Une entreprise peut disposer d'un plan de prévention soigné et d'équipements de protection conformes, et rester non conforme parce qu'elle n'a jamais recensé les textes qui s'appliquent à son activité, ou parce qu'elle ne vérifie jamais si elle les respecte réellement. C'est précisément ce point que la norme ISO 45001:2018 vient structurer à travers deux exigences complémentaires : le paragraphe 6.1.3 (exigences légales et autres exigences) et le paragraphe 9.1.2 (évaluation de la conformité). Bien menées, ces deux exigences transforment une obligation subie en une veille réglementaire pilotée, traçable et opposable en cas de contrôle.

Ce qu'est une obligation de conformité en SST

Une obligation de conformité regroupe l'ensemble des exigences auxquelles l'organisme doit ou choisit de se conformer en matière de santé et de sécurité au travail. La norme distingue deux familles. D'un cote, les exigences légales : le cadre réglementaire national et local applicable, c'est-à-dire les lois, décrets, arrêtés et textes techniques qui encadrent l'hygiène, la sécurité et la santé des travailleurs. De l'autre, les autres exigences : les engagements que l'organisme souscrit volontairement, comme les exigences de clients ou de donneurs d'ordre, les accords avec les représentants du personnel, les règles internes d'un groupe, ou encore les codes sectoriels et les référentiels auxquels l'entreprise adhère.

Ces obligations ne sont pas une liste théorique. Elles conditionnent directement l'identification des dangers, la définition des mesures de maîtrise et la construction du système de management. Comprendre leur portée suppose d'avoir d'abord pose les bases d'un système de management de la SST cohérent, dans lequel la conformité réglementaire est un pilier et non une case à cocher en fin de projet.

Ce qu'exige la norme : 6.1.3 et 9.1.2

Le paragraphe 6.1.3 demande à l'organisme d'établir, de mettre en oeuvre et de tenir à jour un processus pour déterminer et accéder aux exigences légales et autres exigences applicables à ses dangers, à son système de management de la SST et à ses activités. Il exige aussi de déterminer comment ces exigences s'appliquent concrètement à l'organisme et ce qui doit être communiqué, puis d'en tenir compte lors de l'établissement, de la mise en oeuvre, de la mise à jour et de l'amélioration continue du système. Autrement dit, la norme ne se contente pas d'un classeur de textes : elle demande de relier chaque exigence à une réalité opérationnelle.

Le paragraphe 9.1.2 ferme la boucle. Il impose d'établir, de mettre en oeuvre et de tenir à jour un processus d'évaluation de la conformité aux exigences légales et autres exigences. L'organisme doit définir la fréquence et les méthodes d'évaluation, évaluer sa conformité et engager les actions nécessaires si besoin, maintenir la connaissance et la compréhension de son état de conformité, et conserver des informations documentées prouvant les résultats de cette évaluation. La norme demande donc à la fois de savoir ce qui s'applique (6.1.3) et de démontrer que l'on s'y conforme réellement (9.1.2).

Recenser n'est pas évaluer : veille réglementaire vs évaluation de conformité

La confusion la plus fréquente sur le terrain consiste à croire qu'un registre de textes bien tenu suffit à prouver la conformité. Ce sont deux activités distinctes et séquentielles.

La veille réglementaire (recenser et suivre)

La veille réglementaire consiste à identifier les textes applicables, à les collecter, à suivre leurs évolutions et à les consigner dans un registre. Elle répond à la question : quelles sont les exigences qui s'appliquent à nous aujourd'hui ? Une veille organisée repose sur trois temps :

  • Le recensement : établir la liste des textes applicables à l'activité, aux procédés, aux substances utilisées, aux équipements et aux catégories de personnel.
  • Le suivi : surveiller les modifications, abrogations et nouveaux textes, à une fréquence définie, avec une source fiable et un responsable identifie.
  • Le registre : consigner de façon structurée chaque exigence, sa source, sa date, son domaine et la manière dont elle s'applique à l'organisme.

L'évaluation de la conformité (vérifier)

L'évaluation de conformité intervient après. Elle consiste à confronter chaque exigence recensée à la situation réelle de l'entreprise pour statuer : conforme, non conforme, ou conforme partiellement avec un plan d'action. Elle répond à la question : respectons-nous effectivement ce qui s'applique ? Recenser une obligation relative à la surveillance médicale des salariés est une chose ; vérifier que chaque salarié concerne a bien bénéficié de la visite prévue en est une autre. La veille alimente l'évaluation, mais ne la remplace jamais. Un audit se fondera systématiquement sur cette distinction pour tester la solidité du dispositif.

Le cadre réglementaire SST au Maroc

Au Maroc, le socle des obligations de conformité en santé et sécurité au travail se trouve d'abord dans le Code du travail (loi 65-99). Son titre relatif à l'hygiène et à la sécurité fixe les obligations generales de l'employeur en matière de protection des travailleurs, d'aménagement et de salubrité des lieux de travail, de prévention des risques et de mise à disposition des moyens de protection. C'est la référence de premier niveau que toute veille SST doit intégrer.

A ce socle s'ajoutent des dispositifs spécifiques que la veille doit couvrir :

  • La médecine du travail : les règles relatives aux services médicaux du travail et à la surveillance de la santé des salariés, qui structurent les visites médicales et le suivi individuel.
  • Le comité de sécurité et d'hygiène : l'instance interne dédiée à la prévention des risques professionnels, dont la composition, le rôle et le fonctionnement sont encadrés, et qui constitue un point de conformité régulièrement vérifie.
  • Les textes techniques d'application : décrets et arrêtés qui précisent des exigences par risque, par secteur ou par type d'installation, et qu'il faut rattacher aux dangers réellement présents dans l'entreprise.

La logique est essentielle : le cadre réglementaire ne se recopié pas en bloc, il se filtre en fonction des dangers identifiés. C'est pourquoi la conformité réglementaire se construit en dialogue etroit avec la démarche d'identification des dangers et évaluation des risques (IPER) : chaque danger significatif appelle les exigences légales qui lui correspondent, et chaque exigence légale oriente en retour les mesures de maîtrise à mettre en place.

Faire tourner la veille : rythme, pilote, traces

Un dispositif de veille ne se juge pas sur son registre mais sur son rythme. La question à trancher n'est pas « faut-il une veille » mais « à quelle fréquence », et la réponse se déduit du risque, jamais d'une habitude : un site qui manipule des produits chimiques et qui exploite des équipements sous pression ne peut pas se contenter du même intervalle qu'un siège administratif. Écrire la fréquence retenue et la raison qui l'a fixée vaut mieux que la tenir pour évidente, parce que c'est précisément la première chose qu'un auditeur demandera.

Le deuxième point est le pilote. Une veille sans nom attaché est une veille que personne ne fait : elle vit tant qu'une personne s'en occupe spontanément et s'arrête le jour de son départ, sans que rien ne le signale. Le pilote n'a pas à être juriste, il a à être responsable de la mise à jour et de sa trace.

Le troisième point est l'acheminement. Un texte nouveau qui arrive dans le registre et qui n'est envoyé à personne ne change rien à la situation réelle de l'entreprise. Chaque évolution repérée doit être orientée vers un responsable identifié, avec une échéance et une décision attendue : sans objet pour nous, applicable et déjà couvert, applicable et à traiter. La troisième réponse est la seule qui ouvre une action, et c'est la seule qui compte.

Restent les trois questions qu'un auditeur pose à une veille, et il est utile de savoir y répondre avant qu'elles ne soient posées. Qui a fait la dernière revue, à quelle date, et qu'a-t-elle changé ? Une veille qui ne peut pas répondre à la troisième est une veille qui tourne à vide : elle produit une date de mise à jour et aucun effet. Datez chaque revue, gardez la trace de ce qu'elle a modifié, même quand elle n'a rien modifié, car un « aucune évolution sur la période » daté et signé est une preuve, alors qu'un registre silencieux n'en est pas une.

Tenir un registre à jour

Le registre des exigences légales et autres exigences est la pièce maîtresse du dispositif, celle qui rend la conformité pilotable et démontrable. Pour être réellement exploitable, il gagne à comporter, pour chaque exigence :

  • l'intitulé et la référence du texte ou de l'engagement, avec sa source officielle ;
  • le domaine concerne (hygiène, sécurité machines, produits chimiques, médecine du travail, instances représentatives...) ;
  • l'applicabilité : en quoi et à quel titre l'exigence concerne l'organisme ;
  • le statut de conformité issu de l'évaluation, avec la preuve associée ;
  • le responsable, l'action à mener en cas d'écart et l'échéance ;
  • la date de dernière mise à jour et la date de la prochaine revue.

Un registre vivant impose une gouvernance : une fréquence de mise à jour définie, un pilote nomme, une source de veille fiable et une articulation claire avec la revue de direction. C'est cette régularité qui distingue un système de management mature d'un classeur figé. Tenir le registre à jour, c'est aussi anticiper les évolutions plutôt que les subir, et disposer à tout moment d'une image nette de son état de conformité, exactement ce que demande le paragraphe 9.1.2.

Pour vérifier où en est votre organisation avant un audit et structurer votre revue de conformité, HEMC met à disposition sa grille de préparation à l'audit ISO 45001, un point de départ concret pour organiser votre veille et votre évaluation de conformité.

Parmi ces obligations, celles qui portent sur les équipements de travail sont les plus souvent découvertes en audit : voir le marquage CE des machines et la directive 2006/42/CE.