La demande arrive presque toujours dans les mêmes termes : « il nous faudrait une certification ». Parfois parce qu'un acheteur l'a glissée en fin de rendez-vous, parfois parce qu'un concurrent en affiche une sur sa page d'accueil. Rarement parce que l'entreprise sait laquelle, ni pourquoi.
Et c'est normal. ISO, GMP et Bio sont trois objets réglementaires sans rapport entre eux, qu'on range dans la même case parce qu'ils débouchent tous sur un logo. Les confondre se paie : soit on finance un audit qui ne répond pas à la demande du client, soit on lance un chantier de dix-huit mois là où six semaines de mise en ordre auraient suffi.
Trois logiques, pas trois niveaux
ISO 9001, ISO 22000 : votre organisation
Ces référentiels décrivent un système de management. L'auditeur ne vient pas juger votre produit. Il vient vérifier que vous savez qui décide quoi, comment vous traitez une réclamation, ce que vous faites quand quelque chose part de travers. Une entreprise peut être certifiée ISO 9001 et fabriquer un produit médiocre : le référentiel garantit la maîtrise du processus, pas le niveau de gamme.
GMP : votre façon de produire
Ici le référentiel dépend entièrement du secteur, et c'est la source de la plupart des malentendus. En pharmacie, les bonnes pratiques de fabrication découlent de l'EudraLex volume 4, et l'inspection relève de l'ANSM, pas d'un organisme privé. En complément alimentaire ou en agroalimentaire, « GMP » renvoie le plus souvent à un guide de bonnes pratiques d'hygiène validé, ou à un référentiel privé que le client impose.
Quand un acheteur écrit « GMP » dans un cahier des charges, la première chose à faire est de lui demander lequel. La question paraît naïve. Elle ne l'est pas : dans un dossier sur deux, la réponse arrive avec plusieurs jours de retard, parce que la personne qui a rédigé le cahier des charges n'en sait rien non plus.
Bio : une conformité réglementaire
Le label biologique européen n'est pas une démarche volontaire de qualité. C'est l'application du règlement (UE) 2018/848. Si vous voulez écrire « bio » sur un emballage, vous devez vous notifier auprès de l'Agence BIO et vous faire contrôler par un organisme certificateur agréé par l'INAO, au moins une fois par an, avec des visites inopinées en plus. Il n'existe pas de version allégée.
Pour les producteurs agricoles s'ajoute une période de conversion des terres. Les transformateurs, eux, n'ont pas de conversion à subir, mais ne peuvent pas revendiquer la mention avant d'être certifiés.
Ces trois démarches ne se remplacent pas et ne s'empilent pas mécaniquement. Une entreprise certifiée ISO 22000 n'est pas plus près du Bio qu'une autre.
Qui vous la demande ?
C'est la question qui désamorce les trois quarts du sujet, et celle par laquelle je commence systématiquement.
Une certification a une valeur économique quand quelqu'un, quelque part, refuse de signer sans elle. Un distributeur qui impose IFS ou BRCGS. Un donneur d'ordre qui exige un référentiel reconnu GFSI. Un marché export dont la réglementation locale conditionne l'entrée. Une mention « bio » sur un packaging, qui rend le contrôle obligatoire sans discussion possible.
Quand personne ne la réclame, la certification devient un investissement de communication. Ce n'est pas illégitime, mais autant l'assumer comme tel et le comparer à d'autres façons de dépenser le même budget. Deux références clients solides convainquent souvent mieux qu'un logo, pour un coût sans commune mesure.
La première action tient donc en un courriel : demander à l'acheteur le nom exact du référentiel et la version attendue, par écrit. Trois lignes qui font parfois économiser plusieurs milliers d'euros.
Où part réellement le budget
Les devis d'organismes certificateurs se lisent en jours d'audit. Le nombre de jours dépend de vos effectifs, du nombre de sites, de la complexité des procédés, parfois du nombre d'équipes. Deux organismes peuvent afficher un montant proche avec un volume de jours différent : c'est ce chiffre-là qu'il faut mettre en face, pas le total en bas de page.
Vient ensuite le cycle et sa mécanique propre. En ISO, l'audit initial se déroule en deux temps, une revue documentaire puis un audit sur site. Suivent des audits de surveillance chaque année, et une recertification au bout de trois ans. Un budget de certification n'est jamais un budget d'année 1. C'est un engagement sur trois ans au minimum, à provisionner comme tel.
Le poste le plus lourd, lui, n'apparaît sur aucun devis : le temps interne. Écrire les procédures, former les équipes, tenir les enregistrements au quotidien, traiter les non-conformités relevées à l'audit. La préparation mobilise plus de ressources que l'audit, et elle retombe presque toujours sur une seule personne qui a déjà un poste à temps plein. Une PME qui n'a pas identifié cette personne, et allégé sa charge en conséquence, ne tiendra pas le calendrier qu'elle s'est fixé.
Un ordre qui fonctionne
- Mettez à plat vos processus réels, pas ceux que vous aimeriez avoir. Deux à quatre semaines suffisent, et ce travail sert quel que soit le référentiel retenu ensuite.
- Réglez le réglementaire avant tout le reste. Hygiène, traçabilité, étiquetage, obligations sectorielles : ce socle s'impose, certification ou pas. Le corriger tôt ne coûte presque rien. Le découvrir pendant un audit coûte un report.
- Choisissez le référentiel avec le client final. Pas avant lui, pas à sa place.
- Demandez deux ou trois devis et comparez les jours. Interrogez aussi la connaissance sectorielle de l'auditeur : celui qui découvre votre métier vous fera perdre du temps des deux côtés.
- Faites un audit à blanc en interne. Même imparfait, il révèle l'essentiel des écarts pendant qu'ils sont encore gratuits à corriger.
Trois erreurs qui coûtent cher
Acheter le référentiel avant d'avoir la demande
L'entreprise se retrouve avec un certificat que personne ne lui réclamait, et une charge documentaire annuelle qu'elle traîne pendant trois ans.
Sous-traiter entièrement la rédaction documentaire
Le système produit est propre, cohérent, et ne ressemble pas à l'entreprise. Un auditeur le repère en une matinée : il compare ce qui est écrit à ce que les opérateurs font réellement, et l'écart se voit tout de suite. Faire écrire par un tiers, oui. Faire écrire sans les équipes, jamais.
Considérer le sujet clos le jour de la remise
L'obtention du certificat ouvre le cycle, elle ne le ferme pas. Les entreprises qui vivent mal leurs audits de surveillance sont presque toujours celles qui avaient rangé le dossier après la première réussite.
Une certification ne se choisit pas dans un catalogue. Elle se déduit d'une demande commerciale précise, et tant que cette demande n'est pas écrite quelque part, le travail le plus rentable consiste à mettre son organisation au propre. C'est de toute façon la première étape des trois chemins.