ISO 45001 en partant de zéro : à quoi ressemblent les six premiers mois

L'auditeur ne commencera pas par vos classeurs. Il ira jusqu'à un poste de travail et demandera à un opérateur comment se signale un presque-accident.

Toute la norme tient dans cette question. ISO 45001 a remplacé OHSAS 18001 comme norme internationale des systèmes de management de la santé et de la sécurité au travail, et si vos clients ou votre assureur commencent à la réclamer, la question posée n'est pas de savoir si vos postes sont sûrs. C'est de savoir si vous pouvez montrer un système qui identifie les dangers, les maîtrise et s'améliore, et si ceux qui font le travail sont dedans.

Ce que la norme exige réellement

La structure suit le même format de haut niveau qu'ISO 9001 et ISO 14001, ce qui compte si vous détenez déjà l'une des deux : les chapitres contexte, leadership, planification, support, réalisation, évaluation des performances et amélioration vous seront familiers, et une partie de la documentation se mutualise.

Quatre exigences font l'essentiel du travail.

Contexte et parties intéressées. Qui est affecté par votre performance santé-sécurité, et ce que ces parties attendent de vous. Pour une entreprise du BTP, cela inclut les sous-traitants présents sur vos chantiers ; pour un logisticien, des conducteurs qui ne sont pas vos salariés.

Identification des dangers et évaluation des risques. Un processus documenté et reproductible, couvrant les activités routinières et non routinières, y compris la façon dont le travail est réellement organisé. C'est là que les auditeurs passent le plus de temps.

Consultation et participation des travailleurs. ISO 45001 est inhabituellement précise ici. Les travailleurs non-encadrants doivent être consultés sur l'identification des dangers, sur l'analyse des événements et sur la politique santé-sécurité elle-même, et les obstacles à leur participation doivent être levés. Ce qui est audité, c'est la preuve de la consultation, pas l'affirmation qu'elle a lieu.

Planification et maîtrise opérationnelles, y compris la préparation aux situations d'urgence et la maîtrise des achats et des sous-traitants.

Ce que contiennent les six premiers mois

Semaines 1 à 4 : périmètre et écarts. Décidez le périmètre précisément, par site et par activité, puis comparez l'existant aux exigences. L'analyse d'écarts aboutit en général au même constat : le travail opérationnel a déjà lieu, et le processus documenté autour, non.

Semaines 4 à 10 : le processus d'évaluation des risques. Pas encore les évaluations elles-mêmes, le processus : qui identifie les dangers, quand, comment ils sont cotés, comment les mesures de maîtrise sont choisies, comment le résultat est consigné et revu. Appliquez explicitement la hiérarchie des mesures (élimination, substitution, mesures techniques, mesures organisationnelles, équipements de protection individuelle), dans cet ordre, car la norme l'attend.

Semaines 8 à 16 : participation et compétences. Mettez en place le mécanisme de consultation et consignez-le. Rattachez les compétences requises aux postes et enregistrez les formations correspondantes, avec dates et taux de réalisation.

Semaines 12 à 20 : veille réglementaire et maîtrise opérationnelle. Une liste tenue à jour des exigences applicables et de la façon dont vous y répondez. Des procédures d'urgence testées, et pas seulement écrites.

Semaines 18 à 26 : audit interne et revue de direction. Il vous faut au moins un cycle complet d'audit interne et une revue de direction avant qu'un organisme certificateur trouve matière à évaluer. C'est la partie la plus souvent comprimée, et celle que les auditeurs lisent le plus attentivement.

Ce que vous pouvez sauter

Un nouvel outil de gestion documentaire. Servez-vous de celui que vous avez. La norme exige des informations documentées maîtrisées, pas un logiciel particulier.

Réécrire des procédures qui fonctionnent. Un mode opératoire utilisé tous les jours et fidèle à la pratique réelle est une meilleure preuve qu'une version réécrite que personne ne suit.

Tout certifier d'un coup. Cadrez un site, faites tourner le système, puis étendez. Un périmètre étroit certifié honnêtement vaut mieux qu'un périmètre large qui échoue.

L'échec qui mérite d'être nommé

La façon la plus fréquente dont une première tentative tourne mal : le système est bâti comme un projet documentaire à côté, par une seule personne, et ne touche jamais à la façon dont le travail se planifie le lundi matin. Les auditeurs le détectent vite, parce qu'ils interrogent les opérateurs. Si ceux qui font le travail n'ont jamais entendu parler du processus d'évaluation des risques, le certificat n'est pas votre problème.

Partez donc de ce que vos encadrants font déjà pour protéger leurs équipes, écrivez-le fidèlement, et corrigez ce qui se révèle manquer. Cela demande environ six mois sur un site, et cela produit un système qui passe l'audit pour la seule raison durable : c'est celui dont vous vous servez vraiment.