Presque toutes les entreprises ont une règle non écrite pour les personnes qui entrent : « on passe par l’accueil et on signe ». Rares sont celles qui ont une vraie procédure, c’est-à-dire un document qui dit qui accueille, ce que l’on enregistre, qui accompagne, ce qui se passe en cas d’évacuation et combien de temps les données sont conservées. Ce guide explique comment la rédiger simplement, comment la faire appliquer sans alourdir le travail de l’accueil et à quoi s’attendre le jour où un auditeur demande à la voir.
En bref
Une procédure d’accueil des visiteurs est le document interne qui fixe qui peut entrer, comment la personne est enregistrée, qui en est responsable pendant sa présence et comment elle ressort. Elle sert à l’accueil pour travailler toujours de la même façon, au responsable sécurité pour savoir qui est dans les locaux en cas d’évacuation, et à la personne en charge de la protection des données pour traiter correctement les informations des visiteurs.
Elle n’a pas besoin d’être longue : deux ou trois pages bien écrites suffisent presque toujours. Elle doit en revanche être applicable tous les jours, car une procédure que l’accueil ne parvient pas à suivre le lundi matin à 8 h n’est qu’une feuille dans un classeur. Le registre des visiteurs — papier ou numérique comme IRIGuest — est l’outil qui rend la procédure vérifiable.
Une procédure visiteurs naît le plus souvent pour l’une de ces trois raisons : une visite d’inspection ou un audit au cours duquel on vous a demandé « comment gérez-vous les accès ? », un incident désagréable (une personne trouvée dans un atelier sans que personne ne sache qui elle était), ou le passage à un registre numérique, qui oblige à décider une bonne fois pour toutes quelles données collecter. Dans les trois cas, le problème est le même : les règles existent, mais elles vivent dans la tête de la personne qui tient l’accueil.
Les écrire n’est pas de la bureaucratie. C’est le moyen de faire en sorte que l’accueil, la personne qui le remplace pendant les congés, le responsable d’atelier et le gardien de nuit fassent tous la même chose. Et, le jour de l’audit, de répondre avec un document plutôt qu’avec « d’habitude, on fait comme ça ».
Cette page est un guide opérationnel pour rédiger le document. Si votre question en amont est de savoir si le registre des visiteurs est obligatoire, nous l’avons traitée à part, avec les autres guides sur le registre des visiteurs.
Une procédure d’accueil des visiteurs (on parle aussi de règlement d’accès, de consignes visiteurs ou de politique visiteurs) décrit le parcours d’une personne extérieure depuis le moment où elle se présente à l’entrée jusqu’à celui où elle quitte l’entreprise. Ce n’est pas le registre : le registre est la trace, la procédure est la règle qui dit ce qui figure dans la trace et qui s’en occupe.
Elle sert à quatre choses très concrètes. La sécurité : savoir à tout moment qui est dans les locaux, où et avec qui, pour gérer une évacuation et éviter que des personnes étrangères circulent dans des zones réservées. La protection des données : ne collecter que ce qui est nécessaire, informer le visiteur et ne pas conserver les données au-delà du raisonnable. L’image : un accueil identique pour tous, ordonné et rapide, est la première impression que l’entreprise donne à ses clients et à ses candidats. La vérifiabilité : pouvoir démontrer à un auditeur, à un client ou à un assureur que les accès sont maîtrisés.
La procédure concerne les visiteurs au sens strict — clients, candidats, consultants, proches, délégations — et trace la frontière avec les autres présences extérieures, qui suivent leurs propres règles.
Le risque le plus fréquent n’est pas d’écrire une mauvaise procédure : c’est d’en écrire une trop ambitieuse, avec dix pages, des formulaires en trois exemplaires et un parcours que personne n’arrive à suivre. La bonne mesure est celle que l’accueil applique sans y penser.
Une procédure fonctionne quand chaque étape a un responsable identifié, nommément ou au moins par sa fonction. Dans une PME, les personnes concernées sont presque toujours au nombre de quatre.
Approuve la procédure et fixe les règles de fond : qui peut recevoir des visiteurs, si l’accompagnement est obligatoire, quelles zones sont réservées. Sans cette étape, la procédure reste une initiative de l’accueil et se voit ignorée à la première exception.
Définit les informations à remettre au visiteur (consignes du site, conduite à tenir en cas d’évacuation) et, avec la personne en charge de la protection des données — le DPO lorsqu’il y en a un —, décide quelles données collecter, combien de temps les conserver et quoi écrire dans la mention d’information.
C’est lui qui applique la procédure au quotidien : il accueille, enregistre, remet le badge, prévient l’hôte et clôture la visite à la sortie. Il doit être associé à la rédaction, sans quoi le document décrit un parcours théorique et non le parcours réel.
La personne qui reçoit la visite est responsable de son visiteur pendant toute sa présence : elle l’accueille, l’accompagne là où c’est nécessaire et le raccompagne à la sortie. C’est le rôle le plus négligé, et celui qui compte le plus le jour où quelque chose se passe mal.
Une procédure qui clarifie ces quatre rôles couvre 90 % des situations. Sur les sites à plusieurs accès et en équipes postées, on y ajoute le gardiennage de nuit ou le magasin, qui gère chauffeurs et livraisons avec un parcours allégé. Comment distinguer ces présences de celles des salariés est expliqué dans le guide sur le registre des visiteurs et la présence des salariés.
Il n’existe pas de format imposé. En pratique, une procédure visiteurs complète et encore lisible contient les sections suivantes — dans l’ordre où l’accueil les rencontre au fil d’une journée.
| Section | Ce qu’elle contient | Importance |
|---|---|---|
| Objet et champ d’application | À qui elle s’applique (visiteurs) et à qui elle ne s’applique pas (entreprises extérieures, salariés, livreurs), sur quels sites et quels accès | Essentielle |
| Rôles et responsabilités | Qui accueille, qui enregistre, qui accompagne, qui décide des exceptions | Essentielle |
| Enregistrement | Données collectées, outil utilisé (registre papier ou numérique), champs obligatoires | Essentielle |
| Identification et badge | Si et comment un badge visiteur est remis, ce qu’il indique, quand il est restitué | Fréquente |
| Accompagnement et zones | Où le visiteur peut circuler seul, où il doit être accompagné, zones interdites | Essentielle |
| Informations remises au visiteur | Consignes du site, conduite à tenir en cas d’évacuation, interdictions (photos, tabac, EPI lorsqu’ils sont requis) | Fréquente |
| Protection des données | Mention d’information, base légale du traitement, durée de conservation, qui peut consulter le registre | Essentielle |
| Évacuation et urgence | Comment on obtient la liste des présents, qui l’apporte au point de rassemblement, qui fait l’appel des visiteurs | Essentielle |
| Sortie et clôture | Check-out, restitution du badge, clôture des visites restées ouvertes en fin de journée | Fréquente |
| Exceptions et révision | Visites en dehors des horaires, délégations nombreuses, qui autorise les dérogations, à quelle fréquence le document est revu | À évaluer |
Si vous préférez partir d’un modèle, le kit registre des visiteurs gratuit contient une checklist RGPD et des modèles de registre dont vous pouvez tirer la section sur l’enregistrement : les colonnes du registre sont, de fait, les données que la procédure doit prévoir.
Le cœur de la procédure, c’est le déroulé opérationnel : six moments, toujours les mêmes, avec un responsable pour chacun. C’est la partie à écrire avec la personne qui tient l’accueil.
Le visiteur se présente au point d’accueil indiqué. La procédure précise quoi faire lorsque l’accueil n’est pas tenu (interphone, hôte à appeler, tablette en enregistrement autonome).
On recueille les données prévues : nom, société, personne à rencontrer, heure d’arrivée. Pas davantage. Sur un registre numérique, les champs obligatoires le sont vraiment et l’heure est horodatée automatiquement.
Le visiteur prend connaissance de la mention d’information RGPD et des consignes du site. La signature à l’écran garde la trace de ce qui a été présenté, et à qui, sans feuilles à archiver.
Lorsque c’est prévu, on remet un badge visiteur visible avec le nom et la société. Ce qu’il faut y inscrire et comment l’imprimer est expliqué dans le guide du badge visiteur.
L’hôte interne est prévenu et vient chercher son visiteur. Dans la version Cloud d’IRIGuest, la notification part automatiquement au check-in. À partir de là, la responsabilité est la sienne.
Le visiteur rend son badge et l’heure de sortie est enregistrée. C’est l’étape que le papier perd une fois sur deux : la procédure doit dire qui clôture les visites restées ouvertes en fin de journée.
La façon dont ces six moments se traduisent concrètement sur une tablette à l’accueil est décrite dans la page comment fonctionne l’enregistrement des visiteurs. La procédure n’a pas à décrire l’application : elle décrit les règles, et l’application doit aider à les respecter.
Le registre des visiteurs contient des données personnelles : la procédure doit donc répondre aux questions que le RGPD pose à tout traitement : quelles données vous collectez, pourquoi, combien de temps vous les conservez, qui peut les consulter et comment vous informez la personne concernée. Pas besoin d’un chapitre juridique : il faut cinq réponses claires.
La règle pratique, c’est la minimisation : nom, société, hôte et horaires suffisent presque toujours. La pièce d’identité ne se demande que si une consigne de sûreté l’exige réellement, et dans ce cas on la relève, on ne la photocopie pas. La mention d’information doit être courte, disponible à l’accueil et — sur un registre numérique — affichée avant la signature.
Le point le plus délicat est la visibilité : un registre papier montre à celui qui signe les noms de ceux qui ont signé avant lui. La procédure doit prévoir que le registre ne soit pas consultable par les visiteurs, ce qui, sur papier, demande des précautions (feuillets individuels, registre fermé) et, sur une tablette, est la situation de départ.
Si la protection des données est le sujet qui vous préoccupe le plus, la page sur le registre des visiteurs et le RGPD entre dans le détail de la mention d’information, des consentements et de la signature à l’écran. Ici, il suffit de retenir que la procédure est l’endroit où ces choix s’écrivent, une seule fois.
C’est, au fond, la raison d’être du registre. Quand l’alarme se déclenche, il faut savoir au point de rassemblement qui devrait s’y trouver — et les visiteurs ne figurent sur aucune liste du personnel. Une procédure sérieuse dit qui imprime ou ouvre la liste des présents, qui l’apporte au point de rassemblement et qui vérifie que chaque visiteur enregistré est bien sorti.
Sur papier, cette étape est fragile : le registre est à l’accueil, l’accueil est en train d’évacuer, et les lignes sans heure de sortie ne disent pas si la personne est encore à l’intérieur. Sur un registre numérique, la liste des visites encore ouvertes est disponible à tout moment — y compris depuis un autre appareil avec la version Cloud — et les visites clôturées n’y apparaissent plus.
La procédure doit aussi fixer le rôle de l’hôte : le visiteur est sous sa responsabilité, c’est donc lui qui le conduit au point de rassemblement et signale sa présence. C’est une ligne dans le document, mais c’est celle qui, dans une vraie urgence, fait la différence.
Sur les sites de production à plusieurs entrées, la liste des présents doit être composée à partir de tous les accès. C’est l’une des raisons pour lesquelles, au-delà d’une certaine taille, le registre unique centralisé décrit dans la page sur la gestion des visiteurs sur les sites industriels n’est pas un luxe mais une nécessité.
Beaucoup d’entreprises rédigent leur procédure visiteurs la semaine qui précède un audit. Ce n’est pas la motivation la plus noble, mais elle est réaliste — autant savoir ce qui est demandé le plus souvent, selon le contexte. Les indications qui suivent sont données à titre d’orientation : chaque référentiel a ses propres exigences, et l’appréciation revient à l’organisme d’audit.
| Contexte | Ce qui est demandé, en général | Ce qu’il faut pouvoir montrer |
|---|---|---|
| ISO/IEC 27001 (sécurité de l’information) | Contrôle des entrées physiques dans les zones sécurisées (mesure 7.2 de l’Annexe A) ; trace de qui entre, quand, et de l’accompagnement éventuel | Procédure écrite, registre consultable, historique interrogeable par date |
| ISO 9001 / IATF 16949 (qualité, automobile) | Aucun registre n’est prescrit, mais en audit — surtout en audit client — on vérifie comment l’accès aux ateliers est maîtrisé et comment produits et informations sont protégés | Procédure, preuve de l’accompagnement, registre |
| BRCGS / IFS (sécurité des denrées alimentaires) | Accès contrôlé des visiteurs et des sous-traitants aux zones de production ; prise de connaissance des règles d’hygiène et de comportement | Enregistrement avec signature des règles, procédure, badge ou identification |
| ISO 45001 et santé-sécurité au travail | Information des personnes extérieures sur les risques du site, gestion des situations d’urgence, coordination avec les entreprises extérieures | Consignes remises à l’accueil, liste des présents, procédure d’évacuation |
| RGPD (protection des données) | Base légale du traitement, information des personnes, minimisation, durées de conservation, qui accède aux données | Mention d’information, registre des activités de traitement, procédure de suppression |
| Client ou assureur (audit de seconde partie) | Qui entre, quand, qui en répond ; parfois aussi qui a eu accès à une zone donnée à une date donnée | Historique consultable et exportable |
La bonne nouvelle, c’est que les auditeurs demandent presque toujours les trois mêmes choses : le document, la trace et la preuve que la trace est utilisée (« pouvez-vous me montrer qui est entré le 12 mars ? »). Avec un registre papier, la troisième demande signifie feuilleter ; avec un registre numérique, elle signifie lancer une recherche.
Les procédures visiteurs échouent presque toujours pour les mêmes raisons, et presque jamais parce qu’il manquait un texte à citer.
Ce que font les procédures qui fonctionnent
Ce qui les fait échouer
La comparaison entre les outils — feuille, Excel ou tablette — est traitée dans le guide registre des visiteurs papier, Excel ou numérique. Il vaut la peine de le lire avant d’écrire la section sur l’enregistrement : l’outil conditionne ce que la procédure peut raisonnablement exiger.
Un squelette à adapter à votre entreprise. Chaque point correspond à un paragraphe du document : si vous parvenez à écrire deux ou trois lignes pour chacun, la procédure est faite.
Dix paragraphes, une ligne pour la date et la signature de la direction en bas de page. Si le document dépasse trois pages, il est presque certain qu’il décrit l’application ou qu’il recopie la réglementation : les deux ont leur place ailleurs.
Une procédure bien écrite demande peu de choses à l’accueil, mais elle les demande à chaque fois. C’est exactement là que le registre papier cède : l’heure de sortie jamais renseignée, le nom illisible, la mention d’information que personne n’a fait signer. Un registre numérique ne change pas les règles : il en fait le chemin le plus simple. Les champs obligatoires restent obligatoires, la mention d’information s’affiche avant la signature, l’horodatage est automatique et la liste des présents est toujours à portée de main.
Avec IRIGuest, les questions de l’enregistrement sont personnalisables, les consentements se signent à l’écran et le registre n’est pas consultable par les visiteurs. La version gratuite suffit pour un accueil ; la version Cloud ajoute la notification automatique de l’hôte, le préenregistrement par QR Code et un historique unique, même avec plusieurs accès et plusieurs sites.
Ce que le registre ne fait pas, pour être clair : il n’ouvre ni tourniquets ni barrières, ne vérifie pas les documents des entreprises extérieures, ne forme pas les intervenants et ne remplace pas le suivi des présences des salariés. Il fait une seule chose, et toujours de la même façon : il enregistre qui entre et qui sort, comme la procédure le prévoit. Le cadre plus large dans lequel il s’inscrit est celui de l’accueil digital.
Références réglementaires et techniques pour approfondir. Cette page a une vocation informative et ne remplace ni un avis juridique, ni le conseil du responsable sécurité ou du délégué à la protection des données.
À notre connaissance, aucun texte n’impose un document intitulé « procédure d’accueil des visiteurs ». Il existe en revanche des obligations qui en font, de fait, le moyen le plus simple d’y répondre : organiser l’évacuation en tenant compte des personnes extérieures présentes, se coordonner avec les entreprises qui viennent travailler sur le site, traiter correctement les données des visiteurs. Et de nombreux référentiels de certification, à commencer par l’ISO 27001, demandent que les accès physiques soient maîtrisés et tracés. Le sujet est approfondi dans le guide sur l’obligation du registre des visiteurs.
Deux ou trois pages. Une procédure plus longue décrit généralement l’outil plutôt que les règles, ou recopie la réglementation. Mieux vaut garder le document court et lui adjoindre une version condensée — une dizaine de lignes — à conserver à l’accueil.
Le minimum nécessaire à la finalité : nom et prénom, société, personne à rencontrer, heure d’arrivée et de sortie. Le motif de la visite et l’immatriculation seulement s’ils servent vraiment ; la pièce d’identité seulement si une consigne de sûreté l’exige, et dans ce cas on la relève sans la photocopier. Chaque champ supplémentaire, c’est du temps en plus à l’accueil et une donnée de plus à protéger.
Cela dépend de ce que vous demandez. La mention d’information RGPD doit être mise à disposition et, si vous voulez documenter qu’elle a bien été présentée, la signature est le moyen le plus simple. Il en va de même pour la prise de connaissance des consignes du site, presque toujours exigée en milieu industriel ou agroalimentaire. Avec IRIGuest, la signature se recueille à l’écran et reste associée à l’enregistrement.
La procédure doit le prévoir explicitement, car c’est le cas le plus fréquent dans les PME. Les solutions habituelles sont une tablette en enregistrement autonome à l’entrée, un interphone avec la liste des hôtes ou l’obligation pour l’hôte de descendre accueillir son visiteur. Ce qui ne fonctionne pas, c’est de laisser la décision à la personne qui passe par là.
Il est responsable de son visiteur pendant toute la visite : il l’accueille, l’accompagne dans les zones où il ne peut pas circuler seul, le conduit au point de rassemblement en cas d’évacuation et le raccompagne à la sortie, où le check-out est enregistré. La procédure doit l’écrire noir sur blanc, parce que c’est le rôle que tout le monde tient pour acquis et que personne n’a jamais lu.
Mieux vaut une procédure de groupe avec une annexe par site : les règles (données collectées, protection des données, rôles, évacuation) sont les mêmes partout, seuls changent les accès, les horaires et les hôtes. Côté outils, la version Cloud d’IRIGuest permet d’appliquer la même configuration à tous les sites et de consulter un historique unique.
En général, que les entrées physiques dans les zones sécurisées soient contrôlées : la personne qui entre doit être identifiée, enregistrée avec la date et l’heure et, lorsque c’est nécessaire, accompagnée. Il veut voir la procédure, le registre et une preuve que le registre est consultable — par exemple qui a eu accès à une zone donnée à une date précise. L’appréciation finale revient de toute façon à l’organisme de certification.
Le RGPD ne fixe pas de durée unique : il demande que la période soit définie en fonction de la finalité, indiquée dans la mention d’information et respectée. Beaucoup d’entreprises retiennent quelques mois pour les visiteurs ordinaires et plus longtemps pour les accès liés à la sûreté. L’essentiel est de le décider dans la procédure et de prévoir qui supprime les données à l’échéance.
Oui, pour un accueil unique : la version gratuite fonctionne hors ligne, sans limite de temps, avec des questions personnalisables, la mention d’information et la signature à l’écran, et l’export CSV. La notification automatique de l’hôte, le préenregistrement par QR Code, le registre unique sur plusieurs accès et plusieurs sites et les rapports centralisés relèvent de la version Cloud.
Essayez IRIGuest gratuitement à l’accueil, ou regardez en deux minutes comment un visiteur s’enregistre. Sans rien installer et sans engagement.
