Comment créer un processus d'audit interne
Comment concevoir un processus d'audit interne comme un cycle plutôt que comme un projet : un programme basé sur les risques décidant de ce qui sera audité, un contrôle d'indépendance de chaque mission et une clôture qui rééchantillonne.
Un processus d'audit interne se déroule à deux niveaux : un programme basé sur les risques qui décide quels processus sont audités et à quelle fréquence, et l'audit lui-même : planifier, échantillonner, rapporter, corriger, puis vérifier.
En bref
- Le programme décide ce qui est audité et quand ; un audit en est une itération.
- La fréquence suit le risque, le changement et la découverte de l'histoire, jamais un calendrier uniforme.
- L'indépendance est une propriété de la mission, ce qui en fait une question de voies.
- La clôture est un travail de terrain : l'auditeur rééchantillonne la population d'où proviennent les résultats.
- Les non-conformités obligent à des actions correctives ; les observations ne le font pas, la note est donc une décision de financement.
Le programme est le processus, pas l'audit
Presque toutes les cartes d’audit interne documentent un audit et laissent le programme implicite. C'est ainsi qu'une organisation accumule trois années de rapports couvrant les trois mêmes domaines : ceux qui sont faciles à planifier et dans lesquels l'audité est utile. Le programme est le processus : un calendrier dérivé du risque, des changements récents et des résultats des audits précédents, couvrant chaque processus sur une période définie. Un seul audit n’en est qu’une itération.
La deuxième décision est de savoir en quoi consiste une clôture. Vérifier un résultat n'est pas un changement de statut : cela signifie revenir à la population d'où provient l'échantillon et prélever un nouvel échantillon répondant aux mêmes exigences, enregistré avec une portée et une taille comme n'importe quel autre test. C'est du travail de terrain, et c'est la raison pour laquelle la ligne de vérification se situe dans le couloir de l'auditeur : celui qui a mis en œuvre l'action ne peut pas être celui qui mesure si les enregistrements sont désormais conformes.
L'exemple ci-dessous représente un tour de cycle comprenant six phases et quatre rôles. « Auditeur indépendant de la zone ? » est posée avant toute planification, car l'indépendance est une propriété de la mission et non de l'auditeur. À l'extrémité, « Action corrective efficace ? » comporte une branche « Réouvrir » vers « Convenir de la cause première et de l'action corrective » : l'un des deux seuls itinéraires de ce tableau qui pointent vers l'arrière, et celui qui renvoie une conclusion pour une deuxième tentative au lieu d'entrer dans le registre.
Quatre rôles, un résultat fermé
Regardez le programme arriver avant le premier audit, et une branche « Réouverture » renvoie un résultat pour une deuxième tentative d'action corrective.
Commencez par le programme
Le tableau s'ouvre sur « Examiner les risques et les constatations passées » plutôt que sur un audit, puis construit le programme annuel et affecte un auditeur à chaque entrée de celui-ci. Trois lignes, et aucune d'entre elles n'est un audit, ce qui représente la moitié que la plupart des cartes d'audit interne oublient.
L'indépendance avant de planifier
« Auditeur indépendant de la zone ? » envoie un Non à "Réaffecter à un autre auditeur", qui renvoie à la porte pour être demandé à nouveau. Ce n'est qu'à ce moment-là que commence la planification : une liste de contrôle, des dates convenues avec l'audité et "Fournir des procédures et des enregistrements" assis dans le propre couloir de l'audité.
Le rapport n'est pas la fin
Les échantillons de terrain enregistrent et notent ce qu’ils trouvent. « Les preuves répondent aux exigences ? envoie un "Ecart trouvé" à "Enregistrer la non-conformité ou l'observation", les deux itinéraires convergent vers la réunion de clôture, et le rapport est émis. La plupart des cartes d'audit interne s'arrêtent sur cette ligne.
Un résultat se ferme une fois vérifié
La cause première est convenue avec le propriétaire du processus, l'action est terminée à sa date d'échéance, puis « Action corrective efficace ? » décide. « Réouvrir » remonte à la ligne 16 plutôt qu'au-delà, et seul l'itinéraire vérifié atteint l'examen de la direction et un enregistrement conservé.
Comment cela fonctionne
Répertoriez chaque processus avant d’en planifier un
Le programme a besoin d'un dénominateur. Notez chaque processus concerné avec son propriétaire, puis notez la date à laquelle chacun a été audité pour la dernière fois et ce qui en a résulté. Les lacunes dans cette liste constituent l’argument en faveur du calendrier, et elles persuadent la direction de manière plus fiable que le calendrier seul.
Dériver chaque intervalle à partir d'un score de risque
Notez chaque processus en fonction de son impact, des changements récents et de l'historique des découvertes, et laissez le score définir l'intervalle : trimestriellement pour celui qui a échoué deux fois, une fois par cycle pour celui qui est stable depuis des années. Notez la raison à côté de l'intervalle, car un auditeur a demandé pourquoi la répartition est auditée tous les trois ans et nécessite une réponse.
Construisez d'abord les lignes du programme
Dans QueryChart, les lignes d'ouverture sont le programme, pas l'audit : une forme de démarrage sur "Examiner les risques et les résultats passés", puis les lignes qui construisent le calendrier et attribuent un auditeur à chaque entrée. Les conserver dans le même tableau que le travail de terrain est ce qui rend le cycle visible à la personne qui le suit.
Ajouter la porte de l'indépendance comme décision
Formulez la ligne d'affectation sous forme de question, puis remplacez sa colonne Forme par Décision et attribuez Ligne à deux numéros de ligne, avec les réponses dans le texte de la ligne dans le même ordre. L'itinéraire de réaffectation renvoie à la porte à vérifier à nouveau, son numéro est donc plus petit que la ligne sur laquelle il est écrit.
Mettez chaque étape dans la voie de son propriétaire
La voie verticale tient le rôle (responsable qualité, auditeur interne, audité, direction générale) et la voie horizontale tient la phase. Les couloirs permettent de vérifier l'indépendance d'un seul coup d'œil : lorsque les lignes de travail sur le terrain se trouvent dans le même couloir que le processus audité, le graphique vous montre un résultat.
Fermez le cycle dans le couloir de l'auditeur
Ajoutez la ligne de vérification dans le couloir de l'auditeur, attribuez-lui une portée (quelle population, combien d'enregistrements, après combien de temps) et renvoyez son échec vers « Convenir de la cause première et des mesures correctives ». Partagez ensuite le lien avec l'entité auditée, et pas seulement avec l'équipe d'audit : quiconque voit cette ligne sait que les conclusions se terminent sur le rééchantillonnage, pas sur le rapport d'action.
Erreurs à éviter
Remplir le calendrier mois par mois
Douze audits, un par mois, choisis parce qu'ils sont faciles à organiser. La couverture semble complète et le risque n’y apparaît nulle part. Écrivez chaque fréquence en fonction d'un score de risque et les zones difficiles ne peuvent plus être reportées.
Traiter le rapport comme le livrable
L’émettre semble être la fin du travail, et presque toute la valeur se situe en aval. Sur une carte, le poids appartient après le rapport : cause première, action, vérification et ce que le programme suivant fait différemment.
Auditer le processus que vous gérez
C’est pratique, et cela annule le résultat : personne n’échantillonne ses propres enregistrements par rapport à sa propre procédure et ne trouve grand-chose. Échangez les auditeurs entre les départements ou empruntez-en un formé sur un autre site, plutôt que de renoncer au chèque.
Conclusions sans clause citée
Une conclusion qui ne précise pas l’exigence à laquelle elle ne respecte pas constitue une opinion, et elle est rejetée lors de la réunion de clôture. Citez la clause ou la procédure et la discussion passe à la preuve, là où elle appartient.
Construisez votre propre cycle d’audit interne
Ouvrez l'exemple d'audit interne en tant que votre propre graphique, définissez vos propres fréquences d'audit et nommez qui vérifie un résultat avant sa clôture.
Guides associés
Questions fréquentes
À quelle fréquence les audits internes doivent-ils être effectués ?
À des intervalles planifiés fixés en fonction du risque, ce qui pour la plupart des systèmes de gestion signifie chaque processus au moins une fois par cycle de certification et ceux exposés beaucoup plus souvent. La norme ISO 9001 exige des intervalles planifiés et ne mentionne délibérément aucune fréquence. Par conséquent, tout auditer une fois par an est un choix plutôt qu'une exigence, généralement médiocre, car elle répartit les efforts identiques sur des processus aux conséquences très différentes. La fréquence devrait également évoluer : un processus avec deux conclusions ouvertes a mérité une révision plus précoce.
Qui est autorisé à réaliser un audit interne ?
Toute personne formée à l'audit et indépendante du domaine audité : l'indépendance, et non l'ancienneté, est la contrainte. Un auditeur d'un autre département, d'un autre site ou un auditeur sous contrat est tous éligibles. Ce n’est pas le cas du propriétaire du processus, et celui qui a écrit la procédure échantillonnée non plus. Les petites organisations résolvent ce problème en échangeant les auditeurs entre les fonctions plutôt qu'en renonçant à l'exigence, et c'est à l'étape d'affectation que le contrôle appartient, car c'est l'affectation qui est l'endroit où le conflit est créé.
Quand une constatation d’audit interne peut-elle être clôturée ?
Lorsqu'un auditeur est retourné auprès de la population d'où provenaient les conclusions, il l'a échantillonnée à nouveau et a constaté qu'elle répondait désormais aux exigences. La clôture est un travail de terrain avec une portée, une taille d'échantillon et une date, pas un champ passé d'ouvert à fermé, et c'est pourquoi il attend un intervalle convenu plutôt que la semaine suivante : un échantillon prélevé le lendemain du correctif montre que le correctif a été installé, pas qu'il tient. La question de savoir si l'action a été bien choisie est la question du processus d'action corrective.
Quelle est la différence entre une non-conformité et une observation ?
Une non-conformité est un non-respect d'une exigence déclarée et nécessite une action corrective ; une observation est une faiblesse ou un risque émergent qui ne viole rien et n’entraîne aucune obligation de ce type. La note est donc une décision de financement, pas une décision de formulation : une mauvaise note vers le haut et le registre comporte une obligation pour laquelle personne n'a budgétisé, une mauvaise note vers le bas et celle qui était due a été discrètement acquittée. Décidez-en à la réunion de clôture, avec la clause citée et l'échantillon enregistré.