Un fournisseur envoie un PDF avec un logo et les mots « certifié ISO 9001:2015 ». Que ce PDF signifie quelque chose dépend de deux choses qu'il dit ou ne dit pas : qui l'a délivré, et qui accrédite l'émetteur. L'ISO, l'Organisation internationale de normalisation, écrit la norme et ne certifie personne ; elle ne tient aucun registre des entreprises certifiées, et un certificat portant le logo de l'ISO est un signal d'alerte plutôt qu'une preuve. La certification est faite par des organismes de certification, des sociétés privées, et la seule chose qui sépare un organisme de certification d'une société qui vend des PDF est l'accréditation par l'organisme national d'accréditation d'un État membre de l'UE, dont le règlement (CE) n° 765/2008 exige exactement un par État. Cet article est ce que montre un vrai certificat, les trois vérifications qui l'établissent, et les 27 registres contre lesquels vérifier.
Ce que montre un vrai certificat
L'ISO/IEC 17021-1, la norme à laquelle les organismes d'accréditation tiennent les organismes de certification, exige que le document de certification identifie le client et sa localisation, la norme et son édition, le périmètre de la certification, l'organisme de certification, les dates d'octroi et d'expiration, et une identification unique. Sur un certificat accrédité, la marque de l'organisme d'accréditation apparaît à côté de celle du certificateur, avec le numéro d'accréditation de celui-ci. Un certificat qui signifie quelque chose montre donc :
- Le nom de l'organisme certifié et les sites couverts.
- « ISO 9001:2015 », l'édition, pas « ISO 9001 » seul et jamais « ISO 9001:2008 », dont tous les certificats ont expiré en septembre 2018 à la fin de la transition.
- Un énoncé du périmètre en toutes lettres : ce que fait l'organisme et que le certificat couvre, par exemple « conception et support de logiciels de comptabilité », pas le nom de la société répété.
- Le nom de l'organisme de certification, et la marque de l'organisme d'accréditation avec un numéro d'accréditation.
- Les dates : une date de délivrance, une date d'expiration trois ans après la certification initiale, et souvent la date du cycle en cours ; la certification est un cycle de trois ans avec un audit de surveillance chaque année entre les deux.
- Un numéro de certificat que le certificateur peut retrouver.
Un certificat sans périmètre, sans marque d'accréditation ou sans édition n'est pas nécessairement faux, mais chacun de ces manques est une question à poser avant de s'y fier.
Trois vérifications en dix minutes
Le certificateur est accrédité, pour l'ISO 9001, par un organisme national d'accréditation. Prenez le nom du certificateur et l'organisme d'accréditation nommé sur le certificat, allez sur le registre de cet organisme, lié dans le tableau ci-dessous, et cherchez le certificateur. Le registre dit si l'accréditation est en cours, suspendue ou retirée, et pour quelles normes : l'accréditation pour l'ISO 9001 est distincte de l'accréditation pour l'ISO 27001 ou l'ISO 14001, et un organisme accrédité pour l'une ne l'est pas de ce fait pour une autre. Un certificateur qui ne figure dans aucun registre national n'est pas accrédité, quoi qu'en dise son site web.
Le certificat est en cours de validité. La plupart des certificateurs publient un annuaire des certificats qu'ils ont délivrés, consultable par nom de société ou numéro de certificat, et beaucoup les versent aussi dans IAF CertSearch, la base de données tenue par l'International Accreditation Forum, où un certificat peut être recherché tous certificateurs confondus. Un certificat que l'annuaire du certificateur lui-même ne montre pas, ou montre comme retiré ou suspendu, n'est pas un certificat sur lequel s'appuyer, et un certificat trois ans après sa date de délivrance sans recertification est caduc.
Le périmètre couvre ce que vous achetez. L'énoncé du périmètre est la limite du certificat : une société certifiée pour « fourniture de services de support informatique » n'est pas certifiée pour le logiciel qu'elle développe aussi, et un certificat pour un site n'en couvre pas un autre. Lisez le périmètre contre le contrat.
Si les trois vérifications passent, le certificat est authentique, valide et pertinent. Si le fournisseur ne peut pas nommer l'organisme d'accréditation, ne peut pas donner de numéro de certificat, ou explique que le certificateur est « reconnu internationalement » sans figurer dans aucun registre national, vous regardez un certificat non accrédité : identique à l'œil, environ 40 à 50 % moins cher à l'achat, et rejeté couramment par les acheteurs publics et les grandes entreprises, ce qui explique que le fournisseur qui en a acheté un en achète ensuite généralement un accrédité, au plein tarif, parce qu'un certificat non accrédité ne peut pas être transféré.
Les 27 registres
Un organisme par État membre, par ordre alphabétique, d'après l'annuaire des membres de l'EA ; chacun publie le registre des certificateurs qu'il accrédite, avec le périmètre. Vérifié contre l'annuaire de l'EA le 11 août 2026.
| Pays | Organisme d'accréditation | Registre |
|---|---|---|
| Allemagne | DAkkS, Deutsche Akkreditierungsstelle | dakks.de |
| Autriche | AA, Akkreditierung Austria | bmwet.gv.at/akkreditierung |
| Belgique | BELAC, Belgian Accreditation Council | belac.fgov.be |
| Bulgarie | BAS, Bulgarian Accreditation Service | nab-bas.bg |
| Chypre | CYS-CYSAB, Cyprus Organization for the Promotion of Quality | www.gov.cy/meci-cysab/en/ |
| Croatie | HAA, Croatian Accreditation Agency | akreditacija.hr |
| Danemark | DANAK, Den Danske Akkrediteringsfond | english.danak.dk |
| Espagne | ENAC, Entidad Nacional de Acreditación | www.enac.es |
| Estonie | EAK, Estonian Accreditation Centre | eak.ee |
| Finlande | FINAS, Finnish Accreditation Service | finas.fi |
| France | COFRAC, Comité français d'accréditation | cofrac.fr |
| Grèce | ESYD, Hellenic Accreditation System | esyd.gr |
| Hongrie | NAH, National Accreditation Authority | nah.gov.hu |
| Irlande | INAB, Irish National Accreditation Board | inab.ie |
| Italie | ACCREDIA, Ente Italiano di Accreditamento | accredia.it |
| Lettonie | LATAK, Latvian National Accreditation Bureau | latak.gov.lv |
| Lituanie | LA, Lithuanian Accreditation and Standardization Agency | lasa.lrv.lt |
| Luxembourg | OLAS, Office Luxembourgeois d'Accréditation et de Surveillance | portail-qualite.public.lu |
| Malte | NAB-Malta, National Accreditation Board | nabmalta.org.mt |
| Pays-Bas | RvA, Raad voor Accreditatie | rva.nl |
| Pologne | PCA, Polskie Centrum Akredytacji | pca.gov.pl |
| Portugal | IPAC, Instituto Português de Acreditação | www.ipac.pt |
| Roumanie | RENAR, Romanian Accreditation Association | renar.ro |
| Slovaquie | SNAS, Slovak National Accreditation Service | snas.sk |
| Slovénie | SA, Slovenian Accreditation | slo-akreditacija.si |
| Suède | SWEDAC, Swedish Board for Accreditation and Conformity Assessment | swedac.se |
| Tchéquie | CAI, Czech Accreditation Institute | cai.cz |
Vous n'avez pas besoin d'un certificateur dans votre propre pays
Un certificat d'un organisme accrédité par n'importe quel signataire de l'accord multilatéral de la European co-operation for Accreditation est reconnu chez tous, de sorte qu'un certificateur accrédité par le DAkkS vaut en Espagne un certificateur accrédité par l'ENAC, et un acheteur qui demande « un certificat national » demande quelque chose dont il n'a pas besoin. Hors d'Europe, l'équivalent est l'arrangement multilatéral de l'IAF. La seule chose qui ne voyage pas est le périmètre : vérifiez-le dans le registre de l'État qui a accrédité le certificateur, pas de l'État où se trouve le fournisseur.
Ce que cela a à voir avec nous
StandardOS ne délivre pas de certificats et ne le peut pas : l'ISO/IEC 17021-1 exige que le certificateur soit indépendant de quiconque a aidé l'organisme à se préparer, et la même séparation est la raison pour laquelle cette page vous envoie vers un registre plutôt que vers un partenaire. Ce que nous construisons est le système de management qu'un certificateur audite, pour l'ISO 9001 sous forme de registre de paragraphes et pour l'ISO 27001, et les enregistrements qu'il produit portent une empreinte que n'importe qui peut vérifier sans nous. Les vérifications équivalentes pour un certificat ISO 27001, avec les mêmes registres, sont sur la page des organismes de certification ; pourquoi un acheteur demande le certificat, pays par pays, est dans le décompte des appels d'offres de l'UE citant l'ISO 9001.
Sources
- Règlement (CE) n° 765/2008, article 4, un organisme national d'accréditation par État membre.
- ISO/IEC 17021-1:2015, les exigences pour les organismes certifiant des systèmes de management, pour le contenu des documents de certification, le cycle de trois ans et l'exigence d'indépendance, citée par numéro ; le texte est celui de l'ISO.
- La European co-operation for Accreditation, annuaire des membres et signataires du MLA, lu le 11 août 2026.
- IAF CertSearch, la base de données de certificats de l'International Accreditation Forum.
Ceci n'est pas un conseil en achats ni un avis juridique. Une entrée de registre lue aujourd'hui est le fait d'aujourd'hui ; relisez-la avant de signer.