1. Ce qu'une gap analysis doit produire
Une gap analysis n'est pas un audit. Elle ne vérifie pas que le système fonctionne : elle mesure l'écart entre ce que vous avez et ce qu'exige le référentiel.
Son objectif n'est pas de constater — il est de permettre une décision. Trois décisions, précisément :
- Est-ce que l'échéance tient ? Si l'audit est dans neuf mois et que le travail représente quatre-vingts jours, la réponse dépend des ressources disponibles, pas de la bonne volonté.
- Faut-il recruter, sous-traiter, ou décaler ? Impossible d'arbitrer sans un ordre de grandeur.
- Par quoi commencer ? Toutes les exigences ne se valent pas. Certaines bloquent les autres.
D'où la règle : une gap analysis sans chiffrage en jours est incomplète. Un tableau de conformité sans charge associée est un constat, et un constat ne permet pas de budgéter.
La question n'est pas « sommes-nous conformes ». C'est « combien de jours nous en sépare, et est-ce que nous les avons ».
2. La méthode : quatre niveaux, pas deux
L'erreur la plus commune est de coter en binaire — conforme / non conforme. C'est insuffisant, parce que la majorité des situations réelles se situe entre les deux.
| Niveau | Signification | Ce qu'on note |
|---|---|---|
| Conforme | L'exigence est couverte et la preuve existe | La référence de la preuve constatée |
| Partiellement couvert | Quelque chose existe mais ne satisfait pas complètement l'exigence | Ce qui manque exactement |
| Non couvert | Rien n'existe | Ce qu'il faut créer |
| Non applicable | L'exigence ne concerne pas votre activité | La justification — c'est ce qui sera challengé |
Le niveau « partiellement couvert » est le plus important des quatre : c'est là que se cache l'essentiel de la charge réelle, et c'est celui que les auto-évaluations font disparaître.
Travailler exigence par exigence, pas chapitre par chapitre
Une gap analysis au niveau du chapitre — « §7.4 Achats : partiellement conforme » — n'apprend rien. Il faut descendre au niveau de l'exigence élémentaire, celle qui commence par « L'organisme doit… ». Sur l'ISO 13485, cela représente environ deux cents lignes.
Toujours noter la preuve, pas l'opinion
« Nous maîtrisons nos fournisseurs » n'est pas une preuve. « Procédure PRO-07 rev. 2 §4.3 + fiche fournisseur SUP-12 datée du 12/03 » en est une. Une gap analysis dont les cases « conforme » ne renvoient à rien de vérifiable sera invalidée dès le premier audit.
3. Piège 1 — « on a déjà ça »
C'est le piège numéro un, et il coûte des semaines.
Face à une exigence, quelqu'un répond : « ça, on l'a déjà, c'est dans la procédure X. » On coche conforme, on passe à la suivante. Trois mois plus tard, l'auditeur ouvre la procédure X et constate qu'elle traite d'un sujet voisin mais ne répond pas à l'exigence.
Les variantes classiques :
- La procédure existe mais ne couvre pas le périmètre. Une procédure de gestion des réclamations qui ne prévoit pas l'évaluation en vigilance.
- La procédure couvre le sujet mais n'exige aucune preuve. Elle décrit ce qu'il faut faire sans imposer de trace. Résultat : conforme sur le papier, aucun enregistrement à présenter.
- La procédure est bonne mais personne ne l'applique. C'est la situation la plus fréquente et la plus grave : l'écart n'est pas documentaire, il est structurel.
- La procédure vient d'ailleurs. Un modèle acheté ou repris d'une autre entreprise, jamais adapté. Il décrit un système qui n'est pas le vôtre.
N'acceptez jamais « on a déjà ça » sans ouvrir le document et sans demander un enregistrement produit par ce processus au cours des six derniers mois. Si personne ne peut le produire en dix minutes, l'exigence est au mieux partiellement couverte.
4. Piège 2 — compter le corporate comme acquis
Ce piège concerne les filiales et les entités de groupe, et il est plus subtil.
Une partie du système existe au niveau du groupe : les achats, la revue de direction, la sécurité de l'information, parfois le manuel qualité. La tentation est de les coter « conformes » et de passer.
Deux conséquences sont systématiquement oubliées.
L'empreinte d'audit s'élargit
S'appuyer sur un processus du groupe, c'est faire entrer le groupe dans le périmètre d'audit. L'organisme notifié ira vérifier chez le corporate ce sur quoi vous vous appuyez. Cela suppose que le corporate soit prêt, disponible, et informé — trois conditions rarement réunies quand on ne les a pas anticipées.
Un processus rendu par le groupe reste externalisé
C'est le point que presque personne n'anticipe. Au sens du §4.1.5, un processus réalisé par une autre entité — y compris une entité du même groupe — est un processus externalisé. Il appelle donc un accord qualité formalisé, des critères de surveillance et une évaluation périodique. Entre deux entités d'un même groupe, cela paraît absurde ; c'est pourtant ce qui est attendu, et c'est un constat fréquent.
La bonne nouvelle : s'appuyer sur le corporate reste très rentable. Une certification ISO 27001 au niveau groupe, par exemple, couvre une part significative des attentes sur la maîtrise des systèmes d'information. Simplement, il faut le compter comme « partiellement couvert, avec accord qualité à formaliser » plutôt que comme « conforme ».
5. Piège 3 — oublier que le chemin critique n'est pas la rédaction
Une gap analysis produit une liste d'actions, et la plupart ressemblent à « rédiger la procédure X ». On additionne les jours de rédaction, on obtient un total, on cale un calendrier. Et on se trompe.
Parce que le chemin critique d'un système qualité, ce n'est pas l'écriture. C'est l'application.
Un organisme notifié n'audite pas vos procédures : il audite les enregistrements qu'elles produisent. Il faut donc que le système ait tourné assez longtemps pour générer des preuves — des CAPA ouvertes et closes, un audit interne réalisé, une revue de direction tenue, des fournisseurs évalués, des changements maîtrisés.
Concrètement, entre le moment où la documentation est complète et le moment où l'on peut se présenter devant un organisme notifié, comptez trois à six mois d'application réelle minimum. Ce délai ne se comprime pas en ajoutant des consultants.
On peut accélérer la rédaction. On ne peut pas accélérer le fait qu'un système ait vécu.
Une gap analysis honnête doit donc présenter deux chiffres distincts : la charge en jours-homme, et le délai calendaire minimal. Ce sont deux contraintes différentes, et c'est presque toujours la seconde qui décide de la date d'audit.
6. À quoi ressemble un bon livrable
Trois documents, pas un rapport unique de quatre-vingts pages que personne n'ouvrira.
La matrice de conformité
Une ligne par exigence élémentaire. Colonnes : référence de la clause, énoncé résumé, cotation sur quatre niveaux, preuve constatée ou élément manquant, action associée. C'est le document de travail, il vit ensuite pendant tout le projet.
Le plan d'action chiffré
Une ligne par action. Colonnes : description, charge estimée en jours, criticité, responsable pressenti, dépendances. Trié par criticité puis par dépendance — certaines actions en bloquent d'autres, et l'ordre compte autant que la liste.
La note de synthèse
Deux pages pour la direction. Où vous en êtes, la charge totale, le délai calendaire minimal, et une réponse franche à la question « l'échéance tient-elle ». Rédigée pour être comprise par quelqu'un qui n'est pas du métier.
Un ordre de grandeur pour situer : sur les quelque deux cents exigences de l'ISO 13485, une structure qui dispose déjà de bases sérieuses en aura généralement entre trente et cinquante à traiter. Une structure partant de zéro devra les traiter toutes, mais beaucoup de manière proportionnée à sa taille.
Les ordres de grandeur cités dépendent fortement du produit, de la classe, du périmètre et de l'existant. Ils servent à situer, pas à budgéter. Un chiffrage utilisable se fait sur pièces.