Documentation SMETA avant audit : politiques, procédures et enregistrements à articuler dans un système cohérent

La documentation SMETA ne se résume pas à un ensemble de politiques préparées pour le jour de la visite de l’auditeur. Elle doit démontrer que les règles relatives à l’emploi, au décompte du temps de travail et à la rémunération, à la santé et à la sécurité, à l’environnement, à l’éthique ainsi qu’à la maîtrise du personnel externe sont effectivement appliquées. L’auditeur confronte les documents aux enregistrements sources, aux observations réalisées sur le site et aux témoignages confidentiels des travailleurs. Toute incohérence entre ces sources fragilise l’ensemble de la piste d’audit.

La préparation doit donc commencer par la confirmation du périmètre de l’audit et par la représentation fidèle des processus réellement appliqués. Il convient ensuite d’attribuer les responsabilités, d’ordonner les politiques et procédures, de rapprocher les données issues des différents systèmes et de mener une revue de préparation. L’objectif n’est pas de construire une apparence de conformité, mais de démontrer que le site est capable d’expliquer ses règles, ses décisions, ses dérogations et ses enregistrements à partir de personnes, de postes et d’événements concrets.

Un document ne constitue pas encore une preuve

SMETA doit être considéré comme une méthodologie d’audit éthique de la chaîne d’approvisionnement, et non comme une norme de système de management donnant lieu à certification. Le résultat de l’audit ne doit pas être présenté comme un certificat de conformité. Sedex est une plateforme d’échange d’informations et non un organisme délivrant un tel certificat. La préparation du site consiste à démontrer la cohérence entre les exigences du donneur d’ordre, les principes déclarés, les conditions de travail réelles et les enregistrements sources.

La première décision consiste à confirmer par écrit le périmètre avec le client ou le donneur d’ordre de l’audit. Les parties doivent s’accorder sur le site concerné, le type d’audit, le périmètre à deux ou quatre piliers, les processus opérationnels et supports, les catégories de travailleurs ainsi que la période d’enregistrements attendue. Les travailleurs temporaires, les sous-traitants et le personnel posté doivent être inclus lorsqu’ils relèvent du périmètre évalué. Les exigences sont à vérifier dans les accords en vigueur avec l’organisme d’audit et dans les documents SMETA applicables, plutôt que de reprendre les hypothèses retenues lors de l’audit d’un autre site.

Il est utile de structurer la documentation sous forme de pistes d’audit : partir d’une règle, identifier la responsabilité attribuée et l’action réalisée, puis retrouver l’enregistrement permettant de reconstituer un cas concret. Cette organisation exige une coopération entre les ressources humaines, la paie, les opérations, la fonction santé et sécurité au travail et les personnes chargées de superviser les sous-traitants. Un coordinateur doit maîtriser le périmètre, les versions documentaires, l’exhaustivité des données et l’attribution des écarts constatés. Une logique comparable d’organisation des preuves est présentée dans l’article Documentation NIS2 et KSC avant contrôle : quelles politiques, quels registres et quelles preuves faut-il réellement détenir ?.

L’auditeur compare le contenu des politiques et procédures aux observations sur les postes de travail, aux entretiens avec les travailleurs et aux données sources. Une politique interdisant les durées de travail excessives ne démontre pas la conformité si les relevés horaires, les plannings, les bulletins de paie et les témoignages décrivent une autre réalité. Plus que le niveau de détail d’une procédure, c’est la capacité à retracer le cas d’une personne, d’un poste ou d’une période, puis à expliquer chaque divergence, qui importe. Un document élaboré uniquement en vue de la visite, sans preuve d’application, augmente le risque de révéler des incohérences au lieu de le réduire.

Cartographie des risques et des responsabilités

La mise en ordre de la documentation doit commencer par une cartographie des processus et des risques couvrant l’emploi, le temps de travail, la rémunération, la santé et la sécurité au travail, l’environnement, l’éthique des affaires, les sous-traitants ainsi que, le cas échéant, l’hébergement et le transport. Cette cartographie doit refléter les formes d’emploi réelles, les fournisseurs de main-d’œuvre, les équipes, les sites et les installations annexes, sur la base de données organisationnelles à jour. Ce n’est qu’à partir de cette vision qu’il est possible de décider si la maîtrise documentaire peut rester centralisée ou si des responsables locaux doivent être désignés.

Pour chaque domaine, il faut désigner sans ambiguïté le pilote du processus et le responsable de l’enregistrement, préciser le lieu de conservation de la documentation, le niveau d’accès requis, la période couverte par la revue et les modalités d’approbation des modifications. La mise à disposition des dossiers individuels et des documents de paie à l’auditeur nécessite une décision spécifique. L’accès doit permettre les vérifications tout en respectant les règles de protection des données et les habilitations internes.

Les écarts les plus sérieux apparaissent souvent aux interfaces entre responsabilités. Les ressources humaines tiennent les dossiers, la paie calcule les majorations, la production modifie les plannings, la sécurité enregistre les accès et une entreprise externe affecte les travailleurs sur le site. Chaque ensemble de données peut paraître correct pris isolément, alors que leur rapprochement révèle une pratique non conforme à la règle établie. Une lacune documentaire correspond à l’absence ou à l’indisponibilité d’une preuve. Une pratique non conforme existe lorsque des enregistrements fiables, des observations ou des entretiens confirment un écart par rapport à la règle adoptée.

Lorsque le temps est limité, la priorité doit porter sur les sujets présentant la plus forte gravité pour les personnes et la conformité, la portée la plus large et la plus grande difficulté de reconstitution des données, et non sur les procédures les plus faciles à rédiger. La direction doit approuver la matrice des responsabilités, les ressources et le dispositif d’escalade des non-conformités. Le coordinateur maîtrise le périmètre, les échéances et le suivi des écarts, mais ne se substitue pas aux responsabilités des ressources humaines, de la production, de la santé-sécurité ou des achats. L’importance de cette répartition est également abordée dans l’article ASME NQA-1 — comment structurer la qualité, les responsabilités et la surveillance dans les projets du secteur nucléaire.

Des politiques qui fixent le cadre

Le corpus de politiques doit découler du périmètre d’audit confirmé, du profil de risque du site, des exigences du client et des dispositions applicables à l’activité. Il n’existe pas de liste universelle adaptée à toutes les organisations. Les règles concernent généralement les normes du travail, l’interdiction du travail forcé et du travail des enfants, la non-discrimination et la prévention du harcèlement, la liberté d’association, la rémunération et le temps de travail, la santé et la sécurité, l’environnement ainsi que l’éthique des affaires. Elles peuvent être regroupées dans un document-cadre ou réparties entre plusieurs politiques thématiques lorsque cette architecture correspond aux responsabilités de l’organisation. Le code de conduite destiné aux fournisseurs peut compléter cet ensemble, mais il ne remplace pas les règles applicables à l’intérieur du site.

Chaque politique doit préciser l’engagement de la direction, les populations couvertes, les rôles responsables de son application, les canaux disponibles pour signaler une violation, la protection contre les représailles, le traitement des dossiers et les modalités de communication aux travailleurs. L’approbation par le niveau de direction approprié donne au document l’autorité nécessaire, mais ne démontre pas sa mise en œuvre. Il faut disposer de mécanismes opérationnels et de preuves montrant que les destinataires connaissent la règle, la comprennent et peuvent l’utiliser. L’évaluation peut notamment porter sur la couverture de la communication, la compréhension confirmée et le respect des délais de réponse aux signalements.

Le périmètre des personnes concernées ne peut pas s’arrêter aux seuls salariés titulaires d’un contrat de travail. Il faut déterminer quelles règles s’appliquent aux personnes intervenant sous d’autres formes contractuelles, aux travailleurs temporaires et migrants ainsi qu’au personnel des sous-traitants présent sur le site. Une politique de prévention du harcèlement reste inopérante si un travailleur de nuit ignore le canal de signalement ou ne peut pas l’utiliser dans une langue qu’il comprend. La communication multilingue doit découler de la structure réelle des effectifs, et non de la langue officielle choisie pour la documentation.

L’adoption de politiques de groupe exige une vigilance particulière. Avant leur déploiement, il faut vérifier que les rôles mentionnés existent dans l’entité locale, que les canaux de signalement fonctionnent, que les délais annoncés peuvent être respectés et que les avantages ou dispositions organisationnelles décrits sont réellement applicables. À défaut, le document crée un engagement en contradiction avec la pratique.

Une politique unique d’emploi responsable peut remplacer plusieurs documents si elle ne dilue pas les responsabilités et reste reliée aux modalités d’exécution. La hiérarchie documentaire doit être lisible : la politique fixe le principe, la procédure décrit le déroulement de l’action, l’instruction précise son mode d’exécution et le formulaire ou le registre matérialise la preuve. Cette distinction est également utile dans l’approche décrite par l’article Audit à blanc avant NF EN ISO 9001 : comment évaluer sérieusement l’état de préparation de l’organisation sans coûts excessifs.

Des procédures qui maîtrisent les pratiques

Les procédures doivent être conçues en priorité pour les étapes où une décision managériale, une dérogation au plan ou une incohérence de données peut conduire à une violation. Dans le domaine des ressources humaines, elles doivent couvrir le recrutement, la vérification de l’âge et du droit au travail, la conclusion et la modification des conditions d’emploi, la confirmation du caractère volontaire du travail ainsi que l’interdiction des frais non autorisés. La fin de la relation de travail et la restitution des documents appartenant au travailleur doivent être encadrées avec la même précision.

Chaque activité ne nécessite pas une procédure distincte lorsque plusieurs processus partagent les mêmes rôles et dispositifs de maîtrise. Un déroulement spécifique est toutefois nécessaire pour les dossiers soumis à des niveaux différents de confidentialité, d’approbation ou de responsabilité. Le découpage documentaire doit faciliter les décisions et la production des preuves, et non reproduire l’organigramme par simple formalisme.

Le lien entre les effectifs, la capacité de production et le temps de travail exige une maîtrise particulière. La procédure doit définir les modalités de planification des équipes, d’autorisation des heures supplémentaires — manuellement ou dans un système —, d’enregistrement de la présence et de calcul des majorations, congés et retenues. Le contrôle essentiel consiste à rapprocher les données du système d’accès, des plannings, des relevés du temps de travail et de la paie, puis à expliquer les écarts avant la clôture du traitement.

Lorsqu’une commande urgente impose une modification du plan, la dérogation doit préciser la personne qui l’approuve, le fondement de la décision, l’évaluation de conformité et l’enregistrement conservé après son exécution. Les limites, les temps de repos, les règles de calcul et les échéances doivent être évalués au regard des exigences en vigueur pour la forme d’emploi et la situation de la personne concernée, et non à partir d’une valeur unique considérée comme universelle.

Dans le domaine de la santé et de la sécurité au travail, les procédures doivent correspondre aux dangers réels du site. Elles doivent encadrer l’évaluation des risques, les formations, le choix et la fourniture des équipements de protection, le signalement et l’analyse des accidents, la préparation aux situations d’urgence, les premiers secours et la sécurité incendie. Il faut également maîtriser les contrôles des équipements et l’exécution en sécurité des travaux présentant des risques particuliers, selon la nature de l’activité.

L’autorisation d’un travail nécessitant des mesures de sécurité particulières ne peut pas reposer uniquement sur une instruction de poste. Elle doit avoir un responsable décisionnaire, des conditions définies de démarrage, des critères d’arrêt et une preuve de contrôle. Une logique comparable de maîtrise des compétences et des preuves est exposée dans l’article ISO 3834 – comment maîtriser le soudage, les compétences et les enregistrements qualité en production.

Le mécanisme de réclamation doit préciser les canaux accessibles, les règles de confidentialité, l’indépendance du traitement, les délais, la protection contre les représailles, le retour d’information et les modalités de clôture. Une boîte à suggestions dépourvue de registre de traitement ne constitue pas un dispositif complet. Il faut déterminer qui reçoit un signalement concernant un supérieur hiérarchique ou la direction, et à quel moment le dossier est transféré à une personne ou à une entité indépendante. Le registre doit permettre d’évaluer les délais de réaction, l’état du dossier et l’exécution des actions, sans divulgation injustifiée des données de l’auteur du signalement.

Le volet environnemental et l’éthique des affaires doivent s’appuyer sur des procédures proportionnées aux enjeux de l’activité. Celles-ci peuvent couvrir la maîtrise des exigences, des déchets, de la consommation de ressources et des événements environnementaux, mais aussi les conflits d’intérêts, les cadeaux, les abus et les signalements. Il est préférable de décrire les dérogations en précisant leur motif, le pouvoir de décision, les limites de l’exception et l’enregistrement requis, plutôt que d’alourdir le document avec tous les scénarios possibles.

Des enregistrements capables de reconstituer les faits

Un enregistrement est utile lorsqu’il permet de reconstituer les conditions de travail d’une personne ou le déroulement d’un événement : qui a effectué l’action, à quelle date, sur quel fondement et avec quel résultat. Avant l’audit, il faut donc identifier la source de référence pour chaque processus, définir les règles d’identification des versions et organiser la correction des erreurs sans effacer l’inscription d’origine. La conservation, l’accessibilité et l’archivage sont tout aussi importants. L’enregistrement doit concerner le site et la période évalués, et son origine doit pouvoir être confirmée.

Les dossiers et registres RH doivent correspondre au statut de chaque personne. Ils peuvent inclure le fondement de l’emploi ou de la collaboration, la confirmation des conditions applicables, les données requises pour travailler légalement, les attestations de formation et de transmission des informations, les modifications des conditions ainsi que la fin de la relation. Le test de cohérence le plus significatif reste toutefois le suivi d’une personne sur l’ensemble du processus : depuis son planning, sa présence réelle et son relevé d’heures jusqu’à l’autorisation ou la demande de travail supplémentaire, puis au calcul de la rémunération et à la preuve de paiement. Le système RH, le contrôle d’accès, la documentation du responsable hiérarchique et la paie doivent décrire la même réalité.

Si le système d’accès indique une présence après la fin du temps de travail enregistré, l’écart ne doit être ni automatiquement qualifié d’heures supplémentaires ni supprimé comme une erreur technique. Il faut en rechercher la cause, comparer le planning, l’enregistrement au poste, les instructions du responsable et le traitement en paie, puis documenter l’explication et la correction approuvée.

L’échantillon examiné doit être sélectionné selon les risques. Il doit couvrir différentes formes d’emploi, équipes et fonctions, des périodes de production accrue, le travail supplémentaire et les situations exceptionnelles. Sa taille doit être déterminée selon l’ampleur de l’activité et les incohérences identifiées, et non à partir d’un nombre fixe retenu sans analyse.

En matière de santé et de sécurité au travail, la piste d’audit doit relier les évaluations des risques à jour aux registres de formation, aux examens et habilitations, aux contrôles des équipements et dispositifs de protection, à la fourniture des équipements de protection, aux exercices d’urgence, aux accidents, aux actions correctives et aux revues des conditions de travail. Pour l’environnement et l’éthique, il convient d’organiser, selon l’activité, les autorisations et déclarations, les résultats de mesure, les enregistrements opérationnels, les incidents, les réclamations, les conflits d’intérêts, les alertes et les suites données, lorsque ces domaines entrent dans le périmètre de l’audit. L’importance de la traçabilité des enregistrements est également illustrée par l’article AQAP 2110 – quels documents et processus les auditeurs examinent-ils le plus souvent dans le secteur de la défense ?

Une piste spécifique doit être construite pour les agences de travail et les sous-traitants. La documentation doit permettre d’évaluer leurs qualifications, les conditions contractuelles, les listes des personnes affectées, les déclarations requises, les règlements, la surveillance exercée et les réactions aux irrégularités constatées. Un contrat commercial ne démontre pas, à lui seul, que les personnes présentes sur le site disposent du statut approprié, reçoivent les prestations convenues et travaillent dans les conditions déclarées. Le pilote du processus doit donc rapprocher périodiquement les données du prestataire avec les présences, les relevés de travail, les documents de règlement et les résultats des contrôles sur site.

Revue de préparation et traitement des écarts

La revue de préparation doit reproduire la logique de l’audit à venir : examen des documents, visite du site, entretiens avec la direction et les travailleurs, échantillonnage des dossiers et rapprochement des données entre systèmes. Une simple liste de contrôle des politiques ne suffit pas, car elle ne révèle pas l’écart entre la règle décrite dans une procédure et la pratique observée dans une équipe de production. Selon les compétences et l’indépendance disponibles, l’organisation peut mener elle-même un audit à blanc ou confier une évaluation indépendante, conformément à l’approche décrite dans Audit à blanc avant NF EN ISO 9001 : comment évaluer sérieusement l’état de préparation de l’organisation sans coûts excessifs. Cette revue doit être clairement distinguée de l’audit officiel.

Chaque écart constaté doit être classé dans l’une des catégories suivantes :

• absence d’un document ou d’un enregistrement ;
• absence de mise en œuvre d’une règle adoptée ;
• maîtrise inefficace ;
• incohérence entre les données ;
• violation potentielle nécessitant une réaction immédiate.

Cette classification détermine le responsable du dossier et le niveau d’escalade. L’absence d’approbation d’une instruction peut relever du pilote du processus, tandis qu’un soupçon d’erreur dans le décompte du temps de travail nécessite l’intervention immédiate de la fonction RH, de la direction et, selon les circonstances, du conseil juridique. Une logique comparable d’évaluation des risques est appliquée dans l’article Audit fournisseur avant signature du contrat – comment réduire les risques liés à la qualité et aux délais.

Le plan d’action ne doit pas se limiter à ajouter un formulaire manquant. Il doit couvrir la correction de la situation actuelle, l’analyse de la cause racine, l’action corrective, l’échéance, le responsable, la preuve d’exécution attendue et l’évaluation de l’efficacité. La clôture de l’écart doit être approuvée par une personne disposant des compétences et de l’indépendance nécessaires pour évaluer les preuves, et non automatiquement par l’exécutant de l’action.

Le registre de préparation doit présenter les écarts par domaine et par niveau de risque, leurs responsables, les échéances et l’état des preuves. Tous les écarts ne peuvent pas être résolus de manière responsable avant l’audit. Un nouvel enregistrement qui ne couvre pas une période suffisante pour confirmer l’efficacité de l’action ne constitue pas encore la preuve d’une amélioration durable.

La préparation des travailleurs et de l’encadrement consiste à expliquer l’objectif de l’audit, les droits des participants, les règles de confidentialité et les modalités de mise à disposition des informations. Enseigner des réponses attendues compromet la crédibilité des entretiens et risque de masquer les problèmes réels. Les travailleurs doivent connaître les règles applicables et les canaux disponibles pour signaler un problème, tout en répondant selon leur propre expérience.

La décision de préparation relève de la direction et doit s’appuyer sur le registre des risques ouverts, la cohérence des pistes d’audit et la capacité des pilotes de processus à expliquer factuellement les pratiques. Lorsqu’une violation potentielle concernant les travailleurs subsiste, que les données fiables font défaut ou qu’un écart exige une période plus longue pour confirmer l’efficacité des mesures, le dossier doit être escaladé. Si les exigences du client et les dispositions organisationnelles le permettent, des écarts graves non résolus peuvent justifier un report de l’audit.