Une non-conformité n'est pas la défaillance ; c'en est l'enregistrement. Un audit interne trouve une revue qui n'a pas été faite, un incident montre une mesure qui n'a pas tenu, le questionnaire d'un client fait apparaître une politique que personne n'a approuvée, et l'ISO 27001 ne demande pas que rien de tout cela n'arrive jamais. Elle demande, à l'article 10.2, ce que l'entreprise fait ensuite, et elle demande la preuve. Le constat corrigé le même après-midi et jamais écrit est, pour l'auditeur de certification, un constat qui n'a jamais été traité, et il réapparaît à l'audit suivant comme une seconde non-conformité portant sur la première. Cet article lit l'article de la norme comme une séquence, nomme les sept sections d'une fiche qu'un auditeur accepte, sépare la correction de l'action corrective, liste les erreurs qui rouvrent un constat clôturé, et renvoie à la page gratuite qui rédige la fiche dans l'ordre de l'article à partir du constat, de la cause, de l'action et de la vérification.

Ce que l'article demande, comme une séquence

L'article est court et c'est une séquence. D'abord réagir : arrêter le problème et le corriger là où c'est possible, et traiter ce qu'il a déjà causé. Ensuite chercher la cause : revoir ce qui s'est passé, comprendre pourquoi l'organisation en place l'a laissé passer, et demander si la même non-conformité, ou une non-conformité similaire, existe ailleurs ou pourrait exister. Puis agir sur la cause là où une action est nécessaire, pour qu'elle ne revienne pas ici et n'apparaisse pas là. Après cela, vérifier que l'action a marché. Enfin, modifier le système de management lui-même là où la cause se trouvait, dans une procédure, un rôle, une mesure ou le registre des risques. Autour de cela, une phrase de proportion, l'action doit correspondre à l'effet de la non-conformité, et une exigence d'enregistrement : ce qu'était la non-conformité et ce qui a été fait, et ce que l'action corrective a obtenu, conservés comme information documentée au titre de l'article 7.5. Deux choses suivent de cette lecture. Une fiche qui n'a que la première étape est une demi-fiche, parce que l'article consacre la plupart de ses mots à la cause et à la vérification. Et la dernière étape est celle que l'on saute le plus souvent : la cause est trouvée, l'action est faite, et la procédure qui a permis le problème n'est jamais modifiée, si bien que le même constat revient un an plus tard avec un nouveau numéro.

Les sept sections d'une fiche qu'un auditeur accepte

La fiche a sept sections, dans l'ordre de la norme. Un : la non-conformité, écrite comme une preuve et non comme une opinion, avec ce qui a été trouvé, où, quand, par qui, et contre quelle exigence de la norme ou quelle mesure de la déclaration d'applicabilité de l'entreprise. Deux : la correction et les conséquences, ce qui a été fait tout de suite pour arrêter et réparer le cas, et ce qu'il avait déjà causé et comment cela a été traité, le compte de la personne partie supprimé et son utilisation depuis la date de départ vérifiée. Trois : la cause, avec la méthode utilisée pour la trouver, cinq pourquoi, un diagramme causes-effets ou une simple revue, et écrite comme la raison pour laquelle l'organisation a failli plutôt que comme le symptôme : non pas "la revue a été manquée" mais "la revue était attribuée à une personne nommément et personne ne l'a tenue pendant son congé". Quatre : si le même problème existe ailleurs, parce qu'une cause de ce genre vit rarement à un seul endroit, et la réponse, vérifiée et écrite, soit élargit l'action, soit note que les autres endroits ont été regardés. Cinq : l'action corrective, une modification de l'organisation plutôt qu'un rappel de plus, avec un responsable et une échéance, et proportionnée : une coquille dans une politique demande une correction et une note, une revue manquée des accès à la base de données de production demande toute la séquence. Six : la vérification de l'efficacité, avec une date postérieure à l'action et un moyen de vérifier qui soit une preuve, les deux prochaines revues trimestrielles terminées dans le trimestre et visibles dans l'outil de suivi, et une ligne de résultat qui reste vide tant que la vérification n'est pas faite. Sept : le changement apporté au système de management, quel document, quelle entrée du registre des risques, quelle mesure, et sa nouvelle approbation, ou une phrase disant qu'aucun changement n'est nécessaire et pourquoi. La fiche ne se clôture que lorsque la section six a un résultat, et elle est conservée avec le statut et la date.

La correction n'est pas l'action corrective

L'article emploie deux mots que la fiche doit tenir séparés. La correction est ce qui répare le cas : la revue faite en retard, le compte supprimé, le document approuvé. L'action corrective est ce qui modifie l'organisation pour que le cas ne se reproduise pas : la revue attribuée à un rôle avec un suppléant et ouverte par l'outil de suivi le premier jour du trimestre. Une fiche qui range la correction sous action corrective, ce qui est le constat le plus fréquent sur les constats, dit à l'auditeur que la cause n'a jamais été cherchée, et le test de la norme elle-même est la question de la récurrence : si la même chose pouvait arriver le trimestre prochain de la même façon, seule la correction a été faite. La phrase de proportion coupe dans l'autre sens et compte autant : toute non-conformité n'exige pas une analyse de cause, un plan d'action et un changement du système, et une entreprise qui déroule toute la séquence pour chaque coquille produit un registre que personne ne lit. Le jugement, noté en une ligne, est ce que l'article demande, l'effet de la non-conformité décide jusqu'où va la séquence, et l'auditeur lit la ligne.

Les erreurs qui rouvrent un constat

La fiche clôturée le jour où l'action a été faite, sans vérification qu'elle a marché ; l'auditeur demande la preuve de l'efficacité et il n'y en a pas. La cause écrite comme le symptôme, si bien que l'action est un rappel et que le constat revient. Personne n'a demandé si le même problème existait ailleurs, et l'auditeur l'y trouve. L'action n'a pas de responsable ou pas de date, si bien que la revue de direction ne peut pas en rendre compte au titre de l'article 9.3 et que l'audit interne suivant, au titre de l'article 9.2, la trouve encore ouverte. La procédure qui a laissé passer le problème n'a jamais été modifiée, ou a été modifiée et jamais réapprouvée, si bien que l'information documentée au titre de l'article 7.5 contredit la fiche. Les constats de l'audit de certification ont été traités et ceux des audits internes non, ou l'inverse, parce que les deux vivaient à des endroits différents. La fiche a été clôturée par la personne responsable de l'action, sans que personne d'autre ne regarde. Et pas de registre, si bien que personne ne peut dire combien de non-conformités ont été ouvertes et clôturées sur la période, ce qui est la première des quatre tendances dont la revue de direction rend compte. Chacune de ces erreurs s'évite en rédigeant la fiche dans l'ordre de l'article et en laissant une section vide plutôt qu'en la sautant, parce qu'une section vide se voit et qu'une section sautée ne se voit pas.

Que faire de tout cela

Saisissez le constat sur la page gratuite : l'entreprise, la référence, la date et l'origine du constat, l'exigence concernée, puis la non-conformité, la correction et les conséquences, la cause et la méthode, si elle existe ailleurs, l'action avec son responsable et son échéance, comment et quand l'efficacité est vérifiée, et si le système de management change. La page rédige la fiche dans l'ordre de l'article, avec les faits de la fiche dans le lien et le texte libre gardé sur la page, et laisse le résultat de l'efficacité en blanc jusqu'à ce que la vérification soit faite. Copiez-la, faites-la clôturer par quelqu'un d'autre que le responsable de l'action, classez-la comme l'information documentée de la non-conformité, et comptez-la dans la prochaine revue de direction. StandardOS ouvre une non-conformité à partir d'un constat d'audit, d'un contrôle échoué ou d'un incident, avec la correction, la cause, l'action, le responsable et la vérification comme champs, l'échéance suivie, et la revue de direction qui reprend celles qui restent ouvertes ; le programme d'audit interne est d'où viennent la plupart des constats, le compte rendu de la revue de direction est là où ils sont comptés, et les mesures de l'annexe A sont là où l'exigence concernée est le plus souvent nommée.