Demander un devis

ISO 19011-2026 : quelles évolutions par rapport à la version 2018 ?

La norme ISO 19011:2026 a été publiée le 27 mai 2026. Elle remplace ISO 19011:2018 et actualise les lignes directrices applicables aux audits des systèmes de management.

Cette nouvelle édition tient compte d’une transformation profonde des pratiques. En effet, les audits sont désormais fréquemment réalisés à distance ou selon un format hybride. Les auditeurs utilisent aussi davantage les outils numériques, l’analyse de données, les plateformes collaboratives et, dans certains cas, l’intelligence artificielle.

ISO 19011:2026 renforce donc les recommandations relatives aux technologies, aux risques et à la sécurité de l’information. Elle accorde également une place plus importante aux compétences nécessaires pour conduire un audit dans un environnement numérique.

Qu’est-ce que la norme ISO 19011 ?

ISO 19011 fournit des lignes directrices pour organiser et réaliser les audits des systèmes de management. Elle peut notamment être utilisée dans le cadre des systèmes fondés sur :

• ISO 9001 pour le management de la qualité ;
• ISO 14001 pour le management environnemental ;
• ISO 45001 pour la santé et la sécurité au travail ;
• ISO/IEC 27001 pour la sécurité de l’information ;
• ISO 50001 pour le management de l’énergie ;
• ISO 22000 pour la sécurité des denrées alimentaires.

La norme couvre quatre grands domaines :

1. les principes de l’audit ;
2. le management du programme d’audit ;
3. la réalisation des audits ;
4. l’évaluation des compétences des personnes participant au processus d’audit.

Elle concerne les responsables de programmes d’audit, les auditeurs, les responsables qualité, les responsables QHSE et les directions. Elle peut aussi intéresser les consultants, les organismes de formation et les organismes d’évaluation de la conformité.

Il convient toutefois de rappeler un point essentiel : ISO 19011 est une norme de lignes directrices. Elle ne contient pas les exigences d’un système de management et ne constitue pas, à elle seule, un référentiel de certification.

Pourquoi ISO 19011 a-t-elle été révisée en 2026 ?

La précédente édition datait de 2018. Or, depuis cette date, les conditions de réalisation des audits ont fortement changé.

Les audits à distance se sont développés, notamment à la suite de la crise sanitaire. Dans le même temps, les organisations ont généralisé les outils collaboratifs, le stockage dans le cloud et les systèmes automatisés.

Par ailleurs, les auditeurs doivent désormais examiner des activités qui reposent sur :

• des plateformes numériques ;
• des systèmes d’information complexes ;
• des traitements automatisés ;
• des outils d’intelligence artificielle ;
• des données collectées en temps réel ;
• des processus pilotés à distance.

Selon le comité technique ISO/TC 176, ISO 19011:2026 répond à l’influence croissante de la technologie, de la numérisation et des environnements virtuels. La nouvelle édition renforce également l’analyse et la maîtrise des risques.

ISO 19011:2018 et ISO 19011:2026 : les principales différences

1. Des audits à distance et hybrides mieux encadrés

La principale évolution d’ISO 19011:2026 concerne les audits à distance. En 2018, la norme reconnaissait déjà la possibilité d’utiliser des méthodes d’audit à distance. Cependant, les recommandations restaient relativement générales.

L’édition 2026 va plus loin. Elle intègre des lignes directrices plus précises pour planifier et conduire :

• un audit entièrement à distance ;
• un audit combinant des activités sur site et à distance ;
• l’examen d’un processus réalisé dans un environnement virtuel ;
• des entretiens par visioconférence ;
• une visite de site guidée par vidéo ;
• la consultation à distance de documents et d’enregistrements.

Cette évolution permet de mieux choisir la méthode d’audit. Toutefois, l’audit à distance ne doit pas être retenu uniquement pour réduire les coûts ou les déplacements. Le responsable du programme d’audit doit vérifier que cette méthode permet d’obtenir des preuves suffisamment fiables.

Par exemple, un entretien en visioconférence peut être adapté pour examiner un processus administratif. En revanche, l’observation d’une opération industrielle sensible peut nécessiter une présence physique.

2. Une meilleure prise en compte des risques du programme d’audit

ISO 19011:2018 avait déjà introduit une approche par les risques. ISO 19011:2026 approfondit cette logique, notamment lors de la préparation du programme d’audit.

L’organisation doit identifier les risques susceptibles d’affecter :

• l’atteinte des objectifs d’audit ;
• la disponibilité des personnes ;
• l’accès aux informations ;
• la fiabilité des preuves collectées ;
• la confidentialité des échanges ;
• la continuité des outils numériques ;
• l’impartialité de l’équipe d’audit ;
• la santé et la sécurité des participants.

Ainsi, une connexion instable, une restriction d’accès au système d’information ou une mauvaise qualité d’image peuvent réduire la fiabilité d’un audit à distance.

L’organisation doit donc anticiper ces situations. Elle peut prévoir une solution de secours, tester les outils et définir les conditions d’interruption ou de report de l’audit.

3. L’intégration des technologies numériques

ISO 19011:2026 prend davantage en compte les technologies utilisées pendant l’audit. Elle s’intéresse également aux technologies qui font elles-mêmes l’objet de l’évaluation.

Les auditeurs peuvent notamment utiliser :

• des plateformes de visioconférence ;
• des espaces documentaires sécurisés ;
• des logiciels de gestion des audits ;
• des outils d’analyse de données ;
• des caméras mobiles ;
• des drones ;
• des systèmes de collecte automatique ;
• des outils reposant sur l’intelligence artificielle.

Ces technologies peuvent améliorer l’échantillonnage et faciliter l’analyse de grands volumes de données. Elles ne remplacent toutefois ni le jugement professionnel ni l’esprit critique de l’auditeur.

L’auditeur doit donc comprendre le fonctionnement général de l’outil utilisé. Il doit également connaître ses limites. Une anomalie détectée par un algorithme ne constitue pas automatiquement une non-conformité. À l’inverse, l’absence d’alerte ne prouve pas que le système audité est efficace.

4. De nouvelles attentes concernant les compétences des auditeurs

La clause consacrée aux compétences évolue afin d’intégrer les exigences liées au numérique.

Un auditeur doit toujours maîtriser les principes de l’audit, les exigences du référentiel audité et le secteur d’activité concerné. Désormais, il doit aussi disposer des compétences nécessaires pour utiliser les outils retenus.

Selon la mission, ces compétences peuvent concerner :

• la conduite d’entretiens à distance ;
• la gestion d’une réunion virtuelle ;
• la consultation sécurisée des documents ;
• la vérification de l’authenticité d’une preuve numérique ;
• l’analyse de données ;
• l’évaluation de systèmes automatisés ;
• la compréhension des usages de l’intelligence artificielle ;
• l’identification des risques de cybersécurité.

Le responsable du programme d’audit doit donc réévaluer les compétences disponibles au sein de l’équipe. Il peut être nécessaire d’ajouter un expert technique lorsque le système audité repose sur une technologie complexe.

5. Une sécurité renforcée des informations d’audit

La confidentialité faisait déjà partie des principes d’audit dans ISO 19011:2018. Cependant, la multiplication des échanges numériques augmente les risques.

ISO 19011:2026 attire davantage l’attention sur la sécurité des données. Cette vigilance concerne notamment :

• les droits d’accès aux documents ;
• le stockage des preuves ;
• l’enregistrement des visioconférences ;
• les captures d’écran ;
• les transferts de fichiers ;
• l’utilisation d’appareils personnels ;
• la conservation des données après l’audit ;
• la protection des informations sensibles.

Avant l’audit, les parties doivent définir des règles claires. Par exemple, elles doivent préciser si un entretien peut être enregistré ou si les auditeurs peuvent télécharger certains fichiers.

Ces dispositions sont particulièrement importantes lorsque l’audit porte sur des données personnelles, des secrets industriels ou des informations couvertes par une obligation contractuelle de confidentialité.

6. Une attention particulière aux lieux virtuels

La notion de lieu audité ne se limite plus à un bâtiment, une usine ou un bureau. De nombreuses activités sont désormais réalisées dans un environnement numérique.

Un lieu virtuel peut prendre la forme :

• d’une plateforme de services en ligne ;
• d’un système d’information ;
• d’un environnement cloud ;
• d’un espace de travail collaboratif ;
• d’une infrastructure exploitée à distance ;
• d’un processus entièrement dématérialisé.

L’auditeur doit donc adapter sa méthode. Il doit déterminer où les activités sont réellement réalisées, qui les contrôle et où se trouvent les preuves pertinentes.

Cette approche est essentielle pour les organisations multisites, les entreprises internationales et les prestataires numériques.

7. L’encadrement de la participation des observateurs

La présence d’observateurs, de guides ou d’experts techniques peut influencer le déroulement d’un audit. Ce risque augmente lors d’un audit à distance, car certaines personnes peuvent participer sans être visibles ou clairement identifiées.

ISO 19011:2026 renforce donc l’attention portée :

• à l’identité des participants ;
• à leur rôle ;
• à leur autorisation ;
• à leur influence éventuelle sur les entretiens ;
• à leur accès aux informations confidentielles.

L’auditeur doit savoir qui assiste à la réunion. Il doit également préserver la liberté de parole de la personne interrogée.

8. La prise en compte du changement climatique

En février 2024, l’ISO et l’IAF ont publié un amendement relatif au changement climatique. Cet amendement a ajouté des considérations climatiques aux articles 4.1 et 4.2 de nombreuses normes de systèmes de management.

ISO 19011:2026 s’inscrit dans cette évolution. Lorsqu’il audite un système de management concerné, l’auditeur doit vérifier si l’organisation a déterminé que le changement climatique constitue ou non un enjeu pertinent.

Il doit également examiner si les parties intéressées ont formulé des exigences liées au climat.

Cependant, l’auditeur ne doit pas imposer artificiellement un enjeu climatique. Il doit évaluer la pertinence de l’analyse réalisée par l’organisation et les preuves qui justifient sa conclusion.

9. Une annexe A enrichie

L’annexe A d’ISO 19011 contient des recommandations complémentaires destinées aux auditeurs. Dans la version 2026, elle est enrichie afin de mieux couvrir les nouvelles pratiques.

Elle apporte notamment des indications sur :

• la sélection des méthodes d’audit ;
• la préparation des audits à distance ;
• l’utilisation des technologies ;
• l’audit des lieux virtuels ;
• l’échantillonnage des informations ;
• la collecte des preuves numériques ;
• les risques liés aux outils employés.

Cette annexe présente un intérêt opérationnel important. Elle peut servir de base à la mise à jour des procédures internes et des supports de formation.

Quelles conséquences pour les organisations ?

ISO 19011:2026 ne crée pas une obligation de certification supplémentaire. Néanmoins, les organisations ont intérêt à actualiser leurs pratiques.

Elles peuvent engager plusieurs actions :

1. analyser les écarts entre leurs pratiques et la version 2026 ;
2. mettre à jour la procédure d’audit interne ;
3. réviser le programme annuel d’audit ;
4. formaliser les règles applicables aux audits à distance ;
5. sécuriser les échanges de documents ;
6. actualiser les grilles d’évaluation des compétences ;
7. former les auditeurs aux technologies numériques ;
8. revoir les clauses de confidentialité ;
9. intégrer les enjeux climatiques lorsqu’ils sont pertinents ;
10. tester les moyens techniques avant chaque audit à distance.

La priorité dépendra du contexte de chaque organisme. Une structure réalisant uniquement des audits sur site sera moins touchée qu’une organisation multisite qui utilise régulièrement des audits hybrides.

Faut-il prévoir une période de transition ?

ISO 19011 n’est pas une norme de certification. Par conséquent, sa révision ne produit pas le même mécanisme de transition que celui généralement prévu lors de la révision d’une norme certifiable.

Il n’existe donc pas, par principe, de certificat ISO 19011:2018 à convertir en certificat ISO 19011:2026.

Toutefois, l’organisation doit examiner les conséquences de la nouvelle édition sur :

• ses procédures d’audit ;
• ses programmes d’audit ;
• ses outils ;
• ses formations ;
• ses critères de qualification des auditeurs.

Les organismes de certification et les donneurs d’ordre pourront également actualiser leurs propres méthodes ou exigences contractuelles.

ISO 19011:2026 transforme-t-elle profondément l’audit ?

La structure générale reste reconnaissable. Les principes de base ne sont pas remis en cause. L’audit demeure un processus systématique, indépendant et documenté, fondé sur la collecte et l’évaluation objective de preuves.

La version 2026 constitue néanmoins une évolution significative. Elle adapte les pratiques d’audit à des organisations plus numériques, plus décentralisées et davantage exposées aux risques liés à l’information.

Son apport principal réside donc moins dans une rupture méthodologique que dans une modernisation opérationnelle.

Conclusion

ISO 19011:2026 remplace l’édition 2018 et modernise les lignes directrices relatives aux audits des systèmes de management.

Les principales évolutions concernent les audits à distance, les lieux virtuels, la sécurité des données et les technologies numériques. La norme renforce également l’approche par les risques et les compétences attendues des auditeurs. Enfin, elle tient compte des enjeux climatiques introduits dans les normes de systèmes de management.

Les organisations doivent donc réexaminer leurs méthodes d’audit. Elles doivent surtout vérifier que leurs auditeurs disposent des compétences techniques et comportementales adaptées aux nouveaux environnements.

En définitive, ISO 19011:2026 confirme que l’audit ne peut plus être limité à une visite sur site et à l’examen de documents. Il devient un processus plus technologique, plus flexible et plus attentif à la fiabilité des informations collectées.

Demander un devis