Module 0 — Introduction à l’ISO/IEC 17065:2012

Ce qu’est la certification des produits, ce que la norme exige du certificateur, et comment se lit le texte

Ce qu’est l’ISO/IEC 17065

L’ISO/IEC 17065 est la norme internationale qui définit les exigences applicables aux organismes qui certifient des produits, des procédés et des services. Publiée le 15 septembre 2012 dans sa première édition, elle a été élaborée conjointement par l’ISO et la CEI, ce qui explique le double sigle ISO/IEC. Elle remplace l’ancien Guide ISO/IEC 65:1996 et constitue aujourd’hui la référence unique pour cette activité, dans le monde entier.

Il faut d’emblée bien situer de quoi parle cette norme, car son objet se prête à un contresens fréquent. L’ISO/IEC 17065 ne s’adresse pas à l’entreprise qui fabrique un produit et veut le faire certifier. Elle s’adresse à l’organisme de certification, c’est-à-dire au tiers indépendant qui délivre le certificat. La norme fixe les conditions que cet organisme doit remplir pour être crédible : sa compétence, la cohérence de son fonctionnement et son impartialité. En un mot, elle certifie le certificateur. C’est le texte sur lequel un organisme d’accréditation s’appuie pour accréditer un organisme de certification de produits.

La logique est celle d’une chaîne de confiance à trois maillons. Le fabricant fait certifier son produit par un organisme de certification ; cet organisme est lui-même accrédité par un organisme national d’accréditation, qui vérifie sa conformité à l’ISO/IEC 17065 ; et l’ensemble donne au client final, à l’autorité ou au marché l’assurance que le certificat apposé sur le produit veut réellement dire quelque chose. Sans une norme commune pour encadrer les certificateurs, un certificat ne vaudrait que la réputation de celui qui le délivre. L’ISO/IEC 17065 est ce qui rend un certificat de produit comparable et reconnu d’un pays à l’autre.

Produit, procédé, service : une seule norme, trois objets

La norme couvre trois objets de certification : les produits, les procédés et les services. Pour ne pas alourdir le texte, elle emploie le mot « produit » comme terme générique : sauf mention contraire, tout ce qui est écrit pour un produit vaut aussi pour un procédé et pour un service. L’annexe B précise comment lire le texte dans ces deux cas, en substituant les termes appropriés. Concrètement, un même organisme peut certifier qu’un jouet respecte une norme de sécurité, qu’un procédé de soudage est maîtrisé, ou qu’un service de nettoyage répond à un cahier des charges : l’ISO/IEC 17065 encadre les trois de la même façon.

La norme distingue avec soin ce qui est certifié et ce contre quoi on certifie. Ce contre quoi on certifie, ce sont les exigences de produit : elles figurent dans une norme, un règlement ou un référentiel, et l’ISO/IEC 17065 ne les définit jamais elle-même. Elle ne dit pas ce qu’un bon jouet ou un bon service doit être. Elle définit seulement les règles de l’organisme qui vérifie la conformité à ces exigences. Cette séparation est au cœur de l’impartialité : celui qui écrit les exigences et celui qui vérifie ne sont pas la même personne.

Le schéma de certification, pièce centrale du dispositif

Entre les exigences de produit et le fonctionnement de l’organisme se trouve une notion que la norme mobilise en permanence : le schéma de certification. Un schéma est le système de certification qui rassemble, pour une catégorie de produits donnée, les exigences applicables, les règles et les procédures spécifiques. Il précise ce qui doit être évalué, comment, avec quelle fréquence de surveillance, et quelles règles d’usage de la marque. Le schéma peut être conçu par l’organisme de certification lui-même ou par un tiers, le propriétaire de schéma : une autorité, une association professionnelle, un groupe d’organismes. Quand l’organisme opère un schéma qui ne lui appartient pas, il doit en respecter toutes les règles. Comprendre cette notion est indispensable, car de nombreuses exigences de la norme renvoient au schéma pour le détail.

Ce que la norme n’est pas

L’ISO/IEC 17065 n’est pas une norme de produit : elle ne fixe aucune caractéristique technique, aucun seuil, aucune performance. Elle n’est pas non plus la norme de certification des systèmes de management : la certification ISO 9001 ou ISO 14001 d’une entreprise relève de l’ISO/IEC 17021-1, un texte voisin mais distinct. Elle ne couvre pas la certification de personnes, qui relève de l’ISO/IEC 17024. Elle se distingue enfin des normes qui encadrent les laboratoires d’essais et d’étalonnage (ISO/IEC 17025) et les organismes d’inspection (ISO/IEC 17020), même si un organisme de certification de produits s’appuie très souvent sur des essais et des inspections réalisés selon ces normes. L’ISO/IEC 17065 orchestre l’ensemble et prend la décision de certification ; elle ne remplace pas les briques techniques sur lesquelles elle s’appuie.

Cette place particulière explique la liste des références normatives du chapitre 2 : l’ISO/IEC 17000 pour le vocabulaire et les principes de l’évaluation de la conformité, et les normes 17020, 17021 et 17025 auxquelles l’organisme renvoie lorsqu’il réalise des inspections, des audits de système ou des essais dans le cadre de sa certification de produits.

Pourquoi la norme existe et à qui elle sert

La finalité de l’ISO/IEC 17065 est donnée dès son introduction : donner confiance à toutes les parties intéressées qu’un produit, un procédé ou un service satisfait à des exigences spécifiées. Les parties intéressées sont nombreuses : les clients de l’organisme de certification, c’est-à-dire les entreprises certifiées ; les clients de ces entreprises, qui achètent le produit certifié ; les autorités, qui s’appuient parfois sur la certification dans un cadre réglementaire ; et le public, qui bénéficie de la confiance ainsi établie. La norme sert donc à la fois d’outil de marché, en facilitant les échanges par la reconnaissance mutuelle, et d’appui aux dispositifs réglementaires, quand un texte impose ou reconnaît la certification d’un produit.

Pour l’organisme de certification lui-même, la conformité à l’ISO/IEC 17065 est la clé de l’accréditation, et l’accréditation est la clé du marché. Un organisme non accrédité peut certes délivrer des certificats, mais ceux-ci n’ouvriront pas les portes qu’ouvre un certificat accrédité : marchés publics, exigences de donneurs d’ordre, reconnaissance internationale. La norme n’est donc pas une contrainte administrative parmi d’autres ; elle est la condition d’existence commerciale de l’organisme.

Le processus de certification, colonne vertébrale du texte

Là où d’autres normes de management s’organisent autour du cycle PDCA, l’ISO/IEC 17065 s’organise autour du processus de certification. Ce processus se déroule dans un ordre précis, et le chapitre 7 en suit fidèlement les étapes : la demande du client, la revue de cette demande, l’évaluation proprement dite (essais, inspections, audits, examens documentaires), une revue indépendante des résultats, puis la décision de certification, prise par des personnes qui n’ont pas réalisé l’évaluation. Vient ensuite la vie du certificat : la documentation remise au client, l’inscription au répertoire des produits certifiés, la surveillance qui confirme dans la durée que le produit reste conforme, la gestion des modifications, et le cas échéant la suspension, la réduction ou le retrait.

Cette séquence n’est pas une simple description de bonnes pratiques : c’est une architecture de garanties. À chaque étape, la norme sépare les rôles pour empêcher qu’une même personne soit juge et partie. Celui qui évalue n’est pas celui qui décide ; celui qui traite une réclamation n’est pas celui dont la décision est contestée. Toute la logique du chapitre 7 se comprend mieux si l’on garde en tête cette obsession de la séparation des fonctions, qui est la traduction opérationnelle de l’impartialité.

Les six principes de l’annexe A

L’annexe A, informative, énonce les six principes qui sous-tendent toutes les exigences de la norme. Les connaître aide à comprendre l’intention derrière chaque clause. Le premier est l’impartialité : les décisions de l’organisme reposent sur des preuves objectives et ne sont pas influencées par d’autres intérêts. Le deuxième est la compétence : l’organisme et son personnel possèdent le savoir et l’expérience nécessaires. Le troisième est la responsabilité : c’est le client qui est responsable de la conformité de son produit, mais c’est l’organisme qui est responsable de disposer de preuves suffisantes pour fonder sa décision. Le quatrième est l’ouverture, qui va de pair avec la confidentialité : l’organisme rend publiques les informations appropriées sur le processus et les résultats de certification, tout en protégeant les informations confidentielles de ses clients. Le cinquième est précisément la confidentialité. Le sixième est la réactivité aux réclamations et aux appels : un organisme crédible traite sérieusement les contestations.

Ces six principes ne créent pas d’exigences par eux-mêmes, mais ils donnent la clé de lecture de tout le reste. Chaque fois qu’une clause paraît tatillonne, il faut se demander lequel de ces principes elle protège : on comprend alors qu’elle n’est pas une formalité mais un garde-fou.

La structure de la norme

La norme comporte huit chapitres et deux annexes. Les trois premiers chapitres posent le cadre : le domaine d’application, les références normatives, et surtout les termes et définitions, qui méritent une lecture attentive car le vocabulaire de la certification est précis. Viennent ensuite les cinq chapitres d’exigences, ceux sur lesquels un évaluateur se prononce. Le chapitre 4 fixe les exigences générales : juridique, impartialité, financement, non-discrimination, confidentialité, information publique. Le chapitre 5 traite de la structure de l’organisme et du mécanisme de sauvegarde de l’impartialité. Le chapitre 6 porte sur les ressources, humaines et matérielles. Le chapitre 7, le plus long, déroule le processus de certification. Le chapitre 8 exige un système de management pour soutenir l’ensemble. L’annexe A énonce les six principes, l’annexe B explique comment appliquer la norme aux procédés et aux services.

Deux options pour le système de management

Le chapitre 8 mérite une mention dès l’introduction car il offre un choix. L’organisme peut satisfaire aux exigences de système de management de deux façons. L’option A consiste à bâtir un système de management répondant point par point aux exigences détaillées du chapitre 8 : documentation, maîtrise des documents et des enregistrements, revue de direction, audits internes, actions correctives et préventives. L’option B consiste, pour un organisme qui dispose déjà d’un système de management certifié conforme à l’ISO 9001 et capable de soutenir la conformité à l’ISO/IEC 17065, à s’appuyer sur ce système existant. Les deux voies mènent au même résultat ; le choix dépend de la maturité de l’organisme. Le module 5 détaille l’option A, qui constitue le cas le plus courant.

Le vocabulaire à maîtriser dès maintenant

Quelques termes reviennent sans cesse et conditionnent la compréhension. Le « client » est l’organisation responsable envers l’organisme de certification du respect des exigences ; le terme couvre à la fois le demandeur et le client déjà certifié. La « consultation » (consultancy) désigne la participation à la conception, la fabrication, l’installation ou l’entretien du produit à certifier : c’est l’activité que l’organisme ne doit surtout pas exercer pour ses clients, sous peine de devenir juge et partie. L’« évaluation » est la combinaison des fonctions de sélection et de détermination des activités d’évaluation de la conformité. Le « domaine de certification » identifie le ou les produits, le schéma applicable et les documents normatifs. Retenir ces définitions dès l’introduction évite bien des confusions dans les chapitres suivants.

Note de source : contenu établi d’après le texte de l’ISO/IEC 17065:2012, première édition (2012-09-15), lu directement dans le PDF de la norme (adoption nationale reproduisant le texte publié, en-tête ISO/IEC 17065:2012(E)), et enrichi pour la mise en œuvre par la checklist d’implémentation MQ. La norme remplace l’ISO/IEC Guide 65:1996.