Collaboration avec un organisme notifié – dans quels cas est-elle nécessaire et dans quels cas le module A suffit

La question de la collaboration avec un organisme notifié surgit bien trop souvent au mauvais moment dans un projet. En général, non pas lorsque se définissent le concept du produit et la logique de sécurité, mais seulement au moment de constituer la documentation, de préparer la déclaration UE de conformité ou juste avant le marquage CE. C’est précisément à ce stade qu’il apparaît que le problème ne tient pas à la procédure elle-même, mais à des hypothèses antérieures : la qualification du produit, les limites de responsabilité, l’étendue de la modernisation ou de l’intégration, ainsi que la qualité des éléments de preuve. La vraie question n’est donc pas de savoir s’il faut « associer » un organisme notifié, mais à quel moment son intervention est strictement obligatoire et dans quels cas le fabricant peut rester en module A et défendre lui-même l’ensemble du parcours d’évaluation de la conformité.

L’erreur la plus coûteuse naît avant l’audit

Les erreurs les plus coûteuses ne résultent pas du simple fait de contacter un organisme notifié, mais d’une mauvaise lecture de la situation dès le début du projet. En pratique, trois dimensions sont souvent confondues : la conception de la sécurité, l’évaluation de la conformité et l’intervention formelle d’une tierce partie. Elles sont liées, mais ne se confondent pas. Une machine peut être techniquement bien conçue sans pour autant nécessiter l’intervention d’un organisme notifié. À l’inverse, un produit à l’architecture complexe et présentant un risque technique accru ne relève pas automatiquement d’une telle procédure au seul motif que l’équipe le considère comme « difficile ». La nécessité de faire intervenir une tierce partie dépend de la qualification juridique du produit, de son usage prévu, de son mauvais usage raisonnablement prévisible et de la procédure d’évaluation de la conformité applicable.

Cela a une incidence directe sur la conduite du projet. La question de l’organisme notifié est secondaire par rapport à une autre : qu’est-ce qui doit réellement être mis sur le marché : une machine, un ensemble de machines, une quasi-machine ou un autre produit relevant de dispositions distinctes. Ce n’est qu’une fois cette base établie qu’il est possible de déterminer quelles règles s’appliquent et quelle voie d’évaluation de la conformité est admissible. Or, dans de nombreuses organisations, le module A est retenu trop tôt comme option par défaut, avant même la fin de la qualification du produit et avant que soient clarifiées les responsabilités du fabricant, de l’importateur ou de l’intégrateur. Cela inverse l’ordre correct des décisions.

En pratique, le problème apparaît rarement lors de la première discussion sur la conformité. Le plus souvent, il ne refait surface que lorsque le concept technique est déjà figé : conception mécanique terminée, composants commandés, notice préparée et marquage planifié. C’est alors que l’on découvre que la voie d’évaluation de la conformité retenue était erronée ou incomplète. La conséquence ne se limite pas au risque de litige avec l’autorité de surveillance du marché. Bien plus souvent, il faut revoir les protecteurs, modifier l’architecture des systèmes de commande, étendre les essais, corriger la notice, la déclaration et les marquages, ou reconstruire toute l’argumentation technique justifiant la sécurité du produit. À ce stade, le coût ne provient pas de la procédure elle-même, mais du retour sur des décisions qui auraient dû être prises plus tôt. Pour mieux anticiper les coûts cachés de la certification CE, il faut traiter ces points en amont.

Pour éviter cela, quatre points doivent être tranchés avant de figer le concept technique :

• la qualification du produit et son usage prévu,
• les dispositions applicables,
• la procédure d’évaluation de la conformité appropriée,
• le caractère obligatoire ou non de l’intervention d’un organisme notifié, ou le maintien du module A comme solution suffisante.

Ce n’est qu’en respectant cet ordre qu’il devient possible d’évaluer si une auto-évaluation de la conformité est sûre sur les plans organisationnel et juridique. Dans le contexte polonais et européen, il ne s’agit pas d’être prudent par principe, mais de faire en sorte que la décision en matière de conformité soit ancrée dans le projet, la documentation et les conditions réelles d’utilisation. Le module A n’est pas un point de départ. C’est l’aboutissement d’une qualification correcte du produit et d’une documentation technique correctement constituée.

Où s’arrête réellement le module A

La limite du module A se situe là où le fabricant n’est plus en mesure de démontrer seul, de manière convaincante, la conformité du produit dans le cadre du contrôle interne de la production. Il ne s’agit pas d’une procédure « plus légère » ni d’un mécanisme qui réduit la responsabilité. Bien au contraire : en l’absence d’intervention d’une tierce partie, toute la charge liée à la qualification correcte du produit, au choix des exigences, à l’analyse des risques, à l’adoption des mesures de protection et à la constitution des éléments de preuve repose sur le fabricant. Le module A n’est suffisant que si l’équipe est capable de démontrer non seulement que le produit est sûr, mais aussi pourquoi cette voie d’évaluation de la conformité était bien admissible pour ce produit, dans son usage réel et sa configuration effective.

Du point de vue de la conception, cela signifie qu’il est impossible de dissocier la décision relative à la conformité des choix de conception. Dans le domaine des machines, ce n’est pas seulement la fonction du produit qui compte, mais aussi le fait de savoir s’il relève de catégories soumises à des exigences procédurales particulières et si le fabricant fonde réellement la démonstration de conformité sur des solutions techniques correctement choisies au regard des dangers identifiés. Le simple fait d’affirmer que les solutions sont « conformes aux normes » ne suffit pas. Il faut démontrer la pertinence de leur choix, leur cohérence avec l’analyse des risques et leur mise en œuvre effective dans la conception, le logiciel, le système de commande et la documentation destinée à l’utilisateur.

En pratique, cette limite apparaît le plus clairement pour les produits intégrant des fonctions de sécurité réalisées de manière non standard ou s’écartant nettement des solutions couramment admises dans le secteur concerné. Le fabricant peut vouloir rester dans le cadre du contrôle interne de la production, parce qu’il connaît son produit, dispose de sa propre équipe de conception et a préparé la documentation. Le problème apparaît lorsque l’analyse des risques ne permet pas de justifier complètement le choix des mesures de protection, que la description des fonctions de sécurité ne correspond pas à la logique réelle de commande et que la justification des écarts retenus reste incomplète. Dans une telle situation, la voie autonome devient difficile à défendre, même si l’obligation de faire intervenir un organisme notifié ne découle pas encore directement d’une exigence procédurale impérative.

Il en va de même pour les produits complexes soumis simultanément à plusieurs régimes de conformité. La seule justesse technique de la solution ne permet pas alors de trancher si l’on peut rester au module A. Il faut aussi tenir compte de la manière dont les différentes procédures se superposent et des conditions à remplir dans chacune d’elles. C’est précisément dans ce type de cas qu’il est le plus facile de confondre autonomie procédurale et simplification, ce que la documentation ne supporte pas ensuite.

• Le module A est suffisant lorsque la qualification du produit, l’analyse des risques, le choix des solutions techniques et la documentation forment une démonstration de conformité cohérente.
• La nécessité de faire intervenir un organisme notifié doit être vérifiée en particulier lorsque le produit relève de catégories particulières, s’écarte des solutions techniques admises ou est soumis simultanément à plusieurs régimes.
• Si l’équipe n’est pas en mesure de défendre elle-même l’exhaustivité de la documentation technique, le maintien du module A devient un risque organisationnel, et non une économie.

C’est seulement dans ce cadre qu’une référence procédurale devient nécessaire. Ce sont les dispositions applicables au type de produit concerné qui déterminent si les conditions permettant de rester au module A sont remplies ou si l’intervention d’un tiers est requise. Ni l’intuition technique ni la conviction que le risque « n’est pas élevé » n’en décident. C’est pourquoi la question de savoir s’il est possible de commencer par le module A puis d’associer ensuite un organisme notifié arrive souvent tout simplement trop tard. Si les choix de conception et les éléments de preuve n’ont pas été préparés dès le départ en vue d’une telle éventualité, l’intervention ultérieure d’un tiers met généralement en évidence les faiblesses du projet au lieu de les corriger.

La décision doit être intégrée au projet

Déterminer si un produit donné exige l’intervention d’un organisme notifié ou si la procédure de contrôle interne de la production suffit est une décision de conception. Elle ne devrait pas être prise au moment de commander les composants ni juste avant la réception finale. Le bon moment se situe à l’étape où l’équipe a encore une influence réelle sur l’architecture de sécurité, les limites d’utilisation du produit, l’étendue des fonctions liées à la sécurité ainsi que sur la manière de constituer la documentation technique. Si la décision est repoussée à la fin, l’organisation tombe généralement dans une fausse économie : elle reste formellement au module A, mais conçoit le produit comme si la correction ultérieure des manques était techniquement neutre. En pratique, ce n’est pas le cas.

Les conséquences sont prévisibles. Changer de voie d’évaluation de la conformité en fin de projet signifie le plus souvent revenir aux hypothèses de départ, refaire l’analyse des risques, corriger les solutions de commande, compléter les preuves manquantes et débattre de la personne qui, dans l’organisation, portait la responsabilité de cette décision. C’est précisément pour cette raison qu’un processus interne court, mais rigoureux, est nécessaire avant la clôture de la conception.

Un tel processus n’a pas besoin d’être lourd, mais il doit être sans ambiguïté. Il faut d’abord qualifier le produit et définir sa destination ainsi que ses limites d’utilisation. Ensuite, il convient d’établir la liste des dispositions applicables et de réaliser une analyse préliminaire des risques, suffisante pour identifier les fonctions de sécurité critiques et les points où les choix de conception peuvent déterminer la suite de la voie d’évaluation de la conformité. Ce n’est qu’à partir de là qu’une décision procédurale peut être prise : soit nous restons au module A, soit nous préparons le projet en vue de l’intervention d’un tiers dans le périmètre résultant des dispositions applicables ou de la stratégie de preuve retenue.

Pour que cette décision soit applicable, elle doit avoir un responsable et des données d’entrée claires provenant de la conception mécanique, de l’automatisme, de la sécurité, de la conformité et de la documentation. Sans cela, le sujet revient au pire moment : sous la pression du délai de livraison ou à la suite d’observations du client, de l’importateur ou de l’autorité de surveillance du marché. À ce stade, l’organisation ne résout plus un problème de conformité ; elle compense l’absence de décision de conception.

• description du produit, de sa destination et de ses limites d’utilisation,
• analyse préliminaire des risques et identification des fonctions de sécurité critiques,
• liste des dispositions applicables et décision sur la procédure d’évaluation de la conformité,
• plan des éléments de preuve, y compris les responsabilités des fournisseurs et de l’intégrateur.

Cela apparaît clairement lors d’une modernisation, de l’intégration d’une ligne ou de la reconfiguration de machines. Pour un produit nouveau, il est généralement plus simple d’identifier le fabricant et la responsabilité portant sur l’ensemble du concept. En revanche, lorsqu’il s’agit de modifier des systèmes existants, la situation est plus complexe, car au-delà du choix de la voie d’évaluation de la conformité, il faut déterminer si l’ampleur de l’intervention ne crée pas une nouvelle responsabilité de fabricant. Si la modification porte sur la logique de commande, les fonctions de sécurité, le mode d’interaction entre les machines ou l’usage prévu, il n’est plus évident de considérer qu’il s’agit « seulement d’une modernisation ». Dans ce cas, la question de l’organisme notifié n’est pas un formalisme isolé, mais un élément d’une décision plus large visant à établir si l’étendue des modifications impose une nouvelle évaluation de l’ensemble du concept de sécurité et si les données fournies par les fournisseurs et les intégrateurs suffisent à justifier le produit final.

Si une organisation envisage de travailler avec un organisme notifié, elle doit le faire avec un objectif précis. Il peut s’agir de confirmer qu’une procédure impliquant un tiers est obligatoire, d’évaluer un périmètre strictement défini, de structurer les éléments de preuve ou de limiter le risque de contestation des solutions techniques retenues. Un tel échange n’a de valeur que si l’équipe est déjà en mesure de présenter ses fondements : pourquoi elle a considéré le module A comme suffisant, quelles solutions techniques ont été retenues, quelles dérogations ont été admises et qui a validé ces décisions. La conformité ne peut pas être ajoutée de manière crédible après coup. Elle doit être conçue en parallèle du produit.

Un exemple d’abord, les dispositions ensuite

L’erreur la plus fréquente consiste à réduire la décision relative à l’organisme notifié à une question de coût de procédure ou à une habitude : « jusqu’ici, nous faisions cela en module A ». En pratique, il s’agit d’abord d’une décision sur la qualification du produit et sur la qualité des hypothèses de conception. Si ces deux éléments ne sont pas cohérents, le débat sur la procédure elle-même n’est que la conséquence d’un problème antérieur. Une équipe qui considère trop tôt le module A comme un choix évident découvre généralement la faille seulement au moment de constituer la documentation technique, de préparer la déclaration UE de conformité ou lors de la revue précédant le marquage CE. On constate alors que ce qui manque n’est pas une confirmation externe, mais la continuité du raisonnement justificatif.

Pour le projet, la conséquence est très concrète : l’équipe technique conçoit sur la base d’hypothèses que personne n’a formellement vérifiées, tandis que les personnes responsables de la mise sur le marché reçoivent des documents difficiles à défendre en cas de contrôle ou de questions d’un client. C’est pourquoi le coût doit être évalué plus largement qu’au seul prisme de la procédure elle-même. Le risque de correction ultérieure concerne les systèmes de commande, les protecteurs, la logique de fonctionnement, la notice, le marquage et le contenu de la déclaration UE de conformité. Pour cette raison, une revue en amont de la qualification du produit s’avère parfois moins coûteuse qu’un sauvetage du projet à un stade ultérieur, même si elle confirme finalement que l’intervention d’un organisme notifié n’est pas requise. Les coûts d’une voie CE mal définie doivent donc être appréciés dans leur ensemble.

Un exemple typique concerne la modernisation d’une ligne, initialement traitée comme une simple intégration de machines existantes. L’équipe a retenu le module A comme choix naturel, car elle utilisait des sous-ensembles standard et les fournisseurs déclaraient la conformité de leurs équipements. Ce n’est qu’au moment de structurer les éléments de preuve qu’il est apparu que l’intervention réelle était bien plus profonde : la logique de coopération entre les postes avait été modifiée, des fonctions de sécurité communes avaient été ajoutées, les séquences d’arrêt et de démarrage avaient été reconstruites, et la responsabilité du comportement final de l’ensemble s’était en pratique déplacée vers l’intégrateur. Le problème ne tenait donc pas à l’absence de recours à l’organisme notifié en tant que telle, mais à l’adoption d’hypothèses incohérentes.

La documentation ne contenait pas d’analyse des risques cohérente pour l’ensemble du système, il manquait une justification claire des limites de la modernisation, et les paramètres ainsi que l’architecture des fonctions de sécurité n’étaient décrits que de manière fragmentaire, principalement par renvoi aux documents des fournisseurs de composants. Lorsque la question de la voie appropriée d’évaluation de la conformité s’est posée, l’équipe a dû revenir non pas aux formulaires, mais au projet : remettre en ordre la qualification du produit, compléter les éléments de preuve et, parfois, modifier les solutions techniques. C’est la principale leçon à tirer de ce type de situation. L’intervention d’un organisme notifié peut structurer la voie formelle et préciser le périmètre de l’évaluation, mais elle ne corrigera pas un projet faible, ne remplacera pas une analyse des risques rigoureuse, un choix approprié des mesures de protection ni une documentation cohérente.

Ce n’est qu’après cette analyse qu’il est utile de se référer au cadre juridique. Ce sont les dispositions applicables au produit concerné ainsi que les procédures d’évaluation de la conformité prévues pour celui-ci qui déterminent si l’intervention d’un organisme notifié est obligatoire ou s’il est possible de rester en module A. Le fabricant, l’importateur, l’intégrateur ou le client ne choisissent pas librement entre ces voies si la qualification du produit et l’acte juridique applicable conduisent à une autre solution. À l’inverse, la seule présence d’un organisme notifié ne transfère pas la responsabilité du contenu de la déclaration UE de conformité ni celle de savoir si le marquage CE correspond réellement à la voie d’évaluation de la conformité et au marquage CE retenus. Cette responsabilité reste du côté de l’entité qui met le produit sur le marché.

La conclusion pratique est simple. La décision la moins coûteuse concernant l’intervention d’un organisme notifié est celle qui est prise tôt : après la qualification du produit, après la vérification du périmètre de la modernisation ou de l’intégration, après l’évaluation des risques et de la qualité des éléments de preuve, mais avant la clôture du projet et la préparation de la déclaration de conformité ainsi que du marquage CE. Si des signaux d’alerte apparaissent dans la documentation — description incohérente des limites du produit, absence d’un responsable unique pour l’analyse des risques, recours excessif aux déclarations des fournisseurs, ou manque de clarté sur la responsabilité de l’ensemble des fonctions de sécurité — un examen est nécessaire avant même l’évaluation finale de la conformité. Son objectif n’est pas le formalisme. Il s’agit de faire en sorte que la procédure d’évaluation de la conformité et le marquage CE correspondent au produit réel, et non à une hypothèse retenue trop tôt et maintenue uniquement parce que le projet est presque achevé.