Systèmes de management intégrés (SMI)

La Harmonized Structure (HS) est le canevas obligatoire des normes ISO de systèmes de management. Définie dans l'Annex SL des ISO/IEC Directives, Part 1 (Consolidated ISO Supplement), elle a été introduite en 2012 et porte, depuis l'édition 2021, le nom de « Harmonized Structure » au lieu de « High-Level Structure ». Elle impose à toutes les normes de systèmes de management les mêmes dix articles – les exigences figurent dans les articles 4 à 10 : contexte de l'organisme, leadership, planification, support, réalisation des activités opérationnelles, évaluation des performances et amélioration – complétés par un texte de base identique ainsi que des termes et définitions communs. Analyse du contexte, politique, risques et opportunités, informations documentées, audit interne et revue de direction sont donc structurés à l'identique dans chaque norme – et c'est précisément ce recouvrement qui rend l'intégration techniquement possible.

Les cinq normes suivent la Harmonized Structure mais se distinguent par leur partie métier. ISO/IEC 27001:2022 (sécurité de l'information, y compris l'Amendment 1:2024 sur la prise en compte du changement climatique dans les articles 4.1 et 4.2) apporte les mesures de l'annexe A. ISO/IEC 27701:2025 (système de management de la protection de la vie privée, PIMS) est, depuis sa deuxième édition, une norme de système de management autonome – un certificat ISO 27001 existant n'est plus un prérequis, même si l'intégration avec le SMSI reste la règle. ISO/IEC 42001:2023 est la première norme certifiable pour les systèmes de management de l'IA. ISO 9001:2015 (qualité) reste en vigueur ; l'édition suivante est disponible sous forme de Final Draft (FDIS, vote final jusqu'en juillet 2026) et sa publication est attendue vers septembre 2026. ISO 22301:2019 (continuité d'activité, y compris l'Amendment 1:2024) reste d'actualité ; une troisième édition n'en est encore qu'au stade de Committee Draft.

Les exigences relatives aux informations documentées (article 7.5 de la HS) sont pratiquement identiques dans les cinq normes – création, identification, revue, approbation, gestion des versions et protection des accès peuvent donc être couvertes par un seul processus de maîtrise. Une hiérarchie documentaire à trois niveaux a fait ses preuves : une politique intégrée au sommet, des procédures transversales communes (management des risques, programme d'audit, traitement des non-conformités, formation) au milieu, et des instructions de travail et enregistrements propres à chaque norme en dessous. Une matrice de correspondance qui rattache chaque document aux articles et mesures des différentes normes garde la structure lisible pour les auditeurs internes et externes – sans avoir à maintenir les contenus en plusieurs exemplaires.

En interne, un programme d'audit intégré selon l'article 9.2, couvrant plusieurs normes dans un même audit, suffit ; les lignes directrices méthodologiques sont fournies par ISO 19011:2026 (quatrième édition, mai 2026, qui remplace l'édition 2018 et étoffe notamment les recommandations relatives aux audits à distance et hybrides). Pour les audits de certification, IAF MD 11:2023 régit l'application d'ISO/IEC 17021-1 aux systèmes de management intégrés, y compris le calcul du temps d'audit : plus le degré d'intégration est élevé – revue de direction commune, documentation intégrée, processus transversaux –, plus le temps d'audit total peut être réduit par rapport à des audits séparés. Les prérequis : un plan d'audit consolidé et une équipe d'audit couvrant avec compétence toutes les disciplines concernées.

Le gain d'efficacité naît là où les processus transversaux ne sont mis en œuvre qu'une seule fois et valorisés pour plusieurs normes : analyse du contexte et des parties prenantes, méthodologie de gestion des risques, formation et sensibilisation, pilotage des fournisseurs, revue de direction et actions correctives. S'y ajoutent moins de journées d'audit et des messages cohérents vis-à-vis des clients et des autorités de contrôle. Pièges classiques : des notions de risque différentes (sécurité de l'information vs qualité vs analyse d'impact de l'IA) assimilées trop hâtivement ; des périmètres de sous-systèmes qui ne coïncident pas ; une intégration qui n'existe que sur le papier pendant que les métiers continuent de travailler séparément ; des responsabilités floues entre le CISO, les responsables de la protection des données et de la qualité ; et des cycles de certification asynchrones qui empêchent les audits combinés tant qu'ils ne sont pas délibérément synchronisés.

L'intégration réussit rarement en big bang – le manuel ISO « The Integrated Use of Management System Standards » (IUMSS) décrit une démarche progressive. Dans la pratique, un parcours en trois étapes fait ses preuves : d'abord, les systèmes séparés sont harmonisés au moyen d'une terminologie commune, d'une matrice de correspondance et d'une maîtrise documentaire partagée. Ensuite, les processus transversaux sont fusionnés – management des risques, programme d'audit interne et revue de direction. Au terme du parcours se trouve un système intégré avec une seule politique, un seul jeu d'indicateurs et des audits de certification combinés aux cycles synchronisés. Le point de départ le plus adapté est généralement le système existant le plus mature – souvent le SMSI ou le SMQ ; les nouveaux sujets comme ISO/IEC 42001 ou ISO/IEC 27701 peuvent alors être mis en place comme une extension plutôt que comme une structure parallèle.