L’audit interne est défini par la section 8.2.2 de l’ISO 13485. Il a deux fonctions : vérifier que le SMQ est conforme à la norme et aux exigences réglementaires, et vérifier qu’il est effectivement mis en œuvre et maintenu. Un audit interne bien conduit est un outil de management. Un audit interne bâclé est une case cochée qui donne une fausse impression de maîtrise.
La structure du programme annuel
La norme exige un programme d’audit planifié, prenant en compte le statut et l’importance des processus, ainsi que les résultats des audits précédents. Concrètement, un programme annuel doit couvrir l’ensemble des processus du SMQ sur le cycle de certification (3 ans), avec une fréquence plus élevée pour les processus à risque élevé ou ayant présenté des non-conformités récentes.
Le programme doit être établi en début de cycle, avec des dates bloquées dans les agendas. Un programme d’audit qui se constitue au fil de l’eau, entre deux urgences opérationnelles, finit toujours incomplet.
La qualification des auditeurs internes
Les auditeurs internes doivent être formés à la norme ISO 13485, aux exigences réglementaires applicables (MDR, IVDR), et aux techniques d’audit. La norme ISO 19011 est le guide de référence pour la conduite des audits de SMQ.
Deux exigences sont non négociables.
L’indépendance. Les auditeurs ne peuvent pas auditer leur propre travail. Dans une petite structure, cela implique des échanges entre fonctions ou le recours à un auditeur externe pour les processus où l’indépendance interne est impossible à garantir.
La formation pratique. Avoir suivi une formation d’auditeur ne suffit pas. Une expérience en observation accompagnée — auditer en binôme avec un auditeur expérimenté avant de conduire un audit en autonomie — est la condition d’un niveau de compétence réel.
L’exploitation des résultats : la partie que la plupart des PME négligent
Un rapport d’audit qui constate des écarts sans qu’il se passe quelque chose ensuite est inutile. Le processus d’audit interne doit être connecté au processus CAPA : chaque non-conformité relevée génère une action corrective avec responsable et délai, suivie d’une vérification d’efficacité.
Les résultats des audits internes alimentent la revue de direction. La direction doit voir les tendances sur plusieurs cycles : est-ce que les mêmes non-conformités réapparaissent sur les mêmes processus ? Certains processus sont-ils systématiquement plus fragiles ? Ces tendances orientent le programme d’audit suivant.
Un audit interne qui ne génère jamais de non-conformités est suspect. Soit les auditeurs manquent de rigueur, soit le périmètre audité est insuffisant. Un SMQ réel génère toujours des opportunités d’amélioration.