Le suivi de la conformité et la gestion de la sécurité utilisent des informations communes, mais répondent à des questions distinctes : l’exigence est-elle respectée et le risque est-il maîtrisé ? Un audit sans non-conformité ne prouve pas, à lui seul, l’absence de dangers opérationnels.
Que faut-il définir au départ ?
Délimiter les activités, les organisations et les interfaces concernées. Élaborer une matrice associant l’exigence et sa révision au processus, à la personne responsable, à la procédure et aux éléments de preuve. Indiquer l'applicabilité et la raison de l'exclusion d'une disposition, le cas échéant.
ADR.OR.D.005 du Règlement (UE) n° 139/2014 constitue le référentiel du système de management des opérateurs cibles. La mise en œuvre est adaptée à l'organisation et aux opérations réelles, avec des processus documentés et des mécanismes de suivi.
Comment préparer un audit utile ?
Définir les critères, l'échantillon, la période et les méthodes : revue documentaire, entretien et observation sur le terrain. Inclure les activités sous-traitées pertinentes et garantir l'indépendance de l'auditeur par rapport à l'activité auditée. Une liste de contrôle est insuffisante sans éléments probants vérifiables.
La constatation décrit l'exigence, la situation observée et le document justificatif. Si un contrôle ne peut être vérifié faute d'accès aux éléments probants, consigner la limitation ; ne pas interpréter l'absence de vérification comme une conclusion favorable.
Comment élaborer une évaluation des risques ?
Formulez clairement le danger, l'événement indésirable et ses conséquences. Décrivez le scénario et l'exposition, puis documentez les mesures de contrôle existantes. La probabilité et la gravité sont évaluées à l'aide de critères explicites et des données disponibles, et non pas uniquement à l'aide d'une matrice.
Pour le risque résiduel, expliquez ce que la mesure modifie et comment vous en vérifiez le fonctionnement. Identifiez les dépendances : deux mesures de contrôle effectuées par la même personne, sur la base des mêmes informations erronées, ne sont pas nécessairement indépendantes. L'acceptation du risque est documentée au niveau désigné par l'organisation.
Comment clôturer une constatation ?
Distinguez la correction de la situation de l'action visant à traiter la cause profonde. La réparation d'un luminaire élimine le défaut spécifique ; l'analyse de la cause profonde peut nécessiter la modification d'un circuit, d'une protection ou d'un calendrier d'inspection. La mesure doit traiter la cause, preuves à l'appui.
Le registre des actions contient le nom du responsable, l'échéance, le document de mise en œuvre et la vérification de l'efficacité. La clôture administrative ne doit pas remplacer la vérification sur le terrain. Les constats récurrents nécessitent une réévaluation des causes et des mesures antérieures.
Que faut-il rapporter à la direction et que faut-il soumettre à l’appel d’offres ?
Choisissez des indicateurs avec une définition, une source, un dénominateur et une fréquence d'analyse. Un certain nombre d'événements doivent être interprétés en tenant compte du volume des opérations et des changements dans la culture du reporting. Présentez les actions en cours, les principaux risques et les décisions nécessaires.
Pour les appels d'offres, veuillez joindre l'organigramme, les manuels, le périmètre d'activité, le programme d'audit et des exemples anonymisés de registres. Précisez si vous avez besoin d'un diagnostic, d'une refonte de la méthodologie, d'un audit spécifique ou d'un accompagnement pour la mise en œuvre du plan d'action.
Consultez le chapitre technique du guide.