ISO/IEC 17025 § 8.5 : l'approche par les risques
Ce que le § 8.5 de l'ISO/IEC 17025:2017 demande à un laboratoire, ce qu'il n'impose pas, et comment le tenir avec un dispositif simple. La fiche reformule les exigences : l'exemplaire de la norme reste la référence. Elle suit l'option A du § 8.1.2 ; en option B, voyez d'abord ce que votre système de management couvre déjà.
En bref : quatre obligations
- Prendre en compte les risques et les opportunités liés aux activités du laboratoire.
- Planifier des actions pour les traiter.
- Les intégrer au système de management et évaluer leur efficacité.
- Rester proportionné à l'impact possible sur la validité des résultats.
Ce que demande le § 8.5
§ 8.5.1 : prendre en compte
Le laboratoire regarde ce qui peut menacer ses résultats et ce qui peut l'aider à mieux remplir sa mission. Le but : obtenir les résultats visés, prévenir ou réduire les effets indésirables, progresser. Ce paragraphe remplace l'ancienne « action préventive » de l'édition 2005.
En pratique : les risques et les opportunités relèvent de la même démarche.
§ 8.5.2 : planifier
Le laboratoire planifie les actions, la façon de les intégrer et de les mettre en œuvre dans son système, puis la façon d'en évaluer l'efficacité.
En pratique : une liste de risques sans action ni contrôle d'efficacité ne suffit pas.
§ 8.5.3 : proportionner
L'ampleur des actions dépend de l'impact possible sur la validité des résultats. Les notes de ce paragraphe donnent des options de traitement et des exemples d'opportunités.
En pratique : la question qui sert de filtre est « quel effet sur la validité de nos résultats ? ».
Ce que la norme n'exige pas
- Une méthode formelle. Une note du § 8.5.2 l'indique. AMDEC, HAZOP ou ISO 31000 restent de simples possibilités, si le laboratoire choisit d'aller plus loin.
- Une procédure dédiée. La même note écarte tout processus documenté de management du risque. D'autres paragraphes demandent en revanche des procédures écrites, par exemple les § 6.2.5, 6.4.3 et 7.10.1.
- Un logiciel ou un format imposé. Il faut pouvoir montrer ce qui a été planifié et fait, et les enregistrements doivent rester lisibles (§ 8.4).
Le silence de la norme ne vaut pas réponse de votre organisme d'accréditation : ses documents peuvent ajouter des attentes. Voir les questions en fin de fiche.
Risques et opportunités
Un risque est un événement possible ; une non-conformité est un problème déjà survenu, qui relève du § 7.10. Les exemples de cette fiche sont illustratifs : à adapter à vos activités.
Traiter un risque
Note 1 du § 8.5.3
Options citées par la norme, sans obligation de les parcourir toutes :
- l'éviter ;
- le prendre pour saisir une opportunité ;
- en éliminer la source ;
- en modifier la probabilité ou les conséquences ;
- le partager ;
- le conserver, par une décision éclairée.
Exemple : une seule personne est habilitée sur une méthode (§ 6.2). Action : en former une seconde.
Saisir une opportunité
Note 2 du § 8.5.3
Pistes citées par la norme :
- élargir le domaine d'activité ;
- gagner de nouveaux clients ;
- utiliser une nouvelle technologie ;
- répondre autrement aux besoins des clients.
Exemple : des clients demandent des délais plus courts. Action : étudier une organisation adaptée, sans dégrader la validité des résultats.
Un dispositif minimal en quatre étapes
- Étape 1 Identifier Qui, quand
- Étape 2 Évaluer et décider Quel impact sur la validité
- Étape 3 Déployer Actions du § 8.5.2
- Étape 4 Revoir l'efficacité Preuves et revues
1. Identifier
Qui : tout le personnel, le terrain d'abord. Quand : au fil de l'eau, notamment lors d'une réclamation (§ 7.9), d'une revue de contrat (§ 7.1), d'un événement sur un équipement (§ 6.4) ou d'un changement de méthode (§ 7.2). Trace : une ligne dans le support déjà utilisé.
2. Évaluer et décider
Qui : l'encadrement (§ 5.2, 5.6). Quand : en réunion périodique, ou tout de suite pour un événement critique. Trace : l'impact estimé et la décision prise, y compris celle de ne rien faire.
3. Déployer
Qui : un pilote désigné pour chaque action. Quand : selon l'échéance décidée. Trace : action, responsable et échéance au registre.
4. Revoir l'efficacité
Qui : la personne responsable de la qualité, de la technique ou la direction. Quand : à l'échéance, puis en revue de direction. Trace : ce qui a été constaté, la date, le responsable et la référence de la preuve.
Proportionner sans grille compliquée
Trois niveaux d'impact suffisent souvent. Une matrice simple n'a d'intérêt que si elle aide vraiment à hiérarchiser. Les niveaux ci-dessous dépendent du contexte : le même événement peut changer de niveau d'un laboratoire à l'autre.
| Impact | Exemple illustratif | Réponse proportionnée |
|---|---|---|
| Faible | L'étiquette d'identification d'un instrument s'use. | Une ligne au registre, un remplacement, une vérification simple. |
| Moyen | Un étalonnage risque de prendre du retard, ou les conditions d'un local de stockage non critique peuvent dériver. | Une action planifiée, avec responsable, échéance et contrôle du résultat. |
| Élevé | Un étalon peut dériver entre deux étalonnages. | Des contrôles intermédiaires (§ 6.4.10), un suivi rapproché et une revue d'efficacité. Si la dérive survient, le § 7.10 s'applique. |
Réutiliser ce qui existe déjà
Le risque apparaît ailleurs dans la norme. Ces points d'entrée évitent de construire un circuit parallèle.
| Paragraphe | Sujet | Lien avec le § 8.5 |
|---|---|---|
| § 4.1.4 et 4.1.5 | Impartialité | Identifier en continu les risques pour l'impartialité, puis les éliminer ou les réduire. |
| § 7.8.6.1 | Déclarations de conformité | La règle de décision tient compte du niveau de risque associé. |
| § 7.10.1 et 7.10.3 | Travaux non conformes | Analyser l'impact, décider de l'acceptabilité, déclencher une action corrective si le problème peut se reproduire. |
| § 8.7.1 e | Actions correctives | Mettre à jour les risques et les opportunités si nécessaire. |
| § 8.8.2 a | Audits internes | Le programme tient compte de l'importance des activités, des changements et des audits passés : le registre peut aider à le construire. |
| § 8.9.2 m | Revue de direction | L'identification des risques figure parmi les éléments d'entrée. |
Un registre d'une page
Un seul registre, au format de votre choix. Colonnes à reprendre telles quelles ; les lignes sont illustratives, sans valeur d'exemple réel.
| ID | Risque ou opportunité | Activité | Impact possible sur la validité | Action décidée | Responsable | Échéance | Efficacité constatée |
|---|---|---|---|---|---|---|---|
| R1 | Risque : départ du seul technicien habilité (§ 6.2) | Essais de la méthode concernée | Élevé : activité assurée sans personnel compétent | Former une seconde personne | À désigner | À fixer | À renseigner : habilitation enregistrée |
| R2 | Risque : coupure électrique sur des enceintes de conservation (§ 6.3) | Conservation des échantillons | Élevé : échantillons altérés sans que personne le sache | Installer une alarme | À désigner | À fixer | À renseigner : essai de l'alarme enregistré |
| O1 | Opportunité : demandes de délais réduits | Revue de contrat, planification | À évaluer : ne pas dégrader la validité | Étudier une organisation adaptée | À désigner | À fixer | À renseigner : résultat de l'étude |
Mettre en place en quatre semaines
Une proposition de déroulé, pas une exigence de la norme : à adapter à la taille du laboratoire.
- Semaine 1 État des lieux Recenser les supports qui traitent déjà des risques, écarter ce qui ne sert pas.
- Semaine 2 Ancrage opérationnel Ouvrir le registre avec l'équipe et y inscrire les risques et opportunités réellement actifs.
- Semaine 3 Connexion au management Relier le registre à la revue de direction et au programme d'audit interne.
- Semaine 4 Simulation d'audit Questionner l'équipe et vérifier la preuve d'efficacité de chaque action.
Éviter l'usine à gaz, préparer l'audit
Signes d'alerte et remèdes
- Une cotation que personne ne sait expliquer. Revenir à faible, moyen, élevé.
- Une longue procédure autonome. Quelques lignes dans le système existant, pour éviter l'écart entre procédure et pratique.
- Plusieurs registres. Les regrouper en un seul.
- Une cartographie figée. Ne garder que les risques actifs, et mettre à jour.
En audit d'accréditation
Ce qu'il faut pouvoir montrer
Exigences de la norme
- La planification des actions (§ 8.5.2).
- L'évaluation de leur efficacité (§ 8.5.2 b), avec date, responsable et référence de la preuve.
- L'analyse d'impact des travaux non conformes (§ 7.10.1 b).
- Les éléments d'entrée de la revue de direction (§ 8.9.2 m).
Ce que la norme n'exige pas
Note du § 8.5.2
- Un rapport selon l'ISO 31000.
- Une procédure écrite propre au § 8.5.
- Un logiciel dédié ou une formule mathématique de cotation.
Prétendre n'avoir aucun risque est difficile à défendre : un registre court et tenu à jour se défend bien mieux. Votre organisme d'accréditation peut préciser ses attentes : voir les questions ci-dessous.
À voir avec votre organisme d'accréditation
Cette fiche s'appuie sur la norme seule et ne couvre pas les exigences de l'organisme d'accréditation (Cofrac, ILAC). Trois questions à lui poser :
- Un registre unique, sans cotation chiffrée, est-il accepté ?
- Un format est-il imposé pour les risques liés à l'impartialité ?
- Quelle durée minimale de conservation s'applique aux enregistrements (§ 8.4.2) ?
Pour situer le § 8.5 dans l'ensemble de la norme, lisez le résumé complet de l'ISO/IEC 17025.
Voir le résumé