Certification accréditée ou non : ce que l'accréditation COFRAC change pour vos clients

La certification porte sur votre organisation. Un organisme de certification audite votre système de management et atteste, par un certificat, qu’il répond aux exigences d’une norme comme ISO 9001 ou ISO/IEC 27001.

L’accréditation porte sur l’organisme de certification lui-même. Un organisme national d’accréditation évalue sa compétence, son impartialité et sa méthode, puis lui délivre une attestation limitée à une liste précise de normes et de domaines : la portée d’accréditation.

Le COFRAC ne certifie donc aucune entreprise. Il accrédite des organismes qui, eux, certifient. Quand un client vous demande un « certificat COFRAC », il demande en réalité un certificat délivré sous accréditation COFRAC, par un organisme dont la portée couvre la norme concernée.

Le règlement (CE) n° 765/2008 du 9 juillet 2008 impose à chaque État membre de désigner un organisme national d’accréditation unique. Cet organisme exerce une mission d’autorité publique, sans but lucratif, et ne fait pas concurrence aux organismes qu’il évalue. Les dispositions de ce règlement relatives à la surveillance du marché ont été remplacées par le règlement (UE) 2019/1020 ; celles qui portent sur l’accréditation restent en vigueur à la date de rédaction (novembre 2026).

En France, le décret n° 2008-1401 du 19 décembre 2008, pris en application de la loi de modernisation de l’économie, désigne le Comité français d’accréditation comme instance nationale d’accréditation. Le COFRAC est une association loi 1901. Son propre fonctionnement est évalué par ses pairs européens au regard de la norme ISO/IEC 17011.

Pour la certification de systèmes de management, le référentiel d’accréditation est ISO/IEC 17021-1, complété par des documents propres à chaque norme : ISO/IEC 17021-3 pour la qualité, ISO/IEC 17021-2 pour l’environnement, ISO/IEC 27006-1 pour la sécurité de l’information.

L’évaluation de l’accréditeur porte notamment sur :

• la compétence des auditeurs pour la norme et les secteurs d’activité audités ;
• la maîtrise des risques pour l’impartialité, dont l’interdiction de conseiller les organisations certifiées ;
• la méthode d’audit et le calcul des durées d’audit ;
• la décision de certification, prise par des personnes qui n’ont pas réalisé l’audit ;
• le traitement des plaintes et des appels.

L’accréditeur ne se limite pas aux procédures écrites. Il observe aussi des audits réalisés chez des clients de l’organisme (audits « en témoin »), puis surveille l’organisme tout au long du cycle d’accréditation.

Un organisme peut délivrer des certificats sans accréditation, ou hors de sa portée d’accréditation. Ces certificats ne portent pas la marque de l’accréditeur et ne bénéficient pas des accords de reconnaissance internationaux. Personne n’a vérifié, de façon indépendante, la manière dont l’audit a été mené.

Pour l’acheteur ou le donneur d’ordre qui reçoit votre certificat, l’accréditation apporte une preuve qu’il ne peut pas produire seul : la compétence et l’impartialité de l’auditeur ont été évaluées par un tiers public. C’est la raison pour laquelle de nombreux cahiers des charges exigent un certificat accrédité, comme on le voit dans les appels d’offres qui demandent ISO 27001.

Pour certains schémas, l’accréditation est rendue obligatoire par la réglementation. C’est le cas de la certification des hébergeurs de données de santé (HDS), des organismes d’évaluation de la conformité au titre du règlement eIDAS et de la qualification PASSI. Pour ISO 9001, ISO 14001 ou ISO 45001, elle reste volontaire, mais elle conditionne la reconnaissance du certificat par une grande partie des acheteurs.

L’accréditation conditionne aussi le transfert d’un certificat vers un autre organisme : les règles internationales de transfert ne s’appliquent qu’aux certificats accrédités.

Le COFRAC est signataire de l’accord multilatéral de la coopération européenne pour l’accréditation (EA MLA) pour la certification de systèmes de management. Un certificat délivré sous accréditation d’un autre accréditeur signataire des mêmes volets de cet accord est considéré comme équivalent, et inversement.

Au niveau mondial, la reconnaissance passait jusqu’en 2025 par l’accord de l’IAF (International Accreditation Forum). Depuis le 1er janvier 2026, l’IAF et l’ILAC ont laissé la place à une organisation unique, Global Accreditation Cooperation Incorporated (Global ACI). Les accréditeurs signataires de l’accord IAF qui l’ont rejointe sont devenus signataires de son accord de reconnaissance pour les mêmes domaines, et la marque IAF MLA reste utilisable pendant une période de transition.

Un certificat accrédité porte la marque du COFRAC, le numéro d’accréditation de l’organisme et la mention « Portée disponible sur www.cofrac.fr ». Ces éléments doivent figurer ensemble, sur la même page.

Trois vérifications sont possibles :

1. retrouver l’organisme dans la recherche des organismes accrédités sur cofrac.fr, par son nom ou son numéro ;
2. lire l’annexe technique de l’attestation : elle liste les normes, leur version et, pour ISO 9001, ISO 14001 ou ISO 45001, les secteurs d’activité couverts (codes EA/IAF) ;
3. contrôler auprès de l’organisme que le certificat est valide et que son périmètre correspond à l’activité qui vous intéresse.

Certi-Trust décrit la marche à suivre sur sa page vérifier la validité d’un certificat, et ses règles d’usage des marques sur la page utilisation des marques de certification.

Certi-Trust France est accrédité par le COFRAC sous le numéro 4-0612, selon ISO/IEC 17021-1, pour la certification de systèmes de management selon ISO/IEC 27001:2022, le référentiel HDS v2, ISO 9001:2015, ISO 14001:2015 et ISO 45001:2018.

Il est également accrédité par le COFRAC sous le numéro 5-0597, selon ISO/IEC 17065, pour l’évaluation des prestataires de services de confiance au titre du règlement eIDAS et pour le référentiel PASSI (versions 2.0 et 2.2).

La portée complète, secteurs compris, est consultable sur cofrac.fr et sur notre page accréditations et agréments. Pour savoir si votre activité entre dans cette portée, vous pouvez échanger avec un auditeur sur votre périmètre.

Le COFRAC délivre-t-il des certifications ISO ?
Non. Le COFRAC accrédite des organismes de certification, de laboratoire ou d’inspection. Les certificats ISO sont délivrés par les organismes de certification, sous accréditation lorsque la norme figure dans leur portée.

Une certification non accréditée a-t-elle une valeur ?
Elle atteste qu’un audit a eu lieu, mais la compétence et l’impartialité de l’organisme n’ont pas été évaluées par un accréditeur. Le certificat n’est pas couvert par les accords de reconnaissance et peut être refusé par un acheteur qui exige un certificat accrédité.

Un certificat accrédité par un organisme étranger est-il reconnu en France ?
Oui, si son accréditeur est signataire des mêmes volets de l’accord EA MLA que le COFRAC, ou de l’accord mondial de reconnaissance pour la même activité, et si le certificat porte bien la référence à l’accréditation.

L’accréditation d’un organisme couvre-t-elle toutes les normes qu’il certifie ?
Non. Elle est accordée norme par norme, et parfois secteur par secteur. Un organisme peut être accrédité pour ISO 9001 et délivrer d’autres certificats hors accréditation : seule l’annexe technique publiée sur cofrac.fr fait foi.