Des lignes directrices, pas une exigence
L'ISO 19011 n'est pas une norme certifiable. Elle ne crée aucune obligation et ne modifie rien à votre accréditation ou à votre certification. Elle dit comment conduire un audit de système de management, qu'il soit interne ou mené par un tiers. C'est la référence que suivent les auditeurs et les organismes de certification, et c'est à ce titre qu'elle vous concerne.
La quatrième édition s'applique immédiatement. Il n'y a pas de période de transition, puisqu'il n'y a rien à recertifier.
Ce qui change vraiment
La préface annonce deux changements principaux. Le premier porte sur l'audit à distance, qui reçoit enfin une définition dans la norme elle-même, reprise de l'ISO/IEC TS 17012:2024. Les lieux virtuels entrent dans le champ de l'audit, ce qui recouvre les environnements cloud et les plateformes de travail à distance. Le second porte sur l'annexe A, nettement développée.
Si vous auditiez déjà à distance sous l'édition 2018, vous reconnaîtrez l'essentiel de ces pratiques. La norme met des mots sur ce que le terrain faisait depuis cinq ans.
La compétence de l'auditeur
C'est l'ajout le plus substantiel. L'article 7.2.3.2 demande désormais à l'auditeur de savoir quand les outils numériques et les technologies émergentes sont appropriés pour un audit, et quelles en sont les conséquences. Les outils d'évaluation fondés sur l'intelligence artificielle sont cités explicitement.
Le même article ajoute la protection des données et la sécurité de l'information aux connaissances légales et réglementaires attendues. Un auditeur qui collecte des preuves numériques manipule des données, et la norme en tire la conséquence.
Le programme d'audit et ses risques
La liste des risques de l'article 5.3 s'allonge. Le choix de la méthode d'audit devient un risque en soi. Le parrainage du programme en devient un autre. La sécurité des outils numériques entre également dans la liste, et l'exemple donné est celui d'une plateforme mal sécurisée.
Le risque lié à la composition de l'équipe mentionne maintenant l'indépendance et l'impartialité. C'est une préoccupation que nous connaissons bien, et la voir remonter au niveau du programme nous paraît juste.
Ce qui ne change pas
- Les sept principes d'audit restent les mêmes, de l'intégrité à l'approche fondée sur les preuves.
- Vos modèles de rapport d'audit restent valables. Vérifiez simplement qu'ils permettent de consigner les informations propres à l'audit à distance et aux lieux virtuels.
- Le changement climatique ne figure pas dans l'ISO 19011:2026, contrairement à ce que plusieurs commentaires ont laissé entendre.
En résumé, une révision ciblée. Elle rattrape le terrain sur l'audit à distance et ouvre la question des outils d'IA dans la compétence de l'auditeur. Elle ne bouleverse pas la façon dont on conduit un audit.
Ce que nous avons fait de notre côté
Nos pratiques et nos supports suivent cette version. Nos formations certifiantes intègrent les nouveautés, et elles permettent d'accumuler des points de développement professionnel continu. TRECCERT met à jour ses parcours Lead Auditor et ses formations consacrées à l'ISO 19011.
Si vous êtes auditeur certifié, votre organisme attend de vous que vous mainteniez votre compétence sur cette révision. C'est le moment de regarder nos parcours.
Sources
- ISO 19011:2026, Lignes directrices pour l'audit des systèmes de management, quatrième édition, mai 2026.
- ISO/IEC TS 17012:2024, pour la définition des méthodes d'audit à distance.
- Bulletin ASCB sur la révision 2026, et note CQI/IRCA sur le maintien de compétence des auditeurs.
- TRECCERT, ISO 19011:2026 Is Here, 28 mai 2026.