ISO 18788, ISO 9001, ICoCA et les Principes volontaires : un guide pour les acheteurs

Quatre référentiels, quatre réalités différentes

Les appels d'offres de sécurité demandent souvent aux soumissionnaires de lister leurs "certifications". Les réponses mélangent normes de système de management, adhésions associatives et principes volontaires comme s'ils étaient équivalents. Ce n'est pas le cas, et un acheteur qui comprend ces différences peut poser des questions bien plus pertinentes.

En résumé : l'ISO 9001 et l'ISO 18788 sont des normes de système de management au titre desquelles un prestataire peut être certifié par un organisme de certification indépendant. L'ICoCA est une association qui supervise un code de conduite international destiné aux prestataires de sécurité privée. Les Principes volontaires constituent un cadre en matière de droits humains pour les entreprises gérant des opérations de sécurité, généralement dans les secteurs extractifs et d'autres secteurs à haut risque.

Aucun de ces référentiels ne remplace une vérification au niveau du site. Un certificat montre qu'un système de management existait et a été audité à un instant donné, dans un périmètre défini. Il ne prouve pas que l'agent de votre équipe de nuit a été formé, reposé et correctement briefé. Les acheteurs doivent considérer la certification comme un élément de preuve qui vient appuyer, sans la remplacer, leur propre diligence raisonnable et leurs propres audits.

ISO 9001 : le management de la qualité

L'ISO 9001 fixe les exigences d'un système de management de la qualité et s'applique à tout secteur. Une nouvelle édition, l'ISO 9001:2026, a été publiée le 16 septembre 2026, remplaçant l'ISO 9001:2015. L'ISO décrit un accent renforcé sur le leadership, une culture de la qualité et du comportement éthique, ainsi qu'un traitement plus clair des risques et des opportunités.

Les organisations certifiées selon l'édition 2015 basculeront vers la nouvelle édition au cours d'une période de transition ; confirmez les modalités et les échéances exactes auprès de l'organisme de certification concerné. Pour un acheteur, l'ISO 9001 montre que les processus sont documentés, audités et améliorés. Elle en dit peu sur les enjeux spécifiques à la sécurité tels que l'usage de la force ou les droits humains.

Portez attention au périmètre. Un groupe peut détenir l'ISO 9001 pour un siège social ou une seule ligne d'activité, alors que ses opérations de gardiennage dans un autre pays sont hors du périmètre du certificat. Lisez toujours la déclaration de périmètre figurant sur le certificat lui-même.

ISO 18788 : le management des opérations de sécurité privée

L'ISO 18788:2015, "Système de management des opérations de sécurité privée", est la norme spécifique à la sécurité. Elle fournit un cadre pour établir, exploiter, surveiller, revoir, maintenir et améliorer la gestion des opérations de sécurité, et traite des besoins du client, de la conformité légale et du respect des droits humains. Elle a été confirmée en 2021 et modifiée en 2024 pour y intégrer des évolutions liées à l'action climatique.

Pour les acheteurs, c'est la norme de management la plus directement pertinente pour les services de gardiennage et de protection. C'est également l'une des normes que l'ICoCA reconnaît comme base de sa propre certification des services de sécurité terrestre.

Lorsqu'un prestataire revendique l'ISO 18788, demandez comment la norme est appliquée en pratique : comment les risques sont évalués pour chaque site, comment les règles d'usage de la force sont fixées et enseignées, comment les incidents et réclamations sont enregistrés et instruits, et comment les enseignements tirés alimentent les procédures. Ce sont les domaines où la norme apporte le plus de valeur par rapport à un certificat qualité généraliste.

L'ICoCA et les Principes volontaires

L'International Code of Conduct Association (ICoCA), basée à Genève, est une initiative multipartite créée en 2013 pour superviser le Code de conduite international pour les prestataires de services de sécurité privée. Ses membres proviennent de trois piliers : gouvernements, entreprises de sécurité privée et organisations de la société civile. Ses activités comprennent la certification, le suivi, le renforcement des capacités et le traitement des réclamations.

La certification ICoCA n'est pas un audit autonome. Une entreprise doit d'abord détenir une certification externe à une norme reconnue par l'ICoCA (PSC.1 ou ISO 18788 pour les services terrestres, ISO 28007 pour le maritime), délivrée par un organisme de certification accepté, avant de pouvoir déposer sa candidature.

Les Principes volontaires sur la sécurité et les droits de l'homme, créés en 2000, guident les entreprises dans la conduite des opérations de sécurité tout en respectant les droits humains. Ils couvrent l'évaluation des risques et les relations avec les forces de sécurité publiques et privées, et sont promus par une initiative tripartite réunissant gouvernements, entreprises et ONG. Un prestataire de sécurité n'est pas "certifié" au titre des Principes volontaires ; ce sont plutôt les clients qui les ont adoptés qui attendent de leurs prestataires qu'ils en soutiennent la mise en œuvre.

Pour les acheteurs en dehors du secteur extractif, les Principes volontaires demeurent une référence utile. Leur initiative souligne qu'ils s'appliquent désormais à des secteurs tels que l'énergie, l'agriculture, les infrastructures et l'industrie manufacturière, et leur accent sur l'évaluation des risques et sur des règles claires pour les prestataires de sécurité se transpose bien aux grands sites industriels et logistiques.

Quelles questions poser à un prestataire

L'ISO elle-même ne certifie pas les entreprises et ne délivre pas de certificats : la certification est assurée par des organismes indépendants, idéalement accrédités. Utilisez les questions suivantes pour tester toute revendication.

• Quelle norme et quelle édition, quel organisme de certification, quel numéro de certificat et quelle date d'expiration ?
• L'organisme de certification est-il accrédité, et par qui ? (L'accréditation peut être vérifiée auprès des organismes nationaux d'accréditation ou via IAF CertSearch.)
• Quel est le périmètre du certificat : quelles entités juridiques, quels pays, quels sites et quels services ?
• Pour l'ICoCA : quel est le statut exact de l'entreprise (catégorie de membre ou membre certifié) ?
• Pour les Principes volontaires : comment le prestataire soutient-il la mise en œuvre du client (formation, signalement des incidents, règles d'usage de la force) ?
• Le prestataire peut-il communiquer la dernière synthèse d'audit et l'état des actions correctives ?

L'approche d'IPN

IPN utilise ces référentiels comme socle commun lors de l'évaluation des futurs membres nationaux, et attend que les revendications de certification soient documentées avec numéros de certificat et périmètre. L'alliance étant en phase de fondation, le statut de certification varie selon les membres et doit être vérifié pays par pays.