Préparer un audit IFS Food : les étapes, les exigences KO, l’audit inopiné et le plan d’actions

Ce que vérifie un audit IFS Food, et quand il peut avoir lieu

L’IFS Food est un référentiel privé qui certifie la sécurité et la qualité des produits d’un site de production. La version en vigueur au 2 novembre 2026 est la version 8, publiée en avril 2023 et rééditée en mars 2024 : les audits selon cette version sont obligatoires depuis le 1er janvier 2024. Elle est complétée par une doctrine, normative elle aussi, dont la version 5 date d’avril 2026. Les deux se téléchargent sur le site de l’IFS : ce sont eux qui font foi.

L’audit a lieu chaque année, pendant que les produits du périmètre sont fabriqués. Le référentiel décrit une approche « produits et procédés » : l’auditeur part d’échantillons de produits, passe la plus grande partie de son temps dans l’atelier (la moitié de l’audit, à titre indicatif), puis revoit documents et enregistrements en les recoupant avec ce qu’il a observé. Avant de venir, il relit le rapport et le plan d’actions de l’audit précédent et, quand c’est possible, consulte les portails publics de rappel de produits. Une procédure que personne n’applique ne protège donc de rien, et une action corrective promise l’an dernier et jamais faite se voit dès la première heure.

Un audit annoncé de recertification se programme entre huit semaines avant et deux semaines après la date anniversaire, calculée sur le dernier jour de l’audit initial. Un audit non annoncé a lieu sans préavis dans une fenêtre qui s’ouvre seize semaines avant cette date et se ferme deux semaines après, et toutes les exigences doivent être en place dès son ouverture. Depuis le 1er janvier 2021, un audit sur trois au moins est non annoncé : l’organisme de certification choisit l’année et prévient le site au moins six mois avant la date anniversaire ; le site qui a passé un tel audit porte le statut IFS Star. Au plus tard quatre semaines avant l’ouverture de la fenêtre, le site transmet à l’organisme :

• Le nom des personnes à contacter le jour où l’auditeur se présente.
• Si besoin, une période d’indisponibilité de dix jours opérationnels au plus, en trois périodes au maximum, et les périodes sans production.
• Pour une production saisonnière, les dates de la saison : l’audit peut alors avoir lieu à tout moment de la saison, sans période d’indisponibilité possible.

Les dix exigences KO de l’IFS Food version 8, et la notation

Chaque exigence reçoit une note : A pour une conformité totale (20 points), B pour une conformité presque totale (15 points), C quand une partie n’est pas en place (5 points), D quand l’exigence ne l’est pas (moins 20 points). Une non-conformité majeure, possible sur toute exigence standard en cas de manquement substantiel ou de perte de maîtrise d’un procédé, retire 15 % du total possible et bloque le certificat. Le résultat est un pourcentage : 95 % et plus pour le niveau supérieur, de 75 % à moins de 95 % pour le niveau de base, chacun valable douze mois.

Dix exigences, dites KO (knock out), se notent autrement : A, ou B (zéro point) pour un petit écart sans effet sur la sécurité des aliments, la légalité ou les exigences du client. La note C n’existe pas pour elles, et un D retire 50 % du total possible : le certificat ne peut pas être émis. Les KO 1, 3 et 5 à 10 ne peuvent jamais être déclarées non applicables. Ce qu’il faut pouvoir montrer pour chacune :

• KO 1 (exigence 1.2.1), gouvernance : les salariés connaissent leurs responsabilités en matière de sécurité et de qualité, et des mécanismes documentés vérifient l’efficacité de leurs actions.
• KO 2 (2.3.9.1), surveillance des CCP : pour chaque point critique, une méthode, une fréquence et des enregistrements qui démontrent qu’il est sous contrôle.
• KO 3 (3.2.2), hygiène personnelle : des règles comprises et appliquées par le personnel, les prestataires externes et les visiteurs.
• KO 4 (4.1.3), accords avec les clients : ce qui a été convenu sur la recette, les procédés, le conditionnement ou l’étiquetage est respecté.
• KO 5 (4.2.1.3), spécifications : à jour et conformes à la loi pour toutes les matières premières, emballages compris.
• KO 6 (4.12.1), corps étrangers : des procédures fondées sur les risques pour empêcher toute contamination.
• KO 7 (4.18.1), traçabilité : de la réception à la livraison, avec le lien entre lots de produits et lots de matières et d’emballages.
• KO 8 (5.1.1), audits internes : un programme qui couvre toutes les exigences du référentiel, planifié sur douze mois et réalisé en quinze mois au plus.
• KO 9 (5.9.1), rappels et incidents : une procédure qui attribue les responsabilités, nomme une personne joignable en permanence et prévoit la communication aux clients et aux autorités.
• KO 10 (5.11.3), actions correctives : formulées, documentées et mises en place au plus vite, avec des responsables et des délais.

Les étapes clés de la préparation, en partant de la date anniversaire

Dans une PME, la préparation repose souvent sur une ou deux personnes : l’écrire une fois, avec des dates, évite de la reconstruire chaque année. Pour un audit annoncé, le même calendrier vaut, recalé sur la date convenue.

• Six mois avant : confirmer avec l’organisme le type d’audit et le périmètre (produits, lignes, procédés saisonniers, activités sous-traitées), et vérifier que chaque action promise au dernier plan d’actions est en place.
• Cinq mois avant : faire l’audit blanc, puis ouvrir la liste des écarts, chacun avec un responsable, une échéance et la preuve attendue.
• Quatre semaines avant l’ouverture de la fenêtre d’un audit non annoncé : transmettre contacts, périodes d’indisponibilité ou dates de saison.
• À l’ouverture de la fenêtre : les écarts sont soldés ou portent une action datée, et les rendez-vous de l’année sont tenus (tests de traçabilité et de rappel, audits internes, revue de direction).
• Ensuite, en continu : les enregistrements du quotidien (surveillance des CCP, contrôles d’hygiène, nettoyage) restent à jour, parce que l’auditeur peut arriver un matin sans prévenir.

L’audit blanc : refaire le chemin de l’auditeur, pas relire les classeurs

Le référentiel prévoit un pré-audit facultatif avant l’audit initial ; il n’est pas enregistré dans la base de l’IFS, et l’audit qui suit est confié à un autre auditeur. Pour un site déjà certifié, l’audit blanc entre dans le programme d’audits internes, mené par des auditeurs compétents et indépendants des activités auditées : un consultant, ou une personne d’un autre service formée au référentiel.

Il n’est utile que mené comme l’auditeur : partir d’un produit fini (l’auditeur peut en acheter un dans le commerce), remonter aux lots de matières, observer l’atelier en production, demander aux opérateurs ce qu’ils font quand une mesure sort des limites, et seulement ensuite ouvrir les dossiers. Les écarts se notent sur la même échelle : c’est ce qui fait apparaître un D derrière un classeur bien tenu. Trois exigences se testent, et l’audit blanc doit les rejouer :

• La traçabilité : un test au moins tous les douze mois, bilan matière compris, ascendant et descendant ; la traçabilité du produit fini aux matières et aux clients s’obtient en quatre heures au plus, ou moins si le client l’exige.
• Le rappel : un test interne de la procédure de bout en bout, planifié sur douze mois et réalisé en quinze mois au plus.
• L’hygiène du personnel : une surveillance fondée sur les risques, au moins une fois tous les trois mois.

Classer les preuves exigence par exigence, sans oublier ce que la loi demande déjà

Le jour de l’audit, le temps se perd à chercher. La parade est un relevé tenu toute l’année, dans l’ordre des cinq chapitres du référentiel : une ligne par exigence, avec la procédure qui y répond, l’enregistrement qui le prouve (daté, signé, à jour), la personne qui en répond et l’état. Une bonne preuve montre ce qui a été fait, pas ce qui est prévu : le référentiel cite les enregistrements de formation, les procédures modifiées de façon traçable, les photos avant et après, et précise qu’une facture de réparation est une preuve, un devis non.

Une partie du relevé ne doit rien à l’IFS. Hors production primaire, tout établissement du secteur alimentaire tient un plan de maîtrise sanitaire : bonnes pratiques d’hygiène, procédures fondées sur les principes de l’HACCP (article 5 du règlement (CE) n° 852/2004), traçabilité et procédure de retrait et de rappel (articles 18 et 19 du règlement (CE) n° 178/2002), comme le rappelle la direction générale de l’alimentation. Ces obligations sont contrôlées par les services de l’État : le référentiel les reprend, il ne les remplace pas. Et pendant toute la certification, un rappel de produit, un retrait ordonné par les autorités ou une visite qui impose des mesures se signalent à l’organisme dans les trois jours ouvrés (exigence 1.2.6).

Après l’audit : le plan d’actions à rendre en quatre semaines

L’auditeur remet le plan d’actions au plus tard deux semaines après le dernier jour d’audit. Le site a ensuite quatre semaines pour le renvoyer complété : pour chaque déviation, chaque KO noté B et chaque non-conformité, la correction faite et sa preuve, l’action corrective proposée, son responsable et sa date. Les corrections sont prouvées dans ce délai ; les actions correctives peuvent aboutir plus tard, au plus tard avant l’audit de recertification. Le tout est traduit en anglais, et le certificat n’est émis qu’après validation des corrections.

Remplacer un joint usé est une correction ; comprendre pourquoi son usure n’a pas été vue, et changer le plan d’inspection, est une action corrective. Le référentiel demande aussi d’évaluer l’efficacité des actions et d’en garder la trace (exigence 5.11.4) : c’est ce que l’auditeur de l’année suivante viendra chercher.

Une seule non-conformité majeure, avec une note d’au moins 75 %, ouvre un audit complémentaire entre six semaines et six mois après ; levée, elle donne un certificat de niveau de base. Avec plus d’une non-conformité majeure, une KO notée D ou une note inférieure à 75 %, l’audit est échoué : pas de certificat, retrait de celui qui était en cours, et un nouvel audit initial six semaines au plus tôt après.

Tenir la préparation toute l’année avec un agent IA, et ce qu’il ne fait pas

Dans vOSagents, le service qualité a son agent, qui travaille sur les documents de l’entreprise. Le référentiel et la doctrine téléchargés, le plan de maîtrise sanitaire, les procédures, le dernier rapport et le dernier plan d’actions se déposent une fois dans les documents de référence du service. L’agent en tire le relevé des exigences, chapitre par chapitre : pour chacune, la procédure retrouvée et le passage cité, et celles pour lesquelles il ne trouve rien dans ce que vous lui avez confié. Le relevé sort en tableau téléchargeable en Excel ; une procédure à reprendre est réécrite dans votre forme, dans un document Word ou Google Docs de votre compte relié, après votre confirmation.

Chaque écart peut devenir une tâche dans l’application Attribuer une tâche : une échéance, la personne qui la porte, et la preuve attendue comme livrable. L’agent prépare les attributions, vous les confirmez, et une tâche planifiée peut relire chaque lundi les tâches confiées pour préparer le point des écarts ouverts. Après l’audit, il prépare un premier jet du plan d’actions depuis le fichier reçu de l’organisme, et sa traduction en anglais.

Le reste appartient au responsable qualité. L’agent ne décide d’aucune correction ni d’aucune note, et ne réalise pas le test de traçabilité : il ne lit ni vos enregistrements papier ni un logiciel de production qui n’est pas relié. Il n’envoie rien à l’organisme sans votre confirmation, et ne tient pas les versions de vos procédures, dont la maîtrise reste dans votre système documentaire. Un audit IFS évalue votre site, pas vos outils.