Vérifier un organisme de certification et un certificat : checklist

Pourquoi vérifier un certificat avant de s’appuyer dessus ?

Parce qu’un certificat n’est qu’une affirmation, et que sa valeur dépend entièrement de celui qui la signe. Il dit qu’un site satisfaisait un référentiel donné, sur un périmètre donné, à une date donnée. Si l’organisme n’est pas habilité, si le périmètre ne couvre pas votre produit ou si le certificat a été suspendu, il ne prouve rien de ce que vous cherchez.

Trois situations imposent la vérification :

• Vous choisissez votre organisme de certification. Une erreur ici se paie au moment où un client refuse le certificat obtenu.
• Vous qualifiez un fournisseur. Un certificat valide qui ne couvre pas la matière achetée ne remplit pas l’exigence de votre propre référentiel.
• Un acheteur vous demande votre certificat. Il va le vérifier ; mieux vaut avoir fait le contrôle avant lui.

Le partage des rôles entre consultant, organisme de certification et organisme d’accréditation est expliqué dans notre guide consultant ou organisme de certification : qui fait quoi. Ce mode d’emploi se concentre sur les contrôles.

Comment vérifier qu’un organisme de certification est habilité pour votre référentiel ?

En quatre contrôles, du plus simple au plus précis : la liste du propriétaire du référentiel, le certificat d’accréditation, la portée de cette accréditation, puis l’accréditeur lui-même. Le tableau indique où chercher pour chaque cas.

Demandez le certificat d’accréditation, pas une plaquette

Un organisme sérieux vous le transmet sans difficulté, avec sa portée. Vérifiez trois mentions : la norme d’accréditation, le référentiel couvert et sa version, et le domaine d’activité. Les exigences de benchmarking de la GFSI version 2024 imposent d’ailleurs qu’un organisme qui propose plus de services que ceux couverts par son accréditation rende sa portée accréditée publique (Key Changes, version 2024).

Vérifiez l’accréditeur, surtout pour un certificat export

Au Maroc, le SEMAC accrédite des organismes de certification de systèmes de management selon la NM ISO/CEI 17021-1. Le ministère de l’Industrie et du Commerce publie ses listes sur la page documents et services en ligne ; au 5 novembre 2026, la liste la plus récente des organismes de certification de systèmes de management accrédités y était datée du 1er juin 2021. Une liste ancienne ne dit rien des accréditations accordées, suspendues ou retirées depuis : confirmez auprès de l’organisme et du SEMAC.

Pour un client étranger, la reconnaissance internationale compte. Au 5 novembre 2026, la page des membres associés de Global ACI cite le service marocain d’accréditation parmi les accréditeurs qui ne sont pas encore signataires de son MRA, et la liste des accréditeurs sous accord avec la Fondation FSSC ne comprend pas le Maroc. Pour FSSC 22000, votre organisme sera donc accrédité par un accréditeur étranger ; pour une norme ISO, demandez à votre client quelle accréditation il accepte.

Comment lire un certificat, ligne par ligne ?

En cherchant les mentions obligatoires, puis en les comparant à votre besoin. ISO/IEC 17021-1 fixe le contenu minimal d’un certificat de système de management (article 8.2.2, selon la grille du SADCAS) ; IFS Food et FSSC 22000 y ajoutent leurs propres mentions.

Les référentiels de sécurité des aliments vont plus loin. Un certificat IFS Food Version 8 mentionne notamment le code d’identification COID, l’accréditeur et son numéro d’enregistrement, le périmètre traduit en anglais, les exclusions, le niveau et la note obtenus, la date du dernier audit non annoncé, la date d’expiration et un code QR (partie 4, chapitre 2.4 du référentiel IFS Food Version 8). Un certificat FSSC 22000 Version 7 est rédigé en anglais, porte le COID et le code QR fournis par la plateforme de la Fondation, et doit correspondre au registre public (référentiel FSSC 22000 Version 7, partie 3, section 7.2).

Comment contrôler un certificat dans les registres publics ?

En partant du propriétaire du référentiel, jamais d’un lien fourni avec le document. Un certificat se vérifie à sa source : le registre, la base de données ou l’organisme lui-même.

• BRCGS. Selon le guide de certification BRCGS, tous les sites certifiés figurent dans le BRCGS Directory, que les marques et les distributeurs consultent pour trouver des fournisseurs. Le même guide indique que l’organisme délivre le certificat dans les 42 jours calendaires suivant le premier jour d’audit : un site audité récemment peut ne pas encore y apparaître.
• IFS. Le code QR du certificat IFS Food renvoie, par un lien public, à la base de données IFS qui en vérifie l’authenticité. La base de données IFS montre le statut de certification ; le rapport complet n’est visible qu’avec l’autorisation de la société certifiée. Après la date d’expiration, l’ancien certificat reste visible trois mois ; le COID n’est désactivé que si l’audit de recertification a lieu après ces trois mois.
• FSSC 22000. Le registre public, mis à jour chaque jour, liste les organisations certifiées en cours de validité, avec des filtres par référentiel, statut du certificat, pays et périmètre.
• Normes ISO. Il n’existe pas de registre unique. ISO/IEC 17021-1 (article 8.1.2) oblige l’organisme à fournir, sur demande, le statut d’une certification donnée, ainsi que le nom, la norme, le périmètre et la localisation d’un client certifié : écrivez-lui.

Pour un fournisseur, ce contrôle prend quelques minutes et peut éviter un audit mal ciblé. Notre guide de l’audit fournisseur au Maroc explique ce que l’auditeur vérifie ensuite, au-delà du certificat.

Quels signaux d’alerte doivent vous faire écarter un certificat ou un organisme ?

Tout ce qui empêche de remonter la chaîne jusqu’à un accréditeur reconnu, ou qui mélange conseil et certification. Les plus fréquents :

• Un certificat introuvable dans le registre du référentiel, ou que l’organisme ne confirme pas par écrit.
• Aucun accréditeur mentionné, ou un accréditeur dont vous ne trouvez aucune trace.
• Un périmètre vague, qui ne cite ni les produits, ni les procédés, ni le site.
• Un certificat suspendu : selon ISO/IEC 17021-1 (article 9.6.5.3), la certification est alors temporairement invalide.
• Un organisme qui propose aussi du conseil, des audits internes ou une offre « conseil et certificat compris » : ISO/IEC 17021-1 le lui interdit (articles 5.2.5 et 5.2.6).
• Une promesse d’audit plus facile ou plus rapide grâce à un cabinet donné (article 5.2.9).
• Une marque de certification apposée sur le produit : la grille d’évaluation des organismes vérifie que leur marque n’est pas utilisée sur un produit ou un emballage vu par le consommateur.
• Un « certificat ISO 22000 » présenté comme reconnu par la GFSI : c’est FSSC 22000, qui intègre ISO 22000, qui figure parmi les programmes reconnus, pas ISO 22000 seule.

Quelle checklist appliquer, et à quel moment ?

Celle-ci, avant de signer avec un organisme, puis à chaque qualification ou requalification de fournisseur.

• L’organisme figure dans la liste du propriétaire du référentiel (FSSC, IFS, BRCGS), s’il y en a une.
  
• Vous avez reçu son certificat d’accréditation et sa portée, à jour.
  
• La norme d’accréditation correspond au référentiel : ISO/IEC 17021-1, ISO 22003-1 ou ISO/CEI 17065.
  
• La portée couvre votre secteur et la version du référentiel visée.
  
• L’accréditeur est reconnu pour ce domaine et accepté par votre client.
  
• Le certificat est en cours de validité et n’est ni suspendu ni retiré.
  
• Le site, les produits et les procédés achetés figurent dans le périmètre.
  
• Le certificat se retrouve dans le registre public ou est confirmé par écrit par l’organisme.
  
• L’organisme ne vous a proposé ni conseil, ni audit interne, ni « certificat garanti ».
  
• La vérification est datée et archivée dans votre dossier fournisseur ou de certification.