ISO 50001, 27001, 22301 et 37001 au Maroc : le guide au-delà du QSE

Quelles sont ces quatre normes, et quelle édition s’applique ?

Quatre normes de systèmes de management certifiables, chacune sur un risque que le trio qualité, sécurité, environnement ne couvre pas : l’énergie, l’information, l’interruption d’activité et la corruption. Les éditions ci-dessous sont celles qu’affichent les pages ISO des comités, consultées le 5 novembre 2026.

Sources : pages ISO d’ISO 50001, d’ISO/IEC 27001, d’ISO 22301 et d’ISO 37001.

Les amendements de 2024 rendent explicite la prise en compte du changement climatique dans le contexte de l’organisme (articles 4.1 et 4.2). Le communiqué commun de l’IAF et de l’ISO les traite comme une clarification, sans programme de transition : les auditeurs les vérifient depuis leur publication.

Les quatre normes n’ont pas la même logique. ISO 50001 mesure une performance : l’énergie consommée rapportée à l’activité. ISO/IEC 27001 et ISO 22301 préparent l’entreprise à des événements : une fuite de données, une cyberattaque, un incendie, la défaillance d’un fournisseur. ISO 37001 encadre des comportements et des relations d’affaires. Le socle de pilotage, lui, est commun ; nous y revenons plus bas. Pour les autres normes que nous accompagnons (ISO 26000, ISO 31000, ISO 13485…), voir notre page QSE et systèmes ISO.

Que demande ISO 50001, et pourquoi intéresse-t-elle une usine marocaine ?

Un système qui améliore la performance énergétique de façon mesurée : une revue énergétique, des usages énergétiques significatifs maîtrisés, une situation énergétique de référence et des indicateurs de performance énergétique (IPÉ). Au Maroc, elle a en plus un intérêt réglementaire pour les gros consommateurs.

Selon sa page ISO, ISO 50001:2018 suit le cycle PDCA, suit les progrès par des IPÉ et des situations énergétiques de référence, et s’intègre facilement à ISO 9001 et ISO 14001. Le travail se structure en quatre temps :

1. la revue énergétique : analyser les consommations par usage, identifier les usages significatifs (fours, chaudières et vapeur, air comprimé, froid, moteurs et pompes) et les variables qui les expliquent, comme la production ou la température extérieure ;
2. la référence et les indicateurs : une situation de référence sur une période représentative, des IPÉ qui tiennent compte de ces variables ;
3. les objectifs et plans d’actions, avec la maîtrise opérationnelle des usages significatifs et la prise en compte de l’énergie dans les achats et la conception ;
4. la mesure : un plan de collecte des données, des compteurs fiables, des résultats vérifiés.

La norme ISO 50006:2023 donne les lignes directrices pour établir, utiliser et tenir à jour les IPÉ et les situations de référence. Le pas à pas est dans notre article démarrer une revue énergétique ISO 50001.

Le lien avec l’audit énergétique obligatoire

Le décret n° 2-17-746 du 10 avril 2019, pris pour l’application de la loi n° 47-09 relative à l’efficacité énergétique, soumet à l’audit énergétique obligatoire les entreprises industrielles, production d’énergie comprise, dont la consommation finale totale dépasse 1 500 tep par an (art. 2). Son article 3 exempte de cet audit, pendant toute la validité de la certification, les activités couvertes par un système de management de l’énergie certifié selon les normes marocaines en vigueur. La transmission annuelle des données énergétiques à l’Agence marocaine pour l’efficacité énergétique (AMEE) reste due (art. 3 et 4). Côté norme, le catalogue de l’IMANOR recense la NM ISO 50001:2018 et son amendement 1, qui reprennent ISO 50001:2018.

Le calcul du seuil utilise les coefficients de l’annexe du décret : 1 GWh d’électricité vaut 86 tep, une tonne de fioul 0,96 tep. Pour une usine qui ne consommerait que de l’électricité, 1 500 tep correspondent donc à environ 17,4 GWh par an. Notre page industrie et énergie compare l’audit obligatoire et la certification.

Que demande ISO/IEC 27001, et qui la réclame ?

Un système de management de la sécurité de l’information (SMSI) : un périmètre, une appréciation des risques sur l’information, un plan de traitement de ces risques et une déclaration d’applicabilité qui justifie les mesures de sécurité retenues ou exclues. Elle est le plus souvent réclamée par un client, rarement par la loi.

L’IAF MD 26:2023, document obligatoire de la transition vers l’édition 2022, résume la mécanique : l’organisme compare les mesures qu’il a déterminées avec la liste de référence de l’annexe A (article 6.1.3 c), puis produit sa déclaration d’applicabilité (article 6.1.3 d). L’annexe A reprend les mesures d’ISO/IEC 27002:2022 : 93 mesures en 4 chapitres, contre 114 en 14 chapitres auparavant. L’édition 2022 a aussi ajouté la planification des modifications (article 6.3) et la détermination des exigences des parties intéressées traitées par le SMSI (article 4.2 c).

Trois situations expliquent la plupart des projets au Maroc :

• un client étranger ou un donneur d’ordre envoie un questionnaire de sécurité à ses fournisseurs : un certificat accrédité y répond mieux qu’un dossier déclaratif ;
• un prestataire héberge ou traite les données de ses clients : centres de services, éditeurs de logiciels, sociétés de services informatiques ;
• une entreprise traite beaucoup de données personnelles et veut structurer les mesures de sécurité qu’exige la loi.

Ce que dit le droit marocain

• Loi n° 09-08 : le responsable du traitement met en œuvre des mesures techniques et organisationnelles appropriées et choisit des sous-traitants offrant des garanties suffisantes (art. 23) ; un transfert vers un État étranger suppose, en principe, que cet État assure un niveau de protection suffisant (art. 43). Le SMSI ne remplace pas les formalités auprès de la CNDP.
• Loi n° 05-20 relative à la cybersécurité (texte sur le portail Adala) : elle fixe les règles de sécurité des systèmes d’information des administrations, collectivités, établissements et entreprises publics, des infrastructures d’importance vitale et des « opérateurs » (télécommunications, accès à Internet, prestataires de services de cybersécurité ou numériques, éditeurs de plateformes), selon son article premier. Le décret n° 2-21-406 du 15 juillet 2021 désigne comme autorité nationale la Direction générale de la sécurité des systèmes d’information (art. 1).

Une entreprise industrielle privée n’est pas directement visée, sauf si elle est désignée infrastructure d’importance vitale (la liste est tenue secrète, art. 16) ou si elle exerce une activité d’opérateur. Elle est concernée indirectement quand une entité lui externalise un système d’information sensible : elle doit alors respecter les règles de l’autorité nationale, et le contrat, de droit marocain, prévoit protection de l’information, auditabilité et réversibilité (art. 10 et 12).

Que demande ISO 22301 ?

Un système de management de la continuité d’activité : savoir quelles activités ne peuvent pas s’arrêter, combien de temps elles peuvent l’être, et avoir préparé, testé et tenu à jour les moyens de les reprendre. Le cœur de la démarche est l’analyse d’impact sur l’activité (BIA), qui fonde les stratégies, les plans et les exercices.

La norme est en révision : sa page ISO la classe « à réviser » depuis le 5 décembre 2025, et le projet ISO/CD 22301, qui la remplacera, a clos sa période de commentaires le 10 mai 2026. Aucune date de publication n’est annoncée : on se certifie selon l’édition 2019.

Au Maroc, la loi n° 05-20 impose aux entités publiques un plan de continuité ou de reprise d’activité testé régulièrement (art. 9), et l’étend aux infrastructures d’importance vitale (art. 14). Pour une entreprise privée, la demande vient surtout des donneurs d’ordre, qui veulent être livrés malgré une panne, un incendie, une cyberattaque ou la défaillance d’un fournisseur. ISO 22301 complète ISO/IEC 27001 : la continuité des systèmes d’information n’est qu’une partie de la continuité de l’activité.

Que demande ISO 37001:2025 ?

Un système qui aide à prévenir, détecter et traiter la corruption, directe ou indirecte, dans les secteurs public, privé et associatif, selon la page ISO de la norme. Ses composantes : une politique anticorruption, une fonction de conformité anticorruption, une appréciation du risque de corruption, des procédures de diligence raisonnable, des contrôles financiers et non financiers, des formations, des mécanismes de surveillance et de signalement.

L’édition 2025 a remplacé l’édition 2016. Selon le document de transition de Global ACI, elle ajoute des sous-articles sur le changement climatique et sur la culture de conformité, traite les conflits d’intérêts, clarifie la notion de fonction anticorruption et adopte la dernière structure harmonisée. Les certifications initiales et les renouvellements se font selon l’édition 2025 depuis le 31 août 2026 au plus tard ; les certificats accrédités selon l’édition 2016 ne sont plus valides après le 28 février 2027.

Le cadre marocain s’articule autour de la loi n° 46-19, promulguée par le dahir n° 1-21-36 du 21 avril 2021, qui organise l’Instance nationale de la probité, de la prévention et de la lutte contre la corruption (INPPLC). Pour cette loi, la corruption recouvre les infractions prévues par les sections III et IV du chapitre III du titre premier du livre III du Code pénal, ainsi que les infractions de corruption prévues par des législations particulières (art. 3). Parmi ses missions, l’Instance élabore des guides de référence pour les organismes publics et privés et promeut les principes de gouvernance des entreprises (art. 4).

Un certificat ISO 37001 ne prouve pas l’absence de corruption : il atteste qu’un dispositif de prévention proportionné à vos risques est en place et fonctionne. Les entreprises qui le demandent répondent à des marchés publics, travaillent avec des intermédiaires commerciaux ou ont des partenaires internationaux qui exigent un programme de conformité.

Comment les intégrer à un système ISO 9001 existant ?

Sur le même socle. La page ISO d’ISO 50001 la dit conçue pour être compatible avec les autres normes de systèmes de management, celle d’ISO 22301 la dit intégrable aux autres normes ISO, ISO/IEC 27001:2022 s’est alignée sur la structure harmonisée (IAF MD 26) et ISO 37001:2025 a adopté la dernière (Global ACI). Un site certifié ISO 9001 ne repart donc pas de zéro.

La certification suit la même logique. Global ACI-TECH-3-008, qui encadre l’audit des systèmes intégrés, cite ISO/IEC 27001 parmi ses exemples : la durée de chaque norme est calculée selon ses propres règles, puis l’organisme ajuste selon le niveau d’intégration réel, sans réduction de plus de 20 %. Ces règles propres existent pour l’énergie (ISO 50003:2021) et pour la sécurité de l’information (ISO/IEC 27006-1:2024).

Le détail de l’intégration (ce que l’on fusionne, ce que l’on garde, qui porte le système) est dans notre guide du système de management intégré QSE. Les facteurs de coût et de durée propres à chaque norme sont dans notre article sur le coût de certification ISO 50001, 27001, 22301 et 37001.

Par où commencer, et comment préparer le projet ?

Par la norme que l’on vous demande, et par son analyse de fond. Dans les projets ISO que nous accompagnons, la difficulté tient rarement à la norme ajoutée : elle tient au pilote, qui doit exister avant la documentation.

Par exemple, un fabricant d’emballages de Kénitra certifié ISO 9001 qui reçoit le questionnaire de sécurité d’une marque européenne n’a pas besoin des quatre normes : il lui faut un SMSI construit sur ses processus existants. Notre cas type d’ajout d’ISO/IEC 27001 à ISO 9001 suit ce chemin, et notre point sur les versions et exigences 2026-2027 donne les échéances.

Avant de lancer le projet :

• La demande est écrite : seuil du décret, questionnaire client, clause contractuelle, appel d’offres.
  
• Le périmètre est fixé : sites, activités, systèmes d’information, filiales.
  
• L’édition visée est la bonne, amendement de 2024 compris.
  
• Un pilote est nommé et dispose de temps : responsable énergie, responsable de la sécurité de l’information, responsable continuité, fonction anticorruption.
  
• La cartographie ISO 9001 a été relue pour y rattacher la nouvelle norme.
  
• Les obligations légales sont au registre : décret n° 2-17-746, loi n° 09-08, loi n° 05-20 le cas échéant, infractions de corruption du Code pénal.
  
• L’organisme de certification pressenti est accrédité pour cette norme : vérifiez sa portée.
  
• Les auditeurs internes sont formés à la nouvelle norme avant le premier cycle d’audit.
  

Les formations des pilotes et des auditeurs internes relèvent de notre domaine normes ISO et systèmes de management, qui couvre ISO 50001, ISO/IEC 27001, ISO 22301 et ISO 37001 ; la sensibilisation des salariés à la cybersécurité et à la loi 09-08 relève du domaine digital, IA appliquée et cybersécurité.