Audit seconde partie agroalimentaire : co-packers et sous-traitants

Qu’est-ce qu’un audit de seconde partie chez un co-packer ou un sous-traitant ?

C’est l’audit que le propriétaire d’une marque, ou le site qui confie une étape de sa fabrication, mène chez celui qui fabrique pour lui. Le commanditaire n’achète pas une matière première : il confie son produit, sa recette et souvent son étiquette. L’audit vérifie que ce tiers tient le contrat et la spécification avec les mêmes garanties que si le produit sortait de ses propres lignes.

Ce n’est pas l’audit fournisseur classique, décrit dans notre guide de l’audit fournisseur au Maroc, où un acheteur qualifie un fournisseur qui vend ses propres produits. Ici, le produit est le vôtre. Votre nom figure sur l’emballage, et votre client, enseigne ou industriel, se retournera vers vous en cas d’incident, pas vers le co-packer.

Deux situations se rencontrent dans l’agroalimentaire marocain, et les référentiels les traitent différemment :

• la fabrication à façon complète, ou co-packing : un tiers fabrique, conditionne et étiquette un produit fini sous votre marque ou sous celle de votre client, par exemple une marque de distributeur ;
• le procédé sous-traité : une étape intermédiaire quitte votre usine et y revient, comme un fourrage, une surgélation, un tranchage ou un conditionnement primaire.

FSSC 22000 Version 7 reprend la définition d’ISO 22000:2018 dans son annexe des définitions : externaliser, c’est confier à un organisme externe une partie d’une fonction ou d’un processus. Le tableau montre où chaque référentiel range les deux situations.

Que disent BRCGS, IFS et FSSC 22000 des procédés sous-traités ?

La même logique, en quatre temps : déclarer la sous-traitance, approuver le sous-traitant selon le risque, encadrer la prestation par écrit, vérifier le produit. Les référentiels diffèrent par le vocabulaire et par ce que couvre votre propre certificat.

BRCGS Food Safety Issue 9 : la clause 3.5.4

La grille officielle en français définit la transformation externalisée comme une étape intermédiaire : le produit quitte le site audité, puis y revient. Six exigences s’appliquent :

• 3.5.4.1 : l’étape sous-traitée a été communiquée au client et, le cas échéant, approuvée ;
• 3.5.4.2 : le sous-traitant est approuvé et surveillé selon le risque, par une certification BRCGS ou reconnue par la GFSI dont la portée inclut les activités réalisées pour le site, ou par un audit dont l’étendue couvre la sécurité des produits, la traçabilité, l’examen HACCP, la protection de la chaîne alimentaire, l’authenticité et les bonnes pratiques de fabrication ;
• 3.5.4.3 : les risques de l’étape sous-traitée figurent dans le plan HACCP du site ;
• 3.5.4.4 : les exigences sont écrites dans une spécification de service, comparable à une spécification de produit fini ;
• 3.5.4.5 : la prestation suit un contrat qui définit les exigences de transformation et maintient la traçabilité ;
• 3.5.4.6 : des inspections et des analyses, visuelles, chimiques ou microbiologiques, vérifient le produit à son retour, à une fréquence fondée sur le risque.

Deux précisions de la même grille évitent des erreurs de cadrage. Un produit qui quitte le site et n’y revient pas ne relève pas de 3.5.4 : les activités réalisées ailleurs sortent du périmètre de l’audit. Et le conditionnement hors site figure aussi parmi les prestataires de services à approuver et à surveiller (3.5.3.1).

IFS Food Version 8 : les exigences 4.4.4 à 4.4.7

Le référentiel IFS Food Version 8 appelle procédé partiellement sous-traité toute étape de production, conditionnement primaire et étiquetage compris, réalisée hors du site par un tiers pour le compte du site certifié, y compris par une société sœur du groupe, pour ses propres marques comme pour celles de ses clients. Le critère est la propriété : une matière première est achetée, alors qu’un produit issu d’un procédé partiellement sous-traité appartient toujours au site audité.

Le site doit documenter la sous-traitance dans son système et la maîtriser (4.4.4), signer un accord qui décrit les contrôles en cours de procédé et les plans de surveillance (4.4.5), approuver le sous-traitant par une certification IFS Food ou reconnue par la GFSI, ou par un audit documenté mené par une personne expérimentée et compétente (4.4.6), et revoir ses évaluations au moins une fois tous les 12 mois (4.4.7). Le certificat du site porte la mention « En plus de sa propre production, la société a des procédés partiellement sous-traités ».

Les produits totalement sous-traités, fabriqués, conditionnés et étiquetés sous votre marque par un autre site, ne sont pas couverts par IFS Food. IFS recommande de les certifier IFS Broker ou selon un référentiel équivalent reconnu par la GFSI.

FSSC 22000 Version 7 : ISO 22000 et les annexes du référentiel

Le référentiel FSSC 22000 Version 7, publié en mai 2026, s’appuie sur ISO 22000:2018. Ses annexes fixent deux règles utiles au propriétaire de marque. Le périmètre du certificat n’inclut pas les procédés sous-traités qui échappent à la responsabilité légale et au contrôle de l’organisme ; les clauses 7.1.6 et 8.1 d’ISO 22000:2018 restent applicables, et les preuves sont consignées au rapport. Ce rapport doit détailler les procédés externalisés : comment leur impact sur la sécurité des aliments est évalué, quels critères de sélection, d’évaluation, de surveillance et de réévaluation s’appliquent, et comment l’efficacité est vérifiée.

L’exigence additionnelle 2.5.1, gestion des services et des achats, complète ISO 22000:2018 : les analyses qui vérifient un paramètre critique sont confiées à un laboratoire compétent, selon les exigences applicables d’ISO/IEC 17025. Ce qui change avec la Version 7 est résumé dans notre article sur les exigences de sous-traitance en 2026-2027.

Le certificat du co-packer suffit-il, ou faut-il l’auditer ?

Il suffit quand son périmètre couvre exactement l’activité réalisée pour vous et que votre produit ne présente aucun risque que le référentiel ne traite pas. BRCGS et IFS l’admettent comme voie d’approbation. Mais trois limites rendent l’audit fréquent pour un produit à votre marque.

Le certificat ne nomme pas votre marque. IFS Food Version 8 interdit toute information de marque dans le périmètre d’un certificat, et FSSC 22000 Version 7 l’exclut aussi, car elle laisserait croire à une certification de produit. Le certificat ne dit donc jamais si votre référence est fabriquée sur la ligne certifiée, ni selon votre recette.

Le certificat atteste un référentiel, pas votre contrat. Votre recette, votre maquette, votre profil allergène, vos critères de libération ne sont pas dans la grille de l’organisme de certification.

Le certificat a une date et une adresse. Une ligne transférée sur un autre site, une mise à niveau FSSC 22000 v7 à venir ou une suspension se vérifient dans le BRCGS Directory, la base de données IFS ou le registre public FSSC.

Le certificat peut suffire si toutes ces conditions sont réunies :

• Le certificat est valide et vérifié dans la base officielle du référentiel.
  
• Son périmètre couvre l’activité et l’adresse où votre produit est fabriqué.
  
• Votre produit ne porte ni allégation, ni allergène absent des autres productions du site, ni étape critique propre à votre recette.
  
• Le contrat et la spécification de service sont signés et à jour.
  
• Vos contrôles à réception ou au retour du produit sont définis et appliqués.
  
• Votre client accepte par écrit l’approbation sur certificat.
  

Si vous choisissez l’audit, BRCGS fixe la barre : quand l’audit est mené par une seconde ou une tierce partie, le site doit pouvoir démontrer la compétence de l’auditeur, confirmer que l’étendue couvre les six thèmes de 3.5.4.2 et obtenir une copie du rapport complet. Un rapport d’une page ne répondra pas à votre propre auditeur de certification.

Quel périmètre et quels critères pour l’audit d’un sous-traitant ?

Le périmètre, c’est ce que le contrat confie : références, lignes, adresses et étapes. Les critères, c’est ce que vous avez écrit, contrat et spécification, et ce que votre propre référentiel exige de vous. Le tableau relie chaque critère à sa source.

Au Maroc, le premier critère est réglementaire : l’autorisation ou l’agrément sanitaire délivré par l’ONSSA doit couvrir l’établissement du sous-traitant et l’activité qu’il réalise pour vous. Aucune certification ne la remplace.

Exemple type : une marque d’épices de la région de Casablanca confie la réduction microbienne de ses mélanges à un site voisin, puis les conditionne chez elle. C’est une transformation externalisée au sens de BRCGS : l’audit porte d’abord sur la validation de l’étape, ses enregistrements et l’identification des lots au retour, puis sur les analyses prévues au plan HACCP de la marque.

Le déroulé de l’audit, du questionnaire au rapport, est décrit dans notre mode d’emploi préparer et conduire un audit de co-packer.

À quelle fréquence auditer, et que décider après l’audit ?

Selon le risque, avec une revue au moins annuelle et un nouvel audit à chaque changement important. IFS Food Version 8 impose de revoir les évaluations au moins une fois tous les 12 mois ou en cas de changement important (4.4.7) ; BRCGS exige une revue continue de la performance, documentée et fondée sur le risque (3.5.4.2). Pour organiser ce programme, ISO 19011:2026, publiée le 27 mai 2026 en 4e édition selon la page ISO du comité, donne les lignes directrices de la gestion d’un programme d’audit et s’adresse aux audits de première, de seconde et de tierce partie.

Un nouvel audit s’impose quand :

• une nouvelle référence, une nouvelle recette ou un nouveau format est confié au sous-traitant ;
• la production change de ligne ou de site, ou un nouvel allergène entre dans l’atelier ;
• le statut du certificat change : suspension, retrait, changement de version ;
• une réclamation, un retrait ou un résultat d’analyse met en cause le produit sous-traité ;
• votre client le demande, ou prépare son propre audit chez vous.

L’audit ne décide pas : le propriétaire de la marque décide, sur la base du rapport.

Les fourchettes de durée et ce qui fait varier le budget sont détaillés dans notre article sur le coût d’un programme d’audits de sous-traitants.

Qui doit mener l’audit d’un co-packer : quelles compétences, quelle impartialité ?

Un auditeur qui connaît le référentiel du sous-traitant, le métier audité et votre produit, et qui n’a aucun intérêt dans le résultat. BRCGS exige un auditeur en sécurité des produits expérimenté et manifestement compétent ; IFS Food Version 8, une personne expérimentée et compétente. ISO 19011:2026 fournit le cadre d’évaluation de la compétence des auditeurs.

Quatre questions suffisent pour juger un auditeur : connaît-il la version en vigueur du référentiel détenu par le sous-traitant ? A-t-il audité ce métier, biscuiterie, conserverie ou laiterie ? Parle-t-il la langue des opérateurs, souvent l’arabe ou le français au Maroc ? Son rapport répondra-t-il à l’auditeur de votre organisme de certification et à celui de votre client ?

Sur l’impartialité, la règle tient en une ligne : l’auditeur signe une déclaration d’absence de conflit d’intérêts avec le site audité. ACG conseille et audite, mais ne certifie jamais un site qu’il a conseillé. Le fondateur d’ACG, Dr. Ismail Idrissi, seul consultant enregistré BRCGS en Afrique selon la liste des consultants BRCGS, auditeur IFS Food et BRCGS et Lead Auditor QSE certifié IRCA, audite aussi en tierce partie pour Eurofins et URS ; il n’audite jamais en certification un site qu’ACG a conseillé.

Avant de mandater un auditeur pour vos sous-traitants, vérifiez ces points :

• Sa qualification et son expérience du métier audité sont documentées.
  
• Il connaît le référentiel et la version détenus par le sous-traitant.
  
• Il a signé une déclaration d’absence de conflit d’intérêts avec le site.
  
• L’étendue de l’audit couvre les thèmes exigés par votre propre référentiel.
  
• Le rapport complet vous sera remis, dans la langue de votre client si nécessaire.
  
• La forme de la recommandation est convenue avant l’audit.
  

Un cas concret montre l’enchaînement : notre cas type d’une biscuiterie marocaine audite deux sous-traitants, l’un pour une marque de distributeur, l’autre pour un fourrage, avant l’audit de son enseigne cliente.