Certification ISO 22000 : le guide de l'acheteur B2B

Presque tous les fournisseurs alimentaires que vous contactez vous enverront un PDF dans la première heure de la conversation. Il portera un logo, un numéro de certificat, une date d'expiration et la mention « ISO 22000:2018 ». La plupart des acheteurs le classent, cochent une case dans le questionnaire fournisseur et passent à autre chose. Cette habitude est compréhensible, et c'est aussi le point faible le plus répandu de la diligence d'approvisionnement B2B, car un certificat est une déclaration compressée à propos d'un système de management — et tant que vous ignorez ce qui a été compressé, vous ne pouvez pas savoir s'il couvre le produit que vous êtes sur le point d'acheter.

Ce guide déplie la norme ISO 22000 en particulier : ce que le référentiel oblige un site certifié à faire, la manière dont il s'articule avec le HACCP en tant que méthode, la façon dont il se situe à côté des référentiels portés par la grande distribution comme le BRCGS et l'IFS Food, les quatre champs d'un certificat qui comptent vraiment, et — la partie que les fournisseurs proposent rarement d'eux-mêmes — ce que l'ISO 22000 ne peut pas vous dire sur la palette qui arrive dans votre entrepôt. Pour le panorama plus large des certifications de sécurité alimentaire et de production, y compris les variantes GMP et les tactiques générales de vérification, notre panorama ISO, HACCP et GMP reste la carte d'ensemble ; le présent article est la plongée en profondeur sur une seule norme.

Ce qu'est réellement l'ISO 22000

L'ISO 22000 est une norme de système de management de la sécurité des denrées alimentaires (SMSDA), publiée par l'Organisation internationale de normalisation. L'édition en vigueur, ISO 22000:2018, s'applique à toute organisation de la chaîne alimentaire — producteurs agricoles, transformateurs, conditionneurs, transporteurs, fabricants d'emballages, fournisseurs d'ingrédients — quelles que soient sa taille et sa gamme de produits.

Son trait déterminant : c'est une norme de système de management, bâtie sur la même structure de haut niveau que l'ISO 9001. Autrement dit, les exigences ne se limitent pas à des règles d'hygiène techniques ; ce sont des obligations organisationnelles. Un site certifié a démontré à un auditeur tierce partie qu'il met en œuvre les éléments suivants, sous forme de pratique documentée et prouvée :

• Contexte et parties intéressées. L'organisation a identifié les exigences réglementaires, clients et marché qui s'appliquent à elle, et défini le domaine d'application du SMSDA en conséquence.
• Leadership et politique de sécurité des aliments. La direction générale est responsable du système, et pas seulement le service qualité ; une équipe sécurité des aliments dotée d'un responsable nommé existe.
• Planification fondée sur le risque. Les risques et opportunités affectant la performance en matière de sécurité des aliments sont identifiés, avec des objectifs mesurables associés.
• Programmes prérequis (PRP). Les conditions fondamentales : conception des bâtiments et des équipements, nettoyage et désinfection, lutte contre les nuisibles, hygiène du personnel, qualité de l'eau et de l'air, gestion des déchets, agrément des fournisseurs, maîtrise des allergènes.
• Analyse des dangers. Dangers biologiques, chimiques, physiques et allergéniques identifiés pour chaque étape de chaque procédé, évalués en gravité et en probabilité.
• Mesures de maîtrise réparties entre PRPo et CCP. C'est le cœur analytique du référentiel. Chaque mesure de maîtrise est classée soit en programme prérequis opérationnel, soit en point critique pour la maîtrise, avec des limites définies, une surveillance, une correction et une action corrective.
• Traçabilité et préparation aux situations d'urgence. Traçabilité amont-aval d'un maillon, plus une procédure de retrait et de rappel qui a été testée, et pas simplement rédigée.
• Vérification, audit interne, revue de direction, amélioration. La preuve que le système se contrôle lui-même et que les constats changent effectivement quelque chose.

Le mot à retenir est prouvé. Un auditeur n'accepte pas un document de politique comme preuve d'une politique. Il demande des enregistrements : relevés de surveillance datés et paraphés, rapports de dérive avec clôture, certificats d'étalonnage, feuilles d'émargement de formation, une simulation de rappel avec un résultat de bilan matière.

ISO 22000 et HACCP : un système face à une méthode

C'est ici que la confusion des acheteurs se concentre, et il arrive que des fournisseurs exploitent l'ambiguïté.

Le HACCP est une méthode. L'analyse des dangers et points critiques pour leur maîtrise est une approche structurée en sept principes visant à identifier les dangers et à les maîtriser à des points définis d'un procédé. Elle est codifiée au niveau international par le Codex Alimentarius, et dans l'Union européenne les exploitants du secteur alimentaire sont légalement tenus de mettre en place des procédures fondées sur les principes HACCP au titre des règles d'hygiène — une obligation qui découle du cadre général de la législation alimentaire posé par le règlement (CE) n° 178/2002 et par les règlements d'hygiène construits sur lui. Le HACCP n'est donc pas un facteur de distinction. Toute entreprise alimentaire conforme dans l'UE dispose de procédures HACCP, exactement comme toute voiture homologuée dispose de freins.

L'ISO 22000 est un système de management certifiable qui contient le HACCP. Elle reprend la méthode HACCP et l'enveloppe dans des programmes prérequis, une responsabilité de direction documentée, un audit interne, la traçabilité et l'amélioration continue — puis soumet l'ensemble à un audit tierce partie selon un cycle récurrent.

Il existe par ailleurs une troisième chose sur le marché : le « certificat HACCP ». Ces certificats existent, sont volontaires, et sont délivrés par des organismes de certification au regard de divers référentiels privés ou directement des principes du Codex. Leur valeur varie énormément selon l'émetteur. Un certificat HACCP délivré par un organisme accrédité, avec un énoncé de domaine d'application clair, constitue une assurance réelle, quoique plus étroite. Un « certificat HACCP » sans nom de référentiel ni marque d'accréditation ne vous apprend guère plus que le fait que quelqu'un a été payé pour l'imprimer.

La règle pratique pour les acheteurs : demander à un fournisseur « avez-vous le HACCP ? » appelle un oui de presque tout le monde. Demander « à quel système de management de la sécurité des aliments êtes-vous certifié, par quel organisme, sous quelle accréditation, et puis-je voir l'énoncé du domaine d'application ? » est une question qui trie les fournisseurs en un seul e-mail.

ISO 22000 face au BRCGS, à l'IFS Food et au FSSC 22000

Ces référentiels sont fréquemment présentés comme des concurrents de l'ISO 22000. On les comprend mieux comme une catégorie différente : ce sont des référentiels portés par la distribution, développés par ou pour la grande distribution alimentaire afin de standardiser les audits fournisseurs, et reconnus dans le cadre du processus de benchmarking de la Global Food Safety Initiative (GFSI).

L'ISO 22000 seule n'est pas reconnue GFSI. Le FSSC 22000 est la voie qui la rend reconnue : le FSSC 22000 combine l'ISO 22000 avec des spécifications sectorielles de programmes prérequis (la série ISO/TS 22002) et des exigences additionnelles de référentiel, et c'est ce paquet qui est reconnu GFSI.

Cette distinction a une conséquence commerciale directe. Si votre client final est une enseigne européenne de grande distribution qui référence de la marque distributeur, sa politique d'agrément fournisseur nommera très probablement le BRCGS, l'IFS Food ou le FSSC 22000 de manière explicite, et l'ISO 22000 seule ne la satisfera pas. Si vous êtes acheteur d'ingrédients, marque de compléments alimentaires, formulateur de boissons, distributeur pour la restauration ou marque e-commerce, l'ISO 22000 assortie d'une documentation de lot solide constitue fréquemment le niveau d'assurance approprié et proportionné.

Lisez la ligne qui correspond à votre client, pas celle dont votre fournisseur préfère parler. Un fournisseur détenant l'ISO 22000 n'est pas « moins sûr » qu'un fournisseur détenant l'IFS Food ; il est certifié au regard d'une norme de système plutôt que d'un référentiel de distribution, et si votre circuit n'exige pas le référentiel de distribution, en payer un ne change rien au produit.

Comment lire un certificat ISO 22000

Quatre champs décident si un certificat est pertinent pour votre achat. Tout le reste de la page relève du graphisme.

1. Le domaine d'application. C'est le champ qui invalide le plus souvent un certificat pour une transaction donnée. Le domaine d'application énonce quelles activités et quelles catégories de produits le SMSDA couvre. « Production, conditionnement et stockage de fruits secs et de plantes aromatiques » est un domaine exploitable. « Management de la sécurité des aliments », sans référence produit, ne l'est pas. Si vous achetez une huile essentielle et que le domaine ne nomme que la transformation de fruits secs, le certificat ne couvre pas ce que vous achetez — le fournisseur peut rester parfaitement bon, mais vous devez savoir laquelle de ses opérations se trouve dans le système et laquelle en est dehors.

2. L'adresse du site. La certification s'attache à des sites, pas à des marques ni à des sociétés de négoce. Un groupe multi-sites peut être certifié pour une usine et pas pour une autre ; une société de négoce peut être certifiée pour son entrepôt alors que la fabrication a lieu ailleurs. Vérifiez que l'adresse figurant sur le certificat est bien celle où vos marchandises seront réellement produites. Lorsqu'un fournisseur sous-traite une étape — broyage, découpe, conditionnement, stérilisation — le statut de ce sous-traitant est une question distincte, et un fournisseur légitime y répondra sans friction.

3. Validité et numéro de certificat. Notez la date d'émission, la date d'expiration et le numéro de certificat comme trois faits distincts. Un certificat encore dans sa fenêtre de validité déclarée peut malgré tout avoir été suspendu entre deux audits de surveillance, ce qui est précisément pourquoi le numéro compte : c'est votre clé de recherche dans le registre public de l'organisme certificateur.

4. Organisme certificateur et accréditation. Un certificat vaut ce que vaut l'organisme émetteur, et l'organisme émetteur vaut ce que vaut son accréditation. Cherchez la marque d'accréditation d'un organisme national signataire de l'accord de reconnaissance multilatérale de l'IAF — COFRAC, DAkkS, UKAS, ACCREDIA, RvA, ANAB, TÜRKAK et leurs équivalents. Un organisme de certification non accrédité n'est pas automatiquement frauduleux, mais il se situe hors de la chaîne de reconnaissance mutuelle qui donne au certificat son sens auprès de vos propres auditeurs et clients.

La vérification elle-même prend une dizaine de minutes. Interrogez l'annuaire en ligne de l'organisme certificateur avec le numéro de certificat ou la raison sociale, puis confirmez que le domaine d'application, le site et l'expiration correspondent au PDF reçu. Les écarts entre le registre et le document sont le signal le plus fort que vous obtiendrez pendant l'intégration d'un fournisseur.

Ce que l'ISO 22000 prouve — et ce qu'elle ne peut pas prouver

L'ISO 22000 prouve qu'un système existait et fonctionnait suffisamment bien pour satisfaire un auditeur les jours où l'audit a eu lieu, sur les activités nommées dans le domaine d'application. C'est réellement précieux. Ce n'est pas la même chose qu'une déclaration sur votre expédition.

Concrètement, l'ISO 22000 ne vous dit pas :

• Si votre lot était conforme à la spécification. C'est à cela que sert un certificat d'analyse de lot. Nos guides sur la lecture d'un CoA de fruits secs et sur l'interprétation des rapports d'analyse d'ingrédients botaniques couvrent les paramètres et les méthodes qui décrivent vraiment vos marchandises.
• Si l'origine de la matière première est celle qu'on vous a annoncée. La certification couvre le procédé ; l'origine est une question de traçabilité et de documentation, traitée dans notre guide de la traçabilité et du suivi des lots dans l'UE.
• Si le produit porte tel ou tel attribut. Le statut biologique, le statut halal ou casher et les allégations de commerce équitable sont des certifications distinctes, avec des domaines d'application distincts et des registres distincts. L'ISO 22000 n'en dit rien ; voyez le guide de la certification biologique et le guide d'approvisionnement halal et casher pour savoir comment ceux-là se vérifient.
• Si le fournisseur se comportera bien sous pression commerciale. On certifie des systèmes. Le comportement face à une récolte courte, une flambée de prix ou un retard d'expédition se révèle par une commande d'échantillon, une série pilote et un premier vrai problème, pas par un PDF. Notre article sur les bonnes pratiques de commande d'échantillon est écrit autour de cette séquence de test précise.

Le bon modèle mental : la certification est un filtre, pas une décision. Elle écarte les fournisseurs incapables de démontrer un système. Elle ne choisit pas parmi ceux qui en sont capables.

Construire votre dossier fournisseur autour du certificat

Un dossier de réception défendable pour un nouveau fournisseur B2B contient généralement le certificat plus cinq éléments autour de lui :

1. La capture d'écran ou le lien du registre confirmant que le certificat est actif, avec la date de votre vérification.
2. L'énoncé du domaine d'application, enregistré séparément, mis en regard des produits exacts de votre bon de commande.
3. Un CoA de lot récent pour un lot comparable, avec les méthodes d'analyse nommées — pas seulement les résultats.
4. La fiche de spécification que vous et le fournisseur avez tous deux signée, incluant les paramètres au titre desquels vous refuserez la marchandise.
5. La réponse traçabilité : ce que code le numéro de lot, jusqu'où le fournisseur peut remonter, et en combien de temps il peut produire un bilan matière si vous le demandez.

Si un fournisseur produit ces cinq éléments sans relance, votre profil de risque est déjà meilleur que celui de la plupart des premières commandes. Si le certificat arrive instantanément et que les quatre autres exigent trois semaines de relances, ce rapport constitue en soi un constat.

Arovela opère sous ISO 22000, ISO 9001 et ISO 27001 — management de la sécurité des aliments, management de la qualité, et management de la sécurité de l'information pour le volet commercial et documentaire de l'activité. Nous ne détenons pas de référentiels de distribution tels que le BRCGS ou l'IFS Food, et nous le disons directement plutôt que de laisser un acheteur le découvrir une fois la spécification rédigée. La production a lieu dans notre usine de Sındırgı, à Balıkesir, avec un entrepôt de distribution à Solingen, en Allemagne, au service des clients de l'UE, et nous envoyons le certificat, l'énoncé du domaine d'application et la documentation de lot dans la même réponse — parce que les acheteurs que nous voulons sont ceux qui vérifient.

Questions fréquentes

L'ISO 22000 est-elle obligatoire pour exporter des denrées alimentaires vers l'UE ?

Non. Ce qui est obligatoire, c'est la conformité au droit alimentaire européen : procédures fondées sur le HACCP, traçabilité, exigences d'hygiène, limites de contaminants et de résidus, étiquetage correct. L'ISO 22000 est une certification volontaire qui démontre l'existence d'un système managé pour respecter ces obligations. De nombreux importateurs européens l'exigent contractuellement alors qu'aucun règlement ne le fait.

Mon client exige le BRCGS. Un fournisseur ISO 22000 peut-il quand même convenir ?

Pour de la marque distributeur en grande distribution, généralement non : la politique d'agrément de l'enseigne nomme le référentiel. Pour des ingrédients que vous transformez ensuite dans votre propre usine certifiée BRCGS, c'est souvent possible, car votre propre certification couvre le produit fini et votre procédure d'agrément fournisseur régit la matière entrante. Vérifiez les critères de fournisseur agréé de votre référentiel avant d'écarter un fournisseur.

Comment vérifier qu'un certificat est authentique ?

Utilisez le numéro de certificat dans le registre public des clients de l'organisme émetteur, puis confirmez que cet organisme est lui-même accrédité par un signataire de l'IAF MLA. Comparez trois champs avec le PDF : raison sociale, adresse du site et libellé du domaine d'application. Si l'un des trois diffère, demandez une explication au fournisseur avant d'aller plus loin.

Quelle est la différence entre un PRPo et un CCP ?

Les deux sont des mesures de maîtrise. Un CCP est une étape où la maîtrise est essentielle pour prévenir ou éliminer un danger, avec une limite critique mesurable et une surveillance permettant une correction immédiate — un détecteur de métaux ou un pasteurisateur en sont des exemples typiques. Un PRPo maîtrise un danger mais ne possède pas ce type de limite mesurable unique assortie d'une action corrective immédiate ; le nettoyage lors d'un changement d'allergène en est un cas courant. L'ISO 22000 exige du fournisseur qu'il justifie le classement retenu pour chaque mesure de maîtrise.

À quelle fréquence un site certifié est-il réellement audité ?

La certification ISO 22000 suit normalement un cycle de trois ans : un audit initial de certification, puis des audits de surveillance, généralement annuels, puis un audit de renouvellement avant expiration. Cela signifie qu'un certificat peut avoir jusqu'à un an d'ancienneté en termes de dernière vérification sur site. Il est légitime de demander à un fournisseur quand a eu lieu son dernier audit de surveillance et si des constats restent ouverts.

Obtenir les documents avant de vous engager

La certification est le début de la diligence, pas sa fin. Lisez le domaine d'application, vérifiez le numéro, puis déplacez la conversation vers les documents de lot, les spécifications et une commande d'échantillon — car ce sont ces pièces qui décrivent ce que vous recevrez réellement.

Si vous souhaitez voir comment cela fonctionne avec une spécification réelle sous les yeux, indiquez-nous le produit, le volume et le marché que vous servez, et demandez un devis. Le certificat, l'énoncé du domaine d'application et la documentation d'analyse pertinente accompagnent l'offre, ils ne viennent pas après le bon de commande.