Audit interne externalisé au Maroc : règles, programme, indépendance

Qu’est-ce qu’un audit interne externalisé, et qu’est-ce qui reste à l’entreprise ?

C’est un audit de première partie, mené pour le compte de l’entreprise par un auditeur qui n’est pas son salarié. L’entreprise reste propriétaire du programme, des décisions et des actions ; l’auditeur externe planifie et réalise les audits qu’on lui confie, rédige les constats et vérifie les preuves de clôture.

Le cadre vient d’ISO 19011:2026, les lignes directrices pour l’audit des systèmes de management. Sa quatrième édition, publiée le 27 mai 2026, remplace l’édition 2018 selon la fiche ISO de la norme. Trois de ses définitions règlent la question :

• L’audit interne (définition 3.1, note 1) : parfois appelé audit de première partie, il est réalisé par l’organisme lui-même ou pour son compte. Un auditeur externe mandaté par l’entreprise réalise donc bien un audit interne.
• Le client de l’audit (définition 3.13, note 1) : pour un audit interne, ce peut être l’audité lui-même ou les personnes qui pilotent le programme d’audit. C’est votre direction, ou votre responsable qualité, qui commande l’audit, pas l’auditeur.
• Le champ de la norme : son introduction précise qu’elle se concentre sur les audits internes et sur les audits de seconde partie chez les prestataires externes. Les audits de certification relèvent, eux, d’ISO/IEC 17021-1.

Ce partage des rôles doit être écrit dans la lettre de mission.

BRCGS Food Safety Issue 9 pose la même limite pour toute expertise extérieure : un site qui manque de compétences internes peut faire appel à un consultant en sécurité des aliments, mais la gestion quotidienne du système reste de la responsabilité de l’entreprise (clause 1.2.4 de la liste d’autoévaluation).

Quand l’externalisation des audits internes est-elle la bonne réponse ?

Quand l’entreprise ne peut pas réunir, avec ses seuls salariés, des auditeurs à la fois compétents et indépendants des activités auditées. Le besoin naît rarement d’une économie ; il naît d’un audit interne qui ne trouve plus rien, d’une équipe trop petite ou d’un référentiel que personne ne maîtrise en interne.

Six situations reviennent dans nos missions au Maroc :

Une conserverie de la région de Safi certifiée IFS Food Version 8 et ISO 9001 n’a pas le même besoin qu’un emballeur de la région de Kénitra certifié ISO 9001, ISO 14001 et ISO 45001. La première a besoin d’un auditeur qui connaît l’exigence KO n° 8 et la notation IFS ; le second, d’un audit combiné qui rattache chaque constat à la bonne norme.

L’externalisation n’est pas toujours la bonne réponse. Si votre objectif est de construire une compétence d’audit durable, formez d’abord vos auditeurs internes : notre guide de la formation auditeur interne ISO 9001 décrit le parcours. Le modèle le plus solide est souvent mixte : un auditeur externe qui dirige quelques audits et calibre l’équipe, des auditeurs internes qui réalisent le reste du programme. Notre article sur le coût comparé des auditeurs internes et de l’audit externalisé aide à trancher.

Que permettent les normes ISO et les référentiels GFSI ?

Tous permettent l’externalisation, aucun ne la décrit. Ils exigent un programme, des auditeurs compétents et indépendants, des constats prouvés et des actions suivies. C’est sur ces exigences que l’auditeur externe doit être choisi et évalué.

ISO 9001:2026, ISO 14001:2026 et ISO 45001:2018

Les trois normes du trio QSE consacrent une exigence à l’audit interne, construite sur la même structure. L’entreprise doit :

• réaliser des audits internes à intervalles planifiés pour vérifier que le système est conforme à ses propres exigences et à celles de la norme, et qu’il est mis en œuvre efficacement ;
• établir un programme qui tient compte de l’importance des processus, des changements qui l’affectent et des résultats des audits précédents ;
• définir les critères et le périmètre de chaque audit ;
• choisir les auditeurs et conduire les audits de manière à garantir l’objectivité et l’impartialité ;
• rendre compte des résultats à la direction concernée, et conserver les preuves.

Ce résumé suit la rédaction des versions 2015 et 2018. Le document de transition de Global ACI ne cite pas l’audit interne parmi les changements d’ISO 9001:2026, et celui d’ISO 14001:2026 ne le cite pas davantage ; ces listes sont toutefois présentées comme non limitatives. Le libellé exact relève des normes ISO, payantes : nous ne le reproduisons pas.

Pour un système certifié ISO 22000:2018, l’exigence d’audit interne de la norme joue le même rôle. FSSC 22000 Version 7 y ajoute les éléments qualité du site (clause 2.5.9) dans le périmètre de l’audit interne.

BRCGS, IFS et FSSC 22000

Les référentiels de sécurité des aliments sont plus précis sur le programme lui-même. Le tableau résume les règles vérifiées dans les textes officiels.

Deux précisions comptent en pratique. BRCGS demande en plus un programme d’inspections documentées, distinct des audits internes, au moins mensuel dans les zones où le produit est exposé (3.4.4) ; IFS prévoit lui aussi des inspections d’usine planifiées (5.2). Ces inspections restent à l’équipe du site. Et pour FSSC 22000 multi-sites, l’organisme de certification vérifie chaque année les qualifications des auditeurs internes, dont l’année d’expérience dans l’organisation. Le texte prévoit en revanche que leur formation d’auditeur interne puisse être assurée par le Lead Auditor interne ou par un prestataire externe : l’auditeur externe appuie l’équipe d’audit interne (formation, calibration annuelle, audits en binôme) sans la remplacer.

Le schéma ne prévoit pas d’exception à l’année d’expérience dans l’organisation exigée de chaque auditeur interne d’un groupe multi-sites, que l’organisme de certification vérifie chaque année : c’est ce qui borne la place d’un auditeur externe dans l’équipe d’audit interne.

Pour ces audits de sécurité des aliments, ACG s’appuie sur l’expérience de son fondateur, Dr. Ismail Idrissi, seul consultant enregistré BRCGS en Afrique, auditeur IFS Food et BRCGS.

Ce que l’organisme de certification fera de vos audits internes

Il les lira. Selon la grille ISO/IEC 17021-1 du SADCAS, l’audit d’étape 2 porte notamment sur l’audit interne et la revue de direction (9.3.1.3), et chaque programme de surveillance les comprend au minimum (9.6.2.2). Un programme externalisé doit donc produire des preuves lisibles par un tiers : programme daté, rapports, constats, actions vérifiées.

Comment construire le programme d’audit selon ISO 19011:2026 ?

En partant des risques et des exigences de chaque référentiel, puis en remplissant un calendrier. ISO 19011:2026 (article 5.1) recommande de donner la priorité aux sujets qui présentent un risque intrinsèque élevé et un faible niveau de performance, et d’adapter le programme à la taille, à la complexité et à la maturité du système. Elle signale aussi la complexité propre aux sites multiples et aux fonctions externalisées.

Le programme rassemble, selon la norme : ses objectifs, ses risques et opportunités, le champ de chaque audit, le calendrier, les types d’audits, les critères, les méthodes (y compris à distance), les critères de choix de l’équipe, la place éventuelle des observateurs, le contexte de l’organisme et les informations documentées utiles. Il est confié à des personnes compétentes, surveillé et revu.

En pratique, huit étapes :

1. Recenser les critères. Normes ISO, référentiel GFSI, cahiers des charges clients, exigences légales : chaque exigence doit trouver sa place dans au moins un audit.
2. Classer les processus et activités selon le risque. Importance, changements, résultats passés, réclamations, incidents.
3. Fixer les contraintes de calendrier. Quatre dates au moins pour BRCGS, couverture IFS en 12 mois, saisons de production, dates des audits de certification.
4. Combiner quand c’est possible. ISO 19011:2026 adopte le principe de l’audit combiné : une réception de matières se regarde à la fois sous l’angle qualité, environnement, santé-sécurité et sécurité des aliments. La méthode d’intégration est détaillée dans notre article sur la matrice de correspondance QSE.
5. Composer les équipes. Auditeur externe responsable, auditeurs internes en binôme, chacun hors de ses propres activités.
6. Choisir les méthodes. Sur site pour les ateliers, les quais et les chantiers ; à distance pour une revue documentaire ou l’entretien avec un site éloigné, comme le permet l’édition 2026.
7. Écrire le mode de restitution. Format du rapport, grille de gravité, délais de réponse, vérification des actions.
8. Prévoir la revue du programme. Au moins une fois par an, avec la direction : couverture réelle, écarts récurrents, fréquences à revoir.

Exemple illustratif pour un site certifié ISO 9001:2026 et IFS Food Version 8, à adapter à vos risques :

Comment garantir l’indépendance de l’auditeur externe ?

Dans deux directions : vis-à-vis de ce qu’il audite, et vis-à-vis de la certification. Un auditeur externe n’est pas indépendant par nature ; il l’est par les règles que vous lui fixez.

Vis-à-vis des activités auditées. BRCGS le dit sans détour : un auditeur interne n’audite pas son propre travail (3.4.2). IFS demande des auditeurs indépendants des activités auditées (5.1.2). ISO 19011:2026 fait de l’indépendance le fondement de l’impartialité de l’audit (principe 4.6) et recommande, quand un auditeur interne ne peut pas être indépendant de l’activité, de tout faire pour garder un climat d’objectivité. Trois cas pratiques en découlent :

• le consultant qui a rédigé votre plan HACCP ou votre analyse environnementale ne les audite pas : un autre auditeur s’en charge ;
• si un responsable QSE externalisé anime votre système, ses propres activités sont auditées par une autre personne ;
• l’auditeur externe ne rédige pas les actions correctives qu’il devra ensuite vérifier.

Vis-à-vis de la certification. La grille ISO/IEC 17021-1 du SADCAS interdit à un organisme de certification de fournir des audits internes à ses clients certifiés, et de certifier un système qu’il a audité en interne dans les deux ans suivant la fin de ces audits (5.2.6). IFS Food Version 8 demande aux organismes de s’assurer que leurs auditeurs n’ont pas travaillé comme consultants, ni pour le compte du site audité, au cours des deux années précédentes. Un auditeur qui réalise vos audits internes ne peut donc pas devenir votre auditeur de certification dans ces délais, et un organisme de certification ne peut pas vous vendre vos audits internes. Le détail des rôles figure dans notre article consultant ou organisme de certification : qui fait quoi.

Avant de confier un audit, vérifiez :

• L’auditeur a signé une déclaration d’absence de conflit d’intérêts avec le site et ses activités.
  
• Il n’a ni conçu ni animé les processus qu’il audite.
  
• Il ne réalisera pas, pour un organisme de certification, l’audit de votre site dans les délais fixés par les règles d’impartialité.
  
• Son cabinet n’est lié à aucun organisme de certification qui vous certifie.
  
• La confidentialité des informations recueillies est écrite dans la lettre de mission.
  
• Le rapport est adressé à la direction, pas seulement au responsable qualité.
  

Que doit livrer un audit interne externalisé ?

Des preuves qu’un organisme de certification, un client ou votre direction peuvent relire sans l’auditeur. BRCGS demande des rapports qui identifient les conformités comme les non-conformités, avec des preuves objectives, des actions et des délais convenus puis vérifiés, et un résumé des résultats revu en revue de direction (3.4.3). IFS demande des audits documentés et des résultats communiqués à la direction et aux responsables des activités (5.1.3).

Un constat utile se lit toujours de la même façon : l’exigence, le fait observé, la preuve consultée, la gravité. « Rien à signaler » sur un processus qui génère des réclamations n’est pas un résultat ; c’est un signal d’alerte que le responsable du programme doit relire.

Les étapes côté site, des documents à préparer au suivi des constats, sont décrites dans notre mode d’emploi pour préparer un audit interne externalisé. Les évolutions de 2026 et 2027 (ISO 19011:2026, transitions ISO, FSSC 22000 Version 7) sont réunies dans notre article sur les exigences d’audit interne en 2026-2027, et un programme combiné appliqué à trois usines dans notre cas type d’un groupe agroalimentaire.