Ce qu'un audit d'usine OEM vérifie réellement : ISO 22716, GMPC et les règles GMP derrière chaque marché

Au cours d'un audit, ce qui échoue rarement est le laboratoire, ce sont les enregistrements

Un auditeur n'entre pas dans une usine cosmétique en s'attendant à voir des sols impeccables. Ce qu'il attend, ce sont des preuves : que le procédé qui a produit votre lot a aussi produit le lot précédent et celui d'après. L'ISO 22716:2007 est la norme sur laquelle reposent la plupart des audits – et elle reste la version en vigueur. L'ISO/TC 217 l'a révisée en décembre 2022 et confirmé qu'elle demeure valide. Il n'existe pas d'ISO 22716:2026. Si un fournisseur affirme qu'une version plus récente existe, demandez-lui quelle clause a changé et pourquoi. Dans le réseau QuickOEM, toutes les usines sont évaluées sur cette même référence, et les numéros de certificat sont vérifiés sur le registre public de l'organisme certificateur émetteur avant qu'un site soit référencé. La suite de cet article est la liste de contrôle que nous appliquerions en tant qu'acheteur.

L'ISO 22716 est une norme de procédé, pas une norme de produit

Elle ne dit rien sur l'efficacité réelle de votre sérum. Elle dit beaucoup sur la capacité de l'usine à prouver qu'elle a fabriqué ce qu'elle affirme avoir fabriqué, de façon constante, et à le prouver encore trois ans plus tard quand une autorité demande. La norme s'organise autour d'un petit nombre de systèmes, et l'auditeur teste chacun sur pièces, pas sur des entretiens.

• Management de la qualité – responsabilités documentées, allocation des ressources, revue de direction, programmes d'audit interne avec de vrais constats et de vrais suivis.
• Locaux et équipements – traitement de l'eau et sa validation, traitement d'air pour les classes concernées, enregistrements de nettoyage et de désinfection, journaux d'étalonnage.
• Production et contrôle – bornes de lot, contrôles en cours de fabrication, réconciliation des poids et volumes, contrôles de rendement, monitoring environnemental lorsque la forme galénique l'exige.
• Contrôle qualité – le laboratoire qui libère réellement les lots, les échantillons de rétention, les données de stabilité et la gestion des matières hors spécification.
• Réclamations, écarts, maîtrise des changements et rappel – les quatre domaines où les usines perdent le plus de points, précisément parce qu'ils ne s'improvissent pas le jour de l'audit.

Union européenne : les BPF sont une obligation légale et le PIF doit l'attester

L'article 8 du règlement (CE) n° 1223/2009 impose que les produits cosmétiques soient fabriqués conformément aux bonnes pratiques de fabrication. L'article 11 exige ensuite que le fichier d'informations produit comporte une déclaration selon laquelle le produit a été développé et fabriqué conformément aux BPF, et que le PIF soit conservé au moins 10 ans. Cette seule phrase explique pourquoi une usine orientée vers l'UE tient un ensemble documentaire fondamentalement différent d'une usine qui ne vend qu'au niveau national. Elle explique aussi pourquoi notre réponse « nous avons les BPF » est une phrase incomplète : la déclaration doit accompagner un site précis, une catégorie de produit précise et un détenteur de PIF précis. Si le PIF d'une crème a été validé par un site qui ne fabrique pas de crèmes, le dossier ne soutient pas la mention.

Ce que recouvre l'attente BPF, marché par marché

La référence varie selon la destination. Une usine à l'aise avec deux régimes l'est rarement avec tous ; c'est précisément la question à poser avant de passer commande.

• Espace européen – les BPF sont obligatoires au titre du (CE) 1223/2009, et l'autorité compétente peut auditer votre entreprise ou votre usine directement. Notification via le CPNP ; conservation du PIF pendant 10 ans.
• États-Unis – la MoCRA a autorisé la FDA à édicter sa propre règle GMP, mais aucune version finale n'a été publiée fin 2026. En pratique, l'ISO 22716 sert de référence. L'enregistrement d'établissement se renouvelle tous les deux ans, les effets indésirables graves sont à déclarer sous 15 jours ouvrés à compter de la connaissance du fait, et la FDA dispose d'un pouvoir de rappel obligatoire.
• Chine – la réglementation GMP cosmétique s'applique depuis le 1er janvier 2022. Pour l'échelle : les données industrielles de fin 2024 recensaient 5 935 entreprises de production de cosmétiques sur l'ensemble du pays ; ce chiffre concerne la profession dans son ensemble, pas une liste de fournisseurs audités. Retenez-le comme contexte de finesse de l'offre certifiée.
• Royaume-Uni – l'SCPN n'est pas un miroir du CPNP européen. La route d'enregistrement, le contenu du PIF et l'autorité compétente ne franchissent pas la frontière, et le PIF doit être tenu en anglais au moins 10 ans.
• Indonésie (BPOM) – Une notification doit porter un numéro NA valide et un détenteur local de la notification est obligatoire. Les preuves BPF sont examinées en phase d'enregistrement : le dossier que vous gardez doit correspondre à celui que vous déposez.
• Arabie saoudite – La conformité est vérifiée lot par lot via SFDA, GHAD et FASEH. Le parcours se documente plutôt qu'il ne se calcule en calendrier : évitez d'annoncer un nombre fixe de jours ouvrés dans votre dossier.
• Australie – Il n'existe pas d'enregistrement préalable de mise sur le marché pour les cosmétiques, mais vous devez vous enregistrer en tant qu'AICIS introducer et conserver les documents au moins cinq ans. Les protections solaires sont des produits thérapeutiques TGA et obéissent à des obligations distinctes.

L'ISO 9001 ne vous sauvera pas

Un certificat de système de qualité atteste qu'une entreprise applique un système de management documenté. Il n'atteste pas que ce système couvre les risques propres aux cosmétiques, comme le test de challenge d'efficacité conservante, les limites microbiologiques, la stabilité, la maîtrise de la contamination ou le contenu de l'information produit. Les autorités n'acceptent pas l'ISO 9001 comme substitut des BPF cosmétiques, et un auditeur qui a mené une dizaine d'inspections encore moins. La prudence inverse pèse tout autant : détenir un certificat ISO 22716 ne vous dit rien de l'état de l'usine ce matin. Une certification décrit le moment de la certification. Seul un audit sur site – ou un audit à distance documenté mené selon une liste ISO 22716 – décrit aujourd'hui.

GMPC chinois et ISO 22716 ne sont pas le même instrument juridique

Les deux s'appellent BPF, mais ce ne sont pas les mêmes textes. La réglementation chinoise est un droit national avec sa propre voie d'inspection et de sanction ; l'ISO 22716 est une norme de consensus internationale, adoptée par les clients et utilisée par les autorités comme référence. Une usine peut détenir les deux certificats et présenter néanmoins des lacunes dans le régime que ses clients ne vous demandent jamais. C'est pourquoi nous demandons les deux jeux de documents et vérifions que le périmètre correspond au site et au type de formulation. Un établissement certifié ISO 22716 pour des cosmétiques courants peut avoir des contrôles entièrement différents pour une émulsion non rincée, un sérum ou une protection solaire – vérifiez donc par forme galénique, et non par entreprise.

Les cinq enregistrements qui tranchent

Si vous ne retenez que cinq choses dans cet article, retenez ceux-ci. Les auditeurs sont formés pour remonter un enregistrement à rebours, pas pour admirer une installation.

• Bornes de lot qui se réconcilient – poids d'entrée, rendement et consommation d'emballage comparés aux quantités réellement expédiées, chaque manque expliqué.
• Journal des écarts et de maîtrise des changements indiquant qui a validé un changement, quand, et sur la base de quelle évaluation de risque. Les écarts ouverts ou éludés sont la constatation la plus fréquente.
• Échantillons de rétention conservés pendant la durée définie et correctement identifiés, afin qu'un lot de trois ans reste testable.
• Dossiers de réclamations et de rappel, y compris la preuve d'un exercice de rappel. Beaucoup d'usines ont une politique sur l'étagère et aucune trace d'avoir jamais pratiqué.
• Documents de formation et de qualification des personnes qui touchent le produit, en particulier aux étapes aseptiques ou à risque élevé.

Vérifier un certificat en une quinzaine de minutes

Les numéros de certificat sont publics par conception. Utilisez cela plutôt que le PDF du dossier commercial du fournisseur.

• Vérifiez le numéro sur le registre public de l'organisme certificateur émetteur, pas dans un document transmis par le fournisseur.
• Confirmez le périmètre : l'adresse du site et les formes galéniques doivent couvrir ce que vous achetez. Un certificat de groupe couvrant plusieurs entités légales n'est pas une garantie d'un site unique.
• Confirmez les dates : certification initiale, échéance actuelle et cycle d'audit. Un certificat expiré sans perspective de renouvellement est pire qu'un certificat inexistant.
• Confirmez la langue du périmètre pour les sites chinois. De nombreux certificats portent un périmètre en langue chinoise qui ne nomme pas les catégories de produits nécessaires.
• Demandez le dernier rapport d'audit plutôt que le certificat seul. La page des constats et des actions correctrices est là qu'une usine faible se trahit.

Faire de l'audit une décision d'achat

Un audit n'est pas un événement réussi ou raté. C'est un ensemble de risques que vous acceptez, intégrez au coût unitaire, ou fermez par des clauses contractuelles avant la première expédition. La plupart des marques sur-investissent dans l'outil productif et sous-investissent dans la paperasse qui provoque réellement un rappel. Les corrections les moins chères doivent être demandées en amont : un détenteur de PIF nommé, un plan de prélèvement de rétention, une filière de réclamation écrite vers l'usine et un engagement de réponse sur les données de lot sous 48 heures. Chez QuickOEM, l'accès côté marque est gratuit et les devis d'usine arrivent directement, sans marge ajoutée. Indiquez-nous vos marchés cibles et nous ne vous proposerons que les usines dont le périmètre de certification les couvre.