Food defense TACCP et food fraud VACCP : guide complet au Maroc

Que recouvrent la food defense et la food fraud ?

Deux risques intentionnels, que le plan HACCP ne couvre pas seul. La food defense protège le produit contre un acte qui cherche à nuire. La food fraud le protège contre une tromperie qui cherche un gain économique.

FSSC 22000 Version 7 reprend les définitions de la GFSI (version 2024 de ses exigences de benchmarking). La défense alimentaire protège aliments, ingrédients et emballages contre toute attaque malveillante intentionnelle, y compris idéologique. La fraude alimentaire regroupe la substitution, l’ajout, l’altération ou la présentation trompeuse délibérés d’un aliment, d’un emballage ou d’une information produit, dans un but économique. IFS Food version 8 retient quatre formes de fraude : substitution, étiquetage erroné, adultération et contrefaçon.

Pourquoi la fraude relève-t-elle de la sécurité des aliments ? La position de la GFSI de 2014 répond : le fraudeur ne veut pas nuire, mais il agit souvent par négligence ou ignorance, et la fraude peut être plus dangereuse que les risques classiques parce que ses contaminants ne sont pas conventionnels. C’est pourquoi la GFSI a décidé d’ajouter deux éléments à ses exigences pour les référentiels qu’elle reconnaît : une évaluation de vulnérabilité à la fraude et un plan de maîtrise.

TACCP et VACCP : des méthodes, pas des exigences

TACCP (Threat Assessment Critical Control Point) est la méthode décrite par le guide PAS 96 de BSI, construite sur le modèle du HACCP. La page PAS 96 de BSI présente aujourd’hui l’édition PAS 96:2026, publiée le 31 mai 2026, qui met à jour la menace cybercriminelle et l’alignement sur la démarche TACCP. VACCP (Vulnerability Assessment and Critical Control Point) est un sigle d’usage, bâti sur le même modèle pour la fraude ; les référentiels, eux, parlent simplement d’évaluation de la vulnérabilité.

Aucun de ces sigles ne figure dans BRCGS Food Safety Issue 9, IFS Food version 8 ou FSSC 22000 Version 7. Les référentiels parlent d’« évaluation des menaces » et d’« évaluation de la vulnérabilité ». Choisissez donc une méthode parce qu’elle produit les preuves attendues : une méthodologie définie, des critères écrits, des résultats documentés et un plan qui en découle.

Que demandent BRCGS, IFS et FSSC 22000 ?

Tous les trois exigent une évaluation écrite, un plan, du personnel compétent et une revue. Ils diffèrent sur le périmètre, le test du plan et l’articulation avec le reste du système.

BRCGS Food Safety Issue 9

Les sections 4.2 et 5.4, résumées sur notre hub, sont complétées par un maillage serré dans tout le référentiel : l’analyse des dangers HACCP considère la fraude et la contamination malveillante (2.7.1), le programme d’audit interne couvre les deux plans (3.4.1), l’analyse des risques matières premières intègre la substitution et la fraude (3.5.1.1), l’audit d’un fournisseur couvre ses plans de défense et d’authenticité (3.5.1.2), et la revue de direction évalue leur efficacité (1.1.4). Un écart sur la fraude peut donc être relevé à plusieurs endroits du référentiel, pas seulement en 5.4.

IFS Food version 8

L’exigence 4.20 demande une évaluation documentée de la vulnérabilité à la fraude, avec des critères d’évaluation, sur toutes les matières premières, tous les ingrédients, tous les matériaux d’emballage et tous les procédés sous-traités. Un plan de réduction de la fraude en découle, avec ses méthodes d’analyse et de surveillance (4.20.3). L’exigence 4.21 demande une procédure et un plan de food defense qui traitent au minimum des dispositions légales, des zones critiques et de l’accès du personnel, des visiteurs et prestataires, et de la gestion des inspections externes et visites réglementaires. Le plan est testé et revu dans une période de 12 mois (4.21.3).

Les exigences 4.20.2, 4.20.4 et 4.21.2 portent un astérisque : le rapport d’audit IFS doit en résumer le contenu. Pour la fraude, l’auditeur y liste les groupes de matières jugés à risque et les critères retenus. La Doctrine IFS Food, version 5, précise que la partie consacrée aux inspections externes ne s’applique pas lorsqu’aucune loi du pays de l’audit n’impose d’inspection de food defense, ou lorsque le site n’exporte pas vers les États-Unis et ne relève d’aucune inspection de food defense de la FDA. Les inspections sanitaires ordinaires des autorités ne sont pas visées.

FSSC 22000 Version 7

Le socle passe dans les programmes prérequis : l’article 16 d’ISO 22002-100:2025, avec ses parties 16.2 (défense alimentaire) et 16.3 (prévention de la fraude). Leur contenu détaillé relève du texte ISO, payant, que nous ne reproduisons pas. Les exigences additionnelles 2.5.3 et 2.5.4 ajoutent quatre points : des évaluations et des plans tenus par du personnel compétent, des plans mis en œuvre et soutenus par le système de management, conformes à la législation, couvrant tout le périmètre et tenus à jour. Le détail des changements depuis la Version 6 figure dans notre article sur les nouveautés de FSSC 22000 version 7.

Aucun de ces chapitres n’est une exigence KO chez IFS ni une exigence fondamentale chez BRCGS. Ce n’est pas une raison de les négliger : un plan absent ou jamais appliqué peut valoir une non-conformité majeure.

Comment évaluer les menaces (TACCP) ?

En parcourant le site avec une équipe pluridisciplinaire, et en répondant à trois questions : qui pourrait vouloir nuire, où pourrait-il agir, et qu’est-ce qui l’en empêcherait ou le révélerait ?

1. Constituer l’équipe. Qualité, production, maintenance, logistique, ressources humaines et informatique. BRCGS (4.2.1) exige une connaissance du site et des principes de la défense alimentaire.
2. Fixer le périmètre. Bâtiments, stockages extérieurs, transport sous contrôle du site, eau, systèmes informatiques qui pilotent un procédé. BRCGS compte les attaques contre la cybersécurité parmi les incidents à prévoir (3.11.1).
3. Lister les menaces. Internes : salarié mécontent, intérimaire, saisonnier. Externes : prestataire, visiteur, chauffeur, intrus, extorsion, militantisme, cyberattaque.
4. Repérer les points vulnérables. Réception, citernes, salles d’ingrédients, cuves ouvertes, zone d’emballage, stock d’étiquettes, quais.
5. Évaluer et prioriser. Par exemple l’accessibilité du point et la gravité de l’effet. Le référentiel n’impose aucune grille ; il impose qu’elle soit écrite et appliquée.
6. Décider des mesures. Prévenir d’abord, détecter quand la prévention ne suffit pas (BRCGS 4.2.3).
7. Former, surveiller, tester. Le personnel est formé (BRCGS 4.2.4) et IFS demande un test d’efficacité du plan (4.21.3).

Si votre plan prévoit de la vidéosurveillance, vérifiez vos obligations au titre de la loi 09-08 sur la protection des données personnelles auprès de la CNDP.

Comment évaluer la vulnérabilité à la fraude (VACCP) ?

Matière par matière, ou par groupe de matières, à partir de critères écrits et de sources de veille, en regardant toute la chaîne d’approvisionnement et pas seulement le quai de réception.

BRCGS (5.4.3) impose cinq critères : l’historique des substitutions ou adultérations, les facteurs économiques qui rendent la fraude attractive, la facilité d’accès aux matières dans la chaîne, la capacité des analyses de routine à détecter un adultérant, et la nature de la matière. Le glossaire d’IFS Food version 8 propose une liste voisine : historique, facteurs économiques, facilité de l’activité frauduleuse, complexité de la chaîne, mesures de maîtrise en place et niveau de confiance dans le fournisseur. Il demande aussi d’évaluer le risque pour les produits et pour les fournisseurs, à partir de sources de données connues et fiables.

La veille alimente ces critères. BRCGS (5.4.2) cite les associations professionnelles, les sources gouvernementales et les centres de ressources privés ; IFS (1.2.5) demande un système de veille sur les facteurs qui influencent les risques de fraude. Le document technique de la GFSI de 2018 ajoute les signaux faibles, comme une hausse du prix d’une matière, et rappelle qu’une évaluation peut conclure à une vulnérabilité faible si elle est menée avec soin et bien documentée.

Le même document classe les types de fraude, avec des exemples. Le tableau les rapproche des matières qu’un site marocain doit examiner : ce sont des pistes d’évaluation, pas des constats.

Les allégations demandent un contrôle à part. Quand l’étiquette revendique une origine, une variété, un statut certifié ou une marque d’ingrédient, BRCGS (5.4.5) exige de vérifier le statut de chaque lot, de conserver les preuves d’achat, d’utilisation et de conditionnement, et de réaliser des bilans matière, au moins tous les six mois à défaut d’exigence propre à un programme. Pour une allégation de mode de production (biologique, halal, casher), le site maintient la certification correspondante (5.4.6) : voir notre page Halal et Kosher.

La méthode pas à pas, avec sa grille de notation, est détaillée dans notre guide de l’évaluation de vulnérabilité à la fraude alimentaire.

Que doivent contenir le plan de défense alimentaire et le plan d’atténuation de la fraude ?

Les mesures retenues, qui les applique, comment elles sont vérifiées et quand le plan est revu. Un plan qui ne reprend pas les conclusions de l’évaluation est un document de plus, pas un plan.

Le plan de défense alimentaire précise :

• les menaces significatives retenues et les zones sensibles ;
• les mesures de prévention et de détection, avec leur responsable ;
• les règles d’accès du personnel, des visiteurs, des prestataires et des chauffeurs ;
• la conduite à tenir en cas d’altération suspectée, reliée à la procédure d’incident et de rappel ;
• la formation du personnel et les tests du plan ;
• les exigences légales du pays de vente, le cas échéant.

Le plan d’atténuation de la fraude dit, selon la GFSI, quand, où et comment réduire chaque vulnérabilité : surveillance, analyses, vérification de l’origine, spécifications, audits fournisseurs, technologies anti-contrefaçon. IFS (4.20.3) exige qu’il inclue ses méthodes d’analyse et de surveillance.

Les deux plans vivent dans le système de management : approbation des fournisseurs (BRCGS 3.5.1, IFS 4.4.2), formation (IFS 3.3.4), revue de direction (BRCGS 1.1.4, IFS 1.3.1). En cas d’incident significatif d’authenticité, BRCGS exige d’informer l’organisme de certification sous 3 jours ouvrables (3.11.4) ; IFS impose le même délai pour un rappel ou un retrait décidé par les autorités pour fraude (1.2.6).

Ce que l’auditeur vérifie

Il ne cherche pas la fraude. La GFSI le dit dès 2014 : l’auditeur revoit la documentation de l’évaluation et confirme qu’un plan a été élaboré et mis en œuvre, comme il vérifie un plan HACCP. Le document de 2018 précise ses questions : l’approche couvre-t-elle toute l’entreprise ? A-t-elle été construite par une équipe pluridisciplinaire ? Est-elle documentée et revue ? Sur quelles sources repose-t-elle ?

Chez FSSC 22000, le modèle de rapport de la Version 7 demande à l’auditeur de résumer, pour l’article 16 d’ISO 22002-100:2025, la méthodologie, les menaces internes et externes, les menaces et vulnérabilités significatives, les mesures et leur vérification, la stratégie de formation et de communication, la revue périodique, ainsi qu’un aperçu du contrôle d’accès, de la sûreté du site et des incidents signalés. Pour la fraude, il note l’étendue de l’évaluation : la chaîne d’approvisionnement, pas seulement le site.

Que dit la loi marocaine, et celle des pays de vente ?

La loi marocaine réprime la fraude sur les marchandises ; pour la défense alimentaire, ce sont surtout les lois des pays de destination qui ajoutent des obligations.

La loi n° 13-83 relative à la répression des fraudes sur les marchandises punit la tromperie sur la nature, les qualités substantielles, la composition, l’espèce, l’origine ou la quantité d’une marchandise (articles premier et 4). Les peines peuvent être doublées quand la fraude met en jeu des produits dangereux pour la santé (article 2). La loi n° 28-07 relative à la sécurité sanitaire des produits alimentaires impose en outre à l’exploitant qui a des raisons de penser qu’un produit n’est pas sûr d’en informer sans délai les autorités compétentes (article 10).

À l’export, BRCGS (4.2.2) exige que le plan de défense alimentaire respecte, le cas échéant, la loi du pays de vente, et FSSC 22000 demande à l’auditeur de commenter la législation applicable, ou d’en noter l’absence. Pour les États-Unis, la doctrine IFS mentionne les inspections de food defense de la FDA, et BRCGS propose un module additionnel consacré aux exigences de la FSMA.

La règle de la FDA sur l’adultération intentionnelle (21 CFR partie 121) vise les entreprises, américaines comme étrangères, tenues de s’enregistrer auprès de la FDA comme installations alimentaires : un site marocain enregistré pour exporter vers les États-Unis y est soumis, sauf exemption. Elle impose un plan de défense alimentaire fondé sur une évaluation des vulnérabilités, des stratégies d’atténuation aux étapes exploitables, leur surveillance, des actions correctives, une vérification, la formation du personnel et des enregistrements ; le plan est réanalysé tous les trois ans, ou plus tôt dans certains cas. Sont notamment exemptés les très petites entreprises (moins de 10 millions de dollars par an de ventes et de valeur d’aliments pour l’homme, en moyenne sur trois ans et ajustés de l’inflation), qui doivent toutefois pouvoir le documenter, le stockage d’aliments hors citernes de liquides, et le conditionnement ou l’étiquetage lorsque l’emballage au contact de l’aliment reste intact.

Par où commencer dans votre usine ?

Par un état des lieux honnête, puis par les deux évaluations, avant toute rédaction de procédure.

• Nommer un responsable et une équipe pour chaque évaluation, preuves de compétence à l’appui.
  
• Choisir et écrire la méthode : critères, échelle de notation, seuil de vulnérabilité significative.
  
• Lister toutes les matières premières, emballages et procédés sous-traités, regroupés de façon justifiée.
  
• Documenter les sources de veille consultées et leur fréquence.
  
• Parcourir le site pour repérer les zones sensibles, réception et stockage extérieur compris.
  
• Rédiger les deux plans à partir des conclusions, avec responsables et vérifications.
  
• Relier les plans à l’approbation des fournisseurs, aux spécifications et au plan d’analyses.
  
• Former le personnel concerné et tester le plan de défense alimentaire.
  
• Inscrire les deux évaluations au programme d’audit interne et à la revue de direction.
  
• Fixer les déclencheurs de revue : nouvelle matière, nouveau fournisseur, alerte, incident.
  

Nos articles sur les exigences 2026-2027, le coût d’un programme et le cas type d’un exportateur d’épices prolongent ce guide.