Un système de suivi de la conformité et des certifications est un registre unique qui relie chaque obligation ou chaque certificat à une échéance, une preuve et un responsable. Une TPE ou une PME peut le monter en 6 étapes, d’abord avec un simple tableur, avant de se demander s’il faut un logiciel.
Étape 1 : recenser les obligations et les certificats à suivre
Le suivi commence par un inventaire, et cet inventaire distingue trois familles. Chacune a ses échéances et ses interlocuteurs.
Lire également : Utilité et fonctionnement du circulaire en entreprise
- Les obligations réglementaires : sécurité au travail, protection des données personnelles, environnement, conformité des produits mis sur le marché.
- Les certifications volontaires de l’entreprise, comme les normes ISO 9001 (qualité), ISO 14001 (environnement) ou ISO 45001 (santé et sécurité au travail), qui reposent sur des audits externes.
- Les habilitations et certificats des salariés : habilitation électrique, CACES pour la conduite d’engins, sauveteur secouriste du travail (SST).
Pour savoir ce qui relève de votre activité, un détour par les différents types de contrôle de conformité aide à ne rien oublier dans la première famille.
Étape 2 : construire le registre de conformité
Le registre prend la forme d’un tableau, une ligne par exigence. Les colonnes utiles sont l’exigence, le texte source, le périmètre concerné, le responsable, la date de dernière vérification, l’échéance, la preuve et le statut.
A voir aussi : Contrôle de conformité : les différents types et leur importance
Le choix d’un registre unique évite les fichiers dispersés entre services, où deux versions d’une même échéance finissent par se contredire. Chaque ligne doit pouvoir être lue sans explication par un auditeur extérieur.
Le RGPD donne un exemple de ce que l’on attend d’un tel document. Son article 30 impose un registre des activités de traitement, et la CNIL précise que l’obligation concerne tous les organismes, quelle que soit leur taille. Ce registre peut devenir un onglet de votre tableur de conformité.
Étape 3 : programmer les échéances et les alertes
Un certificat ou une obligation n’a de valeur que tant qu’il est à jour, donc chaque ligne du registre porte une date de fin de validité. Les durées varient beaucoup selon le sujet.
Le certificat SST est valable 24 mois, avec un recyclage tous les 2 ans, et un secouriste dont la date est dépassée ne peut plus exercer sa mission dans l’entreprise. Une certification ISO fonctionne par cycle pluriannuel, ponctué d’audits de surveillance. Les habilitations et les visites périodiques d’équipements ont leurs propres rythmes, à relever dans la source de chaque exigence.
Programmez ensuite des rappels échelonnés, par exemple à 90, 60 et 30 jours avant l’échéance. Le premier laisse le temps de réserver une formation ou un organisme, le dernier sert de filet de sécurité.
Étape 4 : centraliser les preuves de conformité
En contrôle comme en audit, ce qui fait foi est le document, pas la bonne foi. Rapports de vérification, attestations, procès-verbaux, document unique d’évaluation des risques : chaque ligne du registre renvoie vers sa pièce, rangée dans un dossier partagé aux noms de fichiers homogènes.
Un cas comme le dossier technique du marquage CE montre le niveau d’exigence : un produit n’est réputé conforme que si chaque étape est documentée et retrouvable.
Les certificats de salariés contiennent des données personnelles. Limitez donc l’accès à ce dossier aux personnes qui en ont besoin, et ne conservez pas les pièces au-delà de ce que l’exigence demande.
Étape 5 : vérifier par l’audit interne et les indicateurs
Un registre qui n’est jamais contrôlé se dégrade en quelques mois. Un audit interne annuel vérifie que les dates sont à jour, que les preuves existent et qu’elles correspondent à la ligne qui les cite. La norme ISO 9001 prévoit d’ailleurs, dans son chapitre 9, audit interne et revue de direction.
Quelques indicateurs suffisent pour piloter l’ensemble :
- le taux d’échéances tenues à la date prévue ;
- le nombre de non-conformités ouvertes ;
- le délai moyen de clôture d’une non-conformité.
La revue de direction, une fois par an, regarde ces chiffres et décide des moyens à ajouter. Un indicateur sans décision associée ne sert à rien, autant ne pas le suivre.
Étape 6 : répartir les rôles, puis choisir entre tableur et logiciel
Désignez un pilote unique, qui tient le registre à jour, et un référent par domaine (sécurité, qualité, données personnelles). Le pilote relance, les référents fournissent les preuves.
Le tableur tient tant que le nombre de sites, de salariés habilités et de référentiels reste faible. Au-delà, les oublis d’échéance se multiplient et la mise à jour manuelle devient plus coûteuse qu’un outil dédié.
Pour comparer des outils, quatre critères suffisent : alertes automatiques, traçabilité des modifications, droits d’accès par profil et export lisible pour l’auditeur. Dans les secteurs très réglementés, l’automatisation de la traçabilité réglementaire montre jusqu’où ce type d’outil peut aller.
Le premier trimestre de fonctionnement sert de test : si le pilote ne retrouve pas une preuve en moins de quelques minutes, le registre n’est pas encore prêt pour un audit.
