Consultant ou organisme de certification : qui fait quoi ?

Qui intervient dans une certification, et que fait chacun ?

Six acteurs, dont aucun ne peut tenir le rôle d’un autre. L’entreprise construit son système et en reste responsable. Le consultant l’aide à le construire. L’organisme de certification l’audite et décide. L’organisme d’accréditation contrôle l’organisme de certification. Le propriétaire du référentiel écrit les règles. L’acheteur décide s’il accepte le certificat.

Deux précisions dissipent les confusions les plus fréquentes. L’ISO publie les normes, mais ne certifie aucune entreprise : un « certificat ISO 9001 » est toujours délivré par un organisme de certification. La GFSI ne certifie pas davantage : elle reconnaît des programmes de certification, douze aujourd’hui selon sa page officielle, de BRCGS à SQF.

À ces six acteurs s’ajoute l’autorité. Pour un établissement alimentaire marocain, l’agrément ou l’autorisation sanitaire de l’ONSSA est une obligation légale ; aucune certification ne la remplace, comme l’explique notre page sécurité des aliments.

Une chaîne de confiance, maillon par maillon

Un certificat est crédible parce que chaque maillon est contrôlé par le suivant. Le site est audité par l’organisme de certification ; l’organisme est évalué par son accréditeur ; l’accréditeur est évalué par ses pairs ; le propriétaire du référentiel surveille les organismes qu’il a agréés, et la GFSI évalue le référentiel. Si un maillon manque, un organisme non accrédité ou un accréditeur que personne ne reconnaît, le document reste un papier : il atteste ce que son émetteur affirme, rien de plus.

C’est exactement ce que vérifient les acheteurs. Notre cas type d’un exportateur dont le certificat a été refusé montre ce que coûte un maillon manquant, et notre mode d’emploi pour vérifier un organisme et un certificat comment l’éviter.

Pourquoi le consultant et l’organisme de certification doivent-ils rester séparés ?

Parce qu’on ne juge pas impartialement un système qu’on a construit. Un auditeur qui a rédigé les procédures qu’il évalue audite son propre travail ; un organisme qui vend à la fois le conseil et le certificat a intérêt à ce que l’audit réussisse. Les règles d’accréditation ferment ces deux portes.

ISO/IEC 17021-1, la norme que doivent respecter les organismes de certification de systèmes de management, en fait une exigence d’impartialité. La grille d’évaluation du SADCAS, l’organisme d’accréditation de la Communauté de développement de l’Afrique australe (formulaire F 40 (a), édition 6, août 2024), en reprend les points de contrôle pour l’édition 2015. Notre guide pour choisir un cabinet conseil ISO au Maroc en tire les questions à poser à un cabinet ; le tableau ci-dessous les lit du point de vue des rôles.

Le consultant indépendant n’échappe pas à la règle. Dans sa FAQ (question 33.1, réponse de mars 2017), European Accreditation considère qu’une personne qui exerce dans sa propre société de conseil est un organisme au sens de la norme : la règle des deux ans s’applique, ou une mesure équivalente. Le tableau résume ces exigences sans reproduire le texte de la norme, qui est payant.

La dernière règle a une conséquence pratique souvent ignorée : l’auditeur n’est pas le décideur. La décision revient à des personnes ou à un comité qui n’ont pas réalisé l’audit. Un consultant qui « connaît bien l’auditeur » ne connaît donc pas la décision, et une promesse de certificat n’a aucune base.

Ce qui reste permis est tout aussi important. Un consultant peut auditer par ailleurs en tierce partie pour un organisme de certification, à condition de ne jamais auditer un site qu’il a conseillé. C’est souvent ce qui lui donne une vraie lecture d’auditeur, celle que l’on attend de lui en audit à blanc.

Que disent BRCGS, IFS et FSSC 22000 du conseil et de l’impartialité ?

Aucun n’interdit le recours à un consultant, et tous protègent l’audit contre les liens d’intérêts. Les référentiels de sécurité des aliments reconnus par la GFSI ajoutent leurs propres règles à celles de l’accréditation.

BRCGS. Food Safety Issue 9 autorise un site qui manque de compétences internes à recourir à une expertise externe, un conseiller en sécurité des denrées alimentaires par exemple, mais la gestion quotidienne du système reste du ressort de l’entreprise (clause 1.2.4 de la grille d’autoévaluation en français). Packaging Materials Issue 7 pose la même règle pour les emballages (clause 1.3.3). Le consultant y est aussi un prestataire comme un autre : Food Safety Issue 9 range les consultants en sécurité des produits parmi les fournisseurs de services à approuver et à surveiller selon le risque (3.5.3.1). Le parcours de certification publié par BRCGS présente le conseil comme une option, « si nécessaire », et renvoie au choix d’un organisme de certification approuvé par BRCGS.

IFS. Le référentiel IFS Food Version 8 charge l’organisme de certification de vérifier que ses auditeurs n’ont pas travaillé comme consultants pour la société auditée, ni été impliqués avec elle, au cours des deux années précédentes, et qu’aucun auditeur ne réalise plus de trois audits IFS Food complets consécutifs sur le même site (partie 3, chapitre 2.6). À chaque audit, l’auditeur signe une déclaration d’indépendance et d’absence de conflit d’intérêts, qui couvre tout lien actuel ou des deux dernières années. Un pré-audit facultatif est possible, mais il n’est pas mis en ligne dans la base de données IFS et l’audit suivant doit être réalisé par un auditeur différent (partie 1, chapitre 2).

FSSC 22000. La version 7 du référentiel, publiée en mai 2026, exige pour chaque audit une déclaration d’intégrité signée par le représentant de la direction du site et par les auditeurs : aucun conflit d’intérêts réel ou perçu, intégrité de l’audit préservée, audit mené de façon éthique (partie 3, section 6.3). Un auditeur ne peut pas réaliser plus de deux cycles de certification de trois ans dans la même organisation (partie 3, section 5.9). Et l’expérience de conseil ne compte que pour six mois au plus des deux années d’expérience exigées d’un auditeur, à condition qu’il s’agisse de conseil en sécurité des aliments (partie 4, section 3.5.1). Ce que la version 7 a changé sur ce point est résumé dans notre article sur l’impartialité de la certification en 2026.

Comment l’impartialité se tient quand un consultant audite aussi

Le cas existe chez ACG. Notre fondateur, Dr. Ismail Idrissi, consultant enregistré BRCGS depuis 2014 selon la liste des consultants BRCGS, audite aussi en tierce partie pour Eurofins et URS. Le principe qui rend ces deux activités compatibles est simple : il n’audite jamais en certification un site qu’ACG a conseillé, et il déclare ses liens à l’organisme pour lequel il audite, comme les déclarations exigées par IFS et FSSC 22000 le prévoient. Le regard d’auditeur sert le conseil ; il ne sert jamais un audit de certification chez un client d’ACG.

Certification de produit ou de système : quel organisme pour quel référentiel ?

C’est le référentiel qui fixe la norme d’accréditation de l’organisme. Les exigences de benchmarking de la GFSI, version 2024, admettent deux voies : ISO/IEC 17065 pour les organismes qui certifient des produits, ISO/IEC 17021-1 avec ISO 22003-1 pour ceux qui certifient des systèmes de management (Key Changes, version 2024). Elles exigent aussi que les certificats soient délivrés par des organismes accrédités par des accréditeurs signataires de l’accord de reconnaissance multilatéral pour le domaine concerné.

Pour une entreprise marocaine, deux faits comptent. Le SEMAC accrédite des organismes de certification de systèmes de management selon la NM ISO/CEI 17021-1, et le ministère de l’Industrie et du Commerce publie leurs listes sur sa page documents et services en ligne. Mais au 5 novembre 2026, la page des membres associés de Global ACI cite le service marocain d’accréditation parmi les accréditeurs qui ne sont pas encore signataires de son MRA, et la liste des accréditeurs sous accord avec la Fondation FSSC, 46 organismes dans 45 pays, ne comprend pas le Maroc. Un site marocain certifié FSSC 22000 l’est donc par un organisme accrédité par un accréditeur étranger. Pour une norme ISO, demandez à votre client s’il accepte l’accréditation que porte le certificat, avant de choisir l’organisme.

Comment travailler avec chacun, du premier contact au certificat ?

En gardant chacun dans son rôle à chaque étape, et en le demandant par écrit. Le tableau montre qui fait quoi, de l’exigence de l’acheteur au maintien du certificat.

Avec le consultant

Un contrat qui liste les livrables, nomme les intervenants et contient une déclaration d’indépendance vis-à-vis de tout organisme de certification. Les critères de choix et la consultation elle-même sont traités dans notre guide cabinet conseil ISO et notre cahier des charges d’une mission de conseil ISO.

Avec l’organisme de certification

Une demande exacte, puis un contrat. L’organisme doit rendre publics ses processus d’audit et de certification, sa politique d’impartialité et son processus de traitement des réclamations et des appels (ISO/IEC 17021-1, 8.1.1). Pour IFS Food, le contrat précise au minimum le périmètre convenu, la durée de l’audit, le rapport et le certificat, et la référence à l’IFS Integrity Program. Ne demandez pas à l’organisme comment corriger un écart : il ne peut pas vous conseiller. Demandez-lui en revanche la justification écrite de sa durée d’audit, que la norme lui impose de documenter (9.1.4), et les noms des auditeurs : il doit vous les communiquer assez tôt pour que vous puissiez récuser l’un d’eux, par exemple un ancien consultant de votre site (9.2.3.5).

Avec l’organisme d’accréditation

Rarement en direct, mais il compte. C’est lui que vous consultez pour vérifier une accréditation et sa portée, et à lui que vous adressez une réclamation sur un organisme de certification si l’appel auprès de l’organisme n’a rien donné.

Qui paie qui, et qui garantit quoi ?

L’entreprise paie le consultant, si elle en prend un, et l’organisme de certification. L’organisme de certification paie son accréditation et, pour un référentiel privé comme IFS Food ou FSSC 22000, signe un contrat avec son propriétaire. Personne ne garantit le certificat.

Les flux sont publics dans leur principe. Au Maroc, les frais d’accréditation que le SEMAC facture aux organismes d’évaluation de la conformité sont fixés par un avis du ministère de l’Industrie et du Commerce. IFS Food Version 8 impose à l’organisme un contrat-cadre avec IFS Management GmbH avant tout audit, et la Fondation FSSC interdit de promouvoir ou de vendre ses services sans accord de licence signé. Ces liens contractuels ne passent jamais par le consultant : une offre qui réunit le conseil et le certificat dans un même prix mélange deux rôles que les règles séparent.

Côté garanties, chacun ne s’engage que sur ce qu’il maîtrise. Le consultant s’engage sur une méthode, des livrables, une présence et un calendrier. L’organisme s’engage sur un processus, une durée d’audit justifiée et une décision fondée sur les preuves. Le détail des postes de dépense, y compris le temps de vos équipes, est dans notre article sur ce que coûte vraiment une certification.

Quelle checklist pour répartir les rôles sans conflit d’intérêts ?

Celle-ci, à reprendre au lancement du projet puis avant l’audit de certification.

• Les exigences de l’acheteur sont écrites : référentiel, version, programme d’audit, éventuel niveau attendu.
  
• Le consultant a signé une déclaration d’indépendance vis-à-vis de tout organisme de certification.
  
• Aucun intervenant du cabinet ne participera à l’audit de certification de votre site.
  
• L’organisme de certification est accrédité, ou approuvé par le propriétaire du référentiel, pour votre référentiel et votre secteur.
  
• Son accréditeur est reconnu pour ce domaine et accepté par vos acheteurs.
  
• L’offre de l’organisme ne contient aucun conseil, et celle du cabinet aucun certificat.
  
• La durée d’audit est justifiée par écrit, sur la base d’un questionnaire exact.
  
• Vous avez demandé les noms des auditeurs et vérifié qu’aucun n’a travaillé pour vous dans les deux ans.
  
• Vos pilotes savent répondre seuls ; la gestion quotidienne du système reste interne.
  
• Vous connaissez le processus d’appel et de réclamation de l’organisme.