La vision de Cyber Academy
Une non-conformité est le constat de l'auditeur qu'une exigence n'est pas satisfaite. Les NC majeures menacent le certificat ; les NC mineures requièrent un plan d'action corrective assorti d'une échéance. Des NC mineures répétées dans un même domaine peuvent être requalifiées en majeures lors du prochain audit de surveillance. L'objectif n'est pas zéro NC : c'est une action corrective honnête et traçable.
Ce qu'est réellement une non-conformité
Une non-conformité enregistre un écart entre ce qu'une exigence demande et ce qu'un auditeur peut constater dans la pratique. L'exigence peut provenir de la norme elle-même (par exemple un article de l'ISO/IEC 27001), d'une mesure de sécurité que vous avez déclarée applicable dans votre Déclaration d'applicabilité, ou de votre propre politique documentée. Si vous l'avez écrit et que vous vous y êtes engagé, un auditeur peut vous en tenir responsable. Ce dernier point prend les équipes au dépourvu : sur-promettre dans une politique crée des non-conformités que la norme seule n'aurait jamais générées.
Une non-conformité n'est pas la même chose qu'une observation ou une opportunité d'amélioration. Une observation signale quelque chose que l'auditeur veut consigner sans affirmer qu'une exigence est enfreinte. Une non-conformité est une affirmation ferme qu'une exigence n'est pas satisfaite, étayée par des preuves objectives telles qu'un enregistrement, un entretien ou un artefact manquant. La distinction est importante car seules les non-conformités imposent une réponse formelle.
Majeure ou mineure, et comment les mineures s'aggravent
Les auditeurs classent les constats selon leur impact sur le système de management, et non selon leur degré d'agacement. Une non-conformité majeure signifie qu'une exigence est fondamentalement absente, ou qu'une défaillance est suffisamment répandue pour saper la confiance dans le fonctionnement du système. Les majeures mettent en péril la décision de certification et doivent généralement être clôturées avant que la certification ou la recertification puisse aboutir. Une non-conformité mineure est un manquement isolé dans un processus par ailleurs fonctionnel : une seule revue manquante, un enregistrement qui n'a pas été signé.
Le piège consiste à considérer les mineures comme inoffensives. Le même constat mineur dans le même domaine, audit après audit, indique à l'auditeur que votre action corrective n'a jamais traité la cause profonde. Lors de l'audit de surveillance suivant, ce schéma peut être reclassé en majeure, car une mesure de sécurité qui échoue toujours de la même façon ne fonctionne pas réellement.
| Aspect | NC mineure | NC majeure |
|---|---|---|
| Portée | Manquement isolé et circonscrit | Absence systémique ou totale d'une exigence |
| Effet sur le certificat | Le certificat suit normalement son cours | Peut bloquer ou suspendre la certification |
| Réponse requise | Plan d'action corrective assorti d'une échéance | Souvent correction et nouvelle vérification sur site ou par preuves |
| En cas de répétition | Peut s'aggraver en majeure la prochaine fois | Déjà au sommet de l'échelle |
Ce que les praticiens en font réellement
Bien clôturer une non-conformité est un processus, pas une excuse. Le schéma reconnu est : correction, puis action corrective, puis vérification de l'efficacité. La correction est le remède immédiat à l'instance précise que l'auditeur a relevée. L'action corrective est le mouvement plus profond : une analyse des causes profondes qui explique pourquoi l'écart existait et un changement qui empêche sa réapparition. La vérification confirme, preuves à l'appui et après un délai suffisant, que le changement a réellement tenu.
Chacun de ces éléments a sa place dans un plan d'action corrective doté d'un responsable et d'une échéance réaliste acceptée par l'auditeur. Les preuves que vous soumettez doivent permettre à quelqu'un qui n'était pas présent de reconstituer ce qui s'est passé et de confirmer que c'est clôturé. C'est là que l'honnêteté paie : un auditeur préfère voir un petit nombre d'actions correctives bien tracées qu'un rapport d'apparence impeccable qui ne résiste pas à l'examen.
Frequently asked questions
01Quelle est la différence entre une non-conformité et une observation ?
Une observation note quelque chose qui mérite d'être consigné sans affirmer qu'une exigence est enfreinte. Une non-conformité est un constat ferme, étayé par des preuves objectives, qu'une exigence n'est pas satisfaite et qui exige donc une action corrective formelle.
02Une non-conformité mineure va-t-elle nous empêcher d'être certifiés ?
Généralement pas à elle seule. La certification suit généralement son cours dès que vous soumettez un plan d'action corrective accepté assorti d'une échéance. C'est la non-conformité majeure qui peut bloquer ou suspendre le certificat.
03Une non-conformité mineure peut-elle devenir majeure ?
Oui. Le même constat mineur qui réapparaît dans le même domaine d'un audit à l'autre signale que votre action corrective n'a jamais atteint la cause profonde, de sorte que l'auditeur peut le reclasser en majeure lors de l'audit de surveillance suivant.
04Que faut-il pour clôturer une non-conformité ?
La correction de l'instance précise, une action corrective qui traite la cause profonde afin qu'elle ne se reproduise pas, et une vérification avec preuves que le remède a réellement tenu. Les trois entrent dans un plan d'action corrective doté d'un responsable et d'une échéance.
05Devons-nous viser zéro non-conformité ?
Non. Un petit nombre de constats identifiés honnêtement, chacun avec une action corrective traçable, est un signal plus sain qu'un rapport sans tache. Zéro constat signifie souvent que le système n'est pas véritablement mis à l'épreuve.