ISO 22003-2:2022

Food safety - Part 2: Requirements for bodies providing evaluation and certification of products, processes and services, including an audit of the food safety system

This document is supplemental to ISO/IEC 17065. It specifies the rules applicable for the audit of a food safety system (FSS) and certification of products, processes and services complying with requirements of a certification scheme that is based on the internationally accepted principles of food safety (e.g. CODEX General Principles of Food Hygiene[8]) and includes management system elements. This document does not apply to certifications that are solely based on product testing (e.g. performed by an organization applying ISO/IEC 17025) or inspection (e.g. performed by an organization applying ISO/IEC 17020) and does not apply to ISO/IEC 17065-based food safety schemes that do not include both internationally accepted principles of food safety and management system elements. It also provides the necessary information and confidence to customers about the way certification of their suppliers has been granted. Certification of FSS is a third-party conformity assessment activity (as described in ISO/IEC 17000:2020, 4.3) and bodies performing this activity are third-party conformity assessment bodies. NOTE This document can be used as a criteria document for the accreditation or peer assessment of certification bodies which seek to be recognized as being competent to certify that an organization’s products, processes and services and its FSS comply with the requirements of a certification scheme. It is also intended to be used as a criteria document by regulatory authorities and industry consortia which engage in direct recognition of certification bodies to certify that an organization’s FSS complies with a certification scheme’s requirements. Some of its requirements can also be useful to other parties involved in the conformity assessment of such certification bodies, and in the conformity assessment of bodies that undertake to certify the compliance of an FSS with additional criteria. FSS certification does not attest to the safety or fitness of the products of an organization within the food chain. However, certification requires an organization to meet all applicable food-safety-related statutory and regulatory requirements through its FSS.

Sécurité des denrées alimentaires — Partie 2: Exigences pour les organismes procédant à l’évaluation et à la certification de produits, de procédés et de services, incluant un audit du système de sécurité des denrées alimentaires

Le présent document vient compléter l’ISO/IEC 17065. Il spécifie les règles applicables à l’audit d’un système de sécurité des denrées alimentaires (SSDA) et à la certification de produits, de procédés et de services conformes aux exigences d’un programme de certification fondé sur les principes de sécurité des denrées alimentaires internationalement reconnus (par exemple, les Principes généraux d’hygiène alimentaire du CODEX[8]) et comprenant des éléments de système de management. Le présent document ne s’applique pas aux certifications qui s’appuient exclusivement sur des essais de produits (par exemple, effectués par un organisme appliquant l’ISO/IEC 17025) ou des inspections (par exemple, effectuées par un organisme appliquant l’ISO/IEC 17020) et ne s’applique pas aux programmes de sécurité des denrées alimentaires fondés sur l’ISO/IEC 17065 qui n’incluent pas à la fois les principes de la sécurité des denrées alimentaires internationalement reconnus et des éléments de système de management. Il fournit également aux clients les informations nécessaires sur la manière de procéder à la certification de leurs fournisseurs et leur donne ainsi confiance dans cette certification. La certification des SSDA est une activité d’évaluation de la conformité par tierce partie (tel que décrit dans l’ISO/IEC 17000:2020, 4.3) et les organismes exerçant cette activité sont des organismes d’évaluation de la conformité par tierce partie. NOTE Le présent document peut être utilisé comme référentiel pour l’accréditation ou l’évaluation par des tiers des organismes de certification qui cherchent à se faire reconnaître comme étant compétents pour certifier que les produits, les procédés et les services d’une organisation ainsi que son SSDA sont conformes aux exigences d’un programme de certification. Il est également destiné à être utilisé comme référentiel par des autorités réglementaires et des consortiums industriels qui procèdent à la reconnaissance directe des organismes de certification qui certifient que le SSDA d’une organisation est conforme aux exigences d’un programme de certification. Certaines de ses exigences peuvent aussi être utiles pour toute autre partie susceptible d’être impliquée dans l’évaluation de la conformité de tels organismes de certification et dans l’évaluation de la conformité de tout organisme qui réalise la certification de la conformité d’un SSDA à des critères supplémentaires. La certification d’un SSDA n’atteste pas la sécurité ou l’aptitude à l’emploi des produits d’une organisation appartenant à la chaîne alimentaire. Cependant, la certification exige qu’une organisation satisfasse à l’ensemble des exigences législatives et réglementaires en vigueur liées à la sécurité des denrées alimentaires au travers de son SSDA.

General Information

• Status: Published
• Publication Date: 06-Jun-2022
• ICS: 03.120.20 - Product and company certification. Conformity assessment
• ICS: 67.020 - Processes in the food industry
• Technical Committee: ISO/TC 34/SC 17 - Management systems for food safety
• Drafting Committee: ISO/TC 34/SC 17 - Management systems for food safety
• Current Stage: 6060 - International Standard published
• Start Date: 07-Jun-2022
• Due Date: 26-Sep-2022
• Completion Date: 07-Jun-2022

Overview - what ISO 22003-2:2022 covers

ISO 22003-2:2022 specifies requirements for bodies that evaluate and certify products, processes and services including an audit of the food safety system (FSS). It is supplemental to ISO/IEC 17065 and applies to certification schemes that combine internationally accepted food‑safety principles (for example CODEX General Principles of Food Hygiene) with management‑system elements. The standard sets out rules for third‑party conformity assessment of FSS, giving confidence to customers, regulators and supply‑chain partners about how certification decisions are made.

Note: ISO 22003-2 does not apply to certifications based solely on product testing (ISO/IEC 17025) or inspection (ISO/IEC 17020), or to schemes that lack both food‑safety principles and management‑system elements.

Key topics and technical requirements

The standard covers the full lifecycle of certification activities, including:

• General requirements: legal/contractual matters, confidentiality, publicly available information, non‑discrimination.
• Impartiality and governance: mechanisms to manage conflicts of interest and assure unbiased certification decisions.
• Structural requirements: organizational structure, top management responsibilities.
• Resource and competence: qualification, training and contract requirements for certification personnel; internal and external audit resources.
• Process requirements: application review, evaluation activities, audit planning and conduct, accepting external results, audit reporting, handling nonconformities, review and certification decision, surveillance, and suspension/withdrawal of certification.
• Management system requirements: quality and record‑keeping obligations, complaints and appeals handling.
• Annexes: classification of food‑chain categories, minimum audit duration, and required knowledge/skills to determine competence.

Practical applications - who uses ISO 22003-2 and why

• Certification bodies use it as the operational rulebook for certifying FSS‑based schemes in a consistent, auditable way.
• Accreditation bodies and peer assessors use it as criteria when accrediting or recognizing certification bodies.
• Regulatory authorities and industry consortia reference it for direct recognition or acceptance of certification bodies.
• Food producers, processors and suppliers rely on its outcomes to demonstrate that their FSS meets scheme requirements and applicable statutory/regulatory obligations (note: certification attests compliance of the system, not absolute product safety).
• Supply‑chain managers and buyers use certified status for supplier assurance and risk management.

Related standards and references

• ISO/IEC 17065 (product/process/service certification)
• ISO/IEC 17000 (conformity assessment vocabulary)
• ISO 22003‑1 (FSS requirements in combination with ISO/IEC 17021‑1)
• CODEX General Principles of Food Hygiene
• ISO/IEC 17025 and ISO/IEC 17020 (related, but not substitutes for FSS certification)

Keywords: ISO 22003-2, food safety system, FSS certification, certification body, audit, ISO/IEC 17065, accreditation, CODEX, surveillance, nonconformity, audit duration, competence.

Standards Content (Sample)

INTERNATIONAL ISO
STANDARD 22003-2
First edition
2022-06
Food safety —
Part 2:
Requirements for bodies providing
evaluation and certification of
products, processes and services,
including an audit of the food safety
system
Sécurité des denrées alimentaires —
Partie 2: Exigences pour les organismes procédant à l’évaluation et
à la certification de produits, de procédés et de services, incluant un
audit du système de sécurité des denrées alimentaires
Reference number
© ISO 2022
All rights reserved. Unless otherwise specified, or required in the context of its implementation, no part of this publication may
be reproduced or utilized otherwise in any form or by any means, electronic or mechanical, including photocopying, or posting on
the internet or an intranet, without prior written permission. Permission can be requested from either ISO at the address below
or ISO’s member body in the country of the requester.
ISO copyright office
CP 401 • Ch. de Blandonnet 8
CH-1214 Vernier, Geneva
Phone: [phone]
Email: [e-mail]
Website: www.iso.org
Published in Switzerland
ii
Contents Page
Foreword .v
Introduction . vi
1 Scope . 1
2 Normative references . 1
3 Terms and definitions . 1
4 General requirements . 4
4.1 Legal and contractual matters . 4
4.2 Management of impartiality . 4
4.3 Liability and financing . 4
4.4 Non-discriminatory conditions . 4
4.5 Confidentiality . 4
4.6 Publicly available information . . 4
5 Structural requirements .4
5.1 Organizational structure and top management . 4
5.2 Mechanism for safeguarding impartiality . 4
6 Resource requirements .5
6.1 Certification body personnel . 5
6.1.1 General . 5
6.1.2 Management of competence for personnel involved in the certification
process . 5
6.1.3 Contract with the personnel . 5
6.2 Resources for audit . 5
6.2.1 Internal resources . 5
6.2.2 External resources (outsourcing) . 5
7 Process requirements . 6
7.1 General . 6
7.2 Application . 6
7.3 Application review . 6
7.4 Evaluation . 7
7.4.1 Activities prior to the audit . . 7
7.4.2 Planning audit . 10
7.4.3 Conducting audits .13
7.4.4 Accepting external results. 16
7.4.5 Audit report . 16
7.4.6 Nonconformities . 17
7.4.7 Resolving nonconformities . 17
7.5 Review . 18
7.6 Certification decision . . . 18
7.7 Certification documentation . 18
7.8 Directory of certified products . 18
7.9 Surveillance . 18
7.10 Changes affecting certification . 18
7.11 Termination, reduction, suspension or withdrawal of certification . 18
7.12 Records . 18
7.13 Complaints and appeals. 18
7.14 Special audits . 18
8 Management system requirements .19
Annex A (normative) Classification of food chain categories .20
Annex B (normative) Minimum audit duration .24
Annex C (normative) Required knowledge and skills to determine competence .28
iii
Bibliography .32
iv
Foreword
ISO (the International Organization for Standardization) is a worldwide federation of national standards
bodies (ISO member bodies). The work of preparing International Standards is normally carried out
through ISO technical committees. Each member body interested in a subject for which a technical
committee has been established has the right to be represented on that committee. International
organizations, governmental and non-governmental, in liaison with ISO, also take part in the work.
ISO collaborates closely with the International Electrotechnical Commission (IEC) on all matters of
electrotechnical standardization.
The procedures used to develop this document and those intended for its further maintenance are
described in the ISO/IEC Directives, Part 1. In particular, the different approval criteria needed for the
different types of ISO documents should be noted. This document was drafted in accordance with the
editorial rules of the ISO/IEC Directives, Part 2 (see www.iso.org/directives).
Attention is drawn to the possibility that some of the elements of this document may be the subject of
patent rights. ISO shall not be held responsible for identifying any or all such patent rights. Details of
any patent rights identified during the development of the document will be in the Introduction and/or
on the ISO list of patent declarations received (see www.iso.org/patents).
Any trade name used in this document is information given for the convenience of users and does not
constitute an endorsement.
For an explanation of the voluntary nature of standards, the meaning of ISO specific terms and
expressions related to conformity assessment, as well as information about ISO’s adherence to
the World Trade Organization (WTO) principles in the Technical Barriers to Trade (TBT), see
www.iso.org/iso/foreword.html.
This document was prepared by Technical Committee ISO/TC 34, Food products, Subcommittee SC 17,
Management systems for food safety, in collaboration with the ISO Committee on conformity assessment
(CASCO).
Any feedback or questions on this document should be directed to the user’s national standards body. A
complete listing of these bodies can be found at www.iso.org/members.html.
v
Introduction
Certification of the food safety system (FSS) of an organization is one means of providing assurance
that the organization has implemented a system for the management of food safety in line with its
policy and the internationally accepted principles of food safety.
Requirements for an FSS can originate from a number of sources. This document has been developed to
assist in the certification of the organization’s products, processes or services and its FSS, including its
management system elements.
This document is intended for use, in combination with ISO/IEC 17065, by bodies that carry out
evaluation and certification of products, processes or services including an audit of the FSS. It provides
generic requirements for such bodies, who are referred to as “certification bodies”. This wording is not
intended to be an obstacle to the use of this document by bodies with other designations that undertake
activities covered by the scope of this document.
Certification of an organization’s products, processes or services including an audit of the FSS in
accordance with this document can involve a number of activities. Because this document is intended
for product certification schemes that include a management system element, these activities involve
an audit of the organization’s FSS. The form of attestation of conformity of an organization’s FSS to
a specific standard, certification scheme requirements or other specified requirements is normally a
certification document or a certificate.
It is for the organization seeking certification to develop its own FSS and related systems according
to the scheme requirements. Other than where relevant legislative, customer or certification scheme
requirements specify to the contrary, it is for the organization to decide how the various components
of these will be arranged. The degree of integration between the various system components will vary
from organization to organization. It is therefore appropriate for certification bodies that operate in
accordance with this document to take into account the culture and practices of their clients with
respect to the integration of their FSS within the wider organization.
This document was developed in conjunction with ISO 22003-1, which is used in combination with
ISO/IEC 17021-1.
In this document, the following verbal forms are used:
— “shall” indicates a requirement;
— “should” indicates a recommendation;
— “may” indicates a permission;
— “can” indicates a possibility or a capability.
vi
INTERNATIONAL STANDARD ISO 22003-2:2022(E)
Food safety —
Part 2:
Requirements for bodies providing evaluation and
certification of products, processes and services, including
an audit of the food safety system
1 Scope
This document is supplemental to ISO/IEC 17065. It specifies the rules applicable for the audit of a food
safety system (FSS) and certification of products, processes and services complying with requirements
of a certification scheme that is based on the internationally accepted principles of food safety (e.g.
[8]
CODEX General Principles of Food Hygiene ) and includes management system elements.
This document does not apply to certifications that are solely based on product testing (e.g. performed
by an organization applying ISO/IEC 17025) or inspection (e.g. performed by an organization applying
ISO/IEC 17020) and does not apply to ISO/IEC 17065-based food safety schemes that do not include
both internationally accepted principles of food safety and management system elements.
It also provides the necessary information and confidence to customers about the way certification of
their suppliers has been granted.
Certification of FSS is a third-party conformity assessment activity (as described in ISO/IEC 17000:2020,
4.3) and bodies performing this activity are third-party conformity assessment bodies.
NOTE This document can be used as a criteria document for the accreditation or peer assessment of
certification bodies which seek to be recognized as being competent to certify that an organization’s products,
processes and services and its FSS comply with the requirements of a certification scheme. It is also intended
to be used as a criteria document by regulatory authorities and industry consortia which engage in direct
recognition of certification bodies to certify that an organization’s FSS complies with a certification scheme’s
requirements. Some of its requirements can also be useful to other parties involved in the conformity assessment
of such certification bodies, and in the conformity assessment of bodies that undertake to certify the compliance
of an FSS with additional criteria.
FSS certification does not attest to the safety or fitness of the products of an organization within the
food chain. However, certification requires an organization to meet all applicable food-safety-related
statutory and regulatory requirements through its FSS.
2 Normative references
The following documents are referred to in the text in such a way that some or all of their content
constitutes requirements of this document. For dated references, only the edition cited applies. For
undated references, the latest edition of the referenced document (including any amendments) applies.
ISO/IEC 17000, Conformity assessment — Vocabulary and general principles
ISO/IEC 17065:2012, Conformity assessment — Requirements for bodies certifying products, processes
and services
3 Terms and definitions
For the purposes of this document, the terms and definitions given in ISO/IEC 17000, ISO/IEC 17065
and the following apply.
ISO and IEC maintain terminology databases for use in standardization at the following addresses:
— ISO Online browsing platform: available at https:// www .iso .org/ obp
— IEC Electropedia: available at https:// www .electropedia .org/
3.1
food safety system
FFS
prerequisite programmes (3.2), supplemented with control measures (3.16), as appropriate, based on
internationally accepted principles of food safety, combined with management system elements (3.17),
that, when implemented by the organization, provide products and services that are safe, according to
their intended use
Note 1 to entry: The prerequisite programmes and control measures of an FSS may be based on either a hazard
analysis specific to the organization, its products and processes, or a generic hazard analysis conducted by a
competent external body (e.g. competent authority, academia, trade or industry association, certification
scheme owner) appropriate to the products and processes of the organization and adapted and tailored by the
organization to its operations.
3.2
prerequisite programme
PRP
basic conditions and activities that are necessary within the organization and throughout the food
chain to maintain food safety
Note 1 to entry: The PRPs needed depend on the segment of the food chain in which the organization operates
and the type of organization. Examples of equivalent terms are good agricultural practice (GAP), good veterinary
practice (GVP), good manufacturing practice (GMP), good hygiene practice (GHP), good production practice
(GPP), good distribution practice (GDP) and good trading practice (GTP).
[SOURCE: ISO 22000:2018, 3.35]
3.3
competence
ability to apply knowledge and skills to achieve intended results
[SOURCE: ISO/IEC 17021-1:2015, 3.7]
3.4
audit
process for obtaining relevant information about an object of conformity assessment and evaluating it
objectively to determine the extent to which specified requirements are fulfilled
Note 1 to entry: The specified requirements are defined prior to performing an audit so that the relevant
information can be obtained.
Note 2 to entry: In the context of this document, “audit” includes any applicable evaluation activity (in
accordance with ISO/IEC 17065), such as inspection, testing and management system audit (in accordance with
ISO/IEC 17021-1).
[SOURCE: ISO/IEC 17000:2020, 6.4, modified —Notes 2 and 3 to entry have been deleted and a new
Note 2 to entry has been added.]
3.5
audit duration
part of audit time (3.6) spent conducting audit (3.4) activities from the opening meeting to the closing
meeting, inclusive
[SOURCE: ISO/IEC 17021-1:2015, 3.17, modified — The term has been changed from “duration of
management system certification audits”.]
3.6
audit time
time needed to plan and accomplish a complete and effective audit (3.4) of the client organization’s FSS
[SOURCE: ISO/IEC 17021-1:2015, 3.16, modified — “FSS” has replaced “management system” in the
definition.]
3.7
nonconformity
non-fulfilment of a requirement
[SOURCE: ISO/IEC 17021-1:2015, 3.11]
3.8
hazard analysis and critical control points study
HACCP study
hazard analysis for a family of products/processes/services with similar hazards and similar processes
and technology (e.g. production, packaging, storage or implementation of services)
3.9
auditor
person who conducts an audit (3.4)
[SOURCE: ISO/IEC 17021-1:2015, 3.6]
3.10
guide
person appointed by the client to assist the audit team
[SOURCE: ISO/IEC 17021-1:2015, 3.8]
3.11
observer
person who accompanies the audit team but does not audit (3.4)
[SOURCE: ISO/IEC 17021-1:2015, 3.9]
3.12
technical expert
person who provides specific knowledge or expertise to the audit team
[SOURCE: ISO/IEC 17021-1:2015, 3.14, modified — Note 1 to entry has been deleted.]
3.13
permanent site
location (physical or virtual) where a client organization performs work or provides a service on a
continuing basis
[SOURCE: ISO/IEC TS 17023:2013, 3.4]
3.14
temporary site
location (physical or virtual) where a client organization performs specific work or provides a service
for a finite period of time and which is not intended to become a permanent site (3.13)
[SOURCE: ISO/IEC TS 17023:2013, 3.5]
3.15
audit plan
description of the activities and arrangements for an audit (3.4)
[SOURCE: ISO 19011:2018, 3.6]
3.16
control measure
action or activity that can be used to prevent or eliminate a hazard or reduce it to an acceptable level
3.17
management system element
element of a management system (e.g. management commitment, responsibility and review,
documented information, internal audit) that supports the production of safe food
4 General requirements
4.1 Legal and contractual matters
4.1.1 ISO/IEC 17065:2012, 4.1, shall be followed.
4.1.2 The certification documents shall identify in detail the categories and subcategories in Table A.1
to which the FSS applies.
4.2 Management of impartiality
ISO/IEC 17065:2012, 4.2, shall be followed.
4.3 Liability and financing
ISO/IEC 17065:2012, 4.3, shall be followed.
4.4 Non-discriminatory conditions
ISO/IEC 17065:2012, 4.4, shall be followed.
4.5 Confidentiality
ISO/IEC 17065:2012, 4.5, shall be followed.
4.6 Publicly available information
ISO/IEC 17065:2012, 4.6, shall be followed.
5 Structural requirements
5.1 Organizational structure and top management
ISO/IEC 17065:2012, 5.1, shall be followed.
5.2 Mechanism for safeguarding impartiality
ISO/IEC 17065:2012, 5.2, shall be followed.
6 Resource requirements
6.1 Certification body personnel
6.1.1 General
ISO/IEC 17065:2012, 6.1.1, shall be followed.
6.1.2 Management of competence for personnel involved in the certification process
6.1.2.1 ISO/IEC 17065:2012, 6.1.2, shall be followed.
In addition to ISO/IEC 17065:2012, 6.1.2.1, the procedure shall require a certification body to apply
Annexes A and C in the determination of competencies.
NOTE Qualification(s) and experience can be used as part of the criteria; however, competence is not
based on these alone, as it is important to ensure that a person can demonstrate the ability to apply the specific
knowledge and skills that one would expect a person to have after completing a qualification or having a certain
amount of industry experience.
6.1.2.2 Determination of personnel competence shall include the individual’s ability to apply
knowledge, in particular, the individual’s knowledge relating to food safety, including knowledge of
specific prerequisite programmes (PRPs), food safety hazards and control measures related to the
categories within which the certification body personnel operate. These shall have been identified for
these categories under the requirements of 6.1.2.1.
The certification body shall periodically evaluate the performance of each auditor during an on-site
audit.
Those responsible for determining personnel competence shall have knowledge of determination
methods and shall have demonstrated the ability to apply them and also have equivalent competence to
those functions they are evaluating.
6.1.3 Contract with the personnel
ISO/IEC 17065:2012, 6.1.3, shall be followed.
6.2 Resources for audit
6.2.1 Internal resources
ISO/IEC 17065:2012, 6.2.1, shall be followed.
NOTE The applicable requirements of ISO/IEC 17021-1 referred to in ISO/IEC 17065:2012, 6.2.1, have been
included in this document.
6.2.2 External resources (outsourcing)
ISO/IEC 17065:2012, 6.2.2, shall be followed.
NOTE The applicable requirements of ISO/IEC 17021-1 referred to in ISO/IEC 17065:2012, 6.2.2, have been
included in this document.
7 Process requirements
7.1 General
ISO/IEC 17065:2012, 7.1, shall be followed.
Where a scheme owner has established its own rules for the determination of categories, audit duration
and competence, the outcome of the scheme rules shall apply provided the scheme rules are not less
than those required in Clause 7 and related annexes as a common basis.
7.2 Application
ISO/IEC 17065:2012, 7.2, shall be followed.
The certification body shall require the applicant organization to provide the information concerning
products and processes relevant to determination of the audit duration in accordance with Annexes A
and B.
7.3 Application review
7.3.1 The certification body shall conduct a review of the information obtained (see 7.2) to ensure
that:
a) the information about the client its products/processes/services and its FSS, including the sites of
the client’s operations, and any other points influencing the certification activity (language, safety
conditions, etc.), is sufficient for the conduct of the certification process;
b) any known difference in understanding between the certification body and the client is resolved,
including agreement regarding standards or other normative documents;
c) the scope of certification sought is defined;
d) the means are available to conduct audits;
e) the certification body has the competence and capability to perform the certification activity.
7.3.2 ISO/IEC 17065:2012, 7.3.2, shall be followed.
7.3.3 ISO/IEC 17065:2012, 7.3.3, shall be followed.
7.3.4 ISO/IEC 17065:2012, 7.3.4, shall be followed.
7.3.5 ISO/IEC 17065:2012, 7.3.5, shall be followed.
7.3.6 The certification body shall determine the relevant scope of certification for the organization
applying for certification using Annex A unless the scheme provides specific categories or subcategories.
The certification body shall identify the category(s) or subcategory(s) in scope of certification for each
site or sites by briefly describing the main types of products and processes for the products and/or
services that are evaluated by the certification body.
7.3.7 The defined scope of certification shall not:
— be misleading;
— exclude activities, processes, products or services from the scope of certification when those
activities, processes, products or services can have an influence on the food safety of the end
products as defined by the legal responsibility of the organisations’ activities;
— include any promotional statements, brands or claims that are not in the scope of the certification
scheme.
7.4 Evaluation
NOTE ISO/IEC 17065 refers to “evaluation” and is applicable to the various types of product, process and
services certification schemes which incorporate conformity assessment activities including inspection, testing,
audit, verification and validation. In the context of this document, the evaluation activity is audit, and therefore
the terminology used under this subclause is audit only.
7.4.1 Activities prior to the audit
7.4.1.1 Audit programme
NOTE 1 The “audit programme” is identified as equivalent to the “evaluation plan” required in
ISO/IEC 17065:2012, 7.4.1.
The certification body shall have a programme for the audit activities, including audit activities
conducted remotely, to allow for the necessary arrangements for each audit to be managed. The
programme shall be clear with respect to the individual activities (e.g. audit, testing and inspection)
but shall take into account that the individual activities are not always distinguishable from each other
when conducted on-site.
The certification body shall have a process for choosing the audit timing and season, so that the
audit team has the opportunity of auditing the organization operating on a representative number of
products and processes covered by the scope using the criteria of the certification scheme, if any.
NOTE 2 Depending on the characteristics of the certification scheme and the FSS requirements, the audit
programme can be either a generic plan applicable to all activities, including auditing of the relevant management
system elements (e.g. quality or food safety management system or an integration thereof), when applicable, or a
specific one for a particular activity, or a combination of both.
7.4.1.2 Determining audit time
7.4.1.2.1 The certification body shall have documented procedures for determining the audit time.
For each client, the certification body shall determine the time needed to plan and accomplish a
complete and effective audit of the FSS. In determining the audit duration, the certification body shall
use the methodology described in Annex B. The audit time determined by the certification body, and
the justification for the determination, shall be recorded including justification for any reductions or
additions.
7.4.1.2.2 In determining and documenting the audit time needed, the certification body shall
determine:
a) the time for audit preparation;
b) the minimum duration for auditing for each site for on-site or remote auditing, as specified in
Clauses B.2 and B.3 and Table B.1;
c) the time for reporting and, if applicable, conducting post-audit activities;
d) the number of auditors per audit day balanced with the organization’s resources;
e) where additional meetings are necessary (e.g. review meetings, coordination, audit team briefing),
an increase in audit time can be required;
f) where applicable and agreed, the time needed to ensure effective remote auditing or use of
information and communication technology (ICT).
7.4.1.3 Multi-site sampling
7.4.1.3.1 A multi-site organization is an organization having an identified central function at which
certain FSS activities are planned, controlled or managed, and a network of sites at which such activities
are fully or partially carried out.
Examples of possible multi-site organizations are:
— organizations operating with franchises;
— a manufacturing company with one or more production sites and a network of sales offices;
— service organizations with multiple sites offering a similar service;
— organizations with multiple branches.
A multi-site organization has multiple locations at different addresses with or without different
ownership involved.
NOTE The concept of a multi-site organization in the context of this document does not include farming
operations (i.e. categories A and B in Annex A) that have a number of production sites (e.g. fields, barns, paddocks,
pastures) within their operation. Farming operations that have storage facilities or packing facilities in several
locations associated with their production sites are not typically considered multi-site operations, unless those
facilities are clearly run independently of other functions (i.e. with separate crews, which can be the case with
some multi-commodity farming operations). Multi-site can include producer groups managed by a central
function.
7.4.1.3.2 When the certification body is required to audit the FSS of a multi-site organization (see
7.4.1.3.1), it may adopt a sampling approach. Sampling of multi-site organizations shall cover all
activities of the organization within the scope of certification. See 7.4.1.5 for categories within which
sampling is allowed.
NOTE Sampling is not permitted for some specific certification schemes.
7.4.1.3.3 Where multi-site sampling is permitted for the audit of a client’s FSS, the certification body
shall have a sampling programme to ensure achievement of the audit objectives. The rationale for the
sampling programme for each client shall be documented.
7.4.1.3.4 The certification body shall demonstrate that the sampling of sites does not undermine
effective auditing. When multi-site sampling is undertaken, the certification body shall justify and
document the rationale used for determining the sampling, based on the following conditions:
a) sites are operating under one centrally controlled and administered FSS;
b) sites subject to sampling are similar (e.g. food chain subcategory, geographical location, processes
and technologies, size and complexity, regulatory and statutory requirements, customer
requirements, food safety hazards and control measures);
c) the central function is part of the organization, clearly identified and not subcontracted to an
external organization;
d) all sites have a legal or contractual link with the central function;
e) the central function has organizational authority to define, establish and maintain the FSS;
f) all sites are subject to the organization’s internal audit programme and have been audited;
g) audit findings at a site are considered indicative of the entire FSS and corrective actions are
implemented accordingly;
h) the central function is responsible for ensuring that outcomes of performance evaluation and
customer complaints from all sites are collected and analysed;
i) the organization’s FSS is subject to central management review;
j) the central function has authority to initiate continual improvement of the FSS.
NOTE The central function is where operational control and authority from the top management of the
organization is exerted over every site. There is no requirement for the central function to be located in a
single site.
7.4.1.3.5 The use of multi-site sampling is permitted for categories A and B. Sampling may be applied
to multi-site organizations and producer groups, with the minimum sample size being the square
root of the total number of other sites or group members, √(x), rounded up to the next whole number.
The square root sample shall be taken per risk category based on production complexity of the sites/
members (e.g. open field plant production, perennial plant production, indoor production, open field
livestock production, indoor livestock production). The scheme owner may define the risk categories
and increase the minimum sample size.
The use of multi-site sampling is permitted for categories F and G, and for category E only for facilities
with limited preparation or cooking (e.g. re-heating, frying) (see Table A.1). For organizations with
20 sites or fewer, all sites shall be audited. For organizations with more than 20 sites, the minimum
number of sites to be sampled shall be 20 plus the square root of the total number of other sites:
y = 20 + √(x – 20), rounded up to the next whole number.
For all categories for which multi-site sampling is permitted, the certification body shall increase the
size of the sample or terminate the site sampling where the FSS does not indicate the ability to achieve
the intended results.
The use of multi-site sampling is not permitted for any other categories identified in Annex A.
7.4.1.3.6 Where multi-site sampling is permitted, the certification body shall define and utilize a
sampling programme to ensure an effective audit of the FSS where the following conditions apply.
a) At least annually, an audit of the central function for the FSS shall be performed by the certification
body prior to performing the majority of the sampled site audits.
b) At least annually, audits shall be performed by the certification body on the required number of
sampled sites.
c) Audit findings of the sampled sites shall be assessed to ascertain if these indicate an overall FSS
deficiency and therefore can be applicable to some or all other sites.
d) Where audit findings of the sampled sites are considered indicative of the entire FSS, corrective
actions shall be implemented accordingly.
7.4.1.3.7 The sample shall be partly selective and partly random and shall result in a representative
range of different sites being selected, ensuring all processes covered by the scope of certification will
be audited.
At least 25 % of the sample shall be selected at random. The remainder shall be selected so that the
differences among the sites selected over the period of validity of the certification are as large as
possible.
The site selection shall consider, among others, the following aspects:
a) results of internal audits, management reviews or previous audits;
b) records of complaints, product withdrawals, and other relevant aspects of corrective action;
c) variations in the site characteristics;
d) other relevant changes since the last audit.
7.4.1.3.8 The certification body shall increase the size of sample or terminate the site sampling where
the FSS subject to certification does not indicate the ability to achieve the intended results.
7.4.2 Planning audit
7.4.2.1 Determining audit objectives, scope and criteria
7.4.2.1.1 The audit objectives shall be determined by the certification body. The audit scope and
criteria, including any changes, shall be established by the certification body after discussion with the
client and according to any applicable scheme requirements.
7.4.2.1.2 The audit objectives shall describe what is to be accomplished by the audit. They shall
include the following:
a) determination of the conformity of the client’s FSS, or parts of it, with audit criteria;
b) determination of the ability of the FSS to ensure the client meets applicable statutory, regulatory
and contractual requirements;
c) determination of the effectiveness of the FSS to ensure the client can reasonably expect to achieve
its specified objectives;
d) as applicable, identification of areas for potential improvement of the effectiveness of the FSS.
7.4.2.1.3 The audit scope shall describe the extent and boundaries of the audit, such as sites,
organizational units, activities and processes to be audited. Where the certification process consists
of more than one audit (e.g. covering different sites), the scope of an individual audit may not cover the
full certification scope, but the totality of audits shall be consistent with the scope in the certification
documentation.
7.4.2.2 Audit team selection and assignments
7.4.2.2.1 The certification body shall have a process for selecting and appointing the audit team,
including the audit team leader and technical experts as necessary, taking into account the competence
needed to achieve the objectives of the audit and requirements for impartiality. If there is only one
auditor, the auditor shall have the competence to perform the duties of an audit team leader applicable
for that audit. The audit team shall have the totality of the competences identified by the certification
body as set out in 6.1.2 for the audit.
7.4.2.2.2 In deciding the size and composition of the audit team, consideration shall be given to the
following:
a) audit objectives, audit scope, criteria and estimated audit time;
b) whether the audit is combined, joint or integrated;
c) the overall competence of the audit team needed to achieve the objectives of the audit;
d) certification requirements (including any applicable scheme, statutory, regulatory or contractual
requirements);
e) language and culture.
7.4.2.2.3 The necessary knowledge and skills of the audit team leader and auditors may be
supplemented by technical experts, translators and interpreters who shall operate under the direction
of an auditor. Where translators or interpreters are used, they shall be selected such that they do not
unduly influence the audit.
NOTE The criteria for the selection of technical experts are determined on a case-by-case basis by the needs
of the audit team and the scope of the audit.
7.4.2.2.4 Auditors-in-training may participate in the audit, provided an auditor is appointed
to supervise. The supervising auditor shall be competent to take over the duties and have final
responsibility for the activities and findings of the auditor-in-training.
7.4.2.2.5 The audit team leader, in consultation with the audit team, shall assign to each team member
responsibility for auditing specific processes, functions, sites, areas or activities. Such assignments
shall take into account the need for competence, and the effective and efficient use of the audit team,
as well as different roles and responsibilities of auditors, auditors-in-training and technical experts.
Changes to the work assignments may be made as the audit progresses to ensure achievement of the
audit objectives.
7.4.2.3 Observers, technical experts and guides
7.4.2.3.1 Observers
The presence and justification of observers during the audit activities shall be agreed to by the
certification body and client prior to the conduct of the audit. The audit team shall ensure that observers
do not unduly influence or interfere in the audit process or outcome of it.
NOTE Observers can be members of the client’s organization, consultants, witnessing accreditation body
personnel, regulators or other justified persons.
7.4.2.3.2 Technical experts
The role of technical experts during audit activities shall be agreed to by the certification body and
client prior to the conduct of the audit. A technical expert shall not act as a member of the audit tea
...

NORME ISO
INTERNATIONALE 22003-2
Première édition
2022-06
Sécurité des denrées alimentaires —
Partie 2:
Exigences pour les organismes
procédant à l’évaluation et à la
certification de produits, de procédés
et de services, incluant un audit du
système de sécurité des denrées
alimentaires
Food safety —
Part 2: Requirements for bodies providing evaluation and
certification of products, processes and services, including an audit of
the food safety system
Numéro de référence
DOCUMENT PROTÉGÉ PAR COPYRIGHT
© ISO 2022
Tous droits réservés. Sauf prescription différente ou nécessité dans le contexte de sa mise en œuvre, aucune partie de cette
publication ne peut être reproduite ni utilisée sous quelque forme que ce soit et par aucun procédé, électronique ou mécanique,
y compris la photocopie, ou la diffusion sur l’internet ou sur un intranet, sans autorisation écrite préalable. Une autorisation peut
être demandée à l’ISO à l’adresse ci-après ou au comité membre de l’ISO dans le pays du demandeur.
ISO copyright office
Case postale 401 • Ch. de Blandonnet 8
CH-1214 Vernier, Genève
Tél.: [phone]
E-mail: [e-mail]
Web: www.iso.org
Publié en Suisse
ii
Sommaire Page
Avant-propos .v
Introduction . vi
1 Domaine d’application . 1
2 Références normatives .1
3 Termes et définitions . 2
4 Exigences générales . .4
4.1 Domaine juridique et contractuel . 4
4.2 Gestion de l’impartialité . 4
4.3 Responsabilité et financement . 4
4.4 Conditions non discriminatoires . 4
4.5 Confidentialité . 4
4.6 Informations accessibles au public . 5
5 Exigences structurelles . 5
5.1 Organisation et direction . 5
5.2 Dispositif de préservation de l’impartialité . 5
6 Exigences relatives aux ressources . 5
6.1 Personnel de l’organisme de certification . 5
6.1.1 Généralités . 5
6.1.2 Gestion des compétences du personnel engagé dans le processus de
certification. 5
6.1.3 Contrat conclu avec le personnel . 5
6.2 Ressources pour l’audit . 6
6.2.1 Ressources internes . 6
6.2.2 Ressources externes (externalisation) . 6
7 Exigences relatives aux processus .6
7.1 Généralités . 6
7.2 Demande . 6
7.3 Revue de la demande . 6
7.4 Évaluation . 7
7.4.1 Activités préalables à l’audit . 7
7.4.2 Planification des audits . 10
7.4.3 Réalisation des audits .13
7.4.4 Acceptation des résultats externes . 17
7.4.5 Rapport d’audit . 17
7.4.6 Non-conformités . 18
7.4.7 Résolution des non-conformités . 18
7.5 Revue . 19
7.6 Décision de certification . 19
7.7 Documents de certification . 19
7.8 Annuaire des produits certifiés . 19
7.9 Surveillance . 19
7.10 Changements ayant des conséquences sur la certification. 19
7.11 Résiliation, réduction, suspension ou retrait de la certification . . 19
7.12 Enregistrements . 19
7.13 Plaintes et appels . 19
7.14 Audits particuliers . 20
8 Exigences du système de management .20
Annexe A (normative) Classification des catégories de la chaîne alimentaire .21
Annexe B (normative) Durée minimale d’audit .25
Annexe C (normative) Connaissances et savoir-faire requis pour déterminer la compétence .29
iii
Bibliographie .34
iv
Avant-propos
L’ISO (Organisation internationale de normalisation) est une fédération mondiale d’organismes
nationaux de normalisation (comités membres de l’ISO). L’élaboration des Normes internationales est
en général confiée aux comités techniques de l’ISO. Chaque comité membre intéressé par une étude
a le droit de faire partie du comité technique créé à cet effet. Les organisations internationales,
gouvernementales et non gouvernementales, en liaison avec l’ISO participent également aux travaux.
L’ISO collabore étroitement avec la Commission électrotechnique internationale (IEC) en ce qui
concerne la normalisation électrotechnique.
Les procédures utilisées pour élaborer le présent document et celles destinées à sa mise à jour sont
décrites dans les Directives ISO/IEC, Partie 1. Il convient, en particulier, de prendre note des différents
critères d’approbation requis pour les différents types de documents ISO. Le présent document a été
rédigé conformément aux règles de rédaction données dans les Directives ISO/IEC, Partie 2 (voir
www.iso.org/directives).
L’attention est attirée sur le fait que certains des éléments du présent document peuvent faire l’objet de
droits de propriété intellectuelle ou de droits analogues. L’ISO ne saurait être tenue pour responsable
de ne pas avoir identifié de tels droits de propriété et averti de leur existence. Les détails concernant
les références aux droits de propriété intellectuelle ou autres droits analogues identifiés lors de
l’élaboration du document sont indiqués dans l’Introduction et/ou dans la liste des déclarations de
brevets reçues par l’ISO (voir www.iso.org/brevets).
Les appellations commerciales éventuellement mentionnées dans le présent document sont données
pour information, par souci de commodité, à l’intention des utilisateurs et ne sauraient constituer un
engagement.
Pour une explication de la nature volontaire des normes, la signification des termes et expressions
spécifiques de l’ISO liés à l’évaluation de la conformité, ou pour toute information au sujet de l’adhésion
de l’ISO aux principes de l’Organisation mondiale du commerce (OMC) concernant les obstacles
techniques au commerce (OTC), voir www.iso.org/avant-propos.
Le présent document a été élaboré par le comité technique ISO/TC 34, Produits alimentaires, sous-
comité SC 17, Systèmes de management pour la sécurité des denrées alimentaires, en collaboration avec le
Comité ISO pour l’évaluation de la conformité (CASCO).
Il convient que l’utilisateur adresse tout retour d’information ou toute question concernant le présent
document à l’organisme national de normalisation de son pays. Une liste exhaustive desdits organismes
se trouve à l’adresse www.iso.org/fr/members.html.
v
Introduction
La certification du système de sécurité des denrées alimentaires (SSDA) d’une organisation est l’un
des moyens permettant d’assurer que l’organisation a mis en œuvre un système de management de
la sécurité des denrées alimentaires conforme à sa politique et aux principes de sécurité des denrées
alimentaires internationalement reconnus.
Les exigences relatives à un SSDA peuvent provenir de différentes sources. Le présent document a été
élaboré afin de faciliter la certification des produits, des procédés ou des services de l’organisation,
ainsi que de son SSDA, y compris les éléments de son système de management.
Le présent document est destiné à être utilisé conjointement avec l’ISO/IEC 17065 par les organismes qui
procèdent à l’évaluation et à la certification des produits, des procédés ou des services, y compris à un
audit du SSDA. Il fournit des exigences générales à l’attention de ces organismes dits «de certification».
Ce libellé n’est pas destiné à faire obstacle à l’utilisation du présent document par des organismes
désignés différemment qui entreprennent des activités couvertes par le domaine d’application décrit
dans ce document.
La certification des produits, procédés ou services d’une organisation, incluant un audit du SSDA
conformément au présent document, peut impliquer un certain nombre d’activités. Le présent document
étant destiné aux programmes de certification de produits qui comprennent un élément de système de
management, ces activités impliquent un audit du SSDA de l’organisation. L’attestation de la conformité
du SSDA d’une organisation à une norme spécifique, aux exigences d’un programme de certification
ou à d’autres exigences spécifiées prend généralement la forme d’un document de certification ou d’un
certificat.
Il incombe à l’organisation cherchant à obtenir une certification de mettre au point son propre SSDA
et ses systèmes connexes conformément aux exigences du programme. Sauf spécifications contraires
dans les exigences réglementaires applicables, les exigences du client ou les exigences du programme
de certification, il appartient à l’organisation de décider de l’agencement des divers composants desdits
systèmes. Le degré d’intégration entre les divers composants des systèmes variera d’une organisation
à l’autre. Il est donc approprié pour les organismes de certification qui opèrent conformément au présent
document de prendre en compte la culture et les pratiques de leurs clients, eu égard à l’intégration
de leur SSDA dans un cadre plus large.
Le présent document a été élaboré en parallèle de l’ISO 22003-1, qui est utilisée conjointement avec
l’ISO/IEC 17021-1.
Dans le présent document, les formes verbales suivantes sont utilisées:
— «doit» indique une exigence;
— «il convient de/que» indique une recommandation;
— «peut/il est admis/permis» indique une permission;
— «peut/il est possible» indique une possibilité ou une capacité.
vi
NORME INTERNATIONALE ISO 22003-2:2022(F)
Sécurité des denrées alimentaires —
Partie 2:
Exigences pour les organismes procédant à l’évaluation et
à la certification de produits, de procédés et de services,
incluant un audit du système de sécurité des denrées
alimentaires
1 Domaine d’application
Le présent document vient compléter l’ISO/IEC 17065. Il spécifie les règles applicables à l’audit d’un
système de sécurité des denrées alimentaires (SSDA) et à la certification de produits, de procédés et de
services conformes aux exigences d’un programme de certification fondé sur les principes de sécurité
des denrées alimentaires internationalement reconnus (par exemple, les Principes généraux d’hygiène
[8]
alimentaire du CODEX ) et comprenant des éléments de système de management.
Le présent document ne s’applique pas aux certifications qui s’appuient exclusivement sur des essais
de produits (par exemple, effectués par un organisme appliquant l’ISO/IEC 17025) ou des inspections
(par exemple, effectuées par un organisme appliquant l’ISO/IEC 17020) et ne s’applique pas aux
programmes de sécurité des denrées alimentaires fondés sur l’ISO/IEC 17065 qui n’incluent pas à la fois
les principes de la sécurité des denrées alimentaires internationalement reconnus et des éléments de
système de management.
Il fournit également aux clients les informations nécessaires sur la manière de procéder à la certification
de leurs fournisseurs et leur donne ainsi confiance dans cette certification.
La certification des SSDA est une activité d’évaluation de la conformité par tierce partie
(tel que décrit dans l’ISO/IEC 17000:2020, 4.3) et les organismes exerçant cette activité sont des
organismes d’évaluation de la conformité par tierce partie.
NOTE Le présent document peut être utilisé comme référentiel pour l’accréditation ou l’évaluation par
des tiers des organismes de certification qui cherchent à se faire reconnaître comme étant compétents pour
certifier que les produits, les procédés et les services d’une organisation ainsi que son SSDA sont conformes
aux exigences d’un programme de certification. Il est également destiné à être utilisé comme référentiel
par des autorités réglementaires et des consortiums industriels qui procèdent à la reconnaissance directe
des organismes de certification qui certifient que le SSDA d’une organisation est conforme aux exigences
d’un programme de certification. Certaines de ses exigences peuvent aussi être utiles pour toute autre partie
susceptible d’être impliquée dans l’évaluation de la conformité de tels organismes de certification et dans
l’évaluation de la conformité de tout organisme qui réalise la certification de la conformité d’un SSDA à des
critères supplémentaires.
La certification d’un SSDA n’atteste pas la sécurité ou l’aptitude à l’emploi des produits d’une
organisation appartenant à la chaîne alimentaire. Cependant, la certification exige qu’une organisation
satisfasse à l’ensemble des exigences législatives et réglementaires en vigueur liées à la sécurité des
denrées alimentaires au travers de son SSDA.
2 Références normatives
Les documents suivants sont cités dans le texte de sorte qu’ils constituent, pour tout ou partie de leur
contenu, des exigences du présent document. Pour les références datées, seule l’édition citée s’applique.
Pour les références non datées, la dernière édition du document de référence s’applique (y compris les
éventuels amendements).
ISO/IEC 17000, Évaluation de la conformité — Vocabulaire et principes généraux
ISO/IEC 17065:2012, Évaluation de la conformité — Exigences pour les organismes certifiant les produits,
les procédés et les services
3 Termes et définitions
Pour les besoins du présent document, les termes et les définitions de l’ISO/IEC 17000, l’ISO/IEC 17065
ainsi que les suivants s’appliquent.
L’ISO et l’IEC tiennent à jour des bases de données terminologiques destinées à être utilisées en
normalisation, consultables aux adresses suivantes:
— ISO Online browsing platform: disponible à l’adresse https:// www .iso .org/ obp
— IEC Electropedia: disponible à l’adresse https:// www .electropedia .org/
3.1
système de sécurité des denrées alimentaires
SSDA
programmes prérequis (3.2), complétés par des mesures de maîtrise (3.16), suivant le cas, fondés sur les
principes de sécurité des denrées alimentaires internationalement reconnus, combinés à des éléments
de système de management (3.17) qui, lorsqu’ils sont mis en œuvre par l’organisation, permettent de
fournir des produits et des services sûrs, dans le cadre de leur utilisation prévue
Note 1 à l'article: Les programmes prérequis et les mesures de maîtrise d’un SSDA peuvent être fondés soit sur
une analyse des dangers spécifiques à l’organisation, à ses produits et à ses procédés, soit sur une analyse des
dangers générique réalisée par un organisme externe compétent (par exemple, une autorité compétente, une
université, une association professionnelle ou sectorielle, le propriétaire d’un programme de certification),
appropriée aux produits et aux procédés de l’organisation, et adaptée et personnalisée par l’organisation par
rapport à ses opérations.
3.2
programme prérequis
PRP
conditions et activités de base nécessaires au sein de l’organisation et tout au long de la chaîne
alimentaire pour préserver la sécurité des denrées alimentaires
Note 1 à l'article: Les PRP nécessaires dépendent du segment de la chaîne alimentaire dans lequel l’organisme
intervient et du type d’organisme. Parmi les exemples de termes équivalents figurent bonnes pratiques
agricoles (BPA), bonnes pratiques vétérinaires (BPV), bonnes pratiques de fabrication (BPF), bonnes pratiques
d’hygiène (BPH), bonnes pratiques de production (BPP), bonnes pratiques de distribution (BPD) et bonnes
pratiques de vente (BPV).
[SOURCE: ISO 22000:2018, 3.35]
3.3
compétence
aptitude à mettre en pratique des connaissances et un savoir-faire pour obtenir les résultats escomptés
[SOURCE: ISO/IEC 17021-1:2015, 3.7]
3.4
audit
processus permettant d’obtenir des informations pertinentes sur un objet de l’évaluation de la
conformité et de l’évaluer objectivement pour déterminer dans quelle mesure les exigences spécifiées
sont respectées
Note 1 à l'article: Les exigences spécifiées sont définies avant la réalisation d’un audit de manière à obtenir
des informations pertinentes.
Note 2 à l'article: Dans le contexte du présent document, le terme «audit» comprend toute activité d’évaluation
applicable (conformément à l’ISO/IEC 17065), comme l’inspection, les essais et l’audit du système de management
(conformément à l’ISO/IEC 17021-1).
[SOURCE: ISO/IEC 17000:2020, 6.4, modifié —Les Notes 2 et 3 à l’article ont été supprimées et une
nouvelle Note 2 à l’article a été ajoutée.]
3.5
durée d’audit
partie du temps d’audit (3.6) consacrée à la réalisation des activités d’audit (3.4), de la réunion
d’ouverture à la réunion de clôture incluse
[SOURCE: ISO/IEC 17021-1:2015, 3.17, modifié — Le terme «durée d’audit» remplace «durée des audits
de certification d’un système de management».]
3.6
temps d’audit
temps nécessaire à la planification et à la réalisation d’un audit (3.4) complet et efficace du SSDA de
l’organisation du client
[SOURCE: ISO/IEC 17021-1:2015, 3.16, modifié — «SSDA» remplace «système de management» dans la
définition.]
3.7
non-conformité
non-satisfaction d’une exigence
[SOURCE: ISO/IEC 17021-1:2015, 3.11]
3.8
analyse des dangers et points critiques pour leur maîtrise
étude HACCP
analyse des dangers pour une famille de produits/services/procédés présentant des dangers semblables
ainsi que des processus et une technologie analogues (par exemple production, conditionnement,
stockage ou prestation de services)
3.9
auditeur
personne qui réalise un audit (3.4)
[SOURCE: ISO/IEC 17021-1:2015, 3.6]
3.10
guide
personne nommée par le client pour assister l’équipe d’audit
[SOURCE: ISO/IEC 17021-1:2015, 3.8]
3.11
observateur
personne qui accompagne l’équipe d’audit (3.4), mais qui n’audite pas
[SOURCE: ISO/IEC 17021-1:2015, 3.9]
3.12
expert technique
personne apportant à l’équipe d’audit des connaissances ou une expertise spécifiques
[SOURCE: ISO/IEC 17021-1:2015, 3.14, modifié — La Note 1 à l’article a été supprimée.]
3.13
site permanent
emplacement (physique ou virtuel) où une organisation cliente effectue un travail ou délivre un service
de manière permanente
[SOURCE: ISO/IEC TS 17023:2013, 3.4]
3.14
site provisoire
emplacement (physique ou virtuel) où une organisation cliente effectue un travail particulier ou délivre
un service pendant une période de temps définie, et qui n’est pas destiné à devenir un site permanent
(3.13)
[SOURCE: ISO/IEC TS 17023:2013, 3.5]
3.15
plan d’audit
description des activités et des dispositions nécessaires pour réaliser un audit (3.4)
[SOURCE: ISO 19011:2018, 3.6]
3.16
mesure de maîtrise
action ou activité pouvant être utilisée pour prévenir ou éliminer un danger ou pour le réduire à un
niveau acceptable
3.17
élément de système de management
élément d’un système de management (par exemple, engagement de la direction, responsabilité de
la direction, revue de direction, informations documentées, audit interne) qui favorise la production
de denrées alimentaires sûres
4 Exigences générales
4.1 Domaine juridique et contractuel
4.1.1 L’ISO/IEC 17065:2012, 4.1, doit être respectée.
4.1.2 Les documents de certification doivent identifier en détail les catégories et sous-catégories
présentées dans le Tableau A.1 auxquelles le SSDA s’applique.
4.2 Gestion de l’impartialité
L’ISO/IEC 17065:2012, 4.2, doit être respectée.
4.3 Responsabilité et financement
L’ISO/IEC 17065:2012, 4.3, doit être respectée.
4.4 Conditions non discriminatoires
L’ISO/IEC 17065:2012, 4.4, doit être respectée.
4.5 Confidentialité
L’ISO/IEC 17065:2012, 4.5, doit être respectée.
4.6 Informations accessibles au public
L’ISO/IEC 17065:2012, 4.6, doit être respectée.
5 Exigences structurelles
5.1 Organisation et direction
L’ISO/IEC 17065:2012, 5.1, doit être respectée.
5.2 Dispositif de préservation de l’impartialité
L’ISO/IEC 17065:2012, 5.2, doit être respectée.
6 Exigences relatives aux ressources
6.1 Personnel de l’organisme de certification
6.1.1 Généralités
L’ISO/IEC 17065:2012, 6.1.1, doit être respectée.
6.1.2 Gestion des compétences du personnel engagé dans le processus de certification
6.1.2.1 L’ISO/IEC 17065:2012, 6.1.2, doit être respectée.
Outre les exigences de l’ISO/IEC 17065:2012, 6.1.2.1, la procédure doit exiger que l’organisme de
certification applique les Annexes A et C pour la détermination des compétences.
NOTE La ou les qualifications et l’expérience peuvent faire partie des critères; toutefois, la compétence
ne repose pas uniquement sur ces caractéristiques, car il est important de s’assurer qu’une personne peut
démontrer son aptitude à mettre en œuvre les connaissances spécifiques et le savoir-faire que l’on attendrait
d’une personne ayant obtenu une qualification ou possédant une certaine expérience dans le secteur.
6.1.2.2 La détermination des compétences du personnel doit inclure la capacité de l’individu
à appliquer ses connaissances, en particulier les connaissances de l’individu relatives à la sécurité
des denrées alimentaires, y compris ses connaissances des programmes prérequis (PRP) spécifiques,
des dangers liés à la sécurité des denrées alimentaires et des mesures de maîtrise concernant les
catégories qui entrent dans le périmètre d’action du personnel de l’organisme de certification.
Elles doivent être identifiées pour les catégories relevant des exigences de 6.1.2.1.
L’organisme de certification doit évaluer périodiquement les performances de chaque auditeur au cours
d’un audit sur site.
Les personnes responsables de la détermination des compétences du personnel doivent connaître les
méthodes de détermination et avoir démontré leur capacité à les appliquer, ainsi que posséder des
compétences équivalentes aux fonctions qu’elles évaluent.
6.1.3 Contrat conclu avec le personnel
L’ISO/IEC 17065:2012, 6.1.3, doit être respectée.
6.2 Ressources pour l’audit
6.2.1 Ressources internes
L’ISO/IEC 17065:2012, 6.2.1, doit être respectée.
NOTE Les exigences applicables de l’ISO/IEC 17021-1 auxquelles il est fait référence dans
l’ISO/IEC 17065:2012, 6.2.1, ont été incluses dans le présent document.
6.2.2 Ressources externes (externalisation)
L’ISO/IEC 17065:2012, 6.2.2, doit être respectée.
NOTE Les exigences applicables de l’ISO/IEC 17021-1 auxquelles il est fait référence dans
l’ISO/IEC 17065:2012, 6.2.2, ont été incluses dans le présent document.
7 Exigences relatives aux processus
7.1 Généralités
L’ISO/IEC 17065:2012, 7.1, doit être respectée.
Lorsque le propriétaire d’un programme a établi ses propres règles de détermination des catégories,
de durée d’audit et de compétence, le résultat des règles du programme doit s’appliquer à condition
que les règles du programme ne soient pas inférieures à celles exigées à l’Article 7 et dans les annexes
correspondantes comme base commune.
7.2 Demande
L’ISO/IEC 17065:2012, 7.2, doit être respectée.
L’organisme de certification doit exiger de l’organisation candidate qu’elle fournisse les informations
concernant les produits et les procédés, pertinentes pour la détermination de la durée de l’audit,
conformément aux Annexes A et B.
7.3 Revue de la demande
7.3.1 L’organisme de certification doit procéder à une revue des informations obtenues (voir 7.2)
afin de s’assurer que:
a) les informations relatives au client, ainsi qu’à ses produits/procédés/services et à son SSDA,
y compris les sites d’exploitation du client, et tout autre point ayant une incidence sur l’activité
de certification (langue, conditions de sécurité, etc.) sont suffisantes pour la conduite du processus
de certification;
b) toute différence de compréhension connue entre l’organisme de certification et le client est résolue,
y compris l’accord concernant les normes ou d’autres documents normatifs;
c) le périmètre de la certification recherchée est défini;
d) les moyens nécessaires à la réalisation des audits sont disponibles;
e) l’organisme de certification a la compétence et la capacité d’effectuer l’activité de certification.
7.3.2 L’ISO/IEC 17065:2012, 7.3.2, doit être respectée.
7.3.3 L’ISO/IEC 17065:2012, 7.3.3, doit être respectée.
7.3.4 L’ISO/IEC 17065:2012, 7.3.4, doit être respectée.
7.3.5 L’ISO/IEC 17065:2012, 7.3.5, doit être respectée.
7.3.6 L’organisme de certification doit déterminer le périmètre de certification pertinent pour
l’organisation demandeuse en utilisant l’Annexe A, à moins que le programme ne prévoie des catégories
ou sous-catégories spécifiques. L’organisme de certification doit identifier la ou les catégories ou sous-
catégories incluses dans le périmètre de la certification pour chaque site en décrivant brièvement
les principaux types de produits et procédés pour les produits et/ou services qui sont évalués
par l’organisme de certification.
7.3.7 Le périmètre défini de la certification ne doit pas:
— être trompeur;
— exclure d’activités, de procédés, de produits ou de services du périmètre de certification lorsque
ces derniers peuvent influer sur la sécurité sanitaire des produits finis telle que définie par la
responsabilité juridique des activités des organisations;
— de mentions, marques ou allégations promotionnelles n’entrant pas dans le périmètre du programme
de certification.
7.4 Évaluation
NOTE L’ISO/IEC 17065 fait référence à une «évaluation» qui s’applique aux différents types de programmes
de certification de produits, de procédés et de services comprenant des activités d’évaluation de la conformité,
telles que des contrôles, des essais, des audits, des vérifications et des validations. Dans le contexte du présent
document, l’activité d’évaluation est l’audit, par conséquent la terminologie utilisée dans le présent paragraphe
a trait uniquement à l’audit.
7.4.1 Activités préalables à l’audit
7.4.1.1 Programme d’audit
NOTE 1 Le «programme d’audit» est identifié comme étant équivalent au «plan d’évaluation» requis dans
l’ISO/IEC 17065:2012, 7.4.1.
L’organisme de certification doit prévoir un programme pour les activités d’audit, y compris les
activités réalisées à distance, afin de permettre la gestion des dispositions nécessaires. Le programme
doit énoncer des activités individuelles claires (par exemple, audit, essais et inspection), mais doit tenir
compte du fait que les activités individuelles ne sont pas toujours discernables les unes des autres
lorsqu’elles sont menées sur site.
L’organisme de certification doit disposer d’un processus pour choisir la date et la saison de l’audit
et ainsi permettre à l’équipe d’audit d’auditer l’organisation en fonctionnement sur un nombre
représentatif de produits et de procédés couverts par le domaine d’application, en utilisant les critères
du programme de certification, le cas échéant.
NOTE 2 En fonction des caractéristiques du programme de certification et des exigences relatives au SSDA,
le programme d’audit peut être soit un plan générique applicable à toutes les activités, y compris l’audit des
éléments pertinents du système de management (par exemple, le système de management de la qualité ou de la
sécurité des denrées alimentaires ou leur intégration), le cas échéant, soit un plan spécifique pour une activité
particulière, soit une combinaison des deux.
7.4.1.2 Détermination du temps d’audit
7.4.1.2.1 L’organisme de certification doit disposer de procédures documentées visant à déterminer
le temps d’audit. Pour chaque client, l’organisme de certification doit déterminer le temps nécessaire à
la planification et à la réalisation d’un audit complet et efficace du SSDA. Afin de déterminer la durée
de l’audit, l’organisme de certification doit utiliser la méthodologie décrite à l’Annexe B. Le temps
imparti déterminé par l’organisme de certification ainsi que les justifications correspondantes doivent
être enregistrés, y compris la justification de toute réduction ou de tout allongement.
7.4.1.2.2 Afin de déterminer le temps d’audit nécessaire et de le documenter, l’organisme de
certification doit déterminer:
a) le temps de préparation de l’audit;
b) la durée minimale de l’audit pour chaque site, qu’il s’agisse d’un audit sur site ou d’un audit à
distance, tel que spécifié dans les paragraphes B.2 et B.3, ainsi que dans le Tableau B.1;
c) le temps nécessaire à l’établissement des rapports et, le cas échéant, à la conduite des activités post-
audit;
d) le nombre d’auditeurs par journée d’audit en fonction des ressources de l’organisation;
e) une augmentation du temps d’audit peut être requise lorsque des réunions supplémentaires sont
nécessaires, par exemple des réunions de revue, de coordination, d’information de l’équipe d’audit;
f) dans les cas applicables et convenus, le temps nécessaire pour assurer un audit à distance efficace
ou l’utilisation des technologies de l’information et de la communication (TIC).
7.4.1.3 Échantillonnage multisite
7.4.1.3.1 Une organisation multisite est une organisation comportant une fonction centralisée
identifiée au niveau de laquelle certaines activités de SSDA sont planifiées, maîtrisées ou gérées;
ainsi qu’un réseau de sites au niveau desquels ces activités sont entièrement ou partiellement réalisées.
Des exemples d’organisations multisites possibles sont:
— les organisations opérant avec des franchises;
— une entreprise manufacturière disposant d’un ou de plusieurs sites de production et d’un réseau
de bureaux de vente;
— les organisations de services disposant de plusieurs sites offrant un service similaire;
— les organisations comportant plusieurs filiales.
Une organisation multisite possède plusieurs sites à différentes adresses, avec ou sans propriétaires
différents impliqués.
NOTE Le concept d’organisation multisite dans le contexte du présent document ne comprend pas les
exploitations agricoles (c’est-à-dire les catégories A et B de l’Annexe A) qui disposent d’un certain nombre de sites
de production (par exemple, des champs, des granges, des enclos, des pâturages) au sein de leur exploitation.
Les exploitations agricoles qui disposent d’installations de stockage ou de conditionnement en plusieurs endroits
associés à leurs sites de production ne sont généralement pas considérées comme des exploitations multisites,
sauf si ces installations sont clairement gérées indépendamment des autres fonctions (c’est-à-dire avec des
équipes distinctes, ce qui peut être le cas de certaines exploitations agricoles polyvalentes). Les organisations
multisites peuvent inclure les groupements de producteurs gérés par une fonction centralisée.
7.4.1.3.2 Lorsque l’organisme de certification doit auditer le SSDA d’une organisation multisite
(voir 7.4.1.3.1), il peut adopter une approche par échantillonnage. L’échantillonnage des organisations
multisites doit couvrir toutes les activités de l’organisation entrant dans le périmètre de la certification.
Voir 7.4.1.5 pour savoir dans quelles catégories l’échantillonnage est autorisé.
NOTE L’échantillonnage n’est pas permis dans le cadre de certains programmes de certification spécifiques.
7.4.1.3.3 Lorsque l’échantillonnage multisite est permis pour auditer le SSDA d’un client, l’organisme
de certification doit disposer d’un programme d’échantillonnage afin de s’assurer que les objectifs
de l’audit sont atteints. Les raisons du programme d’échantillonnage pour chaque client doivent être
documentées.
7.4.1.3.4 L’organisme de certification doit démontrer que l’échantillonnage des sites ne nuit pas
à l’efficacité de l’audit. Lorsqu’un échantillonnage multisite est entrepris, l’organisme de certification
doit justifier et documenter les raisons utilisées pour déterminer l’échantillonnage, sur la base des
conditions suivantes:
a) les sites opèrent sous un seul SSDA contrôlé et administré de façon centralisée;
b) les sites faisant l’objet d’un échantillonnage se ressemblent (par exemple, sous-catégorie de la
chaîne alimentaire, emplacement géographique, procédés et technologies, taille et complexité,
exigences légales et réglementaires, exigences des clients, dangers liés à la sécurité des denrées
alimentaires et mesures de maîtrise);
c) la fonction centralisée fait partie de l’organisation, elle est clairement identifiée et n’est pas sous-
traitée à une organisation externe;
d) tous les sites ont un lien juridique ou contractuel avec la fonction centralisée;
e) la fonction centralisée dispose, au sein de l’organisation, de l’autorité pour définir, établir et tenir
à jour le SSDA;
f) tous les sites sont soumis au programme d’audit interne de l’organisation et ont fait l’objet d’un
audit;
g) les constats d’audit sur un site sont considérés comme indicatifs de l’ensemble du SSDA et des
actions correctives sont mises en œuvre en conséquence;
h) la fonction centralisée est chargée de veiller à ce que les résultats de l’évaluation des performances
et les plaintes des clients provenant de tous les sites soient collectés et analysés;
i) le SSDA de l’organisation fait l’objet d’une revue de direction centralisée;
j) la fonction centralisée a le pouvoir d’initier l’amélioration continue du SSDA.
NOTE La fonction centralisée est le lieu où la maîtrise opérationnelle et l’autorité de la direction de
l’organisation sont exercées sur chaque site. Il n’est pas exigé que la fonction centralisée se situe sur un seul
site.
7.4.1.3.5 L’utilisation de l’échantillonnage multisite est autorisée pour les catégories A et B.
L’échantillonnage peut être appliqué à des organisations multisites et à des groupements de
producteurs, la taille minimale de l’échantillon étant la racine carrée du nombre total des autres sites
ou des membres du groupement, √(x), arrondi au nombre entier supérieur. L’échantillon issu de ce
calcul doit être prélevé par catégorie de risque en fonction de la complexité de la production des sites/
membres (par exemple, production végétale en plein champ, production de plantes vivaces, production
en intérieur ou production animale en plein champ, production animale en intérieur). Le propriétaire
du programme peut définir les catégories de risque et revoir la taille minimale de l’échantillon à la
hausse.
L’utilisation d’un échantillonnage multisite est permise pour les catégories F, G et uniquement pour les
installations dotées de possibilités de préparation ou de cuisson limitées (par exemple, réchauffage,
friture) de la catégorie E (voir le Tableau A.1). Pour les organisations comportant 20 sites ou moins,
tous les sites doivent être audités. Dans le cas d’organisations de plus de 20 sites, le nombre minimal
de sites à échantillonner doit être de 20 plus la racine carrée du nombre total des autres sites:
y = 20 + √(x – 20), arrondi au nombre entier supérieur.
Pour toutes les catégories où l’échantillonnage multisite est autorisé, l’organisme de certification doit
augmenter la taille de l’échantillon ou mettre fin à l’échantillonnage des sites lorsque le SSDA n’indique
pas sa capacité à atteindre les résultats escomptés.
L’utilisation d’un échantillonnage multisite n’est pas autorisée pour les autres catégories identifiées
à l’Annexe A.
7.4.1.3.6 Lorsque l’échantillonnage multisite est autorisé, l’organisme de certification doit définir
et utiliser un programme d’échantillonnage afin de garantir un audit efficace du SSDA dans lequel les
conditions suivantes s’appliquent.
a) Un audit de la fonction centralisée concernant le SSDA doit être réalisé au moins une fois par an
par l’organisme de certification avant d’effectuer la majorité des audits des sites échantillonnés.
b) Des audits doivent être réalisés au moins une fois par an par l’organisme de certification sur le
nombre de sites échantillonnés requis.
c) Les constats d’audit issus des sites échantillonnés doivent être évalués pour déterminer s’ils
indiquent une défaillance globale du SSDA et s’ils peuvent donc être applicables à certains ou à tous
les autres sites.
d) Lorsque les constats d’audit issus des sites échantillonnés sont considérés comme étant indicatifs
de l’ensemble du SSDA, des actions correctives doivent être mises en œuvre en conséquence.
7.4.1.3.7 L’échantillon doit être en partie sélectif et en partie aléatoire, et doit permettre de
sélectionner un éventail représentatif des différents sites, en garantissant que tous les processus
couverts par le périmètre de la certification seront audités.
Au moins 25 % de l’échantillon doit être sélectionné de manière aléatoire. Le reste doit être sélectionné
de manière que les différences entre les sites choisis sur la période de validité de la certification soient
aussi grandes que possible.
La sélection des sites doit tenir compte, entre autres, des aspects suivants:
a) les résultats des audits internes, des revues de direction ou des audits précédents;
b) les enregistrements
...