En bref
- L’audit interne ISO 45001 est une exigence de la clause 9.2 : sans programme d’audit documenté, aucun organisme accrédité ne délivre le certificat.
- Il se mène en 5 étapes : programme annuel, plan d’audit, collecte de preuves, réunion de clôture, rapport et suivi des actions.
- Une PME peut le réaliser seule : un salarié formé, une checklist par clause et des preuves datées suffisent, à condition qu’il n’audite pas sa propre activité.
- Le vrai livrable n’est pas le rapport, mais les fiches d’action fermées et vérifiées avant la revue de direction.
Beaucoup de PME préparent leur certification santé-sécurité pendant des mois, puis butent sur la même remarque en audit de certification : l’audit interne existe, mais il n’est pas traçable. C’est l’un des écarts les plus fréquents, et l’un des plus faciles à éviter. La clause 9.2 de l’ISO 45001 ne demande pas un audit sophistiqué : elle demande un audit planifié, impartial et documenté. Cet exercice est parfaitement réalisable en interne. Voici la méthode complète pour mener votre audit interne ISO 45001 sans externaliser, avec le programme, la checklist et le rapport type.
Que demande exactement la clause 9.2 de l’ISO 45001 ?
La norme ISO 45001 est le référentiel international de management de la santé et de la sécurité au travail (SST) ; elle a remplacé l’OHSAS 18001 en mars 2018. L’ISO indique qu’elle s’applique à toute organisation, quelle que soit sa taille.
Clause 9.2.1 : la finalité de l’audit
L’organisation doit mener des audits internes à intervalles planifiés pour vérifier deux choses : que le système SST est conforme aux exigences propres de l’entreprise (politique et objectifs SST inclus) et aux exigences de l’ISO 45001, et qu’il est effectivement mis en œuvre et tenu à jour. Autrement dit, l’audit vérifie à la fois la conformité et l’efficacité.
Clause 9.2.2 : le programme d’audit
La clause 9.2.2 exige un programme d’audit planifié, établi, mis en œuvre et tenu à jour. Ce programme précise la fréquence, les méthodes, les responsabilités, les exigences de planification et de compte rendu, et il tient compte de l’importance des processus concernés. Point spécifique à l’ISO 45001 par rapport à l’ISO 9001 : la consultation des travailleurs fait partie des éléments à intégrer au programme.
Trois obligations complémentaires découlent de cette clause : garantir l’objectivité et l’impartialité des auditeurs, communiquer les résultats aux managers concernés et aux représentants des travailleurs, et conserver des informations documentées comme preuves de la mise en œuvre du programme et des résultats.
Qui peut réaliser l’audit interne ISO 45001 dans une PME ?
La norme n’exige ni certification d’auditeur, ni prestataire externe. Elle exige l’impartialité. Concrètement, trois montages fonctionnent en PME :
- L’audit croisé interne : le responsable qualité audite la production, le responsable production audite les processus support. C’est l’option la moins coûteuse.
- L’auditeur interne formé : un salarié suit une formation d’auditeur interne (2 à 3 jours en général) et devient le référent audit du site. Investissement unique, réutilisable chaque année.
- L’audit croisé inter-entreprises : deux PME non concurrentes échangent leurs auditeurs internes. Coût quasi nul, regard neuf garanti.
La seule règle intangible : un auditeur n’audite jamais son propre travail. Si votre responsable QHSE a rédigé la procédure de permis de feu, il ne peut pas auditer la maîtrise opérationnelle qui en découle.
Comment construire son programme d’audit annuel ?
Le programme est le document que l’auditeur de certification demandera en premier. Il tient sur une page. Voici une trame directement réutilisable pour un site unique :
| Processus / clause auditée | Niveau de risque | Fréquence | Auditeur | Période |
|---|---|---|---|---|
| Identification des dangers et évaluation des risques (6.1.2) + DUERP | Élevé | Annuelle | Resp. production | Mars |
| Consultation et participation des travailleurs (5.4) | Élevé | Annuelle | Resp. QHSE | Mars |
| Conformité réglementaire SST (6.1.3 / 9.1.2) | Élevé | Annuelle | Resp. QHSE | Juin |
| Maîtrise opérationnelle, sous-traitants, achats (8.1) | Élevé | Annuelle | Resp. QHSE | Juin |
| Préparation et réponse aux situations d’urgence (8.2) | Élevé | Annuelle | Resp. production | Septembre |
| Compétences, sensibilisation, communication (7.2 à 7.4) | Moyen | Biennale | RH | Septembre |
| Incidents, non-conformités, actions correctives (10.2) | Élevé | Annuelle | Resp. QHSE | Novembre |
| Contexte, leadership, planification (4, 5, 6) | Moyen | Biennale | Direction | Novembre |
Règle de couverture : la totalité des clauses doit être auditée au moins une fois sur le cycle de certification de trois ans. Les processus à risque élevé — ceux où un écart peut provoquer un accident — passent tous les ans.
Quelle méthode pour mener l’audit en 5 étapes ?
1. Préparer le plan d’audit
Le plan d’audit se distingue du programme : il concerne une session précise. Il indique le périmètre (quel atelier, quels processus), les critères (ISO 45001 + vos procédures + exigences légales applicables), la date, le déroulé horaire et les personnes à rencontrer. Diffusez-le au moins deux semaines avant. Un audit surprise n’a aucun intérêt en interne : vous cherchez à mesurer un système, pas à piéger une équipe.
2. Préparer la checklist
Une checklist utile ne recopie pas la norme : elle traduit chaque exigence en question de terrain. « Comment savez-vous quels risques sont associés à votre poste ? » vaut mieux que « L’organisme a-t-il identifié les dangers ? ».
3. Collecter les preuves
Trois sources se recoupent systématiquement : l’entretien (ce que les gens disent), l’observation de poste (ce qu’ils font), la revue documentaire (ce qui est écrit). Un constat ne devient une non-conformité que s’il repose sur une preuve datée et identifiable. Notez la référence exacte du document ou l’observation précise, pas une impression.
4. Tenir la réunion de clôture
Annoncez les résultats le jour même : points forts, pistes de progrès, non-conformités mineures, non-conformités majeures. Faites reformuler chaque écart par l’audité. Un écart contesté trois semaines plus tard, c’est une action corrective qui ne partira jamais.
5. Rédiger le rapport et fermer les actions
Huit jours est un délai raisonnable pour formaliser le rapport. Il contient : périmètre et critères, dates, auditeur et audités, constats classés, écarts numérotés avec la clause concernée, conclusion sur l’efficacité du système. Chaque écart ouvre une fiche d’action avec un pilote et une échéance. C’est ce suivi, et non le rapport lui-même, que l’organisme de certification examinera. Notre méthode détaillée de traitement des écarts est décrite dans notre article sur la non-conformité et le plan d’actions correctives.
Checklist d’audit interne ISO 45001 : 10 questions à poser
- Danger et risque (6.1.2) — Comment les dangers de ce poste ont-ils été identifiés, et quand la dernière mise à jour a-t-elle eu lieu ?
- DUERP — Le document unique reflète-t-il les situations de travail réellement observées aujourd’hui ?
- Consultation (5.4) — Quelles décisions SST ont été modifiées à la suite d’une remontée de terrain sur les 12 derniers mois ?
- Conformité réglementaire (9.1.2) — Comment savez-vous que vos obligations légales SST sont à jour, et où est la preuve de la dernière évaluation de conformité ?
- Compétences (7.2) — Les habilitations et autorisations de conduite sont-elles valides pour les personnes présentes aujourd’hui ?
- Sous-traitance (8.1.4) — Comment les exigences SST sont-elles transmises aux entreprises extérieures, et vérifiées sur site ?
- Urgence (8.2) — Quel est le scénario du dernier exercice réalisé, et quels enseignements en ont été tirés ?
- Incidents (10.2) — Les presque-accidents sont-ils enregistrés, ou seulement les accidents avec arrêt ?
- Indicateurs (9.1.1) — Quels indicateurs proactifs suivez-vous, en plus du taux de fréquence et du taux de gravité ?
- Amélioration (10.3) — Citez une amélioration SST décidée cette année qui ne découle pas d’un accident.
La question 9 est celle qui piège le plus d’entreprises : un tableau de bord limité aux accidents est réactif par nature. Nous détaillons les formules et les indicateurs proactifs attendus dans notre guide des indicateurs sécurité ISO 45001 (TF1, TG et tableau de bord SST).
Exemple : une PME industrielle de 85 salariés
Une entreprise de mécanique de précision engage sa certification ISO 45001 pour répondre aux exigences d’un donneur d’ordre aéronautique. Elle ne dispose ni d’un service HSE, ni d’un budget de conseil. Le choix retenu : former le responsable méthodes à l’audit interne, et pratiquer l’audit croisé avec le responsable qualité.
Le premier audit interne, mené sur deux demi-journées, remonte cinq écarts. Trois sont documentaires (fiches de poste non mises à jour, exercice d’évacuation non tracé, plan de prévention incomplet pour un sous-traitant). Deux sont opérationnels (port des EPI variable sur une zone, remontées de presque-accidents inexistantes). Les cinq écarts sont fermés en quatre mois. L’organisme accrédité, lors de l’audit initial, ne relève que deux remarques mineures. Coût de l’opération : une formation d’auditeur interne, et environ trois jours-homme de préparation et de terrain.
L’enseignement est constant d’une PME à l’autre : les écarts trouvés en audit interne sont ceux que l’organisme aurait trouvés. Les détecter six mois plus tôt ne change pas leur nature, mais change complètement leur coût.
Les 4 erreurs qui coûtent une non-conformité en certification
- Auditer sur documents uniquement. Un audit interne conduit depuis un bureau ne prouve pas la mise en œuvre. La clause 9.2.1 demande de vérifier que le système est effectivement appliqué.
- Ne pas couvrir toutes les clauses sur le cycle. L’auditeur de certification reconstitue votre couverture sur trois ans. Les clauses 4, 5 et 10 sont les plus souvent oubliées.
- Oublier la consultation des travailleurs. Spécificité forte de l’ISO 45001 : si aucun opérateur n’a été interrogé pendant l’audit, l’exigence n’est pas satisfaite.
- Laisser des fiches d’action ouvertes sans échéance. Un écart identifié et non traité est plus pénalisant qu’un écart non détecté : il prouve que la boucle d’amélioration ne fonctionne pas.
Ces réflexes valent pour l’ensemble des référentiels. Si vous pilotez plusieurs normes, la logique de mutualisation est décrite dans notre guide du système de management intégré QSE en autonomie, et la méthode générale dans réussir son audit de certification ISO en autonomie.
Comment Intersektion vous aide
La difficulté d’un audit interne mené seul n’est pas technique : c’est la traçabilité. Programme, plans d’audit, constats, écarts, fiches d’action, preuves de clôture — l’ensemble doit rester cohérent et retrouvable pendant trois ans.
Intersektion centralise ce circuit dans un espace unique : plan d’audit et checklists paramétrables par clause, enregistrement des constats avec pièces jointes datées, ouverture automatique d’une action corrective par écart, suivi des échéances et export du rapport pour la revue de direction. Le même socle alimente vos indicateurs SST et, si vous exploitez plusieurs référentiels, vos exigences ISO 9001 et ISO 14001 sans double saisie. Vous concentrez alors votre budget là où il est incompressible : l’audit de l’organisme accrédité. Découvrez notre logiciel RSE et QHSE ou lancez un diagnostic ESG gratuit.
FAQ — Audit interne ISO 45001
L’audit interne ISO 45001 est-il obligatoire ?
Oui. La clause 9.2 impose des audits internes à intervalles planifiés et un programme d’audit documenté. Sans preuve d’audit interne couvrant l’ensemble du système SST, la certification n’est pas délivrée.
Qui peut mener un audit interne ISO 45001 dans une PME ?
Tout salarié formé à l’audit interne, dès lors qu’il n’audite pas sa propre activité. L’ISO 45001 exige l’objectivité et l’impartialité de l’auditeur, pas son indépendance juridique. L’audit croisé entre deux responsables de service suffit.
À quelle fréquence faut-il réaliser un audit interne ISO 45001 ?
La norme n’impose aucune fréquence chiffrée : elle demande des intervalles planifiés tenant compte de l’importance des processus. En pratique, la totalité du système doit être couverte sur le cycle de trois ans, avec un passage annuel sur les processus à risque élevé.
Peut-on combiner l’audit interne ISO 45001 et ISO 9001 ?
Oui, et c’est recommandé en système intégré. Les deux normes partagent la même structure de haut niveau. Un plan d’audit unique couvre les exigences communes, complété par des questions SST spécifiques : consultation des travailleurs, maîtrise opérationnelle, situations d’urgence. Voir aussi notre méthode d’audit interne ISO 9001 en autonomie.
Quelle différence entre audit interne et audit de certification ?
L’audit interne est réalisé par l’entreprise pour vérifier et améliorer son propre système : il ne coûte que du temps. L’audit de certification est réalisé par un organisme accrédité et débouche sur le certificat. Le premier sert précisément à corriger les écarts avant le second.
Conclusion
L’audit interne ISO 45001 est l’exigence la plus rentable de la norme : c’est la seule qui vous fait trouver vos propres écarts avant qu’ils ne vous coûtent une non-conformité. Un programme d’une page, une checklist de terrain, un auditeur impartial et des fiches d’action suivies : rien de tout cela ne nécessite un cabinet. Ce qu’il faut, c’est un cadre qui garde la trace de tout. La méthode complète de certification est détaillée dans notre guide ISO 45001 en autonomie : la méthode PME à faible coût.
Vous préparez votre certification ISO 45001 ? Demandez une démonstration d’Intersektion et voyez comment structurer vos audits internes, vos actions correctives et vos indicateurs SST au même endroit.
Sources
- ISO, ISO 45001:2018 — Systèmes de management de la santé et de la sécurité au travail, clauses 9.2.1 et 9.2.2 — iso.org
- Bpifrance Big Media, ISO 45001 : la norme pour la santé et la sécurité au travail — bigmedia.bpifrance.fr
