Après cette lecture, vous saurez rédiger un constat que personne ne peut contester et remonter à la cause qui se trouve derrière.
Définition
L'ISO 19011 définit les constats comme les résultats de l'évaluation des preuves par rapport aux critères, qui indiquent une conformité, une non-conformité ou une piste d'amélioration. La pratique de l'audit interne les présente souvent en quatre parties : critère, situation constatée, cause et conséquence.
Pourquoi c'est important
La direction agit sur ce qu'un constat rend clair. Un constat vague est contesté, et l'action qui en sort tend à traiter le symptôme.
Comment ça fonctionne
Énoncez le critère et les faits, avec assez de références pour que quelqu'un d'autre puisse les vérifier, et laissez votre opinion de côté.
Expliquez l'effet sur l'activité et cherchez la cause racine, avec les cinq pourquoi ou une méthode semblable. Graduez sur une échelle définie à l'avance.
Confirmez les faits avec l'équipe auditée. Convenez d'une correction pour le problème immédiat, d'une action corrective pour la cause, d'un responsable et d'une date. Plus tard, vérifiez qu'elle a fonctionné.
Un cas concret
Critère : chiffrement des ordinateurs portables, exigé par la politique IS-04, section 3. Constat : 6 des 40 portables échantillonnés le 12 mars ne sont pas chiffrés, selon le rapport des postes. Effet : un portable perdu exposerait des données clients. Cause : les appareils achetés localement contournent la configuration de l'informatique. Gravité : majeure.
La correction consiste à chiffrer les six d'ici le 20 mars. L'action corrective va plus loin : les achats passent par l'informatique à partir du 30 avril.
Bonnes pratiques
- Écrivez un constat par problème, pour que chacun puisse être clos séparément.
- Graduez selon l'effet sur les objectifs. Dix cas anodins peuvent compter moins qu'un seul cas grave.
- Discutez des faits avant que le rapport ne parte, car les surprises retournent l'équipe auditée contre vous.
- Gardez les constats ouverts visibles pour la direction jusqu'à leur clôture.
Erreurs fréquentes
- Désigner une personne comme cause. Cela arrête l'analyse trop tôt et met les gens sur la défensive.
- Écrire « améliorer le processus » comme action.
- Mélanger plusieurs sujets dans un constat, qui ne se clôt alors jamais.
- Clore des constats sans vérifier que la correction a fonctionné.
Questions
- Quelle différence entre non-conformité majeure et mineure ?
- En certification, une non-conformité majeure affecte la capacité du système à atteindre ses résultats, comme une exigence entièrement absente. Une mineure est une défaillance isolée.
- Qu'est-ce qu'une observation d'audit ?
- Un point qui n'est pas une non-conformité mais pourrait le devenir, ou pourrait être amélioré. Le vocabulaire varie selon le schéma d'audit.
- Quelle différence entre correction et action corrective ?
- Une correction répare le problème constaté. Une action corrective supprime sa cause, pour qu'il ne revienne pas.
- L'équipe auditée peut-elle contester un constat ?
- Oui. Elle peut contester les faits, et l'ISO 19011 prévoit que les divergences non résolues soient consignées.
- De combien de temps dispose-t-on pour clore un constat ?
- Le plan d'actions fixe la date. Les organismes de certification fixent leurs propres délais pour les non-conformités majeures.