Qui peut réaliser un audit RGAA valable
Le référentiel n'impose aucune certification d'auditeur, et il n'existe pas d'agrément officiel. Un audit peut être mené en interne, sous forme d'auto-évaluation, ou confié à un tiers. Ce qui fait la validité d'un audit n'est donc pas le statut de celui qui le signe : c'est le respect de la méthode.
Les conditions de cette validité sont décrites sur la page audit RGAA.
Ce qui rend un audit recevable
- Un échantillon constitué selon les règles, tirage aléatoire compris.
- Les 106 critères évalués, pas un sous-ensemble choisi.
- Des tests manuels, parce que l'essentiel du référentiel n'est pas automatisable.
- Des statuts justifiés, en particulier chaque « non applicable ».
- Un rapport reproductible : une autre personne doit retrouver les mêmes résultats.
Les trois voies, et leurs limites
| Voie | Atout principal | Limite principale |
|---|---|---|
| Auto-évaluation interne | Coût réduit, montée en compétence durable, connaissance du produit | Conflit d'intérêt : l'équipe évalue son propre travail |
| Prestataire tiers | Regard extérieur, maîtrise de la méthodologie, opposabilité | Coût, et dépendance si aucun transfert de compétence n'est prévu |
| Outil automatique seul | Immédiat, utile en contrôle continu | Ne couvre qu'une fraction des critères : ne constitue pas un audit |
Un rapport d'outil automatique ne vaut pas résultat d'audit. Au sens du référentiel, une organisation qui n'en possède pas d'autre reste non conforme, faute de résultat d'audit valide. Voir le calcul du taux de conformité.
Réussir une auto-évaluation
Elle est parfaitement praticable, et souvent le bon choix sur le long terme. Trois précautions la rendent crédible.
- Séparer qui produit et qui évalue. Le développeur qui a écrit le composant n'est pas celui qui le teste.
- Se former à la méthodologie de test, pas seulement à la liste des critères. Voir se former à l'audit.
- Faire valider le premier audit par un tiers. C'est le meilleur investissement : il révèle les biais de lecture avant qu'ils ne se répètent sur trois campagnes.
Choisir un prestataire
Quatre questions suffisent à faire le tri.
- Combien de jours prévoyez-vous, et pour quel échantillon ?
- Le rapport localise-t-il chaque anomalie au composant près ?
- Testez-vous au lecteur d'écran, et avec lequel ?
- Le livrable est-il réutilisable pour le suivi et le contre-audit ?
Et les certifications ?
Des certifications privées attestent d'un niveau de connaissance. Elles ont de la valeur dans une réponse à un marché ou sur un curriculum vitæ. Elles ne sont ni obligatoires, ni suffisantes : elles ne remplacent pas la lecture du rapport produit. Le sujet est traité sur la page mise en conformité.
Poursuivre
Pour le cas des documents, voyez l'audit des PDF et documents bureautiques. Pour l'outillage employé à chaque étape, le comparatif des outils d'audit.