Programme d'audit interne : auditer chaque processus une fois par an n'est pas une exigence
Ce que l'article 9.2.2 demande de prendre en compte pour bâtir un programme d'audit interne, ce que la version S&ST ajoute, et pourquoi le balayage annuel uniforme n'y répond pas.
Publié le 8 septembre 2026 · Mis à jour le 5 octobre 2026
Dans la plupart des systèmes de management, le programme d'audit interne est un calendrier : douze processus, douze mois, et le même tableau l'année suivante avec les dates décalées.
Ce calendrier n'est écrit nulle part dans la norme. Ce qui y est écrit, c'est que le programme doit prendre en compte trois choses — et un balayage uniforme n'en prend aucune, par construction : il réserve exactement le même traitement au processus qui n'a jamais eu d'écart et à celui qui en a eu quatre.
L'erreur inverse coûte autant. Un auditeur ne peut pas exiger une fréquence : aucune clause n'en fixe, et un cycle de trois ans est conforme s'il est motivé. Il peut en revanche demander sur quoi le programme s'appuie.
ISO 9001:2015 — 9.2.2 a)
La fréquence est une donnée que vous fixez, pas une exigence que vous subissez
La clause demande d'établir un programme d'audit qui porte lui-même sa fréquence, ses méthodes, ses responsabilités, ses exigences de planification et ses comptes rendus.
Et elle nomme trois entrées à prendre en compte : l'importance des processus concernés, les changements qui affectent l'organisme, et les résultats des audits précédents.
Un programme annuel uniforme n'est pas interdit. Il est simplement incapable de montrer que ces trois entrées ont pesé sur quoi que ce soit, puisque le résultat aurait été identique sans elles. Un cycle de trois ans où les zones à risque reviennent chaque semestre est tout aussi conforme — et beaucoup plus facile à défendre.
ISO 45001:2018 — 9.2.2 a)
En santé et sécurité au travail, un élément de plus : la consultation
La clause homologue en S&ST énumère les mêmes éléments de programme, et en ajoute un que la version qualité ne porte pas : la consultation.
Le programme d'audit S&ST se construit avec les travailleurs, il ne leur est pas seulement appliqué. C'est cohérent avec la signature de cette norme, dont l'article 5.4 fait de la consultation et de la participation une exigence à part entière.
Conséquence pratique : un programme S&ST recopié du programme qualité rate cette exigence, et le raccourci se voit immédiatement en audit — il suffit de demander qui a été consulté, et quand.
ISO 9001:2015 — 9.2.2 c)
L'impartialité passe avant le risque
Le choix des auditeurs et la conduite des audits doivent garantir l'objectivité et l'impartialité du processus.
Traduit sur le terrain : personne n'audite son propre travail. Dans un organisme de trente personnes, c'est cette contrainte-là qui dessine le programme, avant toute considération de risque.
Elle mérite d'être écrite, parce qu'un binôme d'auditeurs croisés qui n'existe que dans les têtes ne se démontre pas. Une colonne « auditeur » et une colonne « processus audité » dans le même tableau suffisent à rendre la règle vérifiable.
ISO 9001:2015 — 9.2.2 e)
« Sans délai indu » est une exigence, pas une formule de politesse
La clause demande d'entreprendre les corrections et les actions correctives appropriées sans délai indu.
Un écart d'audit interne laissé ouvert jusqu'à l'audit suivant devient donc un écart en soi, quelle que soit sa gravité d'origine. C'est le constat le plus fréquent que nous rencontrons en audit à blanc, loin devant les écarts de fond.
Il a un corollaire utile, et c'est lui qui boucle la boucle : ces écarts non soldés sont aussi la meilleure donnée d'entrée du programme de l'année suivante, au titre des « résultats des audits précédents » de 9.2.2 a).
Mis bout à bout, ces quatre points décrivent un programme qui se recalcule à partir des résultats précédents. Dans la quasi-totalité des systèmes, il se recopie — non par négligence, mais parce que rien ne relie les constats de l'an dernier au calendrier de cette année.
Les écarts vivent dans un tableau, le programme dans un autre, et personne n'a le temps de faire le lien à la main chaque décembre. C'est précisément le travail qu'un outil peut porter : classer les périmètres par le risque réel — ancienneté du dernier contrôle, conformité relevée, écarts non soldés, écarts en retard — et proposer la périodicité qui en découle.
À une condition, et elle est décisive : que la note se décompose. Un chiffre global ne se défend pas devant une direction. « Contrôlé il y a 240 jours, trois écarts en retard, conformité à 62 % », si.
Les grilles qui vont avec
Prêtes à remplir, depuis un téléphone, sur le terrain.
Passer du texte au terrain
166 grilles d'évaluation ancrées à leurs clauses, consultables sans compte. Cinq reprises à votre nom sur le plan gratuit.