FSSC 22000 version 7 : toutes les nouveautés, exigence par exigence

Où trouver la liste officielle des changements de la Version 7 ?

Dans deux documents publiés par la Fondation FSSC avec le référentiel. Le premier, Changes Version 6 and Version 7 – Scheme, reprend le texte de la Version 7 et affiche en rouge chaque passage nouveau ou modifié. Le second fait le même travail pour les annexes 1 à 5, dont l’annexe 2 sur les rapports d’audit.

Pour ce guide, nous avons relu ces documents, le référentiel Version 7 de mai 2026 et le référentiel Version 6 d’avril 2023, puis classé chaque écart par famille d’exigences. Rien n’est repris d’un résumé tiers. Quand un point dépend d’une norme ISO payante, nous le signalons. Le calendrier de transition est traité à part, dans notre article sur le calendrier de la Version 7.

Rappel utile : seule la version anglaise du référentiel fait foi. Les traductions aident à lire ; en cas de doute, le texte anglais tranche.

Qu’est-ce qui change dans le socle normatif ?

Les programmes prérequis, et presque rien d’autre. ISO 22000:2018 reste la norme de système. La Version 7 ajoute seulement qu’elle s’applique « y compris tout amendement publié par l’ISO » (partie 2, §2.3), ce qui couvre l’amendement de 2024 sur le changement climatique. L’annexe 2 en tire une conséquence directe : le rapport d’audit doit confirmer que le site a déterminé si le changement climatique est un enjeu pertinent et s’il a pris en compte les exigences de ses parties intéressées sur ce sujet.

Les PRP, eux, changent de nature. En Version 6, la partie 2 imposait des « spécifications techniques » : ISO/TS 22002-1:2009 pour la fabrication, ISO/TS 22002-2:2013 pour la restauration, ISO/TS 22002-4:2013 pour l’emballage, ISO/TS 22002-5:2019 pour le transport et le stockage, ISO/TS 22002-6:2016 pour l’alimentation animale et BSI/PAS 221:2013 pour la distribution. La Version 7 impose la série ISO 22002-x : ISO 22002-100:2025, commune à tous les secteurs, plus la partie sectorielle de votre catégorie. Seul le négoce sans manipulation (FII) reste dispensé.

Selon la Fondation, ISO 22002-100:2025 a été publiée en juillet 2025 et regroupe les exigences communes pour éviter les doublons. La FAQ Version 7 précise que ces textes sont désormais des normes internationales, d’où la disparition du sigle « TS ». Un fabricant d’aliments applique donc la partie 100 et ISO 22002-1:2025 ; un fabricant d’emballages seul applique la partie 100 et ISO 22002-4:2025.

Les exigences additionnelles renvoient désormais aux articles des nouvelles normes : 16.2 et 16.3 d’ISO 22002-100:2025 pour la défense alimentaire et la fraude, 11.1 pour les durées et températures après abattage, 10 et 12 d’ISO 22002-1:2025 pour les achats d’animaux et de poissons et l’inspection en abattoir, 12 d’ISO 22002-6:2025 pour les additifs en alimentation animale. Les effets concrets pour une usine marocaine sont détaillés dans notre article sur ISO 22002-100:2025 et les PRP sectoriels.

Qu’est-ce qui change dans les catégories et le périmètre ?

Les catégories restent les mêmes, mais elles sont subdivisées. Le nouveau tableau 1.1 de la partie 1 crée des sous-sous-catégories pour les familles les plus larges. Quelques exemples parlent directement aux exportateurs marocains :

• CIV-1 : produits traités thermiquement ou sous pression, dont la pasteurisation et la stérilisation commerciale (UHT, appertisation, autoclave) ; c’est le cas d’une conserverie de poisson de Safi ;
• CIV-5 : graisses et huiles végétales ou animales, dont l’huile d’olive ;
• CI-2 : poissons, mollusques et crustacés sous froid ;
• I-1 à I-5 : emballages plastiques, papier et carton, métal, verre, autres matériaux.

Ces subdivisions servent à qualifier les auditeurs. Le document de mise à niveau le dit clairement : elles ne touchent ni les licences ni l’accréditation des organismes. Pour vous, la conséquence est simple : l’organisme doit envoyer un auditeur qualifié dans votre sous-sous-catégorie.

Le périmètre est aussi précisé sur plusieurs points :

• un fabricant qui fait du commerce de gros sur son site principal ajoute la sous-catégorie FI ;
• un fabricant qui ne stocke que ses propres produits reste audité dans sa catégorie, sur site comme hors site ; s’il stocke pour d’autres sociétés, y compris des sociétés sœurs, il ajoute la catégorie G ;
• un entrepôt déporté n’entre dans l’audit du site principal que s’il appartient à la même entité juridique, relève du même système et se trouve dans le même pays ; s’il stocke aussi pour une société sœur, la catégorie G s’ajoute au certificat du site principal ; s’il stocke pour des clients tiers, il sort du périmètre et relève d’une certification G distincte ;
• le déroulage en ligne, le soufflage de préformes ou l’impression réalisés avec une activité de fabrication alimentaire restent dans le périmètre alimentaire, sans catégorie I ; la fabrication en ligne de bouteilles à partir de résine, elle, relève de la catégorie I.

Dernier changement de périmètre : la certification multisite, avec échantillonnage, s’ouvre à la manutention de produits végétaux (BIII). Un groupement de stations de conditionnement d’agrumes du Souss peut donc viser un certificat de groupe, sous réserve d’une fonction centrale et des règles de la partie 3 §5.3.

Quelles exigences additionnelles changent dans la partie 2 ?

Les changements les plus visibles touchent sept sujets ; les autres étendent un périmètre ou mettent à jour des renvois. Le tableau ci-dessous compare le texte des deux versions, rubrique par rubrique.

Trois lignes méritent un commentaire pour un site marocain.

La défense alimentaire et la fraude changent de logique. En Version 6, FSSC décrivait elle-même l’évaluation des menaces, l’évaluation des vulnérabilités et les plans. En Version 7, le socle passe dans ISO 22002-100:2025 ; FSSC ajoute ses exigences propres : personnel compétent, plan mis en œuvre et soutenu par le système, conformité légale, mise à jour. Préparez des preuves de compétence : formation, expérience, méthode.

L’impression n’est plus une affaire d’emballeur. Une conserverie d’Agadir qui imprime ses propres étiquettes doit désormais démontrer la maîtrise des maquettes : approbation du bon à tirer, gestion des versions obsolètes, contrôle de chaque tirage, séparation des variantes, comptage des invendus.

La culture devient une question de moyens. La direction doit fournir des ressources suffisantes, et un engagement de tout le personnel doit être démontrable. Notre article sur la culture sécurité des aliments en Version 7 explique comment le mesurer et le prouver.

Cinq rubriques ne changent pas sur le fond : l’usage du logo (2.5.5), la surveillance environnementale (2.5.7), le contrôle qualité (2.5.9), la gestion des équipements (2.5.15) et l’obligation d’informer l’organisme sous 3 jours ouvrables d’un événement grave (2.5.17).

Qu’est-ce qui change dans le processus de certification ?

D’abord la durée d’audit, ensuite des règles de cycle qui étaient implicites. Le temps FSSC ajouté à la durée de base est recalculé : 0,5 jour sous 100 ETP avec au plus deux études HACCP, 1 jour de 100 à 249 ETP, 1,5 jour au-delà ou à partir de trois études. La réduction de la durée de base, jusqu’à 0,25 jour, qu’autorisait la Version 6 disparaît. L’exemption des petits sites ne demande plus un « procédé simple » et vaut jusqu’à deux études HACCP. Le détail, et ce qu’il change pour votre devis, est dans notre article sur la durée d’audit en Version 7.

Les autres règles nouvelles de la partie 3 :

• Cycle. Aucun audit du cycle ne peut être sauté. Un renouvellement réalisé plus de 6 mois avant l’échéance ouvre un nouveau cycle de 3 ans et raccourcit donc le certificat en cours ; l’organisme doit vous en avertir avant.
• Déménagement. Une fois l’activité arrêtée sur l’ancien site, l’organisme retire le certificat dans les 3 jours ouvrables suivant sa notification 
  l’étape 2 sur le nouveau site doit avoir lieu dans les 6 mois, sinon tout l’audit initial est à refaire.
• Audits inopinés. Les jours d’indisponibilité doivent être convenus à l’avance avec l’organisme, et non plus seulement « peuvent » l’être. Si rien ne tourne le jour de la visite, l’audit est reporté. Le certificat indique les dates du dernier audit inopiné.
• Audits entièrement à distance. Possibles après un événement grave, selon l’addendum dédié, mais jamais plus de deux fois de suite ; ensuite, un audit sur site est obligatoire.
• Certificats. Une nouvelle date de décision est désormais attribuée aussi après un audit inopiné, sans changer la date d’échéance ; le certificat peut porter une date de prise d’effet après un renouvellement anticipé.

Ce qui ne bouge pas : trois niveaux de non-conformité, pas de « pistes d’amélioration », 28 jours calendaires pour traiter une mineure ou lever une majeure, 14 jours pour répondre à une critique, au moins la moitié du temps d’audit sur le terrain, au moins 20 % de temps en plus avec un interprète.

L’annexe 2 ajoute deux règles de rédaction. Une non-conformité sur un PRP est rattachée à l’article d’ISO 22002-100:2025, sauf si elle porte sur une exigence propre à la partie sectorielle. Et plusieurs écarts sur une même exigence donnent une seule non-conformité 
l’auditeur évalue s’il s’agit d’un problème systémique et si le niveau doit être relevé, par exemple en majeure.

Que change la Version 7 pour les organismes de certification et les auditeurs ?

Beaucoup, et c’est ce qui garantit des audits plus spécialisés. D’après le document de mise à niveau, chaque organisme doit faire étendre son accréditation à la Version 7 avant le 1er mai 2027. Un organisme déjà accrédité n’a pas le droit d’émettre des certificats v7 non accrédités. Plus aucune nouvelle demande de licence n’est acceptée pour la Version 6, et un nouvel organisme ne peut demander une licence v7 qu’à partir du 1er octobre 2026.

Côté auditeurs :

• chaque auditeur v6 doit réussir une formation et un examen sur la Version 7, puis sur ISO 22002-100:2025 et les parties sectorielles de ses catégories, avant tout audit v7 ;
• il doit être requalifié pour ses sous-sous-catégories, avec un registre à jour au 1er mai 2027 ;
• le cours d’auditeur principal de 40 heures doit être reconnu par un organisme compétent, par exemple le CQI/IRCA, et couvrir ISO 19011 et les éléments utiles d’ISO/IEC 17021-1 ;
• la formation PRP d’au moins 3 heures porte sur ISO 22002-100 et les parties utiles ;
• l’expérience de conseil ne compte que si elle relève de la sécurité des aliments, et pour 6 mois au plus ;
• le profil de chaque nouvel auditeur est pré-approuvé par la Fondation.

Pour un site marocain, la question pratique devient : votre organisme dispose-t-il d’un auditeur qualifié dans votre sous-sous-catégorie, et qui parle votre langue de travail ? Sans lui, il faut un expert technique, dont le temps ne compte pas dans la durée d’audit, ou un interprète, qui allonge l’audit.

La partie 5 suit le même mouvement : les organismes d’accréditation doivent être membres de Global ACI et signataires de son arrangement multilatéral, là où la Version 6 citait l’IAF. Leurs audits témoins se font sur de vrais audits FSSC 22000 : un audit selon un autre référentiel ou un audit simulé ne compte pas.

Que dit la Version 7 sur l’intelligence artificielle ?

Elle encadre l’usage de l’IA par les organismes de certification, et seulement par eux. La section 9 de la partie 3 s’applique « lorsque l’IA est utilisée dans le processus de certification ». L’organisme doit alors :

1. disposer d’un cadre de gouvernance fondé sur l’équité, la responsabilité, la fiabilité, l’exactitude, la transparence, la confidentialité et la sécurité ;
2. évaluer par écrit les risques de chaque système d’IA, de sa conception à son usage ;
3. tester et valider chaque système avant de l’utiliser, puis le surveiller en continu ;
4. ne jamais laisser l’IA remplacer le jugement humain ni les fonctions de certification définies par ISO 22003-1:2022 ;
5. définir les rôles et former son personnel aux limites et aux risques de l’IA ;
6. rendre cet usage transparent et en informer les parties intéressées, dont l’organisme certifié.

Votre usine n’a donc aucune exigence nouvelle sur l’IA. Vous gagnez en revanche un droit de regard : demandez à votre organisme s’il utilise l’IA pour planifier, rédiger ou relire vos rapports, et comment la décision humaine est préservée. Si vous utilisez vous-même un outil d’IA pour rédiger des procédures, aucune règle FSSC propre ne s’applique, mais votre système reste jugé sur ce qu’il fait réellement.

Par quoi commencer pour intégrer ces nouveautés ?

Par les PRP et par votre date d’audit, puis par les rubriques qui touchent votre catégorie. Le plan détaillé, étape par étape, figure dans notre plan de transition v6 vers v7 ; voici la liste de contrôle des nouveautés elles-mêmes.

• Télécharger le référentiel v7 et les deux documents « Changes Version 6 and Version 7 ».
  
• Confirmer votre catégorie, votre sous-sous-catégorie et votre nombre d’études HACCP.
  
• Acheter ISO 22002-100:2025 et votre partie sectorielle, puis refaire la table de correspondance des PRP.
  
• Mettre à jour les grilles d’inspection PRP (2.5.12) avec les articles des nouvelles normes.
  
• Rattacher la défense alimentaire et la fraude aux articles 16.2 et 16.3, preuves de compétence à l’appui.
  
• Vérifier si vous imprimez des étiquettes ou des supports (2.5.2 d).
  
• Ajouter des cibles chiffrées et des délais à vos objectifs de pertes et gaspillage (2.5.16).
  
• Prévoir les ressources du plan de culture et la preuve d’engagement du personnel (2.5.8).
  
• Documenter l’analyse du changement climatique dans le contexte du système.
  
• Demander à l’organisme la durée d’audit recalculée, la qualification de l’auditeur et son usage éventuel de l’IA.
  

Comparer chaque règle avant et après ? Notre comparatif FSSC 22000 v6 vs v7 reprend les mêmes points sous forme de tableaux.