Ce qu’un audit vous demande vraiment, et où vos preuves se trouvent aujourd’hui
Un audit Qualiopi, un contrôle de financeur ou une visite de France compétences ne lisent pas un dossier. Ils choisissent des actions et demandent la trace de chacune, datée du jour où elle a eu lieu.
L’audit est dans trois semaines. Quelqu’un ouvre un tableur, fouille une boîte mail, relance un intervenant pour une feuille d’émargement signée en mars. La question revient à chaque cycle : on reconstitue tout à la main ?
La réponse tient moins au courage des équipes qu’à la nature de la demande. Un audit ne vous demande pas un dossier. Il vous demande des preuves datées, sur des actions qu’il choisit lui-même. Les preuves d’un audit Qualiopi, comme celles qu’exigent désormais France compétences et les financeurs, naissent au moment où la décision se prend. La veille de l’audit, il est trop tard pour les faire naître.
Une preuve se constitue au fil de l’année, là où la décision se prend. Elle ne se fabrique pas avant l’audit.
Cet article suit le cycle entier d’une preuve : ce que l’auditeur ouvre, qui d’autre regarde, ce qui rend une trace recevable, ce qui la rend lisible, et où elle se perd dans une école.
Un audit ne lit pas un dossier, il tire un échantillon
L’image du classeur prêt pour le jour J est trompeuse. L’arrêté du 6 juin 2019 , qui fixe les modalités de l’audit Qualiopi, décrit autre chose. L’auditeur échantillonne les actions de formation. Son échantillon doit être « représentatif de l’activité du prestataire », et il « n’est pas communiqué à l’organisme audité avant la réunion d’ouverture de l’audit ». Vous ne savez pas quelle action il ouvrira. Vous savez seulement qu’il en ouvrira.
La phrase suivante du même article ferme la porte : « L’absence de preuve le jour de l’audit fait l’objet d’une non-conformité. » Pas la veille, pas la semaine suivante. Le jour même.
L’audit ne s’arrête pas à la certification. L’audit de surveillance tombe entre le 14e et le 22e mois, et il vérifie que « le référentiel en vigueur est toujours appliqué », sur des actions « conduites depuis le précédent audit ». La certification vaut trois ans, selon l’article R. 6316-2 du Code du travail . Entre deux audits, chaque cours ouvert peut devenir la pièce qu’on vous demandera, parfois près de deux ans après.
Le ministère le dit à sa manière. Les exemples de preuves de son guide de lecture « ne sont pas exhaustifs ». La conformité repose sur l’appréciation de l’auditeur « quant à la mise en œuvre des exigences et non sur la seule présence ou l’absence » des pièces listées. Une procédure rédigée pour l’occasion prouve qu’elle existe. Elle ne prouve pas qu’elle a servi.
Le prix d’un trou est écrit. Une non-conformité majeure doit être corrigée sous trois mois, faute de quoi la certification n’est pas délivrée, est suspendue ou retirée. Une non-conformité mineure laisse six mois, et cinq mineures non levées valent une majeure (arrêté du 6 juin 2019 , articles 1 et 5).
Le 1er novembre, le texte que l’auditeur lit change : le décret n° 2026-728 réécrit les indicateurs, alors que le ministère sert encore le guide de janvier 2024. Ce que cela change, indicateur par indicateur, est traité dans notre article sur le décret Qualiopi. La mécanique de l’échantillon, elle, ne bouge pas.
Trois regards de plus sur les mêmes pièces
Qualiopi n’est pas le seul à ouvrir vos dossiers. Une école privée évaluée par le CCESP ou par la CTI est réputée satisfaire à l’obligation de certification, selon l’article L. 6316-4 du Code du travail . Les trois contrôles qui suivent visent autre chose que ce certificat : le titre que vous préparez, l’argent que vous recevez, l’outil que vous utilisez.
France compétences, désormais sur place
Depuis la loi n° 2026-534 du 25 juin 2026 , article 58, France compétences peut contrôler « sur pièces et sur place » les organismes certificateurs. Le contrôle s’étend aux organismes qu’ils habilitent à préparer une certification inscrite au RNCP. Si votre école prépare un titre porté par un autre certificateur, elle entre dans ce périmètre.
Trois détails du texte comptent pour un responsable qualité. Les agents peuvent faire usage d’une identité d’emprunt. Ils peuvent demander « tout document, quel qu’en soit le support ». Et le secret professionnel ne peut pas leur être opposé. Centre Inffo y lit la volonté de confronter les pièces fournies à la réalité du terrain. Un contrôle sur place ne vous laisse pas le temps de monter une pièce. Il voit celle qui existe.
Les financeurs, sur trois à dix ans
Un organisme de formation présente « tous documents et pièces établissant les objectifs et la réalisation » de ses actions. À défaut, elles « sont réputées ne pas avoir été exécutées », et les sommes perçues se remboursent (article L. 6362-6 du Code du travail ).
La fenêtre est longue. Le droit de reprise de l’administration court jusqu’à la fin de la troisième année qui suit la clôture de l’exercice. Il passe à dix ans en cas de manquements répétés, de manœuvres frauduleuses, ou de manquements révélés par une procédure (article L. 6362-8-2 , créé par la même loi). Une feuille d’émargement de cette rentrée peut encore être lue en 2029. La chaîne de présence et d’heures que ces contrôles examinent est détaillée dans ce que les contrôles d’apprentissage exigent comme preuves.
L’AI Act, en décembre 2027
Une école qui confie à un outil d’IA une part de l’évaluation des acquis devra garder au moins six mois de journaux de ce que l’outil a fait (article 26 du règlement européen sur l’IA ). Le calendrier et ce qu’il reporte sont dans ce que le report de l’AI Act ne reporte pas.
Trois textes, trois autorités, une seule demande : montrez ce qui s’est passé, à la date où cela s’est passé.
Ce qui fait qu’une trace vaut preuve
Tout ce qu’une école conserve n’a pas la même valeur. Quatre conditions séparent une pièce d’une preuve.
Un auteur identifié. L’article 1366 du Code civil donne à l’écrit électronique la même force probante que le papier, « sous réserve que puisse être dûment identifiée la personne dont il émane ». Un tableur partagé que tout le monde modifie sous le même compte ne dit pas qui a validé la ligne.
Une date contemporaine de l’action. Le focus 2026 de Centre Inffo sur la fraude le formule pour l’émargement : « signé en temps réel (pas a posteriori) », « daté et horodaté ». Il range les « feuilles d’émargement inexactes ou reconstituées » parmi les signaux de fraude. Selon Centre Inffo , le tribunal administratif de Montpellier a retenu en 2023 la fraude intentionnelle pour des feuilles signées après coup.
Une intégrité. Le même article 1366 exige que l’écrit soit « établi et conservé dans des conditions de nature à en garantir l’intégrité ». La CNIL décrit ce qu’un journal doit porter pour chaque opération : « l’auteur individuellement identifié, l’horodatage, la nature de l’opération réalisée ainsi que la référence des données concernées ». Qui, quand, quoi, sur quel dossier.
Une conservation à la bonne durée. La CNIL recommande de garder les journaux d’accès « entre six mois et un an ». Les financeurs peuvent revenir trois ans en arrière, parfois dix. Dans l’enseignement supérieur public, l’instruction de tri de 2005 garde les copies d’examen un an après les résultats, et les procès-verbaux d’examen cinquante ans. Une école privée n’y est pas tenue. L’ordre de grandeur reste utile : une pièce vit plus longtemps que la mémoire de celui qui l’a produite.
Une nuance, pour être juste. La cour administrative d’appel de Nantes a jugé en 2022 que « la seule circonstance que de tels documents ne soient produits que postérieurement au contrôle ne suffit pas à les écarter » (CAA Nantes, n° 20NT01403 ). La même décision a divisé par deux les heures retenues là où les feuilles ne portaient qu’une signature par jour. Produire une pièce tard n’est pas interdit. La fabriquer tard l’est, et une pièce trop pauvre ne vaut qu’à moitié.
Une trace que personne ne relit ne prouve rien
Garder des traces ne suffit pas. Le rapport de l’ANSSI sur les cyberattaques contre la DGFiP, publié le 29 septembre , le montre sur un cas extrême.
Selon le rapport de l’ANSSI , « entre le 22 mai et le 3 juin, plusieurs tentatives de connexions suspectes » sur un portail de la DGFiP « sont journalisées sans lever d’alerte ». Les traces existaient. Personne ne les a lues à temps, et « aucune de ces exfiltrations n’a été détectée », ni par la supervision de la DGFiP, ni par celle de l’ANSSI.
La suite concerne directement un responsable qualité. Pour établir ce qui s’était passé, l’ANSSI a recollé la chronologie après coup, à partir de cinq sources : les documents de la DGFiP, ses journaux d’évènements, les alertes d’un prestataire de veille, des journaux réseau fournis par le ministère de l’Éducation nationale, et les publications de l’attaquant lui-même. Le rapport prévient : « des écarts temporels peuvent apparaître entre celles-ci ».
C’est exactement ce qui arrive à un dossier d’audit reconstitué. Une date vient du tableur, une autre d’un mail, une troisième d’un PDF signé. Chaque source a son horloge, et l’auditeur voit les écarts.
L’ANSSI en tire une règle : après une compromission, il faut analyser « l’activité du compte depuis la date supposée de compromission ». Cette règle suppose un journal que l’on sait interroger pour une personne et une période, le jour même. Pour un audit, c’est la même exigence : sortir, pour un cours et une période, qui a fait quoi, et quand. Qui peut lire un dossier d’étudiant, et qui l’a lu, est une question voisine, traitée dans notre article sur la traçabilité des accès.
Où vos preuves se trouvent aujourd’hui
Notre page d’accueil résume le problème d’une ligne : « Avant chaque audit, vos équipes refont les preuves à la main. » Refaire à la main, c’est reconstruire après coup les quatre maillons du cycle d’une preuve. Chacun casse à un endroit précis.
La source. Une preuve naît là où la décision se prend. Si un intervenant est retenu par un échange de mails, la preuve de ce choix vit dans une boîte que l’école ne contrôle pas toujours. Si la présence se note sur papier puis se ressaisit, deux sources coexistent, et elles divergent un jour.
L’historique. Un contrôle porte sur une date passée. Un tableur tenu à jour dit ce qui est vrai aujourd’hui. Il ne dit pas ce qui l’était au moment de la séance contrôlée, ni qui a changé la ligne entre-temps.
La continuité. L’audit de surveillance tombe jusqu’au 22e mois, la reprise d’un financeur jusqu’à trois ans. Sur cette durée, les équipes changent. Une preuve qui ne tient que par la mémoire d’une personne part avec elle.
La sortie. Une pièce que l’on ne peut pas présenter le jour de l’audit n’existe pas pour l’auditeur. Rassembler une action de formation depuis la scolarité, le LMS et une boîte mail prend du temps, et chaque copie ajoute un risque d’écart.
Aucun de ces maillons ne se répare la veille. Ils se tiennent au fil de l’année, ou ils manquent.
À trois semaines de l’audit
Il reste pourtant beaucoup à faire, et une chose à ne pas faire.
Ce qui se fait encore. Rassembler ce qui existe déjà, action par action. Vérifier que les pièces d’une même action se corroborent : mêmes dates, mêmes heures, mêmes personnes. Repérer les trous, et les nommer. Une non-conformité reconnue se corrige sous trois mois si elle est majeure, sous six si elle est mineure. Elle a une issue.
Ce qui ne se fait plus. Faire naître une trace datée d’une action passée. Une feuille signée après coup, une attestation antidatée, un compte rendu rédigé pour l’audit : c’est précisément ce que les juges et les contrôleurs appellent une pièce reconstituée. Une non-conformité se corrige. Une pièce fabriquée se qualifie.
Pour l’audit suivant, la seule préparation qui tienne commence le lendemain de celui-ci : faire en sorte que chaque décision laisse sa trace au moment où elle se prend.
Ce que fait Subrequest, et ce qu’il ne fait pas
C’est le rôle du pilier « Les traces » du Socle : « Tout est tracé, daté, au même endroit. » Chaque action garde sa date, son heure et son auteur, du premier contact au dernier cours. Le jour de l’audit, les preuves Qualiopi et RNCP sont déjà là, parce qu’elles se sont constituées pendant l’année, là où le travail s’est fait. Chaque action est journalisée avec son auteur, son objet et son heure, et les preuves sortent quand l’audit les demande.
L’outil rassemble les preuves. Il ne monte pas le dossier. Il ne garantit pas non plus votre certification : une certification dépend de votre organisation. Ce que Subrequest garantit, c’est que les preuves existent, à jour, et qu’elles sortent quand vous en avez besoin.
Le Socle et ses trois piliers sont décrits sur la page du Socle.