Quasi ogni fornitore alimentare che contatterete vi invierà un PDF entro la prima ora di conversazione. Porterà un logo, un numero di certificato, una data di scadenza e le parole "ISO 22000:2018". La maggior parte degli acquirenti lo archivia, spunta una casella nel questionario fornitori e passa oltre. È un'abitudine comprensibile ed è al tempo stesso il punto debole più diffuso nella due diligence dell'approvvigionamento alimentare B2B, perché un certificato è una dichiarazione compressa su un sistema di gestione — e finché non sapete che cosa è stato compresso, non potete stabilire se copre il prodotto che state per acquistare.
Questa guida apre nel dettaglio la ISO 22000: che cosa obbliga a fare un sito certificato, come si rapporta all'HACCP inteso come metodo, come si colloca accanto agli schemi promossi dalla distribuzione come BRCGS e IFS Food, come leggere i quattro campi di un certificato che contano davvero e — la parte che i fornitori raramente offrono spontaneamente — che cosa la ISO 22000 non può dirvi sul bancale che arriverà al vostro magazzino. Per il panorama più ampio delle certificazioni di sicurezza alimentare e di produzione, comprese le varianti GMP e le tattiche generali di verifica, la nostra panoramica su ISO, HACCP e GMP resta la mappa generale; questo articolo è l'approfondimento su una singola norma.
Che cosa è realmente la ISO 22000
La ISO 22000 è una norma per il sistema di gestione della sicurezza alimentare (FSMS) pubblicata dall'International Organization for Standardization. L'edizione vigente, ISO 22000:2018, si applica a qualunque organizzazione della filiera alimentare — coltivatori, trasformatori, confezionatori, trasportatori, produttori di imballaggi, fornitori di ingredienti — indipendentemente da dimensione o prodotto.
La sua caratteristica distintiva è di essere una norma di sistema di gestione, costruita sulla stessa struttura di alto livello della ISO 9001. Ciò significa che i requisiti non sono solo regole tecniche di igiene: sono obblighi organizzativi. Un sito certificato ha dimostrato a un auditor terzo di gestire quanto segue come prassi documentata ed evidenziata:
- Contesto e parti interessate. L'organizzazione ha individuato i requisiti normativi, dei clienti e del mercato che le si applicano e ha definito di conseguenza il campo di applicazione dell'FSMS.
- Leadership e politica per la sicurezza alimentare. L'alta direzione risponde del sistema, non soltanto l'ufficio qualità, ed esiste un gruppo per la sicurezza alimentare con un responsabile nominato.
- Pianificazione basata sul rischio. Rischi e opportunità che incidono sulle prestazioni di sicurezza alimentare sono identificati, con obiettivi misurabili associati.
- Programmi di prerequisiti (PRP). Le condizioni di base: layout di edifici e attrezzature, pulizia e sanificazione, lotta agli infestanti, igiene del personale, qualità di acqua e aria, gestione dei rifiuti, qualifica dei fornitori, gestione degli allergeni.
- Analisi dei pericoli. Pericoli biologici, chimici, fisici e allergenici individuati per ogni fase di ogni processo, valutati per gravità e probabilità.
- Misure di controllo distinte in oPRP e CCP. È il cuore analitico della norma. Ogni misura di controllo viene classificata come programma di prerequisiti operativo oppure come punto critico di controllo, ciascuna con limiti definiti, monitoraggio, correzione e azione correttiva.
- Rintracciabilità e preparazione alle emergenze. Rintracciabilità di un passo indietro e un passo avanti, più una procedura di ritiro e richiamo che sia stata testata, non semplicemente scritta.
- Verifica, audit interno, riesame della direzione, miglioramento. Prova che il sistema controlla sé stesso e che le risultanze cambiano davvero qualcosa.
La parola da tenere a mente è evidenza. Un auditor non accetta un documento di politica come prova di una politica. Chiede registrazioni: registri di monitoraggio con date e sigle, rapporti di non conformità con chiusura, certificati di taratura, registri di formazione, una simulazione di richiamo con risultato di bilancio di massa.
ISO 22000 e HACCP: un sistema contro un metodo
È qui che si concentra la confusione degli acquirenti, e occasionalmente i fornitori sfruttano l'ambiguità.
L'HACCP è un metodo. Hazard Analysis and Critical Control Points è un approccio strutturato in sette principi per individuare i pericoli e controllarli in punti definiti di un processo. È codificato a livello internazionale attraverso il Codex Alimentarius e nell'Unione europea gli operatori del settore alimentare hanno l'obbligo giuridico di predisporre procedure basate sui principi HACCP in base alle norme di igiene — un obbligo che discende dal quadro generale della legislazione alimentare stabilito dal Regolamento (CE) n. 178/2002 e dai regolamenti sull'igiene costruiti su di esso. L'HACCP non è quindi un elemento distintivo. Ogni impresa alimentare conforme nell'UE ha procedure HACCP, allo stesso modo in cui ogni auto omologata per la strada ha i freni.
La ISO 22000 è un sistema di gestione certificabile che contiene l'HACCP. Prende il metodo HACCP e lo avvolge in programmi di prerequisiti, responsabilità documentata della direzione, audit interno, rintracciabilità e miglioramento continuo — poi sottopone l'insieme ad audit di terza parte su un ciclo ricorrente.
Sul mercato esiste anche una terza cosa: il "certificato HACCP". Esiste, è volontario ed è rilasciato da organismi di certificazione a fronte di vari schemi privati o direttamente dei principi del Codex. Il suo valore varia enormemente a seconda di chi lo emette. Un certificato HACCP di un organismo accreditato con una chiara dichiarazione di campo di applicazione è una garanzia reale, anche se più ristretta. Un "certificato HACCP" senza nome dello schema e senza marchio di accreditamento vi dice poco più del fatto che qualcuno è stato pagato per stamparlo.
La regola pratica per gli acquirenti: chiedere a un fornitore "avete l'HACCP?" invita quasi tutti a rispondere sì. Chiedere "a quale sistema di gestione della sicurezza alimentare siete certificati, da quale organismo, sotto quale accreditamento, e posso vedere la dichiarazione del campo di applicazione?" è una domanda che seleziona i fornitori nell'arco di una sola e-mail.
ISO 22000 rispetto a BRCGS, IFS Food e FSSC 22000
Questi vengono spesso presentati come concorrenti della ISO 22000. È più corretto intenderli come una categoria diversa: schemi promossi dalla distribuzione, sviluppati dalla o per la grande distribuzione alimentare per standardizzare gli audit dei fornitori e riconosciuti attraverso il processo di benchmarking della Global Food Safety Initiative (GFSI).
La ISO 22000 da sola non è riconosciuta GFSI. La FSSC 22000 è la strada che la rende tale: la FSSC 22000 combina la ISO 22000 con specifiche settoriali sui programmi di prerequisiti (la serie ISO/TS 22002) e requisiti aggiuntivi di schema, e quel pacchetto è riconosciuto GFSI.
Questa distinzione ha una conseguenza commerciale diretta. Se il vostro cliente finale è una catena della grande distribuzione europea che colloca private label, la sua politica di qualifica fornitori nominerà molto probabilmente BRCGS, IFS Food o FSSC 22000 in modo specifico, e la sola ISO 22000 non la soddisferà. Se siete acquirenti di ingredienti, un marchio di integratori, un formulatore di bevande, un distributore foodservice o un marchio e-commerce, la ISO 22000 unita a una solida documentazione di lotto è spesso il livello di garanzia appropriato e proporzionato.
| Norma | Che cosa è | Di norma richiesta da | Ciclo di audit | Riconosciuta GFSI |
|---|---|---|---|---|
| HACCP (principi del Codex) | Un metodo di controllo dei pericoli, obbligatorio per legge nell'UE come procedura | Autorità di controllo; base per tutte le imprese alimentari | Non applicabile (ispezione ufficiale) | No |
| Certificato HACCP | Certificazione volontaria di terza parte a fronte di uno schema HACCP | Acquirenti più piccoli, alcune gare | Di solito annuale | No |
| ISO 22000:2018 | Sistema completo di gestione della sicurezza alimentare che incorpora l'HACCP | Acquirenti di ingredienti, produttori B2B, distributori, esportatori | Ciclo triennale con sorveglianza annuale | No |
| FSSC 22000 | ISO 22000 + specifica PRP di settore + requisiti di schema | Produttori che servono clienti orientati al GFSI | Ciclo triennale con audit annuali (spesso senza preavviso) | Sì |
| BRCGS Food Safety | Norma di origine distributiva, molto centrata su prodotto e sito, con grado | Distribuzione britannica e internazionale, private label | Annuale, con grado (da AA a D) | Sì |
| IFS Food | Norma di origine distributiva nata dalla distribuzione tedesca e francese | Distribuzione DACH e francese, private label | Annuale, con punteggio | Sì |
Leggete la riga che corrisponde al vostro cliente, non quella che il vostro fornitore preferisce discutere. Un fornitore con ISO 22000 non è "meno sicuro" di uno con IFS Food: è certificato a fronte di una norma di sistema anziché di uno schema distributivo, e se il vostro canale non richiede lo schema distributivo, pagarlo non cambia nulla del prodotto.
Come leggere un certificato ISO 22000
Quattro campi decidono se un certificato è pertinente al vostro acquisto. Tutto il resto della pagina è grafica.
1. Campo di applicazione. È il campo che più spesso invalida un certificato per una determinata transazione. Indica quali attività e quali categorie di prodotto sono coperte dall'FSMS. "Produzione, confezionamento e stoccaggio di frutta essiccata e botaniche da erboristeria" è un campo di applicazione utilizzabile. "Gestione della sicurezza alimentare" senza alcun riferimento al prodotto non lo è. Se acquistate un olio essenziale e il campo di applicazione nomina solo la lavorazione di frutta essiccata, il certificato non copre ciò che state comprando — il fornitore può comunque essere ottimo, ma dovete sapere quali sue operazioni stanno dentro il sistema e quali fuori.
2. Indirizzo del sito. La certificazione si attacca ai siti, non ai marchi né alle società commerciali. Un gruppo multisito può essere certificato per uno stabilimento e non per un altro; una società commerciale può essere certificata per il proprio magazzino mentre la produzione avviene altrove. Verificate che l'indirizzo sul certificato sia l'indirizzo in cui la vostra merce sarà effettivamente prodotta. Quando un fornitore subappalta una fase — macinazione, taglio, confezionamento, sterilizzazione — lo stato di quel subappaltatore è una domanda a parte, e un fornitore legittimo risponde senza attriti.
3. Validità e numero di certificato. Annotate data di emissione, data di scadenza e numero di certificato come tre fatti distinti. Un certificato entro la finestra di validità dichiarata può comunque essere stato sospeso tra due audit di sorveglianza, ed è esattamente per questo che il numero conta: è la vostra chiave di ricerca nel registro pubblico dell'organismo di certificazione.
4. Organismo di certificazione e accreditamento. Un certificato vale quanto vale l'organismo che lo emette, e l'organismo vale quanto vale il suo accreditamento. Cercate il marchio di accreditamento di un ente nazionale firmatario dell'IAF Multilateral Recognition Arrangement — UKAS, DAkkS, ACCREDIA, RvA, COFRAC, ANAB, TÜRKAK e loro equivalenti. Un organismo non accreditato non è automaticamente fraudolento, ma resta fuori dalla catena di mutuo riconoscimento che dà al certificato il suo significato per i vostri auditor e i vostri clienti.
| Campo sul certificato | Come si presenta se è buono | Che cosa deve far sorgere una domanda |
|---|---|---|
| Norma ed edizione | "ISO 22000:2018" | "ISO 22000" senza anno, o un'edizione superata |
| Campo di applicazione | Attività nominate e categorie di prodotto nominate | Formulazione generica; famiglie di prodotto che non acquistate |
| Sito | Indirizzo fisico completo del sito produttivo | Solo sede legale o indirizzo commerciale |
| Validità | Date di emissione e scadenza, dentro la finestra | Scaduto, o scadenza dentro la vostra finestra produttiva |
| Numero di certificato | Presente e reperibile nel registro dell'emittente | Assente, o nessun risultato nel registro |
| Accreditamento | Marchio di accreditamento di un firmatario IAF MLA | Nessun riferimento all'accreditamento |
La verifica in sé richiede circa dieci minuti. Cercate nella directory online dell'organismo di certificazione per numero di certificato o ragione sociale, e confermate che campo di applicazione, sito e scadenza corrispondano al PDF che vi è stato inviato. Le discrepanze tra registro e documento sono il segnale singolo più forte che otterrete durante l'onboarding di un fornitore.
Che cosa prova la ISO 22000 — e che cosa non può provare
La ISO 22000 prova che un sistema esisteva e funzionava abbastanza bene da soddisfare un auditor nei giorni in cui l'audit si è svolto, sulle attività nominate nel campo di applicazione. È un valore autentico. Non equivale però a una dichiarazione sulla vostra spedizione.
In concreto, la ISO 22000 non vi dice:
- Se il vostro lotto ha rispettato la specifica. A questo serve il certificato di analisi di lotto. Le nostre guide su come leggere un CoA per la frutta essiccata e su come interpretare i rapporti di prova botanici coprono i parametri e i metodi che descrivono davvero la vostra merce.
- Se l'origine della materia prima è quella che vi è stata dichiarata. La certificazione copre il processo; l'origine è una questione di rintracciabilità e documentazione, affrontata nella nostra guida alla rintracciabilità e al lot tracking UE.
- Se il prodotto possiede un determinato attributo. Status biologico, status halal o kosher e claim di commercio equo sono certificazioni separate con campi di applicazione e registri separati. La ISO 22000 non dice nulla su nessuno di essi; vedete la guida alla certificazione biologica e la guida all'approvvigionamento halal e kosher per capire come si verificano.
- Se il fornitore si comporterà bene sotto pressione commerciale. I sistemi si certificano. Il comportamento davanti a un raccolto scarso, a un rialzo dei prezzi o a un ritardo di spedizione si rivela con un ordine campione, una produzione pilota e il primo vero problema, non con un PDF. Il nostro articolo sulle buone pratiche per gli ordini campione è scritto esattamente attorno a quella sequenza di prova.
Il modello mentale corretto: la certificazione è un filtro, non una decisione. Elimina i fornitori che non sanno dimostrare un sistema. Non sceglie tra quelli che ci riescono.
Costruire il fascicolo fornitore attorno al certificato
Un fascicolo di accettazione difendibile per un nuovo fornitore B2B contiene di solito il certificato più cinque elementi attorno a esso:
- Lo screenshot o il link al registro che conferma che il certificato è attivo, con la data in cui avete controllato.
- La dichiarazione del campo di applicazione, salvata a parte e messa a confronto con i prodotti esatti del vostro ordine di acquisto.
- Un CoA di lotto recente per una partita comparabile, con i metodi di prova nominati — non solo i risultati.
- La scheda di specifica che voi e il fornitore avete entrambi firmato, inclusi i parametri in base ai quali respingerete la merce.
- La risposta sulla rintracciabilità: che cosa codifica il codice di lotto, quanto indietro il fornitore riesce a risalire e in quanto tempo può produrre un bilancio di massa se glielo chiedete.
Se un fornitore produce tutti e cinque gli elementi senza doverlo inseguire, il vostro profilo di rischio è già migliore di quello del primo ordine tipico. Se il certificato arriva all'istante e gli altri quattro richiedono tre settimane di solleciti, quel rapporto è di per sé una risultanza.
Arovela opera secondo ISO 22000, ISO 9001 e ISO 27001 — gestione della sicurezza alimentare, gestione della qualità e gestione della sicurezza delle informazioni per il lato commerciale e documentale dell'attività. Non possediamo schemi della distribuzione come BRCGS o IFS Food, e lo diciamo direttamente invece di lasciare che un acquirente lo scopra dopo che una specifica è già stata redatta. La produzione avviene nel nostro stabilimento di Sındırgı, Balıkesir, con un magazzino di distribuzione a Solingen, in Germania, che serve i clienti UE, e inviamo certificato, dichiarazione del campo di applicazione e documentazione di lotto nella stessa risposta — perché gli acquirenti che vogliamo sono quelli che verificano.
Domande frequenti
La ISO 22000 è obbligatoria per esportare alimenti nell'UE?
No. È obbligatorio il rispetto della legislazione alimentare dell'UE: procedure basate sull'HACCP, rintracciabilità, requisiti igienici, limiti per contaminanti e residui ed etichettatura corretta. La ISO 22000 è una certificazione volontaria che dimostra l'esistenza di un sistema gestito per soddisfare quegli obblighi. Molti importatori UE la richiedono contrattualmente anche se nessun regolamento lo impone.
Il mio cliente pretende BRCGS. Un fornitore ISO 22000 può ancora lavorare?
Per la private label della distribuzione, di solito no: la politica di qualifica del retailer nomina lo schema. Per gli ingredienti che trasformate ulteriormente nel vostro stabilimento certificato BRCGS spesso sì, perché la vostra certificazione copre il prodotto finito e la vostra procedura di qualifica fornitori governa il materiale in ingresso. Verificate i criteri per i fornitori approvati nel vostro schema prima di escludere un fornitore.
Come faccio a controllare se un certificato è autentico?
Usate il numero di certificato nel registro pubblico dei clienti dell'organismo emittente, poi confermate che l'organismo stesso sia accreditato da un firmatario IAF MLA. Confrontate tre campi con il PDF: ragione sociale, indirizzo del sito e formulazione del campo di applicazione. Se anche uno solo dei tre differisce, chiedete spiegazioni al fornitore prima di procedere.
Qual è la differenza tra un oPRP e un CCP?
Entrambi sono misure di controllo. Un CCP è una fase in cui il controllo è essenziale per prevenire o eliminare un pericolo per la sicurezza alimentare, con un limite critico misurabile e un monitoraggio che consente la correzione immediata — un metal detector o un pastorizzatore sono esempi tipici. Un oPRP controlla un pericolo ma non dispone di quel tipo di limite unico misurabile con azione correttiva immediata; la pulizia di cambio allergene è un esempio comune. La ISO 22000 richiede al fornitore di giustificare la classificazione attribuita a ciascuna misura di controllo.
Con quale frequenza viene realmente auditato un sito certificato?
La certificazione ISO 22000 segue normalmente un ciclo triennale: un audit iniziale di certificazione, poi audit di sorveglianza, di norma annuali, quindi un audit di ricertificazione prima della scadenza. Significa che, in termini di ultima verifica in loco, un certificato può avere fino a un anno. È ragionevole chiedere a un fornitore quando si è svolto l'ultimo audit di sorveglianza e se restano risultanze aperte.
Ottenere i documenti prima di impegnarsi
La certificazione è l'inizio della due diligence, non la fine. Leggete il campo di applicazione, verificate il numero e spostate poi la conversazione su documenti di lotto, specifiche e un ordine campione — perché sono quelli gli elementi che descrivono ciò che riceverete davvero.
Se volete vedere come funziona con una specifica reale davanti, indicateci prodotto, volume e mercato in cui vendete e richiedete un preventivo. Il certificato, la dichiarazione del campo di applicazione e la documentazione di prova pertinente accompagnano l'offerta, non arrivano dopo l'ordine di acquisto.