Pour savoir si un organisme d’inspection mène vraiment ses audits internes, l’ISO/IEC 17020:2026 désigne elle-même les documents qui le prouvent. Le premier est le programme d’audit de la 8.6.2 a), avec sa fréquence, ses méthodes et ses responsabilités. Le second relève de la 8.6.2 g) : les enregistrements qui prouvent la mise en œuvre du programme et les résultats des audits. Aucun texte ne dit dans quel ordre un évaluateur ouvre ses dossiers, mais la norme dit ce qu’il peut vérifier, et c’est de là que part la préparation d’un audit interne ISO/IEC 17020.

Ce guide va donc du principe à la preuve : l’objet de l’audit (8.6.1), ses exigences (8.6.2), puis l’enregistrement attendu. En chemin : un rétroplanning, une liste de vérification de 23 points, une trame de plan d’audit, une méthode d’échantillonnage et une autre de libellé des écarts. Le rétroplanning et le libellé sont des conseils de praticien, que la norme n’impose pas. Sur l’audit interne, la version 2026 change surtout trois choses : l’audit n’est plus exigé au moins tous les douze mois, la procédure d’audit que demandait la version 2012 n’est plus exigée, et la note qui renvoyait à l’ISO 19011 a disparu. Elle ajoute des critères et un périmètre pour chaque audit (8.6.2 c), la prise en compte des changements dans le programme (8.6.2 a) et les exigences propres de l’organisme dans l’objet de l’audit (8.6.1).

Que doit démontrer un audit interne selon la version 2026 ?

Vous lisez peut-être l’audit interne comme une vérification annuelle de conformité à la norme. La 8.6.1 lui assigne un objet plus large : informer, à intervalles planifiés, sur le respect des exigences propres de l’organisme, activités d’inspection comprises, sur celui de la norme, et sur la mise en œuvre et le maintien effectifs du système. Cette mention des activités d’inspection oblige l’auditeur à ouvrir des dossiers d’inspection, et pas seulement des procédures. Ces informations ont un destinataire désigné : la 8.7.2 c) fait des résultats des audits internes récents une entrée de la revue de direction.

La fréquence, elle, a changé de nature. La version 2012 imposait au moins un audit tous les douze mois, ajustable selon l’efficacité démontrée et la stabilité prouvée du système (8.6.4), et une revue de direction au moins annuelle ou glissante sur douze mois (8.5.1.2). La version 2026, publiée par l’ISO le 27 mars 2026 selon le COFRAC, dit « à intervalles planifiés » pour les deux (8.6.1 et 8.7.1). L’ISO 19011, absente de la bibliographie de 2026, reste utilisable comme guide, mais ce choix vous appartient.

Faut-il encore auditer chaque année, et sur quoi fonder le programme ?

Non : aucune clause de la version 2026 n’impose de fréquence annuelle, et les intervalles peuvent varier selon les domaines. La 8.6.2 a) encadre cette liberté : le programme tient compte de l’importance des activités d’inspection, des changements qui affectent l’organisme et des résultats des audits précédents. La 8.6.2 c) impose de couvrir toutes les exigences, pour tous les domaines d’inspection et tous les locaux où l’inspection est gérée ou réalisée. Chaque audit a ses propres critères et son propre périmètre. L’auditeur connaît la conduite des inspections, l’audit et la norme, et il n’audite pas son propre travail (8.6.2 b).

Ce que la 8.6 n’exige pas compte autant. Elle ne renvoie pas à la 8.4, et la note de la 8.4.2 précise qu’aucune méthode formelle ni aucun processus documenté de management des risques n’est exigé : aucune analyse de risques documentée ne conditionne la fréquence. Le COFRAC demandait déjà de justifier cette fréquence dans la note 8.6.4n1 de son document INS REF 02 révision 07. Le document INS INF 35 du COFRAC (révision 00, juillet 2026) rattache cette note à la 8.6.2 a). La note INS INF 60 maintient, pour les évaluations selon la version 2026, les exigences d’INS REF 02 non reprises dans la norme. Un évaluateur peut donc demander comment les trois éléments de la 8.6.2 a) ont pesé sur le programme : une ou deux lignes de justification par intervalle y répondent, pour la norme comme pour le COFRAC. L’intervalle lui-même est traité dans notre article sur la fin de l’audit interne annuel dans la version 2026.

Prenons un organisme qui inspecte des appareils de levage et des installations électriques depuis deux implantations, sans écart au dernier audit. Si rien n’a bougé, un intervalle identique pour les deux domaines se justifie en une phrase. Faisons varier un paramètre : la seconde implantation change le logiciel qui produit ses rapports. Ce changement relève de la 8.6.2 a) et de la validation exigée par la 7.5.1 : l’audit de cette implantation gagne à être avancé. Si c’est le résultat précédent qui varie, par exemple un écart sur l’observation des inspecteurs (6.1.7), c’est cette exigence qui revient plus tôt. La couverture de la 8.6.2 c) reste due dans tous les cas, comme le résume le tableau suivant.

Combien de temps avant l’audit faut-il commencer ?

La norme ne fixe aucun délai : ce rétroplanning est un conseil, et un audit ciblé en resserre les étapes sans en changer l’ordre. Selon le document INS INF 35 du COFRAC, les évaluations sur la version 2026 débutent à partir du 1er février 2027, et tout organisme déjà accrédité aura été évalué sur ces exigences au plus tard le 31 octobre 2028. Le COFRAC y annonce aussi qu’il demandera à chaque organisme accrédité une analyse d’impact et un plan d’actions. Un audit interne mené sur la version 2026 avant cette échéance alimente directement ces deux documents.

J-30 : cadrer. Vous fixez les critères et le périmètre de l’audit, domaines d’inspection et locaux compris (8.6.2 c). Vous désignez l’auditeur en vérifiant les deux conditions de la 8.6.2 b). Vous rassemblez la norme, les documents COFRAC applicables, vos procédures, le rapport précédent et l’état des actions correctives ouvertes. Vous listez enfin les changements survenus depuis le dernier audit (organisation, méthodes, logiciels, prestataires), dont la 8.6.2 a) demande de tenir compte.

J-15 : construire. Vous rédigez le plan d’audit et le guide d’entretien décrits plus bas. Avec la liste de vérification, vous repérez les zones ajoutées ou reformulées en 2026 : maîtrise des données (7.5), risques et opportunités (8.4), technologies (6.2.9), validation des méthodes non normalisées (7.2.6), observation des inspecteurs (6.1.7). Vous listez les écarts non soldés du cycle précédent. Pour chaque zone, vous notez la preuve à demander. Il reste alors deux semaines pour obtenir les accès et les dossiers.

J-3 : échantillonner et finaliser. Vous tirez l’échantillon de dossiers d’inspection selon les critères exposés plus bas. Vous confirmez la disponibilité des personnes auditées et les accès aux enregistrements, informatiques compris, dans le respect de la 7.5.2 a). Vos notes réservent une colonne à la référence de chaque preuve. Le jour J, vous auditez, puis vous communiquez les résultats à la direction concernée et aux responsables des zones auditées (8.6.2 d).

Liste de vérification de l’audit interne ISO/IEC 17020:2026 en 23 points

La liste compte 23 points, un par article de deuxième niveau des chapitres 4 à 8, de la 4.1 à la 8.7. Chaque point cite les clauses qu’il résume, et la liste ne remplace ni la norme ni les documents COFRAC applicables. Chaque point ne retient que les sous-clauses qu’il cite : les autres, comme 5.2.5, 6.1.9, 6.2.10 ou 6.3.6, restent à couvrir par votre programme, puisque la 8.6.2 c) en exige la couverture complète. Cochez ce qui est prêt : les cases vides forment votre liste de travail.

L’avant-propos annonce une nouvelle sous-clause pour deux points, la 7.5 et la 8.4. Le point 8.4 se coche sans registre ni méthode formelle, que la note de la 8.4.2 n’exige pas, mais avec des actions planifiées dont l’efficacité est évaluée. Pour la 7.5, un logiciel du commerce utilisé dans son domaine prévu peut être tenu pour suffisamment validé (note de la 7.5.1), mais pas ses modifications. La 7.5.2 ajoute la trace des défaillances du système. Pour partir de modèles, le Kit documentaire ISO/IEC 17020 consacre cinq de ses 135 documents à la clause 8.6.

Que mettre dans le plan d’audit et dans le guide d’entretien ?

La norme n’impose aucun document nommé « plan d’audit » : elle exige une planification dans le programme (8.6.2 a) et, pour chaque audit, des critères et un périmètre définis (8.6.2 c). Le plan d’audit est la façon pratique d’y répondre pour un audit donné. Une trame courte suffit, pourvu qu’elle soit complète. Dans la liste suivante, les éléments suivis d’une clause découlent du texte, les autres relèvent de la méthode.

• Les critères sont nommés : norme, procédures internes et documents COFRAC applicables (8.6.2 c).
• Le périmètre précise les exigences, les domaines et les locaux couverts (8.6.2 c).
• L’auditeur est désigné, et le plan confirme qu’il n’audite pas son propre travail (8.6.2 b).
• Le déroulé horaire relie chaque créneau à un processus et aux audités.
• Les dossiers à examiner sont listés, ou leur règle de tirage est indiquée.
• La restitution précise qui reçoit les résultats (8.6.2 d).

Le guide d’entretien se construit à partir de la liste de vérification. Pour chaque clause, vous préparez une question ouverte puis la preuve à demander, car une réponse orale sans preuve ne peut fonder aucun constat. « Comment décidez-vous qu’un inspecteur peut signer seul ? » appelle sa décision d’autorisation (6.1.2 d) et un rapport qu’il a signé (7.6.2 f). « Quand cet inspecteur a-t-il été observé en inspection ? » appelle l’enregistrement de l’observation prévue par la 6.1.7. Les questions fermées en cascade, auxquelles l’audité répond oui et que l’auditeur coche, ne laissent dans le rapport que des déclarations.

Quels dossiers d’inspection retenir dans l’échantillon ?

Une précision de vocabulaire d’abord : la 7.2.5 c) et d) vise l’échantillonnage pratiqué pendant l’inspection, et non l’échantillon de l’auditeur interne. Pour ce dernier, la norme ne fixe ni taille ni règle de tirage. Rien n’interdit d’y appliquer les trois éléments de la 8.6.2 a) pour retenir les dossiers où un écart pèserait sur la validité des résultats. Les inspections réglementaires en font naturellement partie.

Plusieurs familles de dossiers renvoient chacune à une exigence précise. Les inspections qui recourent à une technologie (intelligence artificielle, réalité augmentée, inspection à distance) testent la 6.2.9, la 7.2.5 b) et f) et la validation de la 7.2.6, comme les méthodes normalisées modifiées (note de la 7.2.3). Les inspections en partie sous-traitées testent les clauses 6.3.3 à 6.3.5, et les rapports modifiés après émission la 7.6.5. Les dossiers liés à une réclamation ou à un appel relient l’audit aux clauses 7.7 et 7.8. Les écarts non soldés reviennent enfin, pour revoir l’efficacité des actions (8.5.2 e).

Comment libeller un écart qui résiste à la relecture ?

La norme ne prescrit aucun format de libellé : la 8.5.1 exige une procédure de gestion des non-conformités, et la 8.5.5 des enregistrements sur leur nature, leurs causes, les actions engagées et leur efficacité. La méthode en trois colonnes est donc un conseil. Le constat décrit un fait vérifiable, sans adjectif de jugement. L’exigence cite la clause de la norme, du document COFRAC ou de la règle interne, puisque la 8.6.1 a) 1) fait des propres exigences de l’organisme un objet de l’audit. La preuve identifie l’élément examiné, de façon à pouvoir le retrouver.

« L’impartialité est mal maîtrisée » est un jugement que l’audité peut contester, alors que l’absence d’identification des menaces sur douze mois est un fait vérifiable sur un document. Le troisième exemple montre aussi une limite : l’absence d’un registre des risques, que la note de la 8.4.2 n’exige pas, ne fonde aucun constat au titre de la norme, sauf si vos propres procédures imposent ce registre. L’absence d’action planifiée face à un risque identifié, elle, en fonde un au titre de la 8.4.2 a). Un constat libellé de cette façon facilite l’analyse des causes que demande la 8.5.2 c).

Quels enregistrements conserver une fois l’audit terminé ?

La 8.6.2 g) demande des enregistrements qui prouvent la mise en œuvre du programme et les résultats des audits. Dans la pratique, ce sont le programme en vigueur, le plan de chaque audit, le rapport et ses opportunités d’amélioration, la trace de sa diffusion et les fiches de non-conformité (8.5.5). Poussée jusqu’au bout, la lecture qui voudrait tout garder archiverait aussi les brouillons du guide, les versions successives du plan et le courriel qui annonçait la date, avant d’auditer l’archivage lui-même. Le texte se contente de la preuve du programme et des résultats, ce qui laisse les brouillons à la corbeille. Un dossier sobre se relit d’ailleurs mieux en revue de direction, où la 8.7.2 c) l’attend.

Reste la règle, à redire devant votre direction comme devant un évaluateur. Le programme d’audit interne ISO/IEC 17020 couvre toute la norme, partout où vous inspectez, à des intervalles justifiés par l’importance, les changements et les résultats passés ; chaque audit, conduit par quelqu’un qui n’audite pas son propre travail, a ses critères et son périmètre et laisse une preuve écrite. Le rétroplanning, le guide et la méthode de libellé servent cette règle sans en faire partie. Une pratique qui ne s’y rattache pas relève de votre choix. Celle qui s’y rattache est, en revanche, exactement ce que l’évaluateur pourra vérifier.

Questions fréquentes sur l’audit interne ISO/IEC 17020