Le jour de l’audit, l’auditeur demande la dernière version validée d’une procédure critique. Si l’équipe hésite sur la version officielle, ou sur la personne qui l’a approuvée, c’est la maîtrise de l’information documentée (ISO 9001 §7.5) qui est en défaut. Un tel constat peut conduire à une non-conformité.
SharePoint n’est pas conforme par défaut. Mais ses fonctions natives, complétées par Power Automate et, selon les besoins, par Microsoft Purview, permettent de construire un dispositif qui répond à ces exigences. Cet article décrit comment configurer SharePoint, exigence par exigence. Si vous cherchez d’abord à savoir pourquoi choisir SharePoint comme socle de GED Qualité, commencez par cet article.
Ce que le §7.5 de l’ISO 9001 demande, en bref
La norme n’impose pas d’outil : elle impose une maîtrise. Les informations documentées doivent être identifiées et décrites, revues et approuvées, disponibles là où elles sont nécessaires et protégées. Leurs modifications doivent être maîtrisées, tout comme leur conservation et leur élimination.
Le détail des exigences et de ce que vérifie l’auditeur est traité dans notre article sur ce que l’ISO 9001 exige vraiment pour la GED Qualité. Pour savoir quels documents maîtriser, consultez notre point sur les documents obligatoires de l’ISO 9001.
Un simple espace de stockage ne suffit pas : il permet de déposer et de partager des fichiers, pas de piloter leurs statuts, leurs validations et leur historique. C’est cette différence que la configuration doit combler.
Correspondance entre le §7.5 et les fonctions de SharePoint
| Exigence du §7.5 | Fonction mobilisée | Configuration nécessaire |
|---|---|---|
| Identification et description | Colonnes de métadonnées, types de contenu | Paramétrage des bibliothèques documentaires |
| Revue et approbation | Approbation de contenu, flux d’approbation | Power Automate pour les circuits à plusieurs niveaux et les relances |
| Maîtrise des modifications | Versions majeures et mineures, historique | Contrôle de version activé sur la bibliothèque |
| Disponibilité | Vues filtrées, recherche | Vues « documents validés » par processus |
| Protection | Permissions par groupe, étiquettes de sensibilité | Groupes par rôle ; Microsoft Purview pour les étiquettes |
| Conservation et élimination | Stratégies de rétention | Microsoft Purview |
| Preuves d’audit | Historique des versions, journal d’audit | Journal d’audit Microsoft Purview activé |
Ces correspondances sont des exemples de mise en œuvre. La disponibilité de certaines fonctions, comme les étiquettes de sensibilité, la rétention avancée ou la durée de conservation des journaux d’audit, dépend des licences Microsoft 365 et de la configuration du tenant.
Comment configurer SharePoint exigence par exigence ?
1. Identification et description des documents
Chaque document doit être décrit par des métadonnées plutôt que par son emplacement dans un dossier. Exemples de champs :
- type de document (procédure, mode opératoire, enregistrement, formulaire) ;
- processus associé ;
- responsable du document ;
- niveau de criticité ;
- date d’application et date de prochaine revue ;
- statut (brouillon, en révision, validé, obsolète, archivé) ;
- niveau de confidentialité, lorsque certains documents ne doivent pas être diffusés à tous.
Rendez les champs essentiels obligatoires et préférez des listes de choix à la saisie libre : c’est ce qui rend les vues, les filtres et les tableaux de bord qualité fiables.
2. Revue et approbation
Dans beaucoup d’organisations, la validation passe encore par e-mail. La demande se perd, les délais ne sont pas suivis et la preuve d’approbation reste dans une boîte de réception, loin du document.
SharePoint propose une approbation de contenu au niveau de la bibliothèque. Pour des circuits plus complets, Power Automate permet par exemple de :
- déclencher la validation lorsqu’un document est soumis ;
- notifier les valideurs et approbateurs dans Teams ou par e-mail ;
- relancer automatiquement en l’absence de réponse et signaler les délais dépassés ;
- enregistrer la date, la décision et l’identité de l’approbateur ;
- bloquer la publication sans approbation.
Le document ne devient officiel qu’après approbation. C’est cette règle, plus que l’outil, qui crée la maîtrise.
3. Gestion des versions et des modifications
- Activer les versions majeures et mineures : les brouillons en version mineure, la publication en version majeure.
- Conserver l’historique complet et la possibilité de restaurer une version antérieure.
- Demander un commentaire de modification à chaque nouvelle version majeure.
- Limiter la visibilité des brouillons aux rédacteurs et aux valideurs.
Cela répond directement à l’exigence de maîtrise des modifications et de traçabilité.
4. Droits d’accès, disponibilité et protection
La norme exige que l’information soit disponible là où elle est nécessaire, et protégée contre les pertes, les altérations et les usages inappropriés.
- Des groupes par rôle (lecteurs, rédacteurs, valideurs, administrateurs) plutôt que des droits individuels.
- Une restriction par bibliothèque pour les documents sensibles.
- Des vues « documents validés » par processus, pour que chacun accède à la version applicable.
- Des étiquettes de sensibilité Microsoft Purview, lorsque la confidentialité le justifie.
Le DSI conserve la gouvernance IT. Le Responsable Qualité conserve la gouvernance documentaire.
5. Revue périodique et documents obsolètes
Un document validé ne l’est pas indéfiniment. À partir d’une date de revue renseignée en métadonnée, un flux Power Automate peut :
- prévenir le responsable avant l’échéance de revue ;
- passer au statut « obsolète » un document remplacé ;
- retirer les versions obsolètes des vues utilisateurs tout en les conservant pour la traçabilité.
La durée de conservation peut ensuite être appliquée par les stratégies de rétention de Microsoft Purview. Les statuts successifs sont présentés dans notre article sur les statuts du cycle de vie documentaire.
6. Preuves d’audit et traçabilité
Lors d’un audit, trois éléments sont critiques : la version applicable, la preuve d’approbation et l’historique des modifications.
SharePoint fournit l’historique horodaté des versions et l’identité des intervenants. Le journal d’audit Microsoft Purview, lorsqu’il est activé, complète cette traçabilité (consultations, modifications, partages). Un auditeur cherche des preuves : la GED doit les produire en quelques clics.
Qui fait quoi ? Aligner IT et Qualité
Une configuration conforme repose sur un partage clair des rôles.
Responsable Qualité :
- définit les exigences normatives et les statuts documentaires ;
- pilote les processus ;
- décide qui valide, qui archive et qui peut supprimer un document.
DSI :
- sécurise l’environnement ;
- gère les accès ;
- assure la conformité RGPD et la cybersécurité.
Chef de projet digital :
- traduit les besoins en architecture fonctionnelle ;
- automatise les workflows ;
- optimise l’expérience utilisateur.
Sans cette répartition, une question reste souvent sans réponse : qui est responsable de l’archivage ou de la suppression d’un document ? Elle doit être tranchée dans la gouvernance, avant le paramétrage.
Quels sont les risques d’une mauvaise configuration ?
Une GED Qualité SharePoint mal conçue peut générer :
- des droits incohérents ;
- des validations contournées ;
- des versions publiées sans contrôle ;
- des documents obsolètes encore accessibles.
Le risque est double : non-conformité ISO et vulnérabilité IT. La gouvernance doit donc être définie dès le départ : règles de nommage, modèles documentaires, politique de rétention et rôles clairement attribués. Sans elle, l’outil devient un simple disque partagé amélioré.
SharePoint et ISO 9001 : ce qu’il faut retenir
Aucun paramétrage ne rend une organisation automatiquement conforme à l’ISO 9001. Mais configuré avec méthode, SharePoint fournit les mécanismes attendus par le §7.5, à condition de :
- structurer les métadonnées ;
- formaliser le cycle de vie ;
- automatiser les validations ;
- définir une gouvernance claire.
La question n’est donc pas « Avons-nous SharePoint ? », mais « Notre SharePoint garantit-il réellement la maîtrise de l’information documentée ? ». Pour structurer ces usages, découvrez notre GED Qualité intégrée à SharePoint, ou faites-vous accompagner par nos équipes de conseil Microsoft 365.