« Audit blanc », « audit à blanc », « pré-audit » : le vocabulaire varie, la demande est toujours la même. Une entreprise qui vise la certification ISO 9001, ou qui redoute son audit de renouvellement, veut savoir ce qu'un auditeur externe trouvera avant qu'il ne le trouve. L'exercice est utile, mais il ne l'est qu'à des conditions précises, et la plupart des audits blancs décevants échouent sur les mêmes quatre.

Ce qu'un audit blanc n'est pas

Ce n'est pas un second audit interne. L'audit interne, exigé par la clause 9.2 de l'ISO 9001:2015, teste votre système contre la norme et contre vos propres règles ; il est planifié, connu, et conduit par des gens de la maison. L'audit blanc teste autre chose : votre organisation face à la manière dont un organisme de certification va l'auditer. Ce n'est pas le même angle, et c'est pour cela qu'un système qui passe ses audits internes sans écart peut découvrir une dizaine de constats en audit blanc.

Aucune norme n'exige un audit blanc. Ce n'est pas une non-conformité de ne pas en faire, et personne ne vous en demandera la preuve. C'est une pratique de préparation, et elle se juge uniquement sur ce qu'elle vous apprend.

Les quatre conditions pour qu'il serve à quelque chose

Un audit blanc mal monté produit un rapport rassurant et aucune information. Quatre conditions le séparent d'une visite de courtoisie.

  1. L'auditeur n'a pas écrit le système. C'est le prolongement direct de ce que demande la clause 9.2.2 c), qui veut que la sélection des auditeurs et la conduite des audits assurent l'objectivité et l'impartialité du processus. Quelqu'un qui audite le manuel qu'il a rédigé lit ce qu'il a voulu écrire, pas ce qui est appliqué.
  2. L'échantillon n'est pas annoncé dans le détail. Le périmètre et le programme se communiquent, bien sûr. Les dossiers, les lots, les postes et les enregistrements qui seront demandés, non. Un audit dont on connaît la liste des pièces à l'avance mesure la capacité à préparer une liste.
  3. Les entretiens descendent jusqu'aux opérateurs. L'écart le plus fréquent en certification n'est pas dans les documents, il est entre ce que la procédure décrit et ce que la personne fait réellement. Ce décalage ne se voit que sur le poste, en demandant à celui qui tient le poste.
  4. Les constats sont écrits comme en certification. Un fait daté, la clause concernée, la preuve constatée, et une formulation qui tient devant contestation. Un constat rédigé en style de note interne ne prépare à rien.

Ce qu'il teste et que l'audit interne ne teste pas

Trois choses, et elles sont rarement celles qu'on attend.

Le délai de production de la preuve. En certification, un enregistrement qu'il faut aller chercher pendant vingt minutes compte comme un enregistrement introuvable. L'audit blanc mesure ce délai réel, sur un poste réel, avec la personne qui devra le produire le jour venu.

La cohérence entre le dit et le fait. Une procédure de contrôle qui prévoit trois vérifications quand l'opérateur en fait deux et se justifie parfaitement n'est pas un problème d'opérateur : c'est une procédure qui décrit un travail que personne ne fait. L'audit blanc est l'occasion de le découvrir sans que cela coûte un écart.

La tenue de la réunion de clôture. C'est le moment où une équipe non préparée transforme un constat mineur en discussion, et une discussion en majeure. Savoir écouter un constat, demander la preuve sur laquelle il s'appuie, et accepter ou contester sur des faits, cela s'apprend en le faisant une fois.

Quand le programmer

Assez tôt pour corriger, assez tard pour que le système ait tourné. Deux erreurs symétriques : l'audit blanc quinze jours avant la certification, qui ne laisse le temps de corriger que la mise en forme des documents, et l'audit blanc six mois avant, sur un système qui n'a pas encore produit d'enregistrements et dont on ne peut donc rien vérifier. Un intervalle de deux à trois mois laisse le temps d'agir sur les causes, ce qui est le seul type de correction qui tienne jusqu'à l'audit réel.

Pour un renouvellement, le raisonnement change : ce qui compte est d'avoir traversé un cycle complet, avec une revue de direction et un audit interne, car c'est précisément ce que l'organisme viendra vérifier.

Ce qu'on fait des constats

Les écarts d'un audit blanc ne sont pas des non-conformités au sens de votre système : ils n'ouvrent pas votre processus de traitement des non-conformités, et ils n'ont pas à alimenter vos indicateurs. Ils alimentent un plan d'actions daté, avec un responsable par ligne, et c'est tout.

Le piège tient en une phrase : un écart qui se corrige en modifiant un document et pas une pratique reviendra en certification, à l'identique. Si l'audit blanc montre que la procédure décrit trois contrôles et que le poste en fait deux, la question à trancher est laquelle des deux descriptions est la bonne, pas laquelle est la plus rapide à réécrire.

Le référentiel de conduite est le même

Un audit blanc se conduit selon l'ISO 19011, comme un audit interne et comme un audit de certification : mêmes principes, même déroulement, même exigence sur les éléments probants. C'est ce qui rend l'exercice représentatif, et c'est aussi ce qui permet de le faire réaliser par quelqu'un dont vous pouvez vérifier la compétence. Sur les niveaux d'auditeur et ce qu'on peut attendre de chacun, voir les trois niveaux d'auditeur ISO ; sur la méthode de formulation d'un constat, réussir l'examen d'auditeur qualité détaille l'exercice.

HEMC réalise des audits internes et des audits à blanc selon l'ISO 19011 : voir notre offre d'audit.