Næsten enhver fødevareleverandør, du kontakter, sender dig en PDF inden for den første times samtale. Den bærer et logo, et certifikatnummer, en udløbsdato og ordene "ISO 22000:2018". De fleste købere arkiverer den, sætter et flueben i leverandørspørgeskemaet og går videre. Den vane er forståelig, og den er samtidig det enkeltstående svageste punkt i B2B-indkøbets due diligence, for et certifikat er en komprimeret erklæring om et ledelsessystem — og medmindre du ved, hvad der er blevet komprimeret, kan du ikke afgøre, om det dækker netop det produkt, du er ved at købe.
Denne guide pakker ISO 22000 ud i detaljer: hvad standarden forpligter et certificeret produktionssted til, hvordan den forholder sig til HACCP som metode, hvordan den placerer sig ved siden af detailhandelsdrevne ordninger som BRCGS og IFS Food, hvordan du læser de fire felter på et certifikat, der faktisk betyder noget, og — den del, leverandører sjældent selv nævner — hvad ISO 22000 ikke kan fortælle dig om den palle, der lander på dit lager. For det bredere landskab af fødevaresikkerheds- og produktionscertifikater, inklusive GMP-varianter og generelle verifikationsmetoder, er vores oversigt over ISO, HACCP og GMP fortsat det store kort; denne artikel er dybdedykket i én enkelt standard.
Hvad ISO 22000 faktisk er
ISO 22000 er en standard for ledelsessystemer for fødevaresikkerhed (FSMS) udgivet af International Organization for Standardization. Den nuværende udgave, ISO 22000:2018, gælder for enhver organisation i fødevarekæden — avlere, forarbejdningsvirksomheder, pakkerier, transportører, emballageproducenter, ingrediensleverandører — uanset størrelse og produkt.
Det definerende træk er, at der er tale om en standard for et ledelsessystem, bygget på den samme overordnede struktur som ISO 9001. Det betyder, at kravene ikke kun er tekniske hygiejneregler; de er organisatoriske forpligtelser. Et certificeret produktionssted har over for en tredjepartsauditor dokumenteret, at det driver følgende som beskrevet og evidensbaseret praksis:
- Kontekst og interessenter. Organisationen har identificeret de lovgivningsmæssige, kundemæssige og markedsmæssige krav, der gælder for den, og har afgrænset FSMS-omfanget derefter.
- Ledelse og fødevaresikkerhedspolitik. Topledelsen er ansvarlig for systemet — ikke kun kvalitetsafdelingen — og der findes et fødevaresikkerhedsteam med en navngiven leder.
- Planlægning omkring risiko. Risici og muligheder, der påvirker fødevaresikkerhedens performance, er identificeret, og der er knyttet målbare mål til dem.
- Grundforudsætninger (PRP'er). De fundamentale betingelser: bygnings- og udstyrsindretning, rengøring og sanitering, skadedyrsbekæmpelse, personlig hygiejne, vand- og luftkvalitet, affaldshåndtering, leverandørgodkendelse, allergenstyring.
- Fareanalyse. Biologiske, kemiske, fysiske og allergenrelaterede farer identificeret for hvert trin i hver proces og vurderet på alvorlighed og sandsynlighed.
- Styringsforanstaltninger opdelt i oPRP'er og CCP'er. Dette er standardens analytiske hjerte. Hver styringsforanstaltning klassificeres enten som et operationelt grundforudsætningsprogram eller som et kritisk styringspunkt, hver med definerede grænser, overvågning, korrektion og korrigerende handling.
- Sporbarhed og beredskab. Sporbarhed ét led tilbage og ét led frem plus en tilbagetræknings- og tilbagekaldelsesprocedure, der er blevet afprøvet — ikke blot nedskrevet.
- Verifikation, intern audit, ledelsens evaluering, forbedring. Dokumentation for, at systemet kontrollerer sig selv, og at fundene rent faktisk ændrer noget.
Ordet, man skal holde fast i, er dokumenteret. En auditor accepterer ikke et politikdokument som bevis for en politik. Auditoren beder om registreringer: overvågningslogs med datoer og initialer, afvigelsesrapporter med afslutning, kalibreringscertifikater, uddannelsesregistreringer og en tilbagekaldelsesøvelse med et massebalanceresultat.
ISO 22000 over for HACCP: et system over for en metode
Det er her, køberforvirringen samler sig, og leverandører udnytter lejlighedsvis tvetydigheden.
HACCP er en metode. Hazard Analysis and Critical Control Points er en struktureret tilgang med syv principper til at identificere farer og styre dem på definerede punkter i en proces. Den er internationalt kodificeret gennem Codex Alimentarius, og i Den Europæiske Union er fødevarevirksomhedsledere retligt forpligtede til at indføre procedurer baseret på HACCP-principper under hygiejnereglerne — en forpligtelse, der udspringer af den generelle fødevarelovgivning fastlagt i forordning (EF) nr. 178/2002 og de hygiejneforordninger, der bygger på den. HACCP er derfor ikke et konkurrenceparameter. Enhver lovlydig fødevarevirksomhed i EU har HACCP-procedurer, på samme måde som enhver gadelovlig bil har bremser.
ISO 22000 er et certificerbart ledelsessystem, der indeholder HACCP. Standarden tager HACCP-metoden og pakker den ind i grundforudsætninger, dokumenteret ledelsesansvar, intern audit, sporbarhed og løbende forbedring — og underkaster derefter hele konstruktionen tredjepartsaudit i en tilbagevendende cyklus.
Der findes også en tredje ting på markedet: et "HACCP-certifikat". De eksisterer, de er frivillige, og de udstedes af certificeringsorganer mod forskellige private ordninger eller direkte mod Codex-principperne. Deres værdi varierer enormt med udstederen. Et HACCP-certifikat fra et akkrediteret organ med en klar omfangserklæring er en reel, om end snævrere, sikkerhed. Et "HACCP-certifikat" uden ordningsnavn og uden akkrediteringsmærke fortæller dig næppe andet, end at nogen er blevet betalt for at trykke det.
Den praktiske regel for købere: spørger du en leverandør "har I HACCP?", inviterer du til et ja fra stort set alle. Spørger du "hvilket ledelsessystem for fødevaresikkerhed er I certificeret efter, af hvilket organ, under hvilken akkreditering, og må jeg se omfangserklæringen?", stiller du et spørgsmål, der sorterer leverandører inden for én e-mail.
ISO 22000 over for BRCGS, IFS Food og FSSC 22000
Disse præsenteres ofte som konkurrenter til ISO 22000. De forstås bedre som en anden kategori: detailhandelsdrevne ordninger, udviklet af eller til dagligvarehandlen for at standardisere leverandøraudits, og anerkendt under Global Food Safety Initiative (GFSI) benchmarking-processen.
ISO 22000 er ikke i sig selv GFSI-anerkendt. FSSC 22000 er ruten, der gør den til det: FSSC 22000 kombinerer ISO 22000 med sektorspecifikke specifikationer for grundforudsætninger (ISO/TS 22002-serien) og yderligere ordningskrav, og den pakke er GFSI-anerkendt.
Sondringen har en direkte kommerciel konsekvens. Er din slutkunde en europæisk dagligvarekæde, der placerer private label, vil dens leverandørgodkendelsespolitik med stor sandsynlighed navngive BRCGS, IFS Food eller FSSC 22000 specifikt, og ISO 22000 alene vil ikke opfylde den. Er du ingrediensindkøber, kosttilskudsbrand, drikkevareformulator, foodservice-distributør eller e-handelsbrand, er ISO 22000 plus solid partidokumentation ofte det rette og proportionale sikkerhedsniveau.
| Standard | Hvad det er | Typisk krævet af | Auditcyklus | GFSI-anerkendt |
|---|---|---|---|---|
| HACCP (Codex-principper) | En metode til farestyring, retligt obligatorisk i EU som procedure | Myndigheder; basiskrav for alle fødevarevirksomheder | Ikke relevant (myndighedskontrol) | Nej |
| HACCP-certifikat | Frivillig tredjepartscertificering mod en HACCP-ordning | Mindre købere, visse udbud | Normalt årlig | Nej |
| ISO 22000:2018 | Fuldt ledelsessystem for fødevaresikkerhed inklusive HACCP | Ingrediensindkøbere, B2B-producenter, distributører, eksportører | Treårig cyklus med årlig overvågning | Nej |
| FSSC 22000 | ISO 22000 + sektor-PRP-specifikation + ordningskrav | Producenter til GFSI-drevne kunder | Treårig cyklus med årlige (ofte uanmeldte) audits | Ja |
| BRCGS Food Safety | Detailhandelsudviklet standard, stærkt produkt- og sitefokuseret, karaktergivet | Britisk og international dagligvarehandel, private label | Årlig, med karakter (AA til D) | Ja |
| IFS Food | Detailhandelsudviklet standard fra tysk og fransk detailhandel | DACH- og fransk detailhandel, private label | Årlig, med score | Ja |
Læs den række, der matcher din kunde — ikke den række, din leverandør helst vil tale om. En leverandør med ISO 22000 er ikke "mindre sikker" end en med IFS Food; de er certificeret mod en systemstandard frem for en detailordning, og hvis din kanal ikke kræver detailordningen, ændrer det ingenting ved produktet at betale for en.
Sådan læser du et ISO 22000-certifikat
Fire felter afgør, om et certifikat er relevant for dit køb. Alt andet på siden er design.
1. Omfang (scope). Dette er feltet, der oftest gør et certifikat irrelevant for en given transaktion. Omfanget angiver, hvilke aktiviteter og hvilke produktkategorier FSMS-systemet dækker. "Produktion, pakning og opbevaring af tørret frugt og urtebotanicals" er et brugbart omfang. "Fødevaresikkerhedsledelse" uden produktreference er det ikke. Køber du en æterisk olie, og omfanget kun nævner forarbejdning af tørret frugt, dækker certifikatet ikke det, du køber — leverandøren kan stadig være en udmærket leverandør, men du er nødt til at vide, hvilke af deres aktiviteter der ligger inden for systemet, og hvilke der ligger uden for.
2. Adresse på produktionssted. Certificering knytter sig til produktionssteder, ikke til brands eller handelsselskaber. En koncern med flere lokationer kan have certificering for ét anlæg og ikke et andet; et handelsselskab kan have certificering for sit lager, mens produktionen foregår et helt andet sted. Kontrollér, at adressen på certifikatet er den adresse, hvor dine varer faktisk vil blive produceret. Når en leverandør udliciterer et procestrin — formaling, skæring, pakning, sterilisering — er den underleverandørs status et separat spørgsmål, og en seriøs leverandør besvarer det uden gnidninger.
3. Gyldighed og certifikatnummer. Notér udstedelsesdato, udløbsdato og certifikatnummer som tre separate fakta. Et certifikat inden for sit angivne gyldighedsvindue kan stadig være blevet suspenderet mellem to overvågningsaudits, og det er netop derfor, nummeret betyder noget: det er din opslagsnøgle i certificeringsorganets offentlige register.
4. Certificeringsorgan og akkreditering. Et certifikat er værd, hvad det udstedende organ er værd, og det udstedende organ er værd, hvad dets akkreditering er værd. Se efter akkrediteringsmærket fra et nationalt akkrediteringsorgan, der har underskrevet IAF Multilateral Recognition Arrangement — DANAK, UKAS, DAkkS, ACCREDIA, RvA, COFRAC, ANAB, TÜRKAK og tilsvarende. Et uakkrediteret certificeringsorgan er ikke automatisk svindel, men det står uden for den gensidige anerkendelseskæde, der giver certifikatet mening over for dine egne auditorer og kunder.
| Felt på certifikatet | Hvordan det gode ser ud | Hvad der bør udløse et spørgsmål |
|---|---|---|
| Standard og udgave | "ISO 22000:2018" | "ISO 22000" uden årstal eller en erstattet udgave |
| Omfang | Navngivne aktiviteter og navngivne produktkategorier | Generisk formulering; produktfamilier du ikke køber |
| Produktionssted | Fuld fysisk adresse på produktionsstedet | Kun hovedkontor- eller handelsadresse |
| Gyldighed | Udstedelses- og udløbsdato, inden for vinduet | Udløbet, eller udløb inden for dit produktionsvindue |
| Certifikatnummer | Til stede og søgbart i udstederens register | Fraværende, eller intet resultat i registret |
| Akkreditering | Akkrediteringsmærke fra IAF MLA-underskriver | Ingen henvisning til akkreditering overhovedet |
Selve verifikationen tager omkring ti minutter. Søg i certificeringsorganets onlinekatalog på certifikatnummeret eller firmanavnet, og bekræft, at omfang, produktionssted og udløb stemmer med den PDF, du har fået tilsendt. Uoverensstemmelser mellem registret og dokumentet er det stærkeste enkeltsignal, du får under leverandøronboarding.
Hvad ISO 22000 beviser — og hvad det ikke kan
ISO 22000 beviser, at et system fandtes og fungerede godt nok til at tilfredsstille en auditor på de dage, auditten fandt sted, på tværs af de aktiviteter, der er nævnt i omfanget. Det er reelt værdifuldt. Det er ikke det samme som en udtalelse om din forsendelse.
Konkret fortæller ISO 22000 dig ikke:
- Om dit parti levede op til specifikationen. Det er, hvad et parti-analysecertifikat er til. Vores guider om at læse en CoA for tørret frugt og om at fortolke testrapporter for botanicals gennemgår de parametre og metoder, der faktisk beskriver dine varer.
- Om råvarens oprindelse er, hvad du fik at vide. Certificering dækker processen; oprindelse er et spørgsmål om sporbarhed og dokumentation, som behandles i vores guide til EU-partisporing og sporbarhed.
- Om produktet bærer nogen bestemt egenskab. Økologisk status, halal- eller kosherstatus og fairtrade-påstande er separate certificeringer med separate omfang og separate registre. ISO 22000 siger intet om nogen af dem; se guiden til økologisk certificering og guiden til halal- og kosherindkøb for, hvordan de verificeres.
- Om leverandøren opfører sig ordentligt under kommercielt pres. Systemer certificerer. Adfærd under en dårlig høst, et prisspring eller en forsinket forsendelse afsløres af en prøveordre, et pilotkørsel og det første rigtige problem — ikke af en PDF. Vores artikel om bedste praksis for prøveordrer er skrevet netop omkring den testsekvens.
Den rigtige mentale model: certificering er et filter, ikke en beslutning. Det fjerner leverandører, der ikke kan dokumentere et system. Det vælger ikke blandt dem, der kan.
Byg din leverandørmappe op omkring certifikatet
En holdbar varemodtagelsesmappe for en ny B2B-leverandør indeholder som regel certifikatet plus fem ting omkring det:
- Registerskærmbilledet eller linket, der bekræfter, at certifikatet er aktivt, med datoen for din kontrol.
- Omfangserklæringen, gemt separat og holdt op mod de præcise produkter på din indkøbsordre.
- En nylig parti-CoA for et sammenligneligt parti, med testmetoderne navngivet — ikke kun resultaterne.
- Specifikationsarket, som du og leverandøren begge har underskrevet, inklusive de parametre, du vil afvise ud fra.
- Sporbarhedssvaret: hvad partikoden koder for, hvor langt tilbage leverandøren kan spore, og hvor hurtigt de kan fremlægge en massebalance, hvis du beder om det.
Kan en leverandør fremskaffe alle fem uden rykkere, er din risikoprofil allerede bedre end de fleste førstegangsordrer. Ankommer certifikatet øjeblikkeligt, mens de øvrige fire tager tre ugers rykkere, er selve det forhold et fund.
Arovela arbejder under ISO 22000, ISO 9001 og ISO 27001 — ledelse af fødevaresikkerhed, kvalitetsledelse og informationssikkerhedsledelse for den kommercielle side og dokumentationssiden af forretningen. Vi har ikke detailordninger som BRCGS eller IFS Food, og det siger vi direkte i stedet for at lade en køber opdage det, efter en specifikation er udarbejdet. Produktionen foregår på vores anlæg i Sındırgı, Balıkesir, med et distributionslager i Solingen, Tyskland, der betjener EU-kunder, og vi sender certifikatet, omfangserklæringen og partidokumentationen i samme svar — for de købere, vi ønsker os, er dem, der kontrollerer.
Ofte stillede spørgsmål
Er ISO 22000 obligatorisk for at eksportere fødevarer til EU?
Nej. Det obligatoriske er overholdelse af EU's fødevarelovgivning: HACCP-baserede procedurer, sporbarhed, hygiejnekrav, grænser for forurenende stoffer og restkoncentrationer samt korrekt mærkning. ISO 22000 er en frivillig certificering, der demonstrerer et styret system til at opfylde disse forpligtelser. Mange EU-importører kræver den kontraktligt, selvom ingen forordning gør det.
Min kunde kræver BRCGS. Kan en ISO 22000-leverandør stadig bruges?
Til detail-private label som regel ikke — kædens godkendelsespolitik navngiver ordningen. Til ingredienser, som du videreforarbejder i dit eget BRCGS-certificerede anlæg, kan det ofte lade sig gøre, fordi din egen certificering dækker det færdige produkt, og din leverandørgodkendelsesprocedure styrer indgående materiale. Tjek din ordnings krav til godkendte leverandører, før du udelukker en leverandør.
Hvordan kontrollerer jeg, om et certifikat er ægte?
Brug certifikatnummeret i det udstedende organs offentlige kunderegister, og bekræft derefter, at certificeringsorganet selv er akkrediteret af en IAF MLA-underskriver. Match tre felter mod PDF'en: virksomhedens juridiske navn, adressen på produktionsstedet og omfangsformuleringen. Afviger bare ét af de tre, så bed leverandøren forklare det, før du går videre.
Hvad er forskellen på en oPRP og en CCP?
Begge er styringsforanstaltninger. En CCP er et trin, hvor styring er afgørende for at forhindre eller eliminere en fødevaresikkerhedsfare, med en målbar kritisk grænse og overvågning, der muliggør øjeblikkelig korrektion — en metaldetektor eller en pasteurisør er typiske eksempler. En oPRP styrer en fare, men har ikke den slags enkeltstående målbare grænse med øjeblikkelig korrigerende handling; rengøring ved allergenskift er et almindeligt eksempel. ISO 22000 kræver, at leverandøren begrunder, hvilken klassifikation hver styringsforanstaltning har fået.
Hvor ofte bliver et certificeret produktionssted faktisk auditeret?
ISO 22000-certificering kører normalt i en treårig cyklus: en indledende certificeringsaudit, derefter overvågningsaudits, typisk årlige, og til sidst en recertificeringsaudit før udløb. Det betyder, at et certifikat kan være op til et år gammelt målt på den seneste kontrol på stedet. Det er et rimeligt spørgsmål at spørge en leverandør, hvornår deres seneste overvågningsaudit fandt sted, og om der stadig er åbne fund.
Få dokumenterne, før du binder dig
Certificering er begyndelsen på due diligence, ikke afslutningen. Læs omfanget, verificér nummeret, og flyt derefter samtalen over på partidokumenter, specifikationer og en prøveordre — for det er de artefakter, der beskriver, hvad du reelt vil modtage.
Vil du gerne se, hvordan det fungerer med en rigtig specifikation foran os, så fortæl os produktet, mængden og det marked, du sælger til, og anmod om et tilbud. Certifikatet, omfangserklæringen og den relevante testdokumentation følger med tilbuddet — ikke efter indkøbsordren.