Audit interne

Qui est concerné et quand l'audit interne est-il exigé ?

L'audit interne n'est pas une bonne pratique facultative. C'est une exigence explicite et directement auditable de toutes les normes de système de management construites sur la structure harmonisée, anciennement désignée structure de haut niveau, au paragraphe 9.2.

• ISO 9001 — 2015, paragraphe 9.2 — systèmes de management de la qualité. Il s'agit de l'édition en vigueur ; la révision ISO 9001:2026 est annoncée pour le 16 septembre 2026 et ouvrira une période de transition de trois ans, pendant laquelle les certificats délivrés selon l'ISO 9001:2015 conservent leur validité.
• ISO 14001 — 2026, paragraphe 9.2 — systèmes de management environnemental. Publiée en avril 2026, cette édition annule et remplace l'ISO 14001:2015. Une période de transition de trois ans, approuvée par l'International Accreditation Forum, a été ouverte : les certificats ISO 14001:2015 restent valides jusqu'à leur échéance de transition et cessent de l'être au plus tard le 30 avril 2029.
• ISO 45001 — 2018, paragraphe 9.2 — santé et sécurité au travail : exigence d'audit interne et communication des résultats d'audit à la direction concernée, aux travailleurs et, lorsqu'ils existent, à leurs représentants. La consultation des travailleurs non-cadres sur la planification, l'établissement, la mise en œuvre et le maintien du programme d'audit relève, elle, du paragraphe 5.4, Consultation et participation des travailleurs. La révision de cette norme est engagée et son édition 2018 demeure celle en vigueur.
• ISO 22000 — 2018, ISO/IEC 27001:2022 et ISO 50001:2018, construites sur la structure harmonisée, portent la même exigence au paragraphe 9.2. L'ISO/IEC 17025:2017, qui ne suit pas cette structure, traite les audits internes au paragraphe 8.8.

Concrètement, vous êtes concerné dans quatre situations.

• Vous êtes certifié et devez maintenir votre certificat. À chaque audit de surveillance, l'organisme de certification vérifie que le programme d'audit interne a bien été exécuté sur la période, que les écarts relevés ont été traités et que leur efficacité a été vérifiée. Un programme d'audit interne non réalisé est en lui-même une non-conformité.
• Vous préparez une première certification. L'audit interne doit avoir couvert l'ensemble du périmètre et l'ensemble des exigences de la norme avant l'audit initial. C'est le moyen le plus sûr de connaître l'état réel du système avant que l'organisme de certification ne le découvre.
• Vous avez construit un système de management sans viser la certification. L'audit interne reste alors le seul mécanisme qui vous dit si le dispositif fonctionne, puisque aucun regard externe ne viendra le contrôler.
• Vous répondez à des appels d'offres publics. Lorsque le cahier des prescriptions spéciales exige un certificat de système de management en cours de validité, le maintien de ce certificat suppose un programme d'audit interne effectivement conduit et tracé.
• Vous êtes certifié ISO 14001 — 2015 et devez organiser votre passage à l'ISO 14001:2026. L'audit interne est le moyen de mesurer l'écart entre le système en place et les exigences de la nouvelle édition avant l'audit de transition, et de traiter les écarts dans votre calendrier plutôt que dans celui de l'organisme de certification.

Une précision utile pour les organismes marocains : le comité de sécurité et d'hygiène, obligatoire dans les entreprises industrielles, commerciales et d'artisanat ainsi que dans les exploitations agricoles et forestières et leurs dépendances occupant au moins cinquante salariés, en application des articles 336 et suivants du Code du travail, n'est pas un dispositif d'audit. Il ne dispense pas de l'audit interne exigé par l'ISO 45001, et l'audit interne ne s'y substitue pas. Les deux se complètent : le rapport annuel du comité sur l'évolution des risques professionnels prévu à l'article 342, ainsi que le registre spécial tenu à la disposition de l'agent chargé de l'inspection du travail et du médecin inspecteur du travail prévu à l'article 343, constituent des éléments de preuve que l'auditeur interne examinera.

Quel cadre normatif et réglementaire s'applique au Maroc ?

Trois plans se recouvrent souvent dans les échanges commerciaux et méritent d'être distingués : le référentiel normatif d'audit, le cadre national de la normalisation et de la certification, et les obligations réglementaires sectorielles qui deviennent des critères d'audit.

Le référentiel d'audit et l'exigence auditée.

• ISO 19011 — 2026, Lignes directrices pour l'audit des systèmes de management. Quatrième édition, publiée en mai 2026, annulant et remplaçant l'ISO 19011:2018. Norme de lignes directrices, elle s'applique dès sa publication, sans période de transition. Elle est reprise en norme marocaine sous la référence NM ISO 19011 par l'Institut marocain de normalisation (IMANOR), dont l'adoption suit la publication de l'édition internationale.
• ISO 9001 — 2015 § 9.2, ISO 14001:2026 § 9.2 et ISO 45001:2018 § 9.2, qui portent l'exigence elle-même : établir et maintenir un programme d'audit, définir les objectifs, les critères et le périmètre de chaque audit, sélectionner les auditeurs de manière à assurer l'objectivité et l'impartialité, rapporter les résultats à la direction concernée, engager sans délai indu les corrections et actions correctives appropriées, et conserver les informations documentées. L'ISO 45001:2018 ajoute au paragraphe 5.4 la consultation des travailleurs non-cadres sur le programme d'audit.
• Deux révisions encadrent le calendrier normatif à retenir : l'ISO 14001:2026 est publiée depuis avril 2026 et ouvre une transition de trois ans s'achevant au plus tard le 30 avril 2029 ; l'ISO 9001:2026 est annoncée pour le 16 septembre 2026 et ouvrira à son tour une transition de trois ans. Un programme d'audit interne construit aujourd'hui a intérêt à intégrer ces échéances plutôt qu'à les découvrir en audit de surveillance.

Le cadre national de la normalisation, de la certification et de l'accréditation.

• Loi n° 12-06 relative à la normalisation, à la certification et à l'accréditation, promulguée par le dahir n° 1-10-15 du 26 safar 1431 (11 février 2010). Elle institue l'Institut marocain de normalisation (IMANOR) et organise l'homologation des normes marocaines, la certification de conformité et l'accréditation des organismes d'évaluation de la conformité.
• Le Service marocain d'accréditation (SEMAC) est l'entité nationale d'accréditation des organismes d'évaluation de la conformité, laboratoires, organismes de certification et organismes d'inspection.
• Conséquence directe pour vous — un audit interne, quel que soit son niveau de rigueur, ne délivre aucun certificat et ne vaut pas évaluation de conformité par tierce partie. Il prépare la certification et la conditionne, il ne la remplace pas.

Les exigences réglementaires qui deviennent des critères d'audit.

• Loi n° 65-99 formant Code du travail, promulguée par le dahir n° 1-03-194 du 14 rejeb 1424 (11 septembre 2003). Le titre IV du livre II traite de l'hygiène et de la sécurité des salariés ; les articles 336 à 344 organisent le comité de sécurité et d'hygiène. Ces dispositions font partie des exigences légales à intégrer aux critères d'un audit interne ISO 45001.
• Loi n° 49-17 relative à l'évaluation environnementale, promulguée par le dahir n° 1-20-78 du 18 hija 1441 (8 août 2020). Le texte a été publié au Bulletin officiel n° 6908 du 13 août 2020 en langue arabe ; la traduction officielle en français a paru au Bulletin officiel n° 7140 du 3 novembre 2022. La loi organise quatre instruments, dont l'audit environnemental. Aux termes de son article 17, celui-ci vise les unités industrielles et activités existant avant la publication de la loi, figurant sur la liste des projets soumis à l'étude d'impact sur l'environnement et ne disposant pas de décision d'acceptabilité environnementale, en vue de déterminer les mesures nécessaires à leur mise en conformité. Cet audit environnemental réglementaire est une étude d'un autre ordre que l'audit interne d'un système de management ISO 14001 : les deux ne se substituent pas l'un à l'autre.
• Décret n° 2-22-431 du 15 chaabane 1444 (8 mars 2023) relatif aux marchés publics, publié au Bulletin officiel n° 7184 du 15 ramadan 1444 (6 avril 2023) et entré en vigueur le 1er septembre 2023, lorsque votre activité vous conduit à répondre à la commande publique.

Un audit interne qui ne vérifie que la conformité à la norme, sans confronter le système aux textes réglementaires effectivement applicables à votre activité, laisse le risque principal hors du champ. L'identification de ces exigences est d'ailleurs elle-même une exigence normative, portée au paragraphe 6.1.3 des deux référentiels concernés, sous des intitulés qu'il faut se garder de confondre : « Obligations de conformité » dans l'ISO 14001, « Détermination des exigences légales et autres exigences » dans l'ISO 45001:2018. Elle doit être auditée comme telle : le registre des exigences légales est-il à jour, est-il complet, et l'évaluation périodique de la conformité, exigée au paragraphe 9.1.2, a-t-elle réellement lieu ?

Comment se déroule un audit interne : le cycle complet

L'audit interne n'est pas un événement isolé mais un cycle en sept étapes. Chacune produit un livrable, et chacune peut être vérifiée par un organisme de certification.

• 1. Le programme d'audit. Il couvre une période définie, le plus souvent alignée sur le cycle de certification, et fixe la fréquence, les méthodes, les responsabilités, les exigences de planification et les modalités de compte rendu. Il ne consiste pas à répartir uniformément les processus dans un calendrier : il se construit sur l'importance des processus concernés, les changements affectant l'organisme, les risques identifiés et les résultats des audits précédents. Un processus stable et sans écart depuis plusieurs cycles n'appelle pas la même attention qu'un processus récemment réorganisé ou ayant connu un incident.
• 2. Le plan d'audit. Établi pour chaque audit, il précise les objectifs, le périmètre, les critères retenus (norme, procédures internes, exigences légales), les sites et processus concernés, les interlocuteurs sollicités, le séquencement des entretiens, les méthodes d'audit retenues lorsque tout ou partie de l'intervention se déroule à distance, et la composition de l'équipe d'audit. Il est communiqué à l'avance à l'audité, qui doit pouvoir s'organiser sans que l'audit ne devienne une épreuve surprise.
• 3. La revue documentaire. Avant l'intervention sur site : politique et objectifs, documentation du système, procédures et modes opératoires, résultats des indicateurs, compte rendu de la revue de direction précédente, écarts antérieurs et preuves de leur traitement, registre des exigences légales. Cette phase sert à préparer des questions précises, pas à conclure. La conformité documentaire n'est pas la conformité.
• 4. L'audit sur site. Réunion d'ouverture, entretiens avec les pilotes de processus et avec les opérateurs, observation directe des activités en situation réelle, examen des enregistrements, échantillonnage raisonné. Chaque constat s'appuie sur des preuves d'audit vérifiables, tracées et rattachées à un critère identifié, que ces preuves soient sur support papier ou sous forme numérique. La réunion de clôture présente les constats afin qu'ils soient compris et discutés sur les faits avant que le rapport ne soit rédigé.
• 5. Les constats. Leur typologie doit être définie, écrite et appliquée de façon constante d'un audit à l'autre, faute de quoi les comparaisons entre cycles perdent tout sens.
• 6. Le rapport d'audit. Il rappelle les objectifs, le périmètre et les critères, identifie l'équipe d'audit et les personnes rencontrées, décrit le déroulement et les éventuels obstacles rencontrés, énonce chaque constat avec sa preuve et le critère auquel il se rattache, et formule une conclusion d'audit sur l'aptitude du système à satisfaire aux exigences. Il est diffusé à la direction concernée, comme l'exige le paragraphe 9.2.2 d) de l'ISO 9001:2015 ; en santé et sécurité au travail, l'ISO 45001:2018 étend cette communication aux travailleurs et, lorsqu'ils existent, à leurs représentants.
• 7. Le suivi des actions correctives. L'audit ne s'achève pas à la remise du rapport. Pour chaque écart, l'organisme distingue la correction, qui traite l'effet immédiat, et l'action corrective, qui traite la cause afin que l'écart ne se reproduise pas. L'analyse des causes, le responsable désigné, l'échéance puis la vérification d'efficacité sur preuves conditionnent la clôture. Un écart n'est pas soldé parce qu'une action a été déclarée ; il l'est lorsque son efficacité a été vérifiée.

La typologie des constats, dans le détail.

• Non-conformité majeure — absence totale d'une exigence, défaillance systémique, ou écart dont l'effet compromet l'aptitude du système à assurer la maîtrise d'un processus, la conformité d'un produit ou d'un service, ou le respect d'une exigence légale.
• Non-conformité mineure — écart ponctuel et isolé par rapport à une exigence, sans effet systémique démontré, mais qui doit néanmoins être traité et clôturé.
• Observation — situation formellement conforme mais fragile, susceptible de devenir un écart si elle n'est pas surveillée.
• Piste d'amélioration — suggestion qui ne constitue pas un écart et n'appelle donc pas d'action corrective obligatoire, mais qui documente une opportunité identifiée pendant l'audit.

Une pratique courante consiste à classer en observation ce qui est en réalité une non-conformité, afin d'éviter la charge du traitement et de préserver un rapport favorable. Elle est sans effet sur l'état réel du système et se paie à l'audit de certification suivant, où le même écart réapparaît, cette fois qualifié par un tiers et assorti d'une échéance contraignante.

Comment nous procédons

Nous conduisons l'audit interne selon les lignes directrices de l'ISO 19011:2026 et les exigences du paragraphe 9.2 du référentiel concerné. Les principes suivants encadrent chacune de nos interventions.

• Désignation de l'auditeur en fonction du périmètre à couvrir, et non de la disponibilité du moment. L'auditeur intervenant sur un processus n'est pas celui qui a participé à la conception ou à la mise en place du dispositif audité : lorsque nous avons accompagné la construction de votre système, l'audit interne est confié à un intervenant qui n'a pas travaillé sur cette mission.
• Cadrage préalable avec la direction et le responsable du système : périmètre, objectifs du cycle, exigences réglementaires à intégrer aux critères d'audit, contraintes d'exploitation et périodes à éviter.
• Construction ou révision du programme d'audit à partir des risques, des changements survenus et de l'historique des écarts, plutôt que par simple reconduction du programme de l'année précédente. Lorsque votre certificat relève d'un référentiel en cours de révision, l'écart avec la nouvelle édition est intégré aux critères d'audit.
• Audits combinés lorsque plusieurs référentiels coexistent — qualité, environnement, santé et sécurité au travail : un seul passage sur les processus communs, mais des critères distincts, explicitement identifiés dans chaque constat, pour que le rattachement normatif reste lisible.
• Intervention sur site, y compris pour les organisations multi-sites : notre implantation de Casablanca permet de couvrir les établissements distants. L'ISO 19011:2026 encadre désormais explicitement l'audit à distance et les dispositifs hybrides : nous y recourons lorsque la nature du processus audité et la qualité des preuves accessibles le permettent, et non comme mode d'intervention par défaut.
• Restitution orale en réunion de clôture avant remise du rapport, afin que chaque écart soit discuté sur ses preuves et que la direction ne découvre pas les constats à la lecture du document.
• Séparation nette entre le constat et la solution : l'auditeur établit l'écart et sa preuve, il ne rédige pas le plan d'action à votre place. Un appui méthodologique à l'analyse des causes peut vous être apporté, distinctement de la mission d'audit.
• Audit de suivi pour vérifier l'efficacité des actions engagées sur preuves et prononcer, ou non, la clôture des écarts.

La compétence des auditeurs est établie et évaluée selon les critères de l'article 7 de l'ISO 19011:2026, qui couvre les connaissances et aptitudes générales de l'auditeur, les connaissances propres au domaine audité, l'expérience professionnelle, les aptitudes liées aux technologies de l'information et de la communication et aux méthodes d'audit à distance, et l'évaluation périodique de la compétence. Ces critères sont documentés et vous sont communicables.

Quels documents recevez-vous à l'issue de l'audit ?

Les livrables de la mission constituent le dossier d'audit que votre organisme de certification examinera. Ils vous sont remis dans un format directement exploitable et versable à votre système documentaire.

• Le programme d'audit de la période, avec la justification du séquencement retenu au regard des risques, des changements et des résultats antérieurs.
• Le plan d'audit de chaque intervention — objectifs, périmètre, critères, processus et sites concernés, interlocuteurs, séquencement, méthodes d'audit retenues.
• Le rapport d'audit — déroulement, personnes rencontrées, constats énoncés un à un avec la preuve d'audit et le critère associé, et conclusion d'audit sur l'aptitude du système.
• Les fiches d'écart individuelles, une par non-conformité, précisant l'exigence non satisfaite, la preuve, la qualification (majeure ou mineure) et l'espace prévu pour l'analyse des causes et le plan d'action.
• Le tableau de suivi des actions correctives — responsable, échéance, état d'avancement, preuve d'efficacité attendue, statut de clôture.
• Le compte rendu de l'audit de suivi, qui prononce la clôture des écarts dont l'efficacité des actions a été vérifiée, et maintient ouverts les autres.

L'ensemble constitue les informations documentées que les normes de système de management imposent de conserver au paragraphe 9.2 — 9.2.2 f) dans l'ISO 9001:2015 — comme preuve de la mise en œuvre du programme d'audit et des résultats d'audit. Ce sont précisément ces éléments qui seront demandés lors de l'audit de certification ou de surveillance.

Questions fréquentes sur l'audit interne

Un audit interne peut-il être réalisé par un prestataire extérieur ?

Oui. Les normes exigent l'objectivité et l'impartialité du processus d'audit, non que l'auditeur soit un salarié de l'organisme. Le terme « interne » qualifie le système audité, pas le statut de l'auditeur. Dans une structure de taille réduite, où l'ensemble de l'encadrement participe aux processus concernés, le recours à un auditeur externe est souvent la seule manière d'obtenir une indépendance réelle. L'organisme reste en tout état de cause responsable de son programme d'audit et du traitement des écarts.

L'ISO 19011 est-elle une norme certifiable ?

Non. Elle ne contient pas d'exigences mais des lignes directrices, et aucun organisme ne délivre de certificat ISO 19011. La certification porte sur le système de management lui-même, selon l'ISO 9001, l'ISO 14001, l'ISO 45001 ou un autre référentiel d'exigences. C'est aussi pourquoi le passage de l'édition 2018 à l'édition 2026 ne s'accompagne d'aucune période de transition : il n'y a pas de certificat à faire migrer, seulement une pratique d'audit à mettre à jour.

Quelle édition des normes faut-il retenir aujourd'hui ?

Pour l'audit lui-même, l'ISO 19011:2026, quatrième édition publiée en mai 2026, qui remplace l'ISO 19011:2018. Pour l'exigence auditée : l'ISO 9001:2015, dont la révision ISO 9001:2026 est annoncée pour le 16 septembre 2026 avec une transition de trois ans ; l'ISO 14001:2026, publiée en avril 2026, dont la transition s'achève au plus tard le 30 avril 2029 pour les certificats délivrés selon l'édition 2015 ; et l'ISO 45001:2018, dont la révision est engagée et qui reste l'édition en vigueur.

À quelle fréquence faut-il auditer ?

Les normes ne fixent aucune fréquence. Elles exigent des audits « à intervalles planifiés » et un programme construit sur l'importance des processus, les changements et les résultats des audits précédents. La règle de fond est que l'ensemble des exigences et l'ensemble du périmètre certifié soient couverts sur le cycle, sans qu'un processus reste durablement hors du champ. Un programme qui audite tout, partout, avec la même intensité, coûte cher et ne hiérarchise rien.

Quelle différence entre audit interne, audit de certification et audit environnemental réglementaire ?

L'audit interne est conduit par ou pour votre organisme sur son propre système, à des fins de pilotage. L'audit de certification est conduit par un organisme de certification tierce partie et débouche sur la délivrance ou le maintien d'un certificat. L'audit environnemental au sens de l'article 17 de la loi n° 49-17 relative à l'évaluation environnementale est une étude réglementaire d'un autre ordre, qui vise les unités industrielles et activités existant avant la publication de la loi, figurant sur la liste des projets soumis à l'étude d'impact sur l'environnement et ne disposant pas de décision d'acceptabilité environnementale, en vue de leur mise en conformité. Les trois répondent à des logiques différentes et aucun ne dispense des autres.

Que se passe-t-il si l'audit relève des non-conformités majeures ?

C'est la fonction attendue de l'audit, et non son échec. Un écart majeur détecté en audit interne se traite dans votre calendrier, sur vos priorités ; le même écart détecté en audit de certification se traite sous échéance imposée et peut suspendre la décision de certification. À l'inverse, un cycle d'audit interne qui ne relève jamais aucun écart renseigne généralement sur la profondeur de l'audit plutôt que sur la maturité du système.

Faut-il un auditeur titulaire d'une certification personnelle pour réaliser un audit interne ?

Aucune disposition normative ou réglementaire ne l'impose pour l'audit interne. Ce que les normes exigent, c'est que des critères de compétence soient définis, que les auditeurs y répondent et que cette compétence soit évaluée puis maintenue. L'article 7 de l'ISO 19011:2026 fournit le cadre de cette évaluation : connaissances et aptitudes générales, connaissances propres au domaine audité, expérience professionnelle, aptitudes liées aux technologies de l'information et de la communication, évaluation périodique. Ce sont ces éléments, et non un titre, que l'organisme de certification examinera.