ISO 19011.

Ce que couvre réellement l'ISO 19011

L'ISO 19011 est le document de référence pour toute personne qui planifie, conduit ou gère des audits de systèmes de management. Elle est délibérément générique, de sorte que les mêmes principes s'appliquent que vous auditiez un système de management de la sécurité de l'information par rapport à l'ISO 27001, un système qualité par rapport à l'ISO 9001 ou la continuité d'activité par rapport à l'ISO 22301. Plutôt que de vous indiquer les exigences qu'une organisation doit satisfaire, elle vous explique comment regarder ces exigences en tant qu'auditeur : comment construire un programme d'audit, comment mener un audit unique de la réunion d'ouverture à la réunion de clôture, et comment juger si les personnes qui réalisent l'audit sont compétentes.

La norme organise l'audit autour d'un petit ensemble de principes. L'intégrité et la présentation impartiale maintiennent l'honnêteté des constats. La conscience professionnelle et la confidentialité protègent les personnes et les informations concernées. Une approche fondée sur la preuve signifie que les conclusions reposent sur des enregistrements et des observations vérifiables, et non sur des impressions ; et l'approche par les risques ajoutée dans les révisions récentes pousse les auditeurs à concentrer leurs efforts là où cela compte le plus pour les objectifs.

Programme d'audit, cycle de l'audit et compétence

Une manière utile de lire l'ISO 19011 consiste à la voir comme trois couches imbriquées. Au sommet se trouve le programme d'audit, l'ensemble des audits planifiés sur une période et la gestion de ce programme : définir les objectifs, attribuer les ressources, suivre les résultats et s'améliorer dans le temps. À l'intérieur se trouve l'audit individuel et son cycle :

• Déclencher l'audit et confirmer sa faisabilité avec l'audité.
• Préparer les activités d'audit, y compris la revue documentaire et le plan d'audit.
• Réaliser l'audit sur site ou à distance : réunion d'ouverture, recueil et vérification des preuves, génération des constats.
• Établir le rapport, y compris les conclusions et la réunion de clôture.
• Clôturer l'audit et assurer tout suivi des actions correctives.

La troisième couche est la compétence de l'auditeur. L'ISO 19011 présente la compétence comme une combinaison de comportement personnel, de connaissances et d'aptitudes génériques en audit, et de connaissances propres à une discipline, puis décrit comment l'évaluer et la maintenir. C'est pourquoi un professionnel de la sécurité ne peut pas se contenter de lire la norme une seule fois. La compétence est quelque chose que l'on construit par la formation, l'observation d'audits et la pratique continue.

Où les praticiens la rencontrent

En pratique, vous rencontrez l'ISO 19011 dans deux rôles. En tant qu'audité, elle explique ce qu'un auditeur compétent fera et ne fera pas, ce qui vous aide à préparer les preuves et à contester les constats peu solides. En tant qu'auditeur, interne ou face à un fournisseur, c'est le manuel que vous suivez pour rendre les audits reproductibles et défendables. La formation Lead Auditor enseigne cette norme aux côtés des exigences du système audité, et les auditeurs externes que vous rencontrez lors de la certification ont été formés sur le même matériel.