Modèle d'organigramme du processus d'audit interne
Modèle d'organigramme du processus d'audit interne : programme d'audit basé sur les risques, contrôle de l'indépendance de l'auditeur, travail sur le terrain, non-conformités, actions correctives et suivi.
Qu'est-ce que le processus modèle d'organigramme du processus d'audit interne ?
Un audit interne est une organisation qui se vérifie par rapport à ses propres procédures et par rapport aux normes auxquelles elle travaille. Le cycle de ce modèle est celui que les normes de système de management attendent : les normes ISO 9001, ISO 14001 et ISO 27001 exigent toutes des audits à intervalles planifiés, un programme d'audit qui prend en compte l'importance du processus et les résultats antérieurs, des auditeurs objectifs et impartiaux, des conclusions prises en compte sans retard injustifié, des preuves du programme et de ses résultats conservées et des résultats d'audit intégrés dans la revue de direction.
Deux éléments déterminent si un programme d'audit est utile ou s'il s'agit simplement de paperasse. Le premier est l'indépendance : un auditeur examinant un processus qu'il gère ne fera pas de rapport contre lui-même. C'est pourquoi ce tableau fait du contrôle d'indépendance une décision explicite avec un itinéraire de réaffectation plutôt qu'une ligne dans une procédure que personne ne lit. La seconde est la preuve. Une constatation n'est défendable que si elle renvoie à un enregistrement, un échantillon ou un entretien spécifique. L'étape de travail sur le terrain existe donc pour capturer les numéros de documents, les dates et la taille des échantillons pendant que l'auditeur est toujours dans la salle, et l'étape finale clôture l'audit en conservant ces enregistrements plutôt qu'en envoyant un e-mail.
L’autre endroit où les programmes d’audit échouent, c’est après le rapport. Des conclusions sont formulées, des actions correctives sont convenues, puis rien ne vérifie que l'action a fonctionné. Le graphique gère cela avec une décision de suivi qui vérifie l'action ou la rouvre à l'analyse des causes profondes, de sorte qu'une non-conformité ne peut pas être résolue sur la base d'une promesse. Si vous maintenez la procédure d'audit elle-même en tant que document contrôlé, conservez-la sous contrôle de version avec une approbation enregistrée, car un auditeur de certification demandera généralement quelle révision était en vigueur au moment d'un audit donné.
Ce que couvre cet organigramme
Dans ce modèle
- Quatre couloirs - responsable qualité, auditeur interne, audité ou propriétaire de processus et haute direction - répartis en six phases : programme d'audit, planification, travail sur le terrain, reporting, action corrective, suivi et examen.
- Mise en place du programme appartenant au responsable qualité : examiner les risques et les conclusions passées, élaborer le programme d'audit annuel et affecter un auditeur à chaque audit.
- Une décision explicite d'indépendance, « Auditeur indépendant de la zone ? », où un Non prévoit la réaffectation d'un autre auditeur et une nouvelle vérification avant le début de toute planification.
- Préparation et examen des documents : plan d'audit et liste de contrôle, notification et confirmation de la date avec l'audité, l'audité fournissant les procédures et les enregistrements, et un examen des documents préalable à l'audit.
- Travail sur le terrain avec un « Les preuves répondent aux exigences ? » décision - les preuves conformes vont directement à la réunion de clôture, une lacune passe par l'enregistrement d'une non-conformité ou d'une observation en premier.
- Clôture : publiez le rapport d'audit en tant qu'enregistrement conservé, convenez de la cause première et de l'action corrective avec le propriétaire du processus, complétez-le avant la date d'échéance, puis un message « Action corrective efficace ? » vérifier que soit la réouverture de l'action, soit la transmission des résultats à la revue de direction avant la clôture de l'audit et la conservation des enregistrements.
Quand utiliser ce modèle
- Vous rédigez ou révisez la procédure d'audit interne documentée pour ISO 9001, ISO 14001, ISO 27001 ou un système de gestion comparable.
- Vous vous préparez à un audit de certification ou de surveillance et devez montrer comment les audits sont planifiés, qui audite qui et où les preuves sont conservées.
- Des conclusions sont formulées, mais les mesures correctives dépassent leurs délais et personne ne vérifie si elles ont fonctionné.
- Vous formez de nouveaux auditeurs internes qui n'ont vu que la journée sur place et non le programme, le reporting et le suivi qui y est associé.
- Vous dirigez une petite organisation dans laquelle l’indépendance des auditeurs est véritablement difficile et vous avez besoin d’un moyen défendable de la démontrer.
Comment cela fonctionne
Renommez les voies selon vos rôles réels
Remplacez « Responsable qualité » par le propriétaire du programme d'audit (il peut s'agir d'un responsable de la conformité, d'un responsable HSE ou d'un responsable ISMS) et ajustez « Personne auditée/propriétaire du processus » au titre utilisé par votre organisation. Gardez la haute direction dans une voie distincte, même s'il s'agit d'une seule personne, car la ligne hiérarchique vers la revue de direction doit être visible.
Notez ce qui détermine la fréquence des audits
Ajoutez votre règle à l'étape du programme d'audit : quels processus sont audités à chaque cycle, ce qui déclenche un audit supplémentaire (une non-conformité majeure, un changement de processus, un nouveau fournisseur, une tendance de réclamation client) et quelle est la couverture minimale sur un cycle de certification. Un programme sans justification explicite est en soi une constatation courante.
Définir le test d'indépendance
Indiquez ce qui disqualifie un auditeur lors de la décision d'indépendance : auditer son propre travail, auditer un processus qu'il gère ou dont il rend compte, ou avoir conçu la procédure auditée. Enregistrez l'alternative que vous utilisez lorsque le pool est petit : échanges entre départements, auditeur qualifié d'un autre site ou auditeur sous contrat.
Fixez vos catégories de recherche et ce que chacune oblige
Décidez comment vous distinguez la non-conformité majeure, la non-conformité mineure et l'observation, et enregistrez-la à l'étape de non-conformité. Soyez explicite sur le fait que les observations ne nécessitent pas de mesures correctives, sinon les auditeurs sous-estiment pour éviter de créer du travail.
Définir les délais des actions correctives
Chiffrez de manière réelle les étapes des actions correctives : combien de temps le propriétaire du processus dispose-t-il pour proposer la cause première et l'action, combien de temps doit-il être mis en œuvre et quand la vérification a lieu. Quelque chose comme dix jours ouvrables pour répondre et soixante pour terminer est courant, mais choisissez ce que votre organisation peut réellement respecter.
Nom où se trouvent les preuves
Annotez le rapport et les étapes de clôture avec l'emplacement réel et la période de conservation des listes de contrôle, des notes d'échantillonnage, des rapports et des enregistrements d'actions. Les preuves du programme d'audit et de ses résultats doivent être conservées, et « dans la boîte de réception de l'auditeur » ne satisfera pas un auditeur de certification.
Questions fréquentes
Quelles sont les étapes du processus d’audit interne ?
Six, comme le montre ce tableau. Élaborez un programme d’audit annuel basé sur les risques à partir des risques liés aux processus et des conclusions précédentes. Désignez un auditeur et confirmez qu’il est indépendant de la zone. Planifiez l’audit, informez l’audité et examinez les documents au préalable. Réaliser l'audit sur site : réunion d'ouverture, relevés d'échantillonnage et entretiens avec le personnel, réunion de clôture. Rapporter les résultats, en enregistrant séparément les non-conformités et les observations. Convenez ensuite d'une action corrective avec un propriétaire et d'une date d'échéance, vérifiez que cela a fonctionné et intégrez les résultats à la revue de direction avant de clôturer l'audit et de conserver les enregistrements.
Comment préserver l’indépendance des auditeurs dans une petite organisation ?
L'exigence est que les auditeurs ne vérifient pas leur propre travail et non que vous employiez un service d'audit distinct. En pratique, cela signifie échanger les auditeurs entre les départements - la personne qui dirige les achats audite l'entrepôt et vice versa - former du personnel extérieur à la fonction qualité en tant qu'auditeurs, emprunter un auditeur formé sur un autre site ou une autre société du groupe, ou engager un auditeur externe pour les domaines dans lesquels personne en interne n'est impartial. Le graphique en fait un point de décision avec une boucle de réaffectation afin que la vérification ait lieu avant la planification plutôt qu'après la contestation du rapport.
À quelle fréquence les audits internes doivent-ils être effectués ?
Aucune norme de système de gestion ne fixe un intervalle fixe. Les normes ISO 9001, ISO 14001 et ISO 27001 précisent toutes que les audits sont effectués à intervalles planifiés et que le programme prend en compte l'importance des processus concernés, les changements affectant l'organisation et les résultats des audits précédents. Dans la pratique, la plupart des organisations couvrent chaque processus au moins une fois par cycle de certification de trois ans, auditent les processus à haut risque ou auparavant non conformes chaque année ou plus souvent, et ajoutent des audits imprévus après des changements ou des incidents importants.
Quelle est la différence entre une non-conformité et une observation ?
Une non-conformité est un non-respect d'une exigence déclarée - une clause de la norme, votre propre procédure ou une exigence légale ou client - et elle vous oblige à la corriger, à en rechercher la cause et à prendre des mesures correctives. Une observation est quelque chose que l'auditeur a noté et qui ne constitue pas une violation : un contrôle faible, une incohérence ou une pratique qui deviendra un problème si elle est abandonnée. Cela ne nécessite aucune mesure corrective. Il faut garder les deux sujets clairement séparés, car si les observations sont traitées comme des constatations, les auditeurs arrêtent discrètement de les enregistrer.
Où ce processus s'inscrit
Dans la plupart des opérations, ce processus passe le relais à Diagramme du processus CAPA (action corrective et préventive).
C'est une étape de Audit interne.
Étape 1: Modèle d'organigramme du processus d'audit interne Vous êtes ici
Modèle d'organigramme du processus d'audit interne : programme d'audit basé sur les risques, contrôle de l'indépendance de l'auditeur, travail sur le terrain, non-conformités, actions correctives et suivi.
Étape 2: Flux de la checklist d’audit : du brouillon à l’enregistrement
Modèle d’organigramme de la checklist d’audit : périmètre et critères, questions tirées des clauses, revue et approbation de la checklist, preuves échantillonnées ligne par ligne, conforme, non conforme ou sans objet, et conservation.
Étape 3: Organigramme du processus de suivi des mesures correctives (résultats de…
Étape 4: Processus d'escalade des constats d'audit (retards)
Étape 5: Organigramme du processus de revue de direction (ISO 9001 clause 9.3)