Certificazione HACCP

La certificazione HACCP, nel senso in cui viene richiesta, certifica un sistema di gestione, non un prodotto. L'HACCP è un metodo per identificare e controllare i pericoli per la sicurezza alimentare, codificato dal Codex Alimentarius nel CXC 1-1969 e recepito nella legge della maggior parte dei mercati: nell'Unione Europea con il Regolamento (CE) 852/2004, negli Stati Uniti con la regola sui controlli preventivi della FSMA. Nessuna autorità certifica un prodotto come conforme all'HACCP. Ciò che viene venduto come certificazione HACCP è la certificazione del suo sistema di gestione secondo uno schema che incorpora l'HACCP, cioè ISO 22000, FSSC 22000, BRCGS, IFS o SQF, e ciò che distributori e importatori specificano davvero è il riconoscimento GFSI, che la ISO 22000 da sola non ha.

L'HACCP è davvero una certificazione?

Ogni altra certificazione su questo sito si lega a un prodotto: un campione viene provato contro una norma, un fascicolo viene esaminato e un documento dice che quell'articolo può essere venduto in quel mercato. L'HACCP non fa nulla di tutto questo. Si lega a un sito e ai suoi processi, certifica come lei li gestisce, e non dice nulla sulla legalità di un singolo prodotto nella destinazione. Chi arriva aspettandosi un certificato di prodotto è chi scopre tardi che gli servono ancora registrazione, etichettatura e certificato sanitario, e che nessuno di questi è mai stato nel campo di applicazione.

Anche obbligo di legge e certificato sono due cose distinte. L'articolo 5 del Regolamento (CE) 852/2004 impone agli operatori del settore alimentare dell'Unione Europea di predisporre procedure basate sui principi HACCP, l'autocontrollo del linguaggio corrente, e in Italia la loro mancanza è sanzionata dal D.Lgs. 193/2007; nessuna delle due norme chiede a qualcuno di possedere un certificato. Negli Stati Uniti l'obbligo generale è la regola sui controlli preventivi del 21 CFR 117, non l'HACCP per nome, con regolamenti HACCP dedicati che sopravvivono per i prodotti ittici al 21 CFR 123 e per i succhi al 21 CFR 120, e con l'USDA FSIS che applica il proprio al 9 CFR 417 per carne e pollame. In tutti questi casi un ispettore le chiede di dimostrare il sistema. Nessuno le chiede di vedere un certificato.

Il certificato esiste perché lo chiedono i clienti. Un distributore non può ispezionare quattrocento fornitori, quindi delega il compito a un organismo di certificazione accreditato e scrive lo schema nel contratto di fornitura. Questo rende il certificato un requisito commerciale che poggia su un obbligo di legge, e i due possono essere soddisfatti e violati in modo indipendente.

Perché i sette principi non fanno un piano?

I principi del Codex sono: condurre l'analisi dei pericoli, determinare i punti critici di controllo, stabilire limiti critici validati, stabilire il monitoraggio, stabilire le azioni correttive, stabilire la verifica, stabilire documentazione e registrazioni. Ogni sito di consulenza li elenca. L'elenco dei sette è un indice, non un piano, e un auditor lo tratta come tale.

Ciò che il piano deve contenere è specifico del suo processo e non si può prendere in prestito. Quali pericoli sono ragionevolmente probabili nelle sue materie prime e nella disposizione del suo stabilimento. Perché una data fase è un punto critico di controllo e quella successiva no, con il ragionamento messo per iscritto. Qual è il limite critico e la sua base scientifica, che è la fase di validazione, quella più spesso del tutto assente. Con quale frequenza avviene il monitoraggio, da parte di chi, e che cosa fa chi lo esegue quando un limite viene superato. Chi verifica che il monitoraggio sia stato davvero eseguito, e ogni quanto l'intero piano viene riesaminato.

Un piano HACCP scaricato da un modello e rinominato cade alla seconda domanda. Gli auditor chiedono perché, non che cosa, e la risposta deve venire dalle persone che conoscono il processo.

Perché la maggior parte degli audit falliti cade sui programmi prerequisito?

L'HACCP presuppone che un ambiente operativo igienico esista già. Quell'ambiente sono i programmi prerequisito: pulizia e sanificazione, controllo degli infestanti, manutenzione e taratura, controllo di vetro e plastica rigida, gestione e segregazione degli allergeni, igiene e formazione del personale, potabilità dell'acqua, gestione dei rifiuti, qualifica dei fornitori, rintracciabilità e richiamo. Nella famiglia ISO sono specificati nella serie ISO/TS 22002; BRCGS, IFS e SQF li scrivono nelle proprie clausole.

I PRP sono il punto in cui cadono le non conformità, e c'è una ragione strutturale. L'analisi dei pericoli si scrive una volta, da persone che stanno attente. I programmi prerequisito devono essere eseguiti a ogni turno da tutti, e lasciano una traccia documentale che c'è o non c'è: un rapporto di disinfestazione con rilievi aperti da tre visite fa, certificati di taratura scaduti, un cambio allergeni senza tampone di verifica, un fornitore qualificato su un certificato scaduto l'anno scorso. L'audit li trova in un pomeriggio.

C'è un secondo effetto che vale la pena conoscere prima dell'analisi delle lacune. Programmi prerequisito deboli spingono il controllo verso l'alto, così pericoli che un PRP competente avrebbe gestito di routine finiscono designati come punti critici di controllo. Il piano porta allora più CCP del dovuto, ciascuno con limiti validati, monitoraggio e registrazioni, e il sito si è silenziosamente dato un sistema più pesante da far funzionare per sempre.

Chi rilascia il certificato e quanto tempo ci vuole?

Un organismo di certificazione, e solo uno accreditato secondo ISO/IEC 17021-1 per lo schema in questione da un ente nazionale di accreditamento, in Italia Accredia, e autorizzato dal proprietario dello schema dove lo schema lo richiede. Verifichi il campo di accreditamento sul registro dell'ente di accreditamento e non sul certificato: l'accreditamento si concede per schema e per settore, e un organismo accreditato per ISO 22000 non lo è automaticamente per BRCGS. Un certificato di un emittente non accreditato non è tanto sbagliato quanto non è la cosa che il suo cliente ha chiesto, e verrà respinto su quella base.

Un consulente non può rilasciarlo, e la stessa organizzazione non può insieme consigliare e certificare. La ISO/IEC 17021-1 vieta a un organismo di certificazione di fornire consulenza sui sistemi di gestione a un cliente che certifica e impone un periodo di attesa, di norma due anni, dopo qualsiasi lavoro di quel tipo. Gli schemi GFSI impongono la stessa separazione. Per questo la forma onesta di questo incarico è che noi costruiamo e proviamo il sistema e un organismo indipendente lo verifica, e chiunque offra di fare entrambe le cose le sta offrendo un certificato che il suo cliente può ignorare.

Dall'analisi delle lacune al certificato passano di norma da sei a dodici mesi, e il vincolo quasi mai è l'audit. L'analisi delle lacune richiede da una a due settimane. Scrivere il piano e chiudere le lacune nei PRP richiede da due a quattro mesi. Poi il sistema deve funzionare, perché un auditor campiona le registrazioni, e un sito non può presentare tre mesi di registrazioni di monitoraggio che tiene da tre settimane. Audit interno e riesame della direzione devono essere avvenuti almeno una volta prima che l'audit di certificazione sia anche solo prenotabile.

Dopo, il ciclo dipende dallo schema, e gli schemi differiscono davvero. ISO 22000 e FSSC 22000 rilasciano un certificato triennale con audit di sorveglianza annuali e ricertificazione completa al terzo anno, e FSSC richiede almeno un audit non annunciato per ciclo. BRCGS, IFS e SQF non funzionano così: ripetono l'audit completo ogni anno, e il certificato vale fino alla data del successivo audit e non per tre anni. Con BRCGS il grado ottenuto decide se quell'intervallo è di dodici mesi o di sei.

Quale schema le sta chiedendo davvero il suo cliente?

Il riconoscimento GFSI è ciò che un distributore intende quando dice che il certificato deve essere approvato GFSI, ed è la linea dalla parte sbagliata della quale cade la ISO 22000. Un sito già certificato ISO 22000 di norma passa a FSSC 22000 invece di ricominciare, perché FSSC costruisce su di essa. Tutti questi schemi hanno versioni che vengono riemesse ogni pochi anni: confermi l'edizione corrente prima di definire il campo di applicazione.