Nouveautés de la norme ISO 19011 version 2026 Lignes directrices pour l'audit des systèmes de management

22/06/2026

La quatrième version de la norme ISO 19011 est sortie en mai 2026. Elle remplace la version (édition) de 2018. Le titre reste inchangé : Lignes directrices pour l’audit des systèmes de management. Sur le site ILNAS le prix est relativement raisonnable (66,30 euros) même si les normes devraient être gratuites, cf. la Charte des droits des utilisateurs des normes ISO.

• intelligence artificielle et audit de données :
  • échantillonnage intelligent : finie l'époque où l'on choisissait 3 dossiers au hasard. l'ISO 19011 encourage l'utilisation d'outils d'analyse de données pour passer au crible l'exhaustivité des flux et repérer automatiquement les anomalies avant même la phase terrain
  • audit des algorithmes : si une organisation utilise une IA pour valider des processus ou libérer des résultats, l'auditeur doit désormais évaluer la gouvernance de cette IA (biais, intégrité des données d'apprentissage)
  • les auditeurs sont maîtrisent :
    • la pertinence et les conséquences de l’utilisation de l’IA dans la conduite de l’audit
    • les outils numériques applicables à l’audit et à la communication à distance
    • les exigences relatives à la protection des données et la sécurité de l’information
• cadre strict pour l'audit à distance (remote auditing) :
  • introduit à la hâte lors des crises sanitaires passées, l'audit à distance est désormais pleinement structuré. La norme impose une évaluation des risques en amont : la cybersécurité des canaux de partage, la stabilité des plateformes de flux vidéo en direct et la gestion de la confidentialité des données d'écran partagées
• intégration du changement climatique (harmonisation "amendement 2024") :
  • en parfaite cohérence avec les récents amendements de l'ISO sur les structures de haut niveau (HLS), l'auditeur a l'obligation de vérifier comment l'organisation évalue la pertinence des risques climatiques sur son système de management (continuité d'activité, risques logistiques, défaillance des infrastructures)
• renforcement de la cybersécurité et de la résilience :
  • la sécurité des systèmes d'information n'est plus le domaine exclusif de l'ISO 27001. Dans le cadre de n'importe quel audit (qualité, environnement, sécurité), l'auditeur doit évaluer la résilience des outils numériques utilisés pour maintenir l'intégrité du système documenté
• rôle plus stratégique pour le responsable du programme d’audit :
  • le rôle du responsable du programme d’audit ne se limite plus à la planification des audits mais doit davantage veiller à leur alignement avec les attentes du commanditaire et les enjeux de l’organisme audité
  • la préparation des conditions de réalisation de l’audit est mise en lumière. Le responsable du programme d’audit doit veiller à ce que les auditeurs disposent de toutes les informations, autorisations et ressources nécessaires à l’exécution de leur mission
• une approche risques élargie : 
  • le programme d’audit inclut une attention particulière aux processus, activités ou problématiques présentant les risques les plus significatifs pour l’efficacité et la performance du système de management audité
  • la prise en compte des risques associés aux fournisseurs et prestataires externes est renforcée dans le programme d’audit (le niveau de confiance accordé au fournisseur, les obligations contractuelles, l’importance stratégique des produits ou services fournis)

Les principes fondamentaux de l'auditeur s'enrichissent pour s'adapter à la transformation numérique :

• l'éthique et la confidentialité à l'ère numérique : devoir de réserve absolu sur la capture de données d'écran, les enregistrements audio/vidéo de l'audit et l'usage de données personnelles (RGPD)
• approche risques renforcée : l'accent est mis sur le risque de l'audit lui-même (pertinence de l'échantillon choisi par une IA ou mauvaise interprétation d'une donnée brute)