Preuves d'exploitation attendues par un auditeur
Savoir quels enregistrements produire au quotidien pour démontrer la conformité au SMS lors d'un audit.
À retenir
- Une preuve d'audit doit indiquer qui a fait quoi, quand, avec quel résultat vérifiable.
- L'auditeur croise systématiquement plusieurs sources pour détecter les incohérences.
- Des non-conformités mineures répétées sur un même processus peuvent devenir une non-conformité majeure.
- Des auto-contrôles ciblés mensuels préparent l'audit externe sans surcharge de travail.
L'auditeur cherche des preuves, pas des intentions
Un auditeur ISO/IEC 20000 ne se satisfait jamais d'une déclaration orale « on le fait toujours ». Il demande des informations documentées : preuves datées, tracées, cohérentes entre elles.
Les preuves les plus fréquemment demandées
| Domaine | Preuve attendue | Où la trouver |
|---|---|---|
| Gestion des incidents | Ticket horodaté avec catégorie, priorité, résolution | Outil ITSM |
| Gestion des changements | Demande de changement approuvée avant mise en œuvre | Registre des changements (CAB) |
| Gestion des niveaux de service | SLA signé et rapport de performance périodique | Contrat + rapports mensuels |
| Gestion de la capacité | Plan de capacité révisé annuellement | Document de planification |
| Continuité de service | Test de plan de continuité réalisé et daté | Compte rendu de test |
| Sécurité de l'information | Registre des incidents de sécurité et revue d'accès | Journal de sécurité |
| Amélioration continue | Actions correctives issues d'un audit interne ou d'une réclamation | Registre des non-conformités |
Point clé
une preuve doit répondre à trois questions : qui a fait quoi, quand, et avec quel résultat vérifiable ? Une preuve sans date ni auteur n'a aucune valeur en audit.
Cohérence entre les preuves : le piège classique
Un auditeur croise systématiquement les sources : si le registre de changements indique une fenêtre de maintenance le mardi, mais que le rapport de service ne mentionne aucune interruption ce jour-là alors qu'un incident a été ouvert, l'incohérence sera relevée comme non-conformité potentielle.
Attention
ne jamais fermer un ticket d'incident sans renseigner la cause et l'action corrective, même sous pression de charge : c'est le premier point de contrôle systématique en audit.
Non-conformités mineures vs majeures
- Non-conformité mineure : une preuve existe mais est incomplète ou ponctuellement absente.
- Non-conformité majeure : un processus exigé par la norme n'existe pas du tout, ou son absence remet en cause la fiabilité globale du SMS.
Sur le terrain
accumuler plusieurs non-conformités mineures sur le même processus peut être requalifié en non-conformité majeure par l'auditeur — la répétition compte autant que la gravité isolée.
Préparer un audit interne sans surcharge
- Planifier des auto-contrôles mensuels ciblés sur un processus différent chaque mois plutôt qu'un contrôle exhaustif annuel épuisant.
- Constituer un échantillon représentatif de tickets, changements et rapports plutôt que de tout vérifier.
- Documenter immédiatement toute action corrective décidée lors de l'auto-contrôle, avec un responsable et une échéance.
Astuce
tenez un tableau de bord simple listant, pour chaque exigence de la norme, la preuve type et sa localisation — cela réduit de moitié le temps de préparation d'un audit externe.