SMETA 2-Pillar ou 4-Pillar : choisir le périmètre selon les risques et les exigences du client

La différence entre SMETA 2-Pillar et 4-Pillar ne tient ni au nombre de questions ni au volume de documents à préparer. Le format 2-Pillar porte principalement sur les normes du travail et la santé-sécurité au travail. Le format 4-Pillar reprend ce périmètre et y ajoute les pratiques environnementales et l’éthique des affaires. L’élargissement de l’audit implique donc de mobiliser davantage de processus, de responsables de données et de sources de preuves. Le périmètre doit être confirmé avant le début des préparatifs : une décision inadaptée peut conduire à évaluer les mauvais domaines ou à révéler des écarts que l’organisation n’aura pas eu le temps de traiter.

Deux périmètres pour des décisions différentes

SMETA est une méthodologie d’audit éthique et social appliquée aux chaînes d’approvisionnement. Il ne s’agit ni d’une norme de système de management ni d’une certification comparable à une certification ISO. L’audit évalue les pratiques et les preuves relatives à un site déterminé : conditions d’emploi, organisation du travail, dispositifs techniques de sécurité, enregistrements opérationnels et application effective des règles définies. La simple existence d’une politique ou d’une procédure ne préjuge pas du résultat, et une issue favorable ne donne pas lieu à la délivrance d’un certificat.

Un audit plus large n’est pas automatiquement un meilleur choix. Les exigences du client, du responsable du programme fournisseurs ou les dispositions contractuelles restent déterminantes. Un client peut exiger le format 4-Pillar même pour un site présentant peu de risques environnementaux, notamment s’il applique des critères uniformes à l’ensemble de ses fournisseurs. Avant de préparer l’audit, il faut donc confirmer la version de la méthodologie applicable à la date prévue, le format demandé et les modalités de gestion de l’audit sur la plateforme Sedex.

Un site peut disposer de dossiers du personnel bien tenus, d’un suivi fiable du temps de travail et d’une organisation santé-sécurité structurée, sans pour autant produire des preuves cohérentes concernant les déchets, la consommation de ressources, les conflits d’intérêts ou le signalement des irrégularités. Si la préparation est pilotée uniquement par les ressources humaines et la fonction santé-sécurité, elle ne couvrira alors qu’une partie des exigences du format 4-Pillar. Étendre le périmètre suppose d’associer les responsables des processus concernés et de vérifier les pratiques réelles, non d’ajouter deux chapitres à une procédure.

Il convient également de définir les sites, les activités, les effectifs et les formes d’emploi concernés par l’évaluation, y compris le travail temporaire et la sous-traitance lorsqu’ils existent. Le périmètre doit être établi à partir de la commande, du contrat ou du portail du client, et non sur la base d’hypothèses internes. Ce point est particulièrement important lorsque SMETA est utilisé comme audit client. Pour approfondir le cadrage organisationnel, voir Comment préparer l’entreprise à un audit de seconde partie chez un fournisseur stratégique ?

Ce que vérifie le format 2-Pillar

Le périmètre 2-Pillar couvre les normes du travail ainsi que la santé-sécurité au travail, sans se limiter à l’examen des règlements, procédures et dossiers individuels. En matière d’emploi, l’auditeur examine notamment la légalité et le caractère volontaire du travail, le temps de travail, les rémunérations, l’égalité de traitement, la liberté d’association, l’interdiction du travail des enfants et les pratiques disciplinaires prohibées. L’organisation réelle du travail est déterminante : qui réalise les tâches, sur quelle base, selon quels horaires et suivant quelles règles de rémunération.

Sur un site implanté en France, une attention particulière doit notamment être portée aux relevés du temps de travail, aux heures supplémentaires et aux temps de repos, aux retenues sur salaire, aux congés, aux différentes formes contractuelles, au travail temporaire et à la régularité de l’emploi des travailleurs étrangers. Les données RH, de paie et de production doivent décrire une même réalité. Si les contrôles d’accès, le planning d’une équipe ou les données de production attestent de la présence d’un salarié qui n’apparaît pas dans le décompte du temps de travail, la conformité formelle du dossier RH ne supprime pas le risque. Il faut donc désigner un responsable des données RH et de paie, puis organiser la collecte des informations auprès des agences d’intérim et des autres prestataires de main-d’œuvre.

Le pilier santé-sécurité couvre à la fois l’organisation du pilotage et les conditions observables aux postes de travail. L’évaluation peut porter notamment sur l’actualité et la pertinence des évaluations des risques professionnels, les protections des machines, le port des équipements de protection, le dégagement des issues d’évacuation, la sécurité incendie, les premiers secours, les formations et le traitement des accidents et presque-accidents. Les enregistrements relatifs aux contrôles des dispositifs de sécurité et à la correction des défaillances sont également vérifiés. Une documentation décrivant une maîtrise efficace perd toute crédibilité si l’auditeur constate, lors de la visite, le contournement d’un protecteur, une sortie obstruée ou l’absence d’un équipement de protection obligatoire.

L’auditeur sélectionne des échantillons documentaires et les confronte aux observations réalisées sur le site ainsi qu’aux déclarations des travailleurs. Il peut rapprocher les données relatives au temps de travail, aux salaires, aux congés et au repos des journaux d’accès, des plannings ou des données opérationnelles. Il peut également comparer les registres de formation et de contrôle aux pratiques constatées aux postes. Toute divergence entre les sources constitue un signal de risque important, en particulier lorsqu’elle est récurrente ou concerne des intérimaires, des travailleurs étrangers ou du personnel mis à disposition par un intermédiaire. Avant l’audit, les modalités d’accès de l’auditeur aux documents et aux travailleurs doivent aussi être définies dans le respect de la confidentialité et de la protection des données.

La préparation d’un audit 2-Pillar ne peut pas être confiée au seul responsable qualité. Elle nécessite la coopération des ressources humaines, de la paie, de la santé-sécurité, de la production, de la maintenance, de la sûreté ainsi que des agences et autres organismes mettant du personnel à disposition. Les responsables de processus doivent consolider la structure des effectifs par type de relation contractuelle et par intermédiaire, attribuer la responsabilité de l’exhaustivité des données et définir le traitement des incohérences. Une coordination comparable est nécessaire lorsque l’organisation examine comment préparer l’équipe à un audit client exigeant APQP, PPAP et une analyse des causes.

Ce qu’ajoute le format 4-Pillar

Le format 4-Pillar étend l’audit à deux domaines distincts : le management environnemental et l’éthique des affaires. Il ne s’agit pas de simples questions supplémentaires adressées au responsable du système de management. Ces thèmes nécessitent la participation d’autres responsables de processus et l’accès à de nouvelles sources de preuve. La préparation doit être adaptée au profil d’activité du site, aux exigences du client et à la répartition réelle des responsabilités, plutôt que de consister en une extension mécanique de la liste documentaire utilisée pour le format 2-Pillar.

Le pilier environnemental examine la manière dont le site identifie les exigences applicables et maîtrise ses incidences sur l’environnement. Selon la nature des activités, l’évaluation peut porter sur les consommations d’énergie, d’eau et d’autres ressources, la gestion des déchets, les émissions, les effluents, les substances chimiques ainsi que la réponse aux déversements et autres événements environnementaux. Le point de départ doit être un registre des exigences propres au site, recensant les décisions, autorisations, déclarations, mesures et obligations de reporting applicables.

La disponibilité des documents ne suffit pas à démontrer la maîtrise. Le site doit apporter la preuve du suivi des prescriptions, des échéances, des responsabilités, des résultats de mesure et des actions engagées en cas d’écart. L’auditeur peut confronter les conditions d’une autorisation aux registres de déchets, aux résultats de mesure ou aux consommations de ressources, puis vérifier qui analyse les dépassements ou les évolutions inhabituelles. Un système de management environnemental peut structurer ce pilotage, mais il ne remplace pas les preuves de son fonctionnement effectif.

Le pilier relatif à l’éthique des affaires ne se limite pas davantage à un code de conduite. Il couvre les mécanismes de prévention de la corruption, des conflits d’intérêts, des fraudes et des représailles, ainsi que les dispositifs d’alerte, la conduite des investigations et la sensibilisation des collaborateurs. Le fonctionnement effectif de ces mécanismes peut notamment être démontré par le statut des alertes, les formations, les déclarations de conflits d’intérêts et les actes d’enquête documentés, dans le respect de la confidentialité. Un canal d’alerte purement formel, dépourvu de responsable de processus, de règles de qualification des dossiers et de mesures de protection des lanceurs d’alerte, constitue une preuve faible.

L’évaluation repose sur les exigences juridiques applicables et les conditions d’exploitation propres au site. Elle peut toutefois prendre également en compte les attentes du client et l’efficacité des mécanismes internes. La préparation d’un audit 4-Pillar suppose donc d’associer les responsables de l’environnement, des achats, de la finance, des ventes, de la conformité, du traitement des alertes et des investigations, ainsi que les dirigeants appelés à arbitrer les situations sensibles. Il convient de désigner un responsable du registre des exigences environnementales et un responsable du processus d’alerte, en précisant leurs pouvoirs, les règles de confidentialité et les modalités d’escalade.

Où augmentent les coûts et les risques

L’effort de préparation à SMETA n’augmente pas proportionnellement au nombre de piliers ou de questions. Les coûts les plus importants apparaissent lorsque les données sont dispersées entre plusieurs services, que les responsabilités sont ambiguës et que les pratiques du site divergent des procédures. Avant de choisir l’auditeur, il faut donc estimer non seulement le volume documentaire, mais aussi le nombre de processus et de responsables concernés, l’exhaustivité et la cohérence des enregistrements sélectionnés, ainsi que le temps nécessaire pour éliminer les causes des divergences.

Le format 4-Pillar multiplie les interfaces entre les ressources humaines, la production, la santé-sécurité, l’environnement, les achats, la finance et la conformité. Confier l’intégralité de la préparation au service qualité conduit souvent à des retards ou à la présentation de preuves formellement complètes, mais insuffisantes pour démontrer l’efficacité réelle des dispositifs.

L’analyse des écarts doit distinguer les lacunes pouvant être corrigées par une meilleure attribution des responsabilités ou une remise en ordre des enregistrements, des problèmes qui exigent une modification de l’organisation du travail ou des infrastructures. Les sujets les plus exigeants sont notamment les heures supplémentaires structurelles liées à la planification des capacités, les incohérences de paie, les protections inadéquates des machines, les défaillances de sécurité incendie, la mauvaise gestion des substances et le non-respect des prescriptions environnementales. Une nouvelle procédure ou une formation ponctuelle ne suffisent pas à corriger de tels problèmes.

La direction doit décider quels écarts doivent être traités avant l’audit en raison des risques pour les personnes, de la conformité juridique ou des exigences du client. Elle doit aussi déterminer lesquels peuvent, si la nature de l’exigence et la position du client le permettent, faire l’objet d’un plan d’action crédible précisant les délais, le responsable et les ressources budgétaires.

Le problème le plus fréquent ne réside pas dans l’absence de documents, mais dans l’intégrité des données d’audit. Un site peut disposer de procédures complètes sur le temps de travail alors que le planning de production et l’historique de démarrage d’une ligne font apparaître une activité non enregistrée. Dans le domaine environnemental, un signal analogue serait une divergence entre le registre des déchets produits, le stock présent sur le site et les justificatifs de leur enlèvement. L’auditeur évalue la possibilité de reconstituer le déroulement réel du processus, non la présentation du registre. Le traitement de l’écart impose donc d’analyser les sources, de rapprocher les données entre systèmes et d’éliminer le mécanisme à l’origine des incohérences.

Il est utile de répartir le budget de préparation entre l’analyse des écarts, les actions organisationnelles, les adaptations techniques, les formations, la régularisation des enregistrements et une réserve destinée aux actions correctives après l’audit. Il n’est pas pertinent d’appliquer un tarif unique au format 2-Pillar ou 4-Pillar : les coûts techniques dépendent de l’état des installations et des processus, tandis que les coûts organisationnels dépendent de la maturité du pilotage. Des indicateurs tels que la proportion d’enregistrements complets et cohérents dans l’échantillon, la durée moyenne de maintien des écarts non résolus et le nombre de processus sans responsable clairement désigné sont en revanche utiles. Une logique similaire de structuration budgétaire est présentée dans l’article Quel est le coût de la mise en œuvre de NIS2 et de l’uKSC : construire un budget d’audit, de documentation, de formation et de mesures de sécurité sans erreurs coûteuses. Pour SMETA, cette logique doit être appliquée aux écarts réels du site en matière sociale, de santé-sécurité, d’environnement et d’éthique.

Comment choisir le périmètre et organiser la préparation

Le choix du périmètre commence par la confirmation explicite de l’objectif de l’audit, du destinataire des résultats, des sites évalués et du format 2-Pillar ou 4-Pillar. Il faut également préciser la version applicable de la méthodologie, les exigences complémentaires du client et les règles de partage des résultats. Ce n’est qu’ensuite que l’organisation peut désigner le coordinateur de la préparation, les responsables de chaque domaine et les critères de préparation à l’audit.

Si le client exige le format 4-Pillar, le fait que l’organisation considère ses risques environnementaux ou éthiques comme faibles ne justifie pas une réduction du périmètre. Lorsque le client laisse le choix au fournisseur, la décision doit reposer sur le profil d’activité et sur les capacités réelles de maîtrise de l’organisation.

Les exigences doivent ensuite être rattachées aux processus, aux sites, aux sources de données et aux personnes responsables. Une matrice peut qualifier chaque exigence comme satisfaite, partiellement satisfaite, non satisfaite ou non applicable, cette dernière qualification devant être objectivement justifiée. L’analyse des écarts ne peut pas se limiter à un questionnaire d’autoévaluation. Elle doit associer la revue des documents et des enregistrements aux observations réalisées sur le site et aux entretiens avec les travailleurs et les responsables de processus. Cette approche permet de distinguer l’absence ponctuelle d’une preuve d’une maîtrise inefficace ou d’une pratique contraire aux règles établies.

L’audit à blanc doit reproduire le déroulement de l’audit réel. Pour un travailleur sélectionné, il convient de vérifier la cohérence entre le contrat, le relevé du temps de travail, le planning, le bulletin de salaire et la preuve de paiement, puis d’examiner les conditions à son poste. Dans le format 4-Pillar, la même logique doit relier un aspect environnemental ou un risque éthique précis aux responsabilités, au dispositif de maîtrise et à l’enregistrement attestant de son fonctionnement. La concordance entre les documents, les observations et les entretiens est plus probante que la seule exhaustivité des procédures.

Les actions préparatoires doivent être définies en fonction de la criticité du risque, de la cause du problème et de leur faisabilité. Chaque action doit avoir une échéance, un responsable et une preuve de réalisation définie. Un document créé uniquement pour l’audit ne remplace ni le déploiement réel ni les enregistrements issus d’une période d’application. Le délai entre l’analyse des écarts et l’audit doit être cohérent avec la nature des changements : clarifier une responsabilité ne demande pas les mêmes ressources que modifier les protections d’une machine, réorganiser le temps de travail ou instaurer une maîtrise environnementale.

Les actions et les preuves doivent être validées par le responsable du processus et, pour les sujets ayant un impact important sur les risques, les coûts ou la conformité juridique, par le membre de la direction compétent. Le guide Préparation à un audit ISO : guide étape par étape peut constituer un point de repère utile, mais la préparation à SMETA ne doit pas être conduite comme un projet de certification d’un système de management.

Avant l’audit, l’équipe doit tester l’accès aux données, préparer les réponses des responsables de processus, organiser la visite du site et prévoir les conditions nécessaires aux entretiens confidentiels avec les travailleurs. Le critère de préparation ne doit pas être « la documentation est complète », mais « l’exigence fonctionne, le responsable sait l’expliquer et les enregistrements comme les observations confirment la même pratique ». L’article Comment préparer l’entreprise à un audit de seconde partie chez un fournisseur stratégique ? peut également servir de support, notamment pour répartir les responsabilités relatives à la visite et à la mise à disposition des preuves.

Un périmètre aligné sur l’exigence et le risque

Le format 2-Pillar est approprié s’il correspond aux exigences du destinataire et à l’objectif de l’évaluation. Cela ne signifie pas que les obligations environnementales ou les règles de conduite éthique cessent de s’appliquer à l’organisation. Elles restent soumises à un pilotage distinct découlant du droit applicable, des engagements contractuels et des principes adoptés. Le format 4-Pillar offre quant à lui une vision plus large du risque fournisseur, mais exige l’implication effective des processus environnementaux, des achats, de la finance et de la prévention des fraudes.

Avant de commander l’audit, la direction doit approuver le format, le site évalué, les responsables de processus, le budget des adaptations techniques, les règles d’escalade et les modalités de suivi des actions post-audit. La décision doit reposer sur trois éléments :

• les exigences du client ou du programme fournisseurs ;
• le profil de risque opérationnel du site ;
• la capacité de l’organisation à démontrer une maîtrise efficace.

Une analyse SWOT peut contribuer à structurer le contexte, mais elle ne remplace ni l’évaluation des risques ni l’examen des preuves.

Si le site opte pour le format 4-Pillar alors qu’aucune responsabilité n’a encore été attribuée pour les aspects environnementaux ou les risques de corruption dans les achats, l’audit élargi ne crée pas le problème : il révèle une faiblesse de maîtrise préexistante. La direction doit alors déterminer quels écarts nécessitent une action avant l’audit, lesquels peuvent être intégrés dans un plan d’amélioration et lesquels exigent une acceptation formelle du risque résiduel. Ces décisions doivent être reliées à la revue de direction et aux systèmes de management existants, plutôt que consignées dans un registre isolé sans responsables désignés.

Le rapport SMETA présente le niveau de conformité et les pratiques observées à un endroit et à un moment donnés ; ce n’est pas un certificat. Sa valeur dépend de la qualité des preuves, de l’élimination des causes des non-conformités et de la pérennité des changements. Entre deux audits, le niveau de préparation peut être suivi au moyen du nombre d’actions ouvertes par niveau de criticité et par échéance, de la proportion d’actions dont l’efficacité a été vérifiée et de la récurrence des constats lors des évaluations successives. La clôture administrative d’une action ne démontre pas, à elle seule, que le risque est maîtrisé.