Audit de conformité réglementaire

Qui est concerné et quand cet audit est-il exigé ?

Il faut le dire clairement : aucune disposition marocaine n'impose, sous ce nom et de façon générale, la réalisation d'un « audit de conformité réglementaire ». Ce qui est exigé, ce sont les obligations sous-jacentes — autorisations, vérifications, registres, déclarations, formations, instances internes. L'audit est le moyen de savoir où vous en êtes vis-à-vis de ces obligations. La demande vient donc soit d'une exigence normative, soit d'un tiers, soit d'un événement.

Les situations qui déclenchent le plus souvent la mission :

• Une exigence de norme. ISO 45001 impose de déterminer les exigences légales et autres exigences applicables ; ISO 14001 impose de déterminer les obligations de conformité, notion plus large qui englobe aussi les engagements volontaires souscrits (§ 6.1.3 dans les deux normes). Les deux imposent ensuite d'évaluer périodiquement le respect de ces exigences (§ 9.1.2). Les éditions en vigueur sont ISO 14001:2026, publiée en avril 2026 en remplacement de l'édition 2015 et de son amendement climatique de 2024, et ISO 45001:2018 complétée par son amendement 1:2024 relatif à l'action climatique. Les certificats délivrés selon ISO 14001:2015 doivent basculer vers l'édition 2026 avant mai 2029 pour rester valides. Dans les deux cas, sans référentiel tenu à jour, ces deux chapitres ne peuvent pas être satisfaits.
• Une demande d'un donneur d'ordre, d'un bailleur de fonds ou d'un assureur, dans le cadre d'une qualification fournisseur ou d'une condition de financement.
• Une opération de cession, d'acquisition ou de reprise de site, où le passif réglementaire doit être connu avant l'engagement.
• L'ouverture, l'extension ou la modification substantielle d'un établissement relevant du régime des établissements classés ou recevant du public.
• Une suite d'inspection, une mise en demeure, un accident du travail ou un incident environnemental.
• La préparation d'un dossier de marché public, ou d'une échéance réglementaire connue comme l'audit énergétique obligatoire, dont le renouvellement est quinquennal.
• La prise de fonction d'un responsable QHSE sur un site dont l'historique réglementaire n'est pas documenté.

Les profils d'établissements les plus exposés sont les sites industriels soumis à autorisation ou à déclaration au titre des établissements classés, les établissements recevant du public, les entreprises atteignant les seuils d'effectif qui déclenchent des obligations internes, les sites dont la consommation énergétique dépasse les seuils réglementaires, et les opérateurs portuaires, logistiques et de transport soumis à des régimes sectoriels propres.

Quel est le cadre réglementaire marocain applicable ?

Le corpus applicable à un site industriel ou tertiaire marocain se répartit en plusieurs blocs. Les références ci-dessous constituent le socle le plus fréquemment mobilisé ; elles ne remplacent pas le référentiel propre à votre site.

Santé et sécurité au travail

• Loi n° 65-99 formant Code du travail, promulguée par le dahir n° 1-03-194 du 14 rejeb 1424 (11 septembre 2003). Le titre IV du livre II traite de l'hygiène et de la sécurité des salariés à partir de l'article 281 : propreté et aménagement des locaux, prévention des risques, équipements de protection, manutention, produits dangereux.
• Services médicaux du travail — articles 304 à 331 du Code du travail, qui fixent les conditions dans lesquelles un service médical du travail doit être organisé.
• Comité de sécurité et d'hygiène — articles 336 à 344 du Code du travail. Il doit être créé dans les entreprises industrielles, commerciales, artisanales et les exploitations agricoles et forestières employant au moins cinquante salariés, et se réunir selon la périodicité prévue par ces articles.
• Loi n° 18-12 relative à la réparation des accidents du travail, promulguée par le dahir n° 1-14-190 du 6 rebia I 1436 (29 décembre 2014), publiée au Bulletin officiel n° 6328 du 22 janvier 2015. Elle s'est substituée au régime du dahir du 6 février 1963 et encadre la déclaration de l'accident, la procédure de conciliation préalable et la réparation due à la victime et à ses ayants droit.

Évaluation environnementale et autorisations de projet

• Loi n° 11-03 relative à la protection et à la mise en valeur de l'environnement, promulguée par le dahir n° 1-03-59 du 10 rabii I 1424 (12 mai 2003) : cadre général et principes.
• Loi n° 12-03 relative aux études d'impact sur l'environnement, promulguée par le dahir n° 1-03-60 du 10 rabii I 1424 (12 mai 2003), et ses deux décrets d'application du 5 kaada 1429 (4 novembre 2008) : décret n° 2-04-563 relatif aux attributions et au fonctionnement du comité national et des comités régionaux des études d'impact, et décret n° 2-04-564 fixant les modalités d'organisation et de déroulement de l'enquête publique.
• Loi n° 49-17 relative à l'évaluation environnementale, promulguée par le dahir n° 1-20-78 du 18 hija 1441 (8 août 2020) et publiée au Bulletin officiel n° 7140 du 3 novembre 2022. Elle élargit le dispositif à l'évaluation environnementale stratégique des politiques, plans et programmes publics et remanie la procédure applicable aux projets. L'abrogation de la loi n° 12-03 est subordonnée à l'entrée en vigueur des textes d'application de la loi n° 49-17 : tant que ces décrets ne sont pas publiés au Bulletin officiel, la loi n° 12-03 et ses décrets de 2008 restent le régime opposable aux projets. Le référentiel d'audit précise, dossier par dossier, le régime effectivement applicable.

Déchets, air et énergie

• Loi n° 28-00 relative à la gestion des déchets et à leur élimination, promulguée par le dahir n° 1-06-153 du 30 chaoual 1427 (22 novembre 2006) : classification des déchets, obligations du producteur, conditions de collecte, de transport, de stockage et d'élimination.
• Loi n° 13-03 relative à la lutte contre la pollution de l'air, promulguée par le dahir n° 1-03-61 du 10 rabii I 1424 (12 mai 2003), complétée par le décret n° 2-09-286 du 8 décembre 2009 fixant les normes de qualité de l'air et les modalités de surveillance, et par le décret n° 2-09-631 du 6 juillet 2010 fixant les valeurs limites de dégagement, d'émission ou de rejet de polluants dans l'air émanant de sources de pollution fixes et les modalités de leur contrôle.
• Loi n° 47-09 relative à l'efficacité énergétique, promulguée par le dahir n° 1-11-161 du 1er kaada 1432 (29 septembre 2011), et décret n° 2-17-746 relatif à l'audit énergétique obligatoire et aux organismes d'audit énergétique, publié au Bulletin officiel du 2 mai 2019 et entré en vigueur le 1er décembre 2019. L'audit énergétique est obligatoire au-delà des seuils de consommation fixés par ce décret : 1 500 tonnes équivalent pétrole par an pour les entreprises et établissements du secteur industriel, y compris ceux de la production d'énergie ; 500 tep par an pour le secteur tertiaire ainsi que pour les entreprises et établissements de transport et de distribution d'énergie. Il est renouvelé tous les cinq ans et relève d'organismes d'audit énergétique agréés.

Établissements classés et sécurité des constructions

• Dahir du 3 chaoual 1332 (25 août 1914) portant réglementation des établissements insalubres, incommodes ou dangereux, complété par les textes du 13 octobre 1933 qui distinguent les régimes d'autorisation et de déclaration et établissent la nomenclature technique répartissant les activités en trois classes. Le rattachement d'un site à une classe conditionne la procédure d'ouverture, les prescriptions imposées et le contrôle exercé.
• Décret n° 2-14-499 du 20 hija 1435 (15 octobre 2014) approuvant le règlement général de construction fixant les règles de sécurité contre les risques d'incendie et de panique dans les constructions et instituant le comité national de la prévention des risques d'incendie et de panique, publié au Bulletin officiel n° 6306 du 6 novembre 2014. Il régit notamment les établissements recevant du public et les immeubles de grande hauteur : dégagements, désenfumage, détection, moyens de secours, notice de sécurité soumise à l'avis de la commission compétente.

Cette liste est un socle, pas un référentiel. Selon votre activité, s'y ajoutent des régimes sectoriels — eau et rejets liquides, produits alimentaires, appareils à pression, ascenseurs et appareils de levage, transport de matières dangereuses, sûreté portuaire et navires, industries extractives — ainsi que les prescriptions individuelles de vos propres autorisations d'exploiter, qui sont opposables au même titre que la loi et que l'on oublie souvent d'auditer.

Comment se déroule l'audit de conformité ?

La mission suit une séquence stable. Nos équipes interviennent sur l'ensemble du territoire depuis notre implantation de Casablanca.

• Cadrage. Définition du périmètre audité — site, activités, installations, domaines réglementaires retenus — et recensement des interlocuteurs. Un périmètre écrit évite le principal reproche fait aux audits de conformité : un rapport qui conclut sur ce qu'il n'a pas regardé.
• Construction du référentiel des exigences applicables. Identification des textes opposables au site, article par article, avec pour chacun la mention applicable ou non applicable et la justification de ce choix. Y sont intégrées les prescriptions de vos autorisations individuelles et, le cas échéant, les exigences contractuelles que vous avez souscrites.
• Revue documentaire. Autorisations et récépissés de déclaration, rapports de vérification périodique et procès-verbaux de contrôle, registres de déchets et bordereaux de suivi, contrats avec les prestataires autorisés, procès-verbaux du comité de sécurité et d'hygiène, dossier du service médical du travail, plans, fiches de données de sécurité, attestations de formation, notice de sécurité incendie.
• Visite de site et entretiens. Vérification par observation directe et par échange avec les personnes qui tiennent réellement l'obligation : exploitation, maintenance, QHSE, ressources humaines.
• Constat contradictoire. Les écarts relevés sont exposés à vos équipes avant rédaction, afin qu'une preuve existante mais non présentée puisse être produite.
• Qualification et hiérarchisation. Chaque écart est rattaché à l'article qui le fonde et classé selon sa criticité : obligation non satisfaite exposant directement l'établissement, écart partiel ou formel, observation d'amélioration.
• Restitution. Présentation du rapport et du plan de mise en conformité aux responsables concernés et à la direction.

Trois principes de méthode gouvernent la mission. Aucune conformité n'est validée sur déclaration : elle l'est sur preuve datée. Aucun écart n'est écrit sans la référence du texte qui le fonde, ce qui rend chaque ligne du rapport vérifiable et discutable. Aucune recommandation n'est formulée sans distinguer ce qui est une obligation opposable de ce qui relève d'une bonne pratique — confondre les deux fait perdre au rapport son autorité et conduit à traiter en priorité ce qui n'est pas exigé.

Quels documents recevez-vous à l'issue de l'audit ?

La mission produit un ensemble de livrables qui se répondent, du plus détaillé au plus synthétique.

• Le référentiel des exigences applicables. Un tableau structuré par domaine et par texte, descendant au niveau de l'article, indiquant pour chaque exigence son applicabilité et la justification retenue. C'est le livrable durable de la mission.
• La grille d'évaluation de conformité. Pour chaque exigence applicable : le statut, le constat, la preuve examinée et sa date. C'est le document qui répond à l'exigence d'évaluation de la conformité du § 9.1.2 d'ISO 14001:2026 et d'ISO 45001:2018.
• Le rapport d'audit. Périmètre, méthode, personnes rencontrées, documents consultés, écarts hiérarchisés par criticité et exposition associée, avec pour chaque écart la référence de l'article.
• Le plan de mise en conformité. Pour chaque écart : l'action attendue, le responsable proposé, l'échéance et la priorité, dans un format directement exploitable en réunion de direction et en suivi d'avancement.
• La synthèse de direction. Une lecture courte destinée aux décideurs : niveau de conformité par domaine, points d'exposition majeurs, échéances réglementaires à venir.

Le référentiel des exigences applicables est le document qui garde le plus de valeur dans le temps. Il sert de base à l'évaluation périodique de conformité, à la préparation des audits de certification, aux réponses aux questionnaires de donneurs d'ordre et aux dossiers de marchés publics. C'est également l'objet qui se maintient à jour par la veille réglementaire.

De l'audit ponctuel à la veille réglementaire continue

Un audit de conformité est une photographie. Sa validité se dégrade pour deux raisons distinctes : votre site change — nouvelle installation, nouvelle substance, franchissement d'un seuil d'effectif ou de consommation, extension de bâtiment — et les textes changent. La publication d'un décret d'application peut, à elle seule, modifier le régime opposable à un établissement sans qu'aucune de vos activités n'ait bougé : la bascule attendue de la loi n° 12-03 vers la loi n° 49-17 en matière d'évaluation environnementale en est l'illustration.

Les référentiels normatifs évoluent de la même façon, avec leurs propres échéances de transition. ISO 14001 a été révisée en avril 2026, avec un basculement des certificats 2015 à opérer avant mai 2029 ; ISO 19011 a été révisée en mai 2026, sans période de transition puisqu'il s'agit d'une norme de lignes directrices ; ISO 45001 reste dans son édition 2018 complétée par l'amendement climatique de 2024 ; la nouvelle édition d'ISO 9001 est annoncée pour le 16 septembre 2026, assortie d'une transition de trois ans. Ces échéances se suivent au même titre que les échéances réglementaires.

C'est ce que recouvre la notion de veille réglementaire applicable. Elle ne consiste pas à suivre l'intégralité du Bulletin officiel, exercice ingérable et sans valeur opérationnelle. Elle consiste à maintenir à jour le sous-ensemble des textes qui vous sont opposables, et à traduire chaque évolution en une réponse concrète : ce texte vous concerne-t-il, qu'est-ce qui change, quelle action et pour quelle échéance ?

SS4U développe et exploite MyVeille, une plateforme de veille réglementaire et de suivi de conformité déployée chez des clients industriels. Le référentiel construit pendant l'audit peut y être versé, ce qui change la nature du livrable : le tableau figé devient un référentiel vivant.

• Le référentiel des exigences applicables à votre site est hébergé et tenu à jour, plutôt que de vieillir dans un classeur.
• Les évolutions de textes sont rapportées aux exigences de votre référentiel, et non diffusées en vrac.
• Les preuves de conformité et les actions du plan de mise en conformité restent rattachées à l'exigence qui les motive, avec leur responsable et leur échéance.
• L'évaluation périodique de conformité attendue par ISO 14001:2026 et ISO 45001:2018 s'appuie sur un historique daté plutôt que sur une reconstitution de mémoire.

Le recours à la plateforme n'est pas une condition de l'audit : le référentiel et la grille d'évaluation vous sont remis dans un format exploitable de manière autonome.

Questions fréquentes

Faut-il être certifié ISO pour réaliser un audit de conformité réglementaire ?

Non. Les obligations légales s'appliquent indépendamment de toute certification. La certification rend seulement l'exercice obligatoire au titre de la norme ; elle ne le crée pas.

Quelle différence avec un audit interne ?

L'audit interne vérifie qu'un système de management fonctionne conformément à ce qui a été défini et à la norme de référence ; ses lignes directrices sont données par ISO 19011:2026. L'audit de conformité vérifie le respect d'exigences externes opposables. Les deux se complètent : le second alimente le premier.

Quelle différence avec un contrôle réglementaire périodique ?

Le contrôle porte sur un équipement ou une installation et donne lieu à un rapport de vérification, souvent réservé par les textes à des organismes disposant d'une habilitation. L'audit de conformité porte sur l'ensemble des obligations du site, et vérifie notamment que ces contrôles ont bien été réalisés, dans les délais, et que leurs réserves ont été levées.

Que se passe-t-il si l'audit révèle une non-conformité majeure ?

L'écart existait avant l'audit ; celui-ci le rend visible et documenté. Le rapport est un document interne. Le plan de mise en conformité hiérarchise les actions, en traitant d'abord les écarts qui exposent les personnes et ceux qui font courir un risque de sanction ou de fermeture administrative.

Le rapport peut-il être présenté à l'administration ou à un donneur d'ordre ?

Il n'a aucune valeur d'attestation opposable. Vous restez libre de le communiquer, en tout ou partie : il est fréquemment produit dans le cadre d'une qualification fournisseur ou d'une due diligence, où c'est la traçabilité des constats et le plan d'action qui sont regardés.

Comment la confidentialité est-elle traitée ?

Le périmètre de diffusion, les destinataires et le sort des données collectées sont arrêtés au cadrage, avant l'intervention. Les traitements de données à caractère personnel rencontrés au cours de la mission — dossiers médicaux, registres du personnel — relèvent de la loi n° 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel, et sont examinés sans extraction de contenu nominatif.

À quelle fréquence renouveler l'exercice ?

Il n'existe pas de périodicité légale générale. La pratique consiste à réévaluer la conformité au moins une fois par an dans un cadre certifié, et à déclencher un réexamen ciblé à chaque changement significatif du site ou du corpus applicable — ce que la veille réglementaire permet précisément d'identifier.