La plupart des paragraphes de l'ISO 9001:2015 disent à un organisme ce qu'il doit atteindre et lui laissent le comment. Le paragraphe 9.3 est différent : il dit à la direction de tenir une réunion, énumère ce qui doit être sur la table et énumère ce qui doit en sortir. C'est le paragraphe contre lequel un auditeur lit le compte rendu, ligne par ligne, et celui qui est le plus souvent trouvé insuffisant, parce qu'une réunion de direction où l'on a parlé de qualité n'est pas la même chose qu'une revue de direction avec les treize éléments d'entrée devant elle. Cet article est le paragraphe en ordre du jour, l'enregistrement d'où vient chaque élément, et ce que le compte rendu doit montrer, dans notre lecture du texte ; le libellé est celui de l'ISO et n'est pas reproduit.
À quoi sert la réunion (9.3.1)
9.3.1 dit que la direction revoit le système de management de la qualité à intervalles planifiés pour s'assurer qu'il reste pertinent, adéquat et efficace, et en accord avec l'orientation stratégique de l'organisme. Quatre mots contre lesquels vérifier le système, et une cinquième exigence facile à manquer : la revue est celle de la direction, pas du responsable qualité. Le responsable qualité la prépare ; ceux qui fixent l'orientation stratégique la tiennent, parce que l'accord avec cette orientation est l'une des quatre choses jugées.
« Intervalles planifiés » est la seule fréquence que donne la norme. Annuelle est la pratique courante et celle que les organismes de certification s'attendent à voir entre deux audits de surveillance ; pour une entité NIS2 des secteurs du règlement d'exécution (UE) 2024/2690, la politique de sécurité doit de toute façon être réexaminée par les organes de direction au moins chaque année (point 1.1.2 de son annexe), et les douze enregistrements que ce règlement demande à l'organe de direction tiennent dans la même réunion.
Les treize éléments d'entrée (9.3.2), en ordre du jour
9.3.2 énumère ce que la revue est planifiée et réalisée en prenant en compte. Six éléments, dont le troisième a sept sous-éléments, treize lignes en tout. Chacune est un point de l'ordre du jour, et chacune a quelque part dans le système un enregistrement où elle se lit.
| Point | Élément d'entrée | L'enregistrement d'où il vient |
|---|---|---|
| 1 | L'état des actions des revues de direction précédentes | Le compte rendu précédent et sa liste d'actions |
| 2 | Les modifications des enjeux externes et internes pertinents pour le système | L'analyse du contexte de 4.1 et les parties intéressées de 4.2, mises à jour |
| 3 | La satisfaction des clients et les retours des parties intéressées pertinentes | La surveillance de la perception des clients au titre de 9.1.2 : enquêtes, réclamations, avis, retours |
| 4 | Le degré de réalisation des objectifs qualité | Les objectifs de 6.2 avec leurs mesures et leurs résultats |
| 5 | Les performances des processus et la conformité des produits et services | Les indicateurs de processus de 4.4, les enregistrements de libération de 8.6 |
| 6 | Les non-conformités et les actions correctives | Le registre des non-conformités de 10.2 |
| 7 | Les résultats de la surveillance et de la mesure | Les résultats de 9.1.1 |
| 8 | Les résultats d'audit | Les rapports d'audit interne de 9.2 et tout audit externe |
| 9 | Les performances des prestataires externes | Les évaluations des fournisseurs de 8.4 |
| 10 | L'adéquation des ressources | 7.1 : personnes, infrastructure, environnement, ressources de mesure, connaissances |
| 11 | L'efficacité des actions mises en œuvre face aux risques et opportunités | Les actions face aux risques et opportunités planifiées au titre de 6.1 et leurs résultats |
| 12 | Les opportunités d'amélioration | 10.1, et tout ce qui précède |
Les points 3 à 9 sont les sept sous-éléments de l'élément d'entrée sur les performances et l'efficacité, et la norme demande des tendances pour chacun, pas un instantané : une revue qui dit « satisfaction des clients : bonne » n'a pas considéré de tendance. La treizième ligne est l'intitulé de l'élément lui-même, les informations sur les performances et l'efficacité du système, que les sept constituent ensemble.
Deux des éléments sont ceux qui manquent le plus souvent à une première revue. La satisfaction des clients (point 3) suppose que la surveillance de 9.1.2 ait été mise en place auparavant ; une entreprise qui n'a jamais interrogé ses clients n'a rien à apporter. Les performances des processus (point 5) supposent les indicateurs que 4.4.1 demande pour chaque processus ; une entreprise qui a cartographié ses processus sans mesures a une carte et pas de lecture. Les deux se décident des mois avant la réunion, ce qui explique que l'ordre du jour vaille d'être lu en début d'année plutôt que la semaine précédente.
Les trois éléments de sortie (9.3.3), et ce que le compte rendu doit montrer
9.3.3 dit que les éléments de sortie de la revue comprennent des décisions et des actions sur trois choses : les opportunités d'amélioration, tout besoin de changement du système de management de la qualité, et les besoins en ressources. Puis la phrase qui fait de la réunion un enregistrement : l'organisme conserve des informations documentées comme preuves des résultats des revues de direction.
Ce que cette preuve doit montrer découle des deux listes. Le compte rendu nomme la date et les participants, et le fait que la direction en faisait partie. Il montre que chacun des treize éléments d'entrée a été considéré, avec la tendance, et pas seulement qu'il était à l'ordre du jour. Il consigne les décisions sous les trois rubriques de 9.3.3, et pour chaque action un responsable et une date, parce que le point 1 de la revue suivante est l'état de ces actions précisément. Une ligne « aucun changement nécessaire » en face d'un élément de sortie est une décision et convient ; un élément d'entrée sans rien en face est un écart qu'un auditeur relèvera.
Ce dont le compte rendu n'a pas besoin, c'est de longueur. La revue d'une petite entreprise qui lit douze enregistrements et prend six décisions tient sur deux pages ; les enregistrements eux-mêmes sont conservés là où ils vivent, sous leurs propres paragraphes, et le compte rendu y renvoie.
Une seule revue pour l'ISO 9001 et l'ISO 27001
Le paragraphe 9.3 fait partie de la structure harmonisée, le squelette commun des normes de systèmes de management ISO, et l'ISO/IEC 27001:2022 a un paragraphe 9.3 de la même forme : direction, intervalles planifiés, éléments d'entrée, éléments de sortie, preuve conservée. Les éléments d'entrée se recoupent et diffèrent. Les deux demandent l'état des actions précédentes, les modifications des enjeux externes et internes, les non-conformités et actions correctives, les résultats de la surveillance et de la mesure, les résultats d'audit, la réalisation des objectifs et les opportunités d'amélioration. L'ISO 27001 ajoute les modifications des besoins et attentes des parties intéressées, les résultats de l'appréciation des risques et l'état du plan de traitement des risques, et les retours des parties intéressées ; l'ISO 9001 ajoute la satisfaction des clients, les performances des processus et la conformité des produits, les performances des prestataires externes, l'adéquation des ressources et l'efficacité des actions face aux risques et opportunités.
Une entreprise certifiée aux deux tient une seule revue avec l'union des deux listes, et un compte rendu qui marque quelle norme chaque élément sert. C'est ainsi que StandardOS la tient : un enregistrement de revue de direction par période, son ordre du jour tiré des normes que l'organisme détient, les éléments d'entrée liés aux enregistrements d'où ils se lisent et les actions reportées dans la revue suivante comme point 1. Les paragraphes de l'ISO 9001 que le produit couvre entièrement, en partie ou pas du tout sont publiés paragraphe par paragraphe ; 9.3 est parmi ceux marqués en partie, et le registre dit pourquoi. Les documents que la revue lit et l'information documentée que demande le paragraphe 7.5 sont l'article compagnon.
Sources
- ISO 9001:2015, paragraphes 4.1, 4.2, 4.4.1, 6.1, 6.2, 7.1, 8.4, 8.6, 9.1.1, 9.1.2, 9.2, 9.3.1, 9.3.2, 9.3.3, 10.1 et 10.2, cités par numéro ; le texte est celui de l'ISO et n'est pas reproduit.
- ISO/IEC 27001:2022, paragraphe 9.3, pour les éléments d'entrée que les deux revues partagent et ceux qu'elles ne partagent pas.
- Règlement d'exécution (UE) 2024/2690 de la Commission, annexe, point 1.1.2, pour la revue annuelle de la politique par les organes de direction.
Ceci n'est pas un conseil en certification. L'adéquation d'une revue relève du jugement de l'organisme de certification lors de l'audit ; le paragraphe ci-dessus est ce contre quoi il lit le compte rendu.