Traiter une non-conformité sans désorganiser les équipes

La clause 10.2 décrit une séquence : réagir, évaluer s’il faut agir sur la cause, agir, vérifier l’efficacité, faire évoluer le système si nécessaire. La page de la clause détaille chaque temps. Ce guide porte sur l’autre question, celle dont la norme pose le principe — des actions correctives à la mesure des effets de l’écart — sans en donner la méthode : comment faire tourner cette séquence sans que chaque écart devienne une affaire.

D’où viennent les non-conformités

Pas seulement de l’audit. Un système qui ne découvre ses écarts qu’une fois par an, le jour de l’audit interne, est un système qui ne regarde pas.

• l’audit interne et les audits de certification ;
• la surveillance : un seuil franchi, un indicateur qui se dégrade ;
• les incidents et quasi-incidents impliquant un système d’IA ;
• les réclamations, et les préoccupations signalées par le personnel ou par des tiers ;
• la revue de direction, lorsqu’elle constate qu’une décision n’a pas été suivie.

Un écart aux exigences que l’organisation s’est fixées — sa politique, sa procédure d’entrée des systèmes — est une non-conformité au même titre qu’un écart à la norme.

Trier avant de traiter

La norme ne classe pas les non-conformités. Elle veut en revanche que chaque action corrective reste à la mesure des effets de l’écart qu’elle traite. La proportion n’est donc pas une tolérance, et elle joue dans les deux sens : pas de dispositif lourd pour un compte rendu non daté, pas de simple correction pour une décision automatisée erronée. Une grille interne, courte et écrite, aide à la tenir. Un exemple, à adapter :

Gravité	Exemple	Traitement
Mineure	Un compte rendu non daté ; une évaluation de fournisseur en retard de quelques semaines	Correction, et analyse de cause brève, par le responsable du processus
Significative	Un système mis en service sans évaluation d’impact ; une exclusion de contrôle sans justification	Analyse de cause formelle, recherche d’écarts semblables, action corrective suivie
Grave	Des décisions erronées sur des personnes ; un système qui échappe à tout contrôle	Mesures immédiates, instance de gouvernance saisie, réappréciation des risques du système

Les organismes de certification distinguent de leur côté non-conformités mineures et majeures, avec leurs propres conséquences sur le certificat : ce que chacune implique. Votre grille interne n’a pas à calquer la leur.

Confier le traitement à qui détient le processus

Le responsable du système de management coordonne ; il ne traite pas tout. Une non-conformité sur l’évaluation des fournisseurs se traite avec les achats, une non-conformité de mise en service avec l’équipe produit. Centraliser le traitement produit l’effet inverse de celui recherché : le processus fautif n’apprend rien, et le coordinateur devient le goulot.

Proportionner l’analyse de cause

La norme demande d’évaluer s’il faut agir sur la cause, avec un double but : que l’écart ne revienne pas, et qu’il ne surgisse pas ailleurs. Cette évaluation a ses passages obligés, pour chaque écart : établir d’où vient le problème, regarder si des écarts du même ordre existent déjà ou pourraient se produire, et examiner l’écart lui-même. La norme n’en fixe ni la méthode ni la profondeur : deux lignes suffisent pour un compte rendu non daté. Ce qui peut se conclure par la négative, c’est l’action sur la cause, jamais sa recherche — et mieux vaut noter cette conclusion, avec son motif.

Quand l’écart justifie une analyse approfondie, la question utile n’est pas « qui s’est trompé ? », mais « qu’est-ce qui a rendu l’erreur possible ? ». Un système mis en service sans évaluation d’impact révèle rarement une négligence individuelle. Il révèle un point d’entrée contournable, un calendrier qui ne laissait pas le temps, une règle que personne ne connaissait. Chercher un coupable garantit que le prochain écart ne sera pas signalé.

Chercher les écarts semblables

La clause demande aussi de vérifier si des non-conformités semblables existent, ou pourraient se produire. C’est une étape que l’on saute volontiers, et elle est pourtant peu coûteuse : un système mis en service sans évaluation d’impact en cache souvent d’autres, et quelques minutes passées à interroger l’inventaire valent mieux qu’un second constat au prochain audit.

Planifier l’examen d’efficacité dès l’ouverture

L’efficacité ne se constate pas le jour où l’action est mise en œuvre : il faut laisser passer le temps nécessaire pour qu’un nouvel écart ait pu se produire. Le plus simple est de fixer, au moment où l’on décide l’action, la date et la méthode de l’examen — relire les trois prochaines mises en service, contrôler le registre au trimestre suivant.

Quand l’examen montre que l’action n’a pas suffi, la boucle repart. Et si l’action portait sur le traitement d’un risque, la clause 8.3 demande de revoir ce traitement et de mettre à jour le plan correspondant.

Le registre, un outil et non une archive

Une ligne par non-conformité suffit, si elle porte ce que la norme demande de conserver — la nature de l’écart, les actions menées, leurs résultats — et ce qui permet de piloter : la gravité, le responsable, la date prévue de l’examen d’efficacité. Relu chaque trimestre, le registre alimente la surveillance ; ses tendances font partie des entrées de la revue de direction.

Ce qu’il faut retenir

Trier selon la gravité, confier au processus concerné, proportionner l’analyse, chercher les écarts semblables, planifier l’examen d’efficacité dès l’ouverture. Avec, en ligne de mire, un seul effet : que le prochain écart soit signalé plus vite que le précédent.