Audits

À quoi sert l'écran#

Un organisme de certification demande d'abord le programme d'audit interne de l'année.

Qui peut faire quoi#

Pas à pas#

Lire le programme#

Sous « Programme de l'année », vous voyez le nombre d'audits de l'année, le « Dernier audit terminé » (l'auditeur attend un audit au moins tous les 365 jours) et la couverture : « Clauses 4 à 10 » et « Annexe A (contrôles applicables) ». Les points « pas encore audités » sont signalés, avec ceux qu'aucun audit prévu ne couvre (« Trou du programme »).

Planifier un audit#

1. Cliquez sur « Nouvel audit ».
2. Choisissez l'« Auditeur », la « Date prévue » et le « Statut ».
3. Sous « Périmètre », choisissez les clauses 4 à 10 et les contrôles de l'annexe A à examiner. Une clause couvre ses sous-clauses. Un contrôle exclu par la déclaration d'applicabilité n'aura pas de point à vérifier.
4. Cliquez sur « Enregistrer ».

Tant que des points de la liste ont un résultat, le périmètre ne peut plus changer.

Dérouler l'audit#

1. Ouvrez l'audit, puis « Générer la liste » : une ligne par clause, et une par contrôle que la déclaration dit applicable.
2. Pour chaque point, choisissez le résultat : « À vérifier », « Conforme » ou « Non conforme ». Ajoutez une note courte.
3. Pour un point non conforme, cliquez sur « Rédiger le constat ».

Enregistrer un constat#

1. Cliquez sur « Nouveau constat » (ou « Rédiger le constat »).
2. Choisissez la « Gravité » : « Majeure », « Mineure », « Observation » ou « Amélioration ». Indiquez le « Contrôle ou clause concerné » et « Ce qui a été constaté ».
3. Ajoutez les « Actions correctives ». Une non-conformité en demande au moins une, avec un responsable et une échéance.
4. Cliquez sur « Enregistrer le constat ».
5. Pour une non-conformité ouverte, cliquez sur « Créer le ticket Jira ». Il faut d'abord avoir choisi le projet Jira des tickets dans l'onglet « Plan d'action ». Le ticket est suivi dans l'écran.
6. Quand la correction est contrôlée, cliquez sur « Clore le constat » et confirmez : les actions correctives sont alors marquées vérifiées.

Clore l'audit#

1. Tous les points doivent être vérifiés et chaque point non conforme doit avoir son constat.
2. Cliquez sur « Clore l'audit » et confirmez. La date du jour devient sa date de fin, et l'audit compte dans la couverture. Sa liste ne change plus, mais les constats continuent d'être suivis.

Préparer la revue de direction#

Sous « Revue de direction (clause 9.3) », vous trouvez l'ordre du jour : les « Éléments d'entrée » et les « Décisions attendues ». Les rubriques « Alimenté par l'application » sont pré-remplies avec les chiffres de l'année choisie (audits, constats, actions en retard, risques, suivi). Les autres sont « À apporter par la direction ». Exportez avec « Exporter en texte » ou « Exporter en CSV ».

Audit externe#

L'onglet « Audit externe » (« Demandes de l'auditeur ») suit ce que l'auditeur de certification réclame, qui y répond, avec quelles preuves.

1. « Ajouter une demande » : mission d'audit (par exemple « Certification ISO 27001, étape 2 »), la demande, le responsable qui y répond et l'échéance.
2. Filtrez : « Ouvertes », « En retard », « Fournies », « Acceptées », « Refusées ». La barre dit la part des demandes qui ont reçu une réponse.
3. Dans le tiroir, « Rattacher une preuve » choisit une preuve déjà versée dans l'app (50 au plus par demande) ; le responsable de la demande ou une personne qui tient le programme peut la rattacher ou la détacher. Une demande fournie ou acceptée garde au moins une preuve.
4. Une demande acceptée ou refusée est verrouillée : l'auditeur a décidé, les preuves ne bougent plus. Seule une personne qui tient le programme peut la rouvrir.

Les demandes qui vous reviennent figurent dans Mon travail.

Ce que l'auditeur en tirera#

Un programme annuel, une liste de vérification notée point par point, des constats avec leurs actions correctives, et l'ordre du jour chiffré de la revue de direction. Les fichiers audits-internes.csv et constats.csv du dossier d'audit les reprennent. Chaque étape est dans le journal.

Limites connues#

• Il n'y a pas de rôle « auditeur » séparé : ce sont les mêmes personnes que pour la déclaration d'applicabilité.
• Les comptes inactifs ou introuvables ne peuvent pas être auditeur ou responsable d'une action.
• Un audit clos ou annulé ne se modifie plus. Un audit annulé ne compte pas dans la couverture.
• La revue de direction n'est pas enregistrée dans l'app : l'export est un support de réunion.
• L'app ne fait pas de plan d'audit pluriannuel : le programme est celui d'une année.