ISO 22000認証とは何か：B2Bバイヤーのための読み解きガイド

問い合わせをした食品サプライヤーのほぼすべてが、会話を始めて1時間以内にPDFを送ってきます。そこにはロゴ、認証番号、有効期限、そして「ISO 22000:2018」という文字が並んでいます。多くのバイヤーはそれをファイルに保存し、サプライヤー質問票のチェックボックスに印を付けて次に進みます。この習慣は理解できるものですが、同時にB2B食品調達のデューデリジェンスにおいて最も一般的な弱点でもあります。認証書とはマネジメントシステムに関する「圧縮された声明」であり、何が圧縮されたのかを知らなければ、これから購入しようとしている製品がその対象に含まれているかどうかは判断できないからです。

本ガイドではISO 22000そのものを解きほぐします。この規格が認証取得サイトに義務付ける事項、手法としてのHACCPとの関係、BRCGSやIFS Foodといった小売主導スキームとの位置関係、認証書の中で本当に重要な4つの欄の読み方、そして——サプライヤーが自発的に語ることの少ない部分——ISO 22000があなたの倉庫に到着するパレットについて何を語れないのか。GMPの各種派生規格や検証手法全般を含む食品安全・製造認証の全体像については、ISO・HACCP・GMPの総論が引き続き広域地図の役割を果たします。本記事は、そのうちの1つの規格を深掘りするものです。

ISO 22000とは実際に何なのか

ISO 22000は、国際標準化機構が発行する食品安全マネジメントシステム（FSMS）の規格です。現行版であるISO 22000:2018は、生産者、加工業者、包装業者、輸送業者、包装資材メーカー、原材料サプライヤーなど、規模や製品を問わずフードチェーンに関わるあらゆる組織に適用されます。

その決定的な特徴は、これがマネジメントシステム規格であり、ISO 9001と同じ上位構造の上に構築されている点です。つまり要求事項は技術的な衛生ルールだけではなく、組織としての義務でもあるということです。認証を取得したサイトは、以下の事項を文書化され証拠付けられた実務として運用していることを、第三者審査員に対して実証しています。

• 組織の状況と利害関係者。 自社に適用される規制・顧客・市場の要求事項を特定し、それに応じてFSMSの適用範囲を定めていること。
• リーダーシップと食品安全方針。 品質部門だけでなくトップマネジメントがシステムに対する説明責任を負い、責任者を明示した食品安全チームが存在すること。
• リスクに基づく計画。 食品安全パフォーマンスに影響するリスクと機会が特定され、測定可能な目標が紐づけられていること。
• 前提条件プログラム（PRP）。 建物と設備のレイアウト、洗浄・殺菌、そ族昆虫防除、従業員衛生、水と空気の品質、廃棄物処理、サプライヤー承認、アレルゲン管理といった基礎条件。
• ハザード分析。 各工程の各ステップについて生物的・化学的・物理的およびアレルゲンのハザードを特定し、重篤性と発生可能性を評価していること。
• oPRPとCCPに区分された管理手段。 これが規格の分析的な中核です。各管理手段はオペレーション前提条件プログラムか重要管理点のいずれかに分類され、それぞれに限界値、モニタリング、修正、是正処置が定められます。
• トレーサビリティと緊急事態への準備。 一段階前・一段階先のトレーサビリティに加え、書かれているだけでなく実際にテストされた回収・撤去手順。
• 検証、内部監査、マネジメントレビュー、改善。 システムが自らを点検し、その発見事項が実際に何かを変えていることの証拠。

心に留めておくべき言葉は証拠付けられたです。審査員は方針文書を方針の証明として受け入れません。彼らが求めるのは記録です。日付と署名入りのモニタリング記録、クローズ済みの逸脱報告書、校正証明書、教育訓練記録、マスバランス結果を伴う回収模擬訓練。

ISO 22000とHACCP：システムか、手法か

ここにバイヤーの混乱が集中しており、サプライヤーがその曖昧さを利用することもあります。

HACCPは手法です。 危害要因分析重要管理点は、ハザードを特定し工程内の定められた点で管理するための、7原則からなる体系的アプローチです。コーデックス委員会を通じて国際的に成文化されており、欧州連合では食品事業者に対し食品衛生規則の下でHACCP原則に基づく手順の実施が法的に義務付けられています。これは規則（EC）No 178/2002に定められた一般食品法の枠組みと、その上に構築された衛生規則群から生じる義務です。したがってHACCPは差別化要因ではありません。EU内の適法な食品事業者はすべてHACCP手順を持っています。公道を走れる自動車がすべてブレーキを備えているのと同じことです。

ISO 22000はHACCPを内包する認証可能なマネジメントシステムです。 HACCPという手法を取り込み、それを前提条件プログラム、文書化された経営責任、内部監査、トレーサビリティ、継続的改善で包み込み、その全体を定期的なサイクルで第三者審査にかけます。

市場にはもう1つ、**「HACCP認証書」**というものも存在します。これらは実在する任意の認証であり、認証機関がさまざまな民間スキーム、あるいはコーデックス原則そのものに対して発行します。その価値は発行者によって大きく異なります。適用範囲が明記され、認定を受けた機関が発行するHACCP認証書は、範囲は狭いものの本物の保証です。スキーム名も認定マークもない「HACCP認証書」は、誰かが印刷代を払ったという以上のことをほとんど語りません。

バイヤーにとっての実務的なルール。サプライヤーに「HACCPはお持ちですか」と尋ねれば、ほぼ全員から「はい」が返ってきます。「どの食品安全マネジメントシステムの認証を、どの機関から、どの認定の下で取得していますか。適用範囲の記載を見せていただけますか」と尋ねれば、メール1通でサプライヤーが選別されます。

ISO 22000とBRCGS・IFS Food・FSSC 22000

これらはしばしばISO 22000の競合として提示されます。しかし実際には小売主導スキームという別のカテゴリーとして理解する方が適切です。食料品小売業によって、あるいはそのために開発され、サプライヤー監査を標準化することを目的とし、世界食品安全イニシアチブ（GFSI）のベンチマーク手続きの下で承認されています。

ISO 22000は単独ではGFSI承認を受けていません。それを可能にする経路がFSSC 22000です。FSSC 22000はISO 22000に、セクター別の前提条件プログラム仕様（ISO/TS 22002シリーズ）と追加のスキーム要求事項を組み合わせたもので、このパッケージがGFSI承認を受けています。

この区別には直接的な商業上の帰結があります。最終顧客が欧州の食料品小売業でプライベートブランドを展開しているのであれば、そのサプライヤー承認方針はBRCGS、IFS Food、FSSC 22000のいずれかを名指しで求める可能性が非常に高く、ISO 22000単独では要件を満たしません。一方、原材料バイヤー、サプリメントブランド、飲料の処方開発者、フードサービス流通業者、EC事業者であれば、ISO 22000と堅実なバッチ書類の組み合わせが適切かつ相応な保証水準であることが少なくありません。

サプライヤーが話したがる行ではなく、自社の顧客に対応する行を読んでください。ISO 22000を保有するサプライヤーがIFS Foodを保有するサプライヤーより「安全性が低い」わけではありません。小売スキームではなくシステム規格に対して認証を受けているというだけであり、自社のチャネルが小売スキームを要求しないのであれば、その取得費用を払っても製品自体は何も変わりません。

ISO 22000認証書の読み方

認証書がその購買にとって意味を持つかどうかは、4つの欄で決まります。それ以外はすべてデザインです。

1. 適用範囲。 ある取引において認証書を無効にしてしまう最も多い欄がこれです。適用範囲は、FSMSがどの活動とどの製品カテゴリーを対象としているかを述べます。「乾燥果実および薬用植物の生産、包装、保管」は使える適用範囲です。製品への言及がない「食品安全マネジメント」は使えません。精油を購入しようとしているのに適用範囲が乾燥果実加工のみを挙げているなら、その認証書は購入対象をカバーしていません。そのサプライヤーが優れた取引先である可能性は依然ありますが、どの事業がシステムの内側にあり、どれが外側にあるのかを知る必要があります。

2. サイト住所。 認証はブランドや商社ではなく、サイトに紐づきます。複数拠点を持つグループが、ある工場については認証を保有し別の工場では保有していないということがあり得ます。商社が自社倉庫について認証を保有しつつ、製造はまったく別の場所で行われていることもあります。認証書に記載された住所が、実際に商品が生産される住所であることを確認してください。粉砕、カット、包装、殺菌といった工程の一部を外注している場合、その外注先の状況は別問題であり、まっとうなサプライヤーは摩擦なくそれに回答します。

3. 有効性と認証番号。 発行日、有効期限、認証番号を3つの別々の事実として記録してください。記載された有効期間内の認証書であっても、サーベイランス審査の間に一時停止されていることはあり得ます。だからこそ番号が重要なのです。番号は認証機関の公開登録簿を検索する鍵になります。

4. 認証機関と認定。 認証書の価値は発行機関の価値であり、発行機関の価値はその認定の価値です。IAF多国間相互承認取決めの署名機関である国家認定機関の認定マークを探してください。UKAS、DAkkS、ACCREDIA、RvA、COFRAC、ANAB、TÜRKAKとその同等機関です。認定を受けていない認証機関が自動的に不正だというわけではありませんが、その認証書が自社の監査人や顧客に対して意味を持つ根拠となる相互承認の連鎖の外側にあります。

検証そのものは10分ほどで終わります。認証機関のオンライン名簿で認証番号または会社名を検索し、適用範囲・サイト・有効期限が送られてきたPDFと一致することを確認してください。登録簿と書類の食い違いは、サプライヤーのオンボーディング中に得られる最も強いシグナルです。

ISO 22000が証明すること、証明できないこと

ISO 22000が証明するのは、適用範囲に記載された活動について、審査が行われた日にシステムが存在し審査員を満足させる程度に機能していたということです。これには本当に価値があります。しかし、あなたの荷物に関する声明とは別のものです。

具体的には、ISO 22000は次のことを教えてくれません。

• あなたのバッチが仕様を満たしたかどうか。 それはバッチごとの分析証明書の役割です。乾燥果実のCoAの読み方と植物原料の試験報告書の解釈のガイドで、実際に商品を記述するパラメータと分析法を解説しています。
• 原料の原産地が説明どおりかどうか。 認証は工程を対象とします。原産地はトレーサビリティと書類の問題であり、EUロット追跡・トレーサビリティガイドで扱っています。
• 製品が特定の属性を備えているかどうか。 有機認証、ハラール、コーシャ、フェアトレードの主張は、それぞれ別の適用範囲と別の登録簿を持つ別の認証です。ISO 22000はそのいずれについても何も語りません。検証方法は有機認証ガイドとハラール・コーシャ調達ガイドをご覧ください。
• サプライヤーが商業的な緊張下で誠実に振る舞うかどうか。 認証されるのはシステムです。不作、価格高騰、出荷遅延の下での振る舞いは、PDFではなくサンプル注文、パイロット生産、そして最初の本当のトラブルによって明らかになります。サンプル注文のベストプラクティスの記事は、まさにその検証手順を軸に書かれています。

正しいメンタルモデルはこうです。認証はフィルターであって、意思決定ではありません。システムを実証できないサプライヤーを除外します。実証できるサプライヤーの中から選んでくれるわけではありません。

認証書を中心にサプライヤーファイルを組み立てる

新規B2Bサプライヤーについて説明責任を果たせる受入ファイルは、通常、認証書とその周囲の5点で構成されます。

1. 登録簿のスクリーンショットまたはリンク。 認証が有効であることを確認したもの。確認日を添えて保存します。
2. 適用範囲の記載。 別途保存し、発注書上の正確な製品と突き合わせます。
3. 直近のバッチCoA。 同等ロットのもので、結果だけでなく試験方法名も記載されているもの。
4. 仕様書。 自社とサプライヤーの双方が署名したもので、不合格判定の基準とするパラメータを含みます。
5. トレーサビリティへの回答。 ロットコードが何を符号化しているか、サプライヤーがどこまで遡れるか、依頼した場合にマスバランスをどれだけ早く提出できるか。

サプライヤーが催促なしにこの5点をすべて出せるなら、そのリスクプロファイルは大半の初回発注より既に良好です。認証書だけは即座に届き、残りの4点に3週間の催促が必要だとすれば、その比率自体が1つの発見事項です。

Arovelaは、食品安全マネジメントのISO 22000、品質マネジメントのISO 9001、そして事業の商務・書類面をカバーする情報セキュリティマネジメントのISO 27001の下で操業しています。BRCGSやIFS Foodといった小売スキームは保有しておらず、仕様書が作成された後にバイヤーがそれを知ることのないよう、そのことを率直にお伝えしています。生産はバルケシル県スンドゥルグの自社施設で行い、EU顧客向けにはドイツ・ゾーリンゲンの配送倉庫が対応します。認証書、適用範囲の記載、バッチ書類は同じ返信の中でお送りします。私たちが求めるバイヤーは、確認する人だからです。

よくある質問

EUへ食品を輸出するのにISO 22000は必須ですか

いいえ。必須なのはEU食品法への適合です。HACCPに基づく手順、トレーサビリティ、衛生要件、汚染物質・残留物の限度値、そして正しい表示。ISO 22000は、それらの義務を果たすための管理されたシステムを実証する任意の認証です。規制上の要求はなくとも、多くのEU輸入業者が契約上これを求めます。

顧客がBRCGSを要求しています。ISO 22000のサプライヤーでも取引できますか

小売プライベートブランド向けであれば、通常は不可です。小売業者の承認方針がスキームを名指ししているためです。一方、自社のBRCGS認証工場でさらに加工する原材料であれば可能な場合が多くあります。自社の認証が最終製品をカバーし、自社のサプライヤー承認手順が受入原料を統制するからです。サプライヤーを候補から外す前に、自社スキームの承認サプライヤー基準を確認してください。

認証書が本物かどうかはどう確認しますか

発行機関の公開クライアント登録簿で認証番号を照会し、次にその認証機関自体がIAF MLA署名機関の認定を受けていることを確認します。PDFと3つの欄——法人正式名称、サイト住所、適用範囲の文言——を突き合わせてください。いずれか1つでも異なる場合は、先に進む前にサプライヤーに説明を求めてください。

oPRPとCCPの違いは何ですか

どちらも管理手段です。CCPは食品安全ハザードの防止または除去に管理が不可欠な工程で、測定可能な許容限界値と、即時の修正を可能にするモニタリングを伴います。金属検出機や殺菌機が典型例です。oPRPはハザードを管理しますが、即時是正を伴う単一の測定可能な限界値という形は持ちません。アレルゲン切替時の洗浄がよくある例です。ISO 22000は、各管理手段をどちらに分類したかの根拠を示すようサプライヤーに求めています。

認証サイトは実際どのくらいの頻度で審査されますか

ISO 22000認証は通常3年サイクルで運用されます。初回認証審査、その後は通常年次のサーベイランス審査、そして有効期限前の再認証審査です。つまり、最後の現地検証という意味では認証書が1年近く古い可能性があるということです。直近のサーベイランス審査がいつ行われたか、未クローズの発見事項が残っていないかをサプライヤーに尋ねるのは、妥当な質問です。

発注前に書類を揃える

認証はデューデリジェンスの終わりではなく始まりです。適用範囲を読み、番号を照合し、そのうえで会話をバッチ書類、仕様書、サンプル注文へと進めてください。実際に受け取るものを記述するのは、それらの成果物だからです。

実際の仕様書を前にしてこの流れがどう機能するかをご覧になりたい場合は、製品、数量、販売先市場をお知らせのうえお見積もりをご依頼ください。認証書、適用範囲の記載、関連する試験書類は、発注後ではなくオファーと同時にお送りします。