La réponse honnête tient en un chiffre : vingt-deux. C'est le nombre de points où l'ISO 9001:2026 dit qu'une information documentée doit être disponible, comme description ou comme preuve. Tout le reste, les 126 procédures de certains kits, les classeurs de manuel qualité, relève du choix de l'entreprise ou de l'attente de l'auditeur, pas de la norme. La distinction change tout pour une PME : elle dit quoi écrire d'abord, et ce qu'on peut laisser.
Les vingt-deux informations documentées exigées
La norme ne dit jamais « vous devez avoir une procédure ». Elle dit, à vingt-deux endroits, que quelque chose doit exister sous forme écrite. Voici la liste, article par article, avec ce que chacune contient en pratique.
Le cadre du système
- Le domaine d'application (4.3) : ce que couvre le certificat, sites, activités, produits, avec la justification des exigences non applicables.
- La politique qualité (5.2) : une page signée par la direction, qui tient compte du contexte et appuie la stratégie.
- Les objectifs qualité (6.2) : chiffrés, datés, avec un responsable, des moyens et une méthode d'évaluation.
Les moyens
- Les étalonnages et vérifications des équipements de mesure (7.1.5) : l'inventaire, les échéances, les preuves, et la base de l'étalonnage quand il n'existe pas de référence nationale.
- Les preuves de compétence (7.2) : qui sait faire quoi, et comment on l'a vérifié.
La réalisation
- La revue des exigences avant engagement (8.2.3.2) : la preuve que le devis, le contrat ou la commande a été vérifié avant de dire oui, et les nouvelles exigences qui en sont sorties.
- Les éléments d'entrée de conception (8.3.3).
- Les revues, vérifications et validations de conception (8.3.4).
- Les éléments de sortie de conception (8.3.5).
- Les modifications de conception (8.3.6), avec leur impact évalué.
- L'évaluation, la sélection, la surveillance et la réévaluation des prestataires externes (8.4.1).
- La traçabilité, quand elle est exigée (8.5.2) : l'identification unique qui permet de remonter d'un produit à son lot, à sa matière, à son contrôle.
- Les incidents sur la propriété d'un client ou d'un prestataire (8.5.3) : ce qui a été perdu, endommagé ou inutilisable, et ce qui a été dit au propriétaire.
- Les modifications en production ou en prestation (8.5.6) : qui a autorisé quoi, et ce qui en est sorti.
- La libération des produits et services (8.6) : la preuve de conformité aux critères et la trace de qui a autorisé.
- Les sorties non conformes (8.7.2) : la nature de la non-conformité, les actions menées, les dérogations obtenues et l'autorité qui a décidé.
La vérification et l'amélioration
- Les résultats de surveillance et de mesure (9.1.1) : vos indicateurs, et ce qu'ils donnent.
- Le programme d'audit interne (9.2.2).
- Les résultats d'audit interne (9.2.2) : les rapports, et leur diffusion aux responsables concernés.
- Les résultats de la revue de direction (9.3.3) : les décisions, pas seulement l'ordre du jour.
- La nature des non-conformités et les actions menées (10.2.2).
- Les résultats des actions correctives (10.2.2) : la preuve que la cause a été traitée et que cela a marché.
Si votre entreprise ne conçoit pas (exclusion justifiée du 8.3), la liste tombe à dix-huit. Si elle n'a pas d'exigence de traçabilité, à dix-sept.
Pourquoi un auditeur en demande davantage
Parce que la norme exige des résultats, et qu'il faut bien les prouver. L'article 4.4 demande de déterminer les processus et leurs interactions : la norme n'exige pas de cartographie, mais c'est la façon la plus simple de montrer qu'on l'a fait. L'article 6.1.2 demande d'analyser les risques et de planifier des actions : pas de registre exigé, mais essayez de prouver autrement que vos risques sont suivis. L'article 7.5 demande de maîtriser les documents : pas de liste maîtresse exigée, mais c'est la première chose que l'auditeur demande sur ce point.
Ces documents « attendus » sont ceux que l'auditeur réclamera comme preuve, et dont l'absence vous obligera à démontrer autrement, ce qui est presque toujours plus long et plus fragile. Nous en comptons soixante-cinq pour une PME type : fiches processus, registres des risques et des opportunités, matrice des parties intéressées, procédure de maîtrise des documents, plan de formation, liste des prestataires, et ainsi de suite. Aucun n'est obligatoire au sens strict ; tous sont la réponse la plus économique à une question que l'auditeur posera.
Ce que vous pouvez laisser
Le manuel qualité n'est plus exigé depuis 2015 ; il reste utile pour présenter le système, en quelques pages, pas en cinquante. Les procédures des processus qui tournent bien sans écrit, tenus par des gens compétents, n'ont pas besoin d'être écrites : l'article 4.4.2 dit « dans la mesure nécessaire », et c'est à vous d'apprécier. Les instructions de travail ne sont attendues que là où leur absence crée un risque de non-conformité. Et personne ne vous demandera de réécrire vos documents pour adopter le vocabulaire de la norme.
La règle que nous donnons aux PME : écrivez d'abord les vingt-deux, puis les attendus un par un en vous demandant à chaque fois « quelle question de l'auditeur ce document évite-t-il ? ». Si vous ne trouvez pas la question, ne l'écrivez pas.
Trois pièges fréquents
Le premier : confondre « exigé » et « existant ». Une entreprise qui a soixante procédures héritées d'un consultant n'a pas forcément les vingt-deux informations documentées exigées ; il manque souvent la revue des exigences avant engagement (point 6) et les résultats des actions correctives (point 22).
Le deuxième : écrire sans faire tourner. Les points 6 à 22 sont des preuves, pas des trames : une trame vide de revue de commande ne vaut rien ; dix revues remplies sur trois mois, si.
Le troisième : oublier que l'édition 2026 ajoute des attentes sans ajouter de documents exigés. Les opportunités, la culture qualité, l'information du client en cas de perturbation, les nouvelles entrées de la revue de direction ne créent pas de nouvelle information documentée obligatoire ; elles créent des questions nouvelles de l'auditeur, auxquelles vos documents attendus doivent répondre.
Pour aller plus loin. La liste maîtresse publique du kit ISO 9001:2026 d'Hinsight présente les 171 documents d'une certification classés en exigé (22), attendu (65) et utile (84), avec pour chacun l'article de la norme et ce que l'auditeur regarde. Le kit complet les fournit prêts à adapter ; un extrait gratuit permet de les juger avant d'acheter.