, la première surveillance intervenant huit mois après la prise d’effet (INS REF 05, § 8.1). Chaque surveillance évalue au moins une compétence élémentaire et un site, et le pilotage du système par la direction y est systématiquement évalué (§ 8.2.1, 8.2.2 et 8.2.4). La réévaluation porte sur l’ensemble des exigences et conduit, si la décision est favorable, au renouvellement (§ 8.2.4 et 8.4). Ensuite, le règlement GEN REF 06, applicable depuis le 1er octobre 2025, et son annexe INS REF 60 remplacent INS REF 05 pour les organismes déjà renouvelés au moins une fois, hors activités à surveillance plus rapprochée. Le cycle y dure au plus cinq ans, avec deux surveillances et une réévaluation espacées de vingt mois (GEN REF 06, § 7.1).

Le rétroplanning de 6 à 18 mois est une estimation de planification, que ni la norme ni le COFRAC ne fixent

La norme et le règlement du COFRAC ne fixent aucune durée de construction. La trame suivante est une estimation de planification de l’Équipe éditoriale MQ : six à dix-huit mois selon la taille, le nombre de domaines, le système qualité existant et le besoin de missions « à blanc ». Un organisme mono-domaine doté d’un système ISO 9001 vise le bas de la fourchette. Un organisme multisite qui part de zéro prévoit le haut. La phase conduite par le COFRAC s’y ajoute.

Les phases se chevauchent volontairement, les chantiers indépendants avançant en parallèle. La demande peut partir pendant que l’audit interne se prépare, si celui-ci et la revue sont réalisés à la période d’évaluation envisagée. La cohérence entre les pièces compte plus que leur volume. Les actions face aux risques renvoient au programme d’audit, les fiches de compétence aux méthodes qu’elles autorisent.

Questions fréquentes

La norme ne fixe ni durée de fonctionnement ni fréquence minimale avant la demande

Un point reste ouvert, et il ramène à la question de départ. La norme ne dit ni combien de temps un système doit avoir fonctionné avant l’évaluation, ni combien d’inspections il doit avoir produites : elle parle d’intervalles planifiés (8.6.1 et 8.7.1). Le règlement du COFRAC pose un seuil, activité démarrée, audit interne et revue réalisés, sans durée minimale. INS REF 02, dont INS INF 60 maintient les exigences non reprises, était encore en ligne le 13 octobre 2026 dans sa révision 7, écrite pour l’édition 2012.

Cette absence de seuil laisse la décision à l’organisme et lui en fait porter la preuve. À lui de montrer que son système a assez fonctionné pour que l’équipe examine des enregistrements réels pour chaque compétence élémentaire et observe des activités pour chaque compétence élargie (INS REF 05, § 7.3.5). À lui encore de justifier ses intervalles par les critères de 8.6.2 a), plutôt que par l’habitude de l’audit annuel. Déposer au lendemain de la première revue de direction respecte la lettre du règlement, au risque d’une évaluation sans dossier à retracer. Tant qu’INS REF 02 n’est pas révisé, la lecture prudente consiste à lire la norme et ce document ensemble, et à consigner la raison de chaque intervalle.

Sources : ISO/IEC 17020:2026, troisième édition, 2026-03 (iso.org), et ISO/IEC 17020:2012. COFRAC, consultés le 13 octobre 2026 : INS REF 05 rév. 16 ; GEN REF 06 rév. 00 ; INS REF 02 rév. 07 ; INS INF 60 rév. 00 ; INS REF 07 rév. 23.