Traiter une non-conformité : la méthode qui évite de la revoir l’année suivante

Une non-conformité relevée en audit provoque presque toujours la même réaction : corriger le cas signalé, envoyer la preuve, clore. L’auditeur revient l’année suivante et relève la même chose ailleurs.

La raison est simple : on a traité le symptôme, pas la cause. Et c’est précisément ce que la norme demande de ne pas faire.

Ce que dit la clause 10.2

ISO/IEC 27001:2022 impose, face à une non-conformité, une séquence en plusieurs temps :

• Réagir : maîtriser et corriger la situation, et traiter les conséquences.
• Évaluer la nécessité d’une action corrective, en examinant la non-conformité, en déterminant ses causes, et en recherchant si des non-conformités similaires existent ou pourraient survenir.
• Mettre en œuvre l’action nécessaire.
• Examiner l’efficacité de l’action menée.
• Conserver les informations documentées sur la nature de la non-conformité, les actions et les résultats.

Deux exigences sont systématiquement escamotées : la recherche de causes, et la vérification que le problème n’existe pas ailleurs.

Correction et action corrective : deux choses différentes

C’est la distinction structurante, et elle est mal comprise.

La correction traite le cas constaté. L’auditeur a relevé que trois comptes d’anciens salariés étaient actifs : on les désactive.

L’action corrective traite la cause pour que cela ne se reproduise pas. Pourquoi ces comptes étaient-ils actifs ? Parce qu’aucun processus ne relie le départ d’un salarié à la fermeture de ses accès.

Désactiver trois comptes prend dix minutes. Construire le processus prend des semaines. C’est pour cela qu’on s’arrête au premier — et qu’on retrouve six comptes l’année suivante.

Chercher la cause sans se contenter de la première réponse

La technique la plus simple consiste à demander « pourquoi » plusieurs fois de suite.

Des comptes d’anciens salariés sont actifs. Pourquoi ? L’informatique n’a pas été prévenue du départ. Pourquoi ? Les ressources humaines n’ont pas de procédure de notification. Pourquoi ? La procédure existe pour les CDI mais pas pour les prestataires et les alternants. Pourquoi ? Parce que ces populations sont gérées par les achats, qui ne sont pas dans la boucle.

La cause n’est pas un oubli individuel : c’est un trou entre trois directions. Une action corrective qui se limite à « rappeler la procédure aux RH » ne changera rien.

Attention à un écueil : la recherche de cause n’est pas la recherche d’un responsable. Une analyse qui aboutit à « untel n’a pas fait son travail » s’arrête trop tôt et détruit la coopération dont on a besoin — voir l’analyse post-incident.

L’extension : le point le plus rentable

La norme demande de rechercher si des non-conformités similaires existent ailleurs. C’est l’exigence la plus productive et la plus ignorée.

Si l’auditeur a trouvé trois comptes actifs sur un périmètre échantillonné, combien y en a-t-il sur l’ensemble ? Si une revue d’habilitations n’a pas été faite sur une application, l’a-t-elle été sur les autres ?

Un auditeur qui constate que vous avez corrigé son échantillon sans regarder ailleurs en tirera une conclusion défavorable sur la maturité du système de management — souvent plus grave que la non-conformité initiale.

Les trois qualifications

La non-conformité majeure traduit une défaillance du système de management : une exigence n’est pas mise en œuvre, ou un dysfonctionnement systématique remet en cause la capacité du système à atteindre ses objectifs. Elle bloque la certification tant qu’elle n’est pas levée.

La non-conformité mineure est un écart ponctuel qui n’invalide pas le dispositif d’ensemble.

La piste d’amélioration n’est pas un écart mais une suggestion. Elle n’appelle pas d’action corrective — la traiter comme telle consomme du temps sans nécessité.

Point pratique : il est légitime de discuter la qualification avec l’auditeur, en s’appuyant sur les faits. Il est en revanche contre-productif de contester le constat lui-même s’il est exact.

Ce qu’un plan d’action doit contenir

Un tableau à six colonnes suffit, mais aucune ne doit manquer :

1. Le constat, tel que formulé par l’auditeur.
2. La correction immédiate, avec sa date.
3. La cause identifiée.
4. L’action corrective décidée.
5. Le responsable — une personne, pas un service.
6. L’échéance et la modalité de vérification d’efficacité.

La sixième colonne est celle qui manque presque toujours. « Comment saurons-nous, dans six mois, que cela a fonctionné ? » Sans réponse, l’action est close sur sa mise en œuvre, pas sur son résultat.

Vérifier l’efficacité, pas la réalisation

C’est une exigence explicite de la norme, et une nuance qui échappe souvent.

Avoir rédigé une procédure de départ des salariés est une réalisation. Constater six mois plus tard, par échantillonnage, qu’aucun compte d’ancien salarié n’est actif est une preuve d’efficacité.

C’est précisément ce qu’un audit interne doit tester, et ce que la revue de direction doit examiner en premier point.

Les erreurs qui coûtent

Clore trop vite. Une action close le lendemain de l’audit n’a pas pu traiter une cause structurelle.

Multiplier les actions. Un plan de quarante actions n’a aucune priorité et ne sera pas tenu. Mieux vaut cinq actions qui traitent les causes que quarante qui traitent les symptômes.

Ne pas tracer les décisions de ne rien faire. Si une action corrective est jugée disproportionnée, il faut l’écrire et le justifier. Un écart assumé et documenté est acceptable ; un écart silencieux ne l’est pas.

Traiter uniquement ce que l’auditeur a vu. C’est la garantie de recommencer chaque année.

Le retournement utile

Une non-conformité est l’un des rares moments où un sujet de sécurité arrive sur le bureau d’une direction avec une échéance contraignante.

C’est donc une occasion, pas seulement une contrainte : un écart formalisé par un tiers indépendant obtient des arbitrages qu’aucune note interne n’obtient — voir faire accepter un budget sécurité.

Les organisations qui progressent le plus vite sont celles qui traitent l’audit comme un diagnostic, pas comme un examen à réussir.

Sources

• ISO/IEC 27001:2022, clauses 9.2 (audit interne), 9.3 (revue de direction) et 10.2 (non-conformité et action corrective)
• ISO 19011 — lignes directrices pour l’audit des systèmes de management

Aller plus loin

Nous accompagnons la préparation d’audits et le traitement des écarts en gouvernance, risques et conformité. Nos formations ISO/IEC 27001 Lead Auditor et Lead Implementer traitent ces mécanismes en profondeur.