Général7 min de lecture
Comment vérifier l'authenticité d'un certificat ISO
Un certificat ISO authentique se vérifie en quelques minutes: émetteur, numéro, périmètre, dates et page de vérification. Voici la méthode.
Par Michael Schwarz, Auditeur principal ISO 9001 et 14001, SICE
Pour vérifier l'authenticité d'un certificat ISO, identifiez l'émetteur, puis contrôlez le numéro du certificat auprès de cet émetteur, et non sur le document seul. Comparez ensuite le périmètre, la norme et les dates avec ce que le fournisseur vous a annoncé.
Un PDF se copie en dix minutes. Un enregistrement dans un registre public tenu par l'émetteur ne se copie pas. C'est là que se joue la vérification.
Ce que dit un certificat ISO, et ce qu'il ne dit pas
L'ISO publie les normes. Elle ne délivre aucun certificat. Chaque certificat provient d'un organisme tiers, qui atteste qu'une organisation répond aux exigences d'une norme donnée, par exemple l'ISO 9001 pour le management de la qualité ou l'ISO 27001 pour la sécurité de l'information.
Un certificat porte sur un système de management, pas sur un produit. Un fournisseur qui écrit « produit certifié ISO 9001 » mélange les deux. La formulation exacte compte: c'est l'entreprise, ou une partie de l'entreprise, qui est certifiée, pour un périmètre défini.
Les éléments à trouver sur un certificat authentique
Un certificat sérieux contient des informations qui permettent de le retrouver. Si l'une d'elles manque, la vérification devient impossible, et c'est déjà un signal.
- Le nom exact de l'organisation certifiée, avec son adresse. Il doit correspondre à l'entité qui vous livre ou qui signe le contrat.
- La norme et son millésime, par exemple ISO 9001:2015.
- Le périmètre: les activités, les sites et les services couverts.
- Le numéro du certificat, unique, que l'émetteur peut retrouver dans ses dossiers.
- La date d'émission et la date d'expiration, ou la durée de validité.
- L'identité de l'émetteur, avec ses coordonnées.
- Un moyen de vérification: QR code, adresse web ou numéro de contrôle.
Un certificat qui affiche seulement un logo ISO et une mention « certifié » n'est pas exploitable. Demandez le document complet.
Les étapes de vérification, dans l'ordre
1. Identifier l'émetteur
Lisez qui a délivré le certificat. Cherchez le nom de l'émetteur par vous-même, sans suivre le lien fourni sur le document. Vérifiez qu'il existe, qu'il a un site propre, une adresse, un registre du commerce lisible. Un nom qui ressemble à celui d'un organisme connu sans être le même mérite une seconde lecture.
2. Retrouver le numéro dans le registre de l'émetteur
C'est l'étape décisive. Un émetteur fiable publie un moyen de contrôler un numéro: une page de vérification, un registre, ou à défaut une adresse de contact qui répond. Saisissez le numéro. La page doit afficher la même organisation, la même norme et les mêmes dates que le PDF.
Si le QR code figure sur le document, scannez-le, mais regardez dans la barre d'adresse où il mène. Le domaine doit être celui de l'émetteur. Une page qui imite le design d'un registre sur un autre domaine ne prouve rien.
3. Comparer le périmètre avec votre besoin
Un certificat authentique peut quand même ne pas couvrir ce que vous achetez. Une entreprise certifiée pour son site de production n'est pas forcément certifiée pour son service de développement. Lisez le périmètre mot à mot et comparez-le avec la prestation que vous commandez ou avec la question de votre questionnaire fournisseur.
4. Contrôler les dates et le statut
Regardez la date d'expiration, mais aussi les conditions de maintien. Certains certificats exigent une confirmation périodique. Le registre de l'émetteur doit indiquer si le certificat est actif, suspendu ou retiré. Un PDF vieux de deux ans peut décrire un état qui n'existe plus.
5. Demander une confirmation écrite en cas de doute
Écrivez à l'émetteur, avec le numéro du certificat et le nom de l'organisation. Une réponse écrite de sa part vaut plus que n'importe quel document transmis par le fournisseur. Un émetteur sérieux répond à ce type de demande, c'est même sa fonction.
Les signaux d'alerte
Certains indices reviennent dans les certificats douteux.
- Aucun numéro, ou un numéro que l'émetteur ne retrouve pas.
- Un émetteur introuvable en dehors du document, sans adresse ni site propre.
- Un QR code ou un lien qui mène vers un domaine sans rapport avec l'émetteur.
- Un périmètre vague, du genre « toutes activités de l'entreprise », alors que l'organisation a plusieurs sites.
- Un nom d'entreprise légèrement différent de celui du contrat.
- Une norme citée avec un millésime qui n'existe pas.
- Un document sans date, ou dont la date d'expiration est dépassée.
- Une capture d'écran à la place du document original.
Un seul de ces points ne prouve pas une falsification. Il justifie une demande de précision avant de signer.
Lire un certificat issu d'une auto-évaluation en ligne
Tous les certificats ne naissent pas d'un audit sur site. Certains reposent sur une auto-évaluation en ligne, relue par un évaluateur avant l'émission. La logique de vérification reste la même: émetteur identifiable, numéro, périmètre, dates, page de contrôle publique. Ce qui change, c'est la manière dont l'organisation a démontré sa conformité. Vous trouverez le détail de cette différence dans notre guide sur la certification ISO sans audit.
Pour un acheteur, la question utile est donc double. Le certificat est-il authentique, et correspond-il au niveau de preuve que son cahier des charges demande? Certains appels d'offres exigent explicitement un audit sur site, d'autres demandent simplement un certificat vérifiable. Lisez l'exigence avant de juger le document.
Liste de contrôle avant d'accepter un certificat
Le dernier point est souvent oublié. Lors d'un audit client, on vous demandera comment vous avez contrôlé vos fournisseurs. Une capture datée de la page de vérification répond à la question.
Comment Zertify s'inscrit dans cette logique
Si vous êtes de l'autre côté, c'est-à-dire que vous devez présenter un certificat à vos clients, la vérifiabilité fait partie de ce que vous livrez. Zertify délivre des certificats ISO à partir d'une auto-évaluation en ligne, sans audit sur site. Le certificat est émis par G6 Agency AG sous licence de SICE (Swiss Institute of Certification and Education), et un membre du SICE Certification Board relit chaque évaluation avant l'émission. Une fois l'évaluation réussie et le paiement effectué, le certificat arrive sous 4 heures.
Le PDF porte un QR code qui mène vers une page de vérification publique. Votre client ou votre service des achats y retrouve l'organisation, la norme, le périmètre et les dates, sans rien vous demander. Le certificat est valable trois ans et se confirme chaque année par un court ré-audit en ligne, inclus dans un abonnement annuel.
La liste des normes disponibles figure sur la page des normes. Les conditions financières sont détaillées dans les tarifs. Pour une PME qui se demande si la démarche est adaptée à sa taille, le guide sur la certification ISO pour les PME pose les bases. Pour démarrer, l'évaluation commence en ligne, sans rendez-vous.
Que faire si le certificat se révèle faux
Ne concluez pas à la fraude trop vite. Une erreur de saisie, un changement de raison sociale ou un certificat renouvelé sous un autre numéro expliquent bien des écarts. Demandez d'abord une explication écrite au fournisseur, puis une confirmation à l'émetteur.
Si l'émetteur ne reconnaît pas le certificat, suspendez la relation contractuelle pour ce qui dépend de cette certification, conservez tous les documents reçus et informez votre service juridique. Selon le contexte, un certificat falsifié peut avoir des conséquences pénales pour celui qui l'a produit. Cette appréciation relève d'un juriste, pas d'un guide de vérification.
Dans un appel d'offres, signalez le problème à l'entité adjudicatrice selon la procédure prévue. Ne le réglez pas par un échange informel avec le soumissionnaire.
Intégrer la vérification dans vos achats
Le contrôle ponctuel suffit rarement. Ajoutez une ligne à votre questionnaire fournisseur: « Merci d'indiquer le numéro du certificat et le lien vers la page de vérification de l'émetteur. » Cela économise un échange à chaque dossier et décourage les documents invérifiables.
Fixez aussi un rythme. Un contrôle à l'entrée de la relation, puis un contrôle à chaque renouvellement de contrat, suffit pour la plupart des PME. Notez la date dans votre fiche fournisseur.
Questions fréquentes
Où vérifier un certificat ISO gratuitement?
Auprès de l'émetteur du certificat. Il publie en général une page de vérification ou un registre où l'on saisit le numéro du certificat. Cherchez l'adresse de cette page vous-même plutôt que de suivre un lien indiqué sur le document.
L'ISO peut-elle confirmer qu'un certificat est authentique?
Non. L'ISO publie les normes mais ne délivre pas de certificats et ne tient pas de registre des entreprises certifiées. Seul l'émetteur du certificat peut confirmer qu'il l'a bien délivré.
Un QR code sur le PDF suffit-il comme preuve?
Non, il facilite le contrôle, mais il faut vérifier où il mène. Le domaine doit être celui de l'émetteur, et les données affichées (organisation, norme, périmètre, dates) doivent correspondre au document.
Que signifie un périmètre de certification?
C'est la liste des activités, des sites et des services que le certificat couvre. Une entreprise peut être certifiée pour une partie seulement de son activité. Comparez toujours le périmètre avec la prestation que vous achetez.
À quelle fréquence contrôler un certificat fournisseur?
À l'entrée en relation, puis à chaque renouvellement de contrat ou à chaque échéance du certificat. Conservez une capture datée de la page de vérification dans le dossier fournisseur.
