Certification ISO 22000 au Maroc : le guide complet, du PRP à l’audit

Qui a besoin d’une certification ISO 22000 au Maroc ?

Les entreprises dont un client, un donneur d’ordre ou un appel d’offres demande un système de management de la sécurité des aliments certifié, sans exiger un référentiel reconnu par la GFSI. La certification est volontaire : l’obligation légale reste l’agrément ou l’autorisation sanitaire de l’ONSSA, au titre de la loi 28-07 et du décret 2-10-473.

ISO 22000:2018 vise tout organisme de la chaîne alimentaire, quelle que soit sa taille : producteur d’ingrédients, transformateur, fabricant d’emballages, transporteur, entrepôt, cuisine centrale, distributeur. Ce n’est donc pas la nature de votre activité qui décide, mais ce que votre client accepte.

Au diagnostic, notre première question est toujours la même : qui vous demande ce certificat, et l’a-t-il écrit ? Un courriel d’acheteur qui liste les référentiels acceptés évite de construire le mauvais système. Le reste de ce guide suppose que la réponse est ISO 22000, ou qu’elle le sera pour vos premiers clients.

La norme a un autre atout pour une PME marocaine : sa structure en dix articles est celle d’ISO 9001:2026 ou d’ISO 14001:2026. Un site qui vise plusieurs certifications peut tenir une seule cartographie, un seul programme d’audit et une seule revue de direction, comme l’explique notre page système de management intégré QSE.

Qu’exige ISO 22000, au-delà du plan HACCP déposé à l’ONSSA ?

Un système complet : la direction fixe une politique et des objectifs, une équipe sécurité des aliments pilote des programmes prérequis (PRP) justifiés et un plan de maîtrise des dangers, et l’ensemble est vérifié, audité et amélioré. Le plan HACCP du dossier sanitaire couvre une partie de l’article 8 ; le reste est à construire.

La version à certifier est ISO 22000:2018, publiée en juin 2018 et complétée en février 2024 par l’amendement 1 sur l’action pour le climat, qui porte sur les enjeux et les parties intéressées (articles 4.1 et 4.2). La fiche ISO de la norme indique qu’elle est en cours de révision ; le projet ne change rien à ce que l’auditeur vérifie aujourd’hui.

Le tableau suivant part de ce que la plupart des sites marocains ont déjà, pour montrer ce qui reste à faire.

Deux points surprennent les sites qui découvrent la norme. D’abord, elle raisonne à deux niveaux de risque : les risques et opportunités de l’organisme (article 6.1), comme la perte d’un client ou le départ d’une compétence clé, et les dangers liés aux aliments (article 8.5). Ensuite, l’audit interne doit être mené par des auditeurs formés, qui n’auditent pas leur propre travail. Les lignes directrices de référence sont celles d’ISO 19011:2026, publiée le 27 mai 2026.

Comment construire les PRP et le plan HACCP sans faire le travail deux fois ?

En partant des dangers réels du site et en écrivant une seule fois ce qui servira à ISO 22000, puis, si un acheteur l’exige, à un référentiel reconnu par la GFSI. Les PRP se construisent sur la série ISO 22002 ; le plan de maîtrise des dangers découle de l’analyse des dangers.

Pour les PRP, ISO 22000 laisse l’organisme choisir et justifier ses programmes. La série ISO 22002 a été refondue en 2025 : ISO 22002-100:2025, publiée en juillet 2025, fixe les exigences communes à toute la chaîne alimentaire, à l’alimentation animale et à l’emballage, et une partie sectorielle la complète, comme ISO 22002-1:2025 pour la fabrication. Selon la fiche ISO, la partie 100 n’est pas obligatoire en elle-même, mais elle appuie l’article 8.2 d’ISO 22000:2018, celui des PRP. FSSC 22000 Version 7, elle, la rend obligatoire. Un site qui bâtit ses PRP sur ces textes dès le départ n’aura pas à les reprendre le jour où un client demandera FSSC 22000.

Pour le plan HACCP, ISO 22000 suit les étapes du Codex et y ajoute une décision : chaque mesure de maîtrise d’un danger significatif devient un CCP, avec une limite critique mesurable, ou un PRPo, avec un critère d’action mesurable ou observable. Ce classement fixe ce qui arrive au produit quand la mesure dérape. Il se justifie par écrit, au cas par cas.

L’écart que nous voyons le plus souvent au diagnostic n’est pas un PRP manquant, c’est un PRP sans raison d’être : une liste copiée d’un autre site, qu’aucune analyse ne relie aux dangers du produit. Notre mode d’emploi plan HACCP et PRP d’un système ISO 22000 détaille les étapes, le classement CCP ou PRPo et la checklist de validation. Les sept principes et les douze étapes du Codex sont expliqués sur notre page plan HACCP et agrément ONSSA.

ISO 22000 suffit-elle, ou faut-il viser FSSC 22000 ?

ISO 22000 suffit quand vos clients l’acceptent par écrit ; FSSC 22000 devient nécessaire dès qu’un acheteur exige un référentiel reconnu par la GFSI. La page de la GFSI liste FSSC 22000 parmi les programmes reconnus, pas ISO 22000 seule.

FSSC 22000 contient ISO 22000:2018 et y ajoute trois choses : l’application obligatoire d’ISO 22002-100:2025 et de la partie sectorielle, sauf pour le négoce sans manipulation ; les exigences additionnelles 2.5.1 à 2.5.18 du référentiel Version 7, dont la gestion des allergènes, la surveillance environnementale pour les catégories BIII, C, I et K, la culture sécurité des aliments et qualité, et le contrôle qualité ; et au moins un audit de surveillance inopiné par cycle de trois ans.

Le choix de l’organisme compte pour la suite. La partie 4 du référentiel FSSC exige qu’un organisme candidat à la licence soit déjà accrédité pour ISO 22000:2018 selon ISO/IEC 17021-1 et ISO 22003-1:2022. Un organisme licencié FSSC peut donc certifier ISO 22000, puis FSSC 22000. En revanche, le transfert de certification prévu par le référentiel (partie 3, § 5.6) ne concerne que des certificats FSSC 22000 existants. Pour un site déjà certifié ISO 22000, le référentiel prévoit un audit de transition (partie 3, § 5.8) : le certificat ISO 22000 accrédité doit être encore valide et couvrir un périmètre équivalent, sans avoir à venir du même organisme. Cet audit ouvre un nouveau cycle de certification, répond aux objectifs d’une étape 2 et dure au moins les deux tiers de la durée d’audit de base calculée selon ISO 22003-1:2022, plus le temps additionnel FSSC, sans descendre sous les durées minimales du référentiel ; l’étape 1 est laissée à l’appréciation de l’organisme. Il débouche sur un certificat FSSC 22000 valable trois ans.

Le calendrier joue aussi : les audits selon la version 6 ne sont possibles que jusqu’au 30 avril 2027. Tout projet FSSC 22000 lancé aujourd’hui se construit en Version 7, comme le détaille notre guide de l’accompagnement FSSC 22000 au Maroc. Le passage d’ISO 22000 à FSSC 22000 est illustré par le cas type d’une laiterie marocaine.

Comment se déroule le parcours de certification ISO 22000 ?

En sept temps : diagnostic, construction, mise en œuvre sur une période de production réelle, audit interne et revue de direction, étape 1 puis étape 2 de l’audit de certification, et maintien sur un cycle de trois ans avec des surveillances annuelles.

La mise en œuvre est la phase que l’on sous-estime. L’auditeur de l’étape 2 lit des enregistrements remplis au moment de la mesure, des vérifications faites, des écarts traités. Un système rédigé la veille ne produit rien de tout cela. Dans une usine saisonnière, cette période doit tomber pendant une production représentative.

Comment choisir l’organisme de certification ?

Sur son accréditation, d’abord. Il doit être accrédité pour ISO 22000, selon ISO/IEC 17021-1 et ISO 22003-1:2022, et la portée de son accréditation doit couvrir votre catégorie de la chaîne alimentaire. Demandez le certificat d’accréditation et vérifiez-le auprès de l’accréditeur, selon la méthode de notre mode d’emploi pour vérifier un organisme et un certificat.

Sur ce qu’accepte votre client, ensuite. Au 6 novembre 2026, la page des membres associés de Global ACI cite le service marocain d’accréditation parmi les accréditeurs qui ne sont pas encore signataires de son arrangement de reconnaissance mutuelle, et la liste des accréditeurs sous accord avec la Fondation FSSC ne comprend pas le Maroc. Un acheteur étranger peut donc exiger un certificat émis sous une accréditation qu’il reconnaît.

Sur la clarté du devis, enfin : durée d’audit et sa justification, langue de l’auditeur, frais de déplacement, calendrier des surveillances. La durée se calcule selon ISO 22003-1:2022 à partir de la catégorie, du nombre d’études HACCP et de l’effectif : notre article sur le coût d’une certification ISO 22000 au Maroc détaille ces facteurs. Et gardez les rôles séparés : le consultant qui vous prépare ne peut pas vous auditer, comme l’explique notre guide consultant ou organisme de certification : qui fait quoi.

Quelles erreurs retardent le plus souvent la certification ?

Des erreurs de méthode plus que de moyens. Voici celles que nous rencontrons le plus souvent quand un site nous appelle après un premier échec ou un projet enlisé.

• Construire avant de demander. Le système est prêt, l’acheteur répond qu’il attend un référentiel GFSI. Une question écrite, au départ, aurait suffi.
• Un plan HACCP où tout est CCP. La surveillance devient intenable, les vrais points critiques se perdent et l’auditeur demande la justification de chaque classement.
• Des limites critiques sans validation. Une valeur reprise d’un modèle ou d’une machine n’est pas une preuve qu’elle maîtrise votre danger, sur votre produit.
• Des enregistrements remplis en fin de poste. Les écritures identiques, à la même heure, se voient au premier coup d’œil.
• Un périmètre qui ne colle pas au dossier sanitaire. Une ligne récente, absente de l’autorisation ONSSA, bloque la certification de cette ligne.
• Un audit interne fait par le responsable qualité sur son propre travail. Il ne vaut pas audit indépendant, et la revue de direction qui en découle est fragile.

Avant de demander un devis à un organisme de certification, vérifiez ces points.

• Les référentiels acceptés par chaque client sont écrits, avec la version et le périmètre attendus.
  
• L’autorisation ou l’agrément sanitaire ONSSA couvre les produits, les lignes et les locaux du périmètre.
  
• Le périmètre de certification est écrit : produits, lignes, adresses, activités sous-traitées.
  
• Les PRP sont rattachés à ISO 22002-100:2025 et à la partie sectorielle de votre activité.
  
• L’analyse des dangers est à jour, chaque mesure est classée CCP ou PRPo et validée.
  
• Les enregistrements couvrent une période de production réelle et représentative.
  
• Un test de traçabilité et un exercice de retrait ou de rappel ont été réalisés et analysés.
  
• Un audit interne complet a été mené par des auditeurs formés et indépendants, et la revue de direction s’est tenue.
  
• L’accréditation de l’organisme pressenti et son acceptation par vos clients sont vérifiées.