ISO 22000-certificering uitgelegd: gids voor B2B-inkopers

Vrijwel elke levensmiddelenleverancier die u benadert, stuurt binnen het eerste uur van het gesprek een pdf. Er staat een logo op, een certificaatnummer, een vervaldatum en de woorden "ISO 22000:2018". De meeste inkopers archiveren dat document, vinken een vakje af in de leveranciersvragenlijst en gaan verder. Die gewoonte is begrijpelijk, en tegelijk is het het meest voorkomende zwakke punt in de due diligence bij B2B-inkoop van levensmiddelen. Een certificaat is namelijk een sterk samengevatte uitspraak over een managementsysteem — en zolang u niet weet wát er precies is samengevat, kunt u niet vaststellen of het betrekking heeft op het product dat u op het punt staat te kopen.

Deze gids pakt ISO 22000 specifiek uit: wat de norm een gecertificeerde locatie verplicht te doen, hoe die zich verhoudt tot HACCP als methode, hoe hij zich verhoudt tot retailgedreven schema's zoals BRCGS en IFS Food, hoe u de vier velden op een certificaat leest die er werkelijk toe doen, en — het deel dat leveranciers zelden uit zichzelf noemen — wat ISO 22000 u níét kan vertellen over de pallet die bij uw magazijn wordt afgeleverd. Voor het bredere landschap van voedselveiligheids- en productiecertificeringen, inclusief GMP-varianten en algemene verificatietactieken, blijft ons overzicht van ISO, HACCP en GMP de ruimere kaart; dit artikel is de diepteduik in één norm.

Wat ISO 22000 feitelijk is

ISO 22000 is een norm voor een voedselveiligheidsmanagementsysteem (FSMS), gepubliceerd door de International Organization for Standardization. De huidige editie, ISO 22000:2018, is van toepassing op elke organisatie in de voedselketen — telers, verwerkers, verpakkers, transporteurs, verpakkingsfabrikanten, ingrediëntenleveranciers — ongeacht omvang of product.

Het onderscheidende kenmerk is dat het een managementsysteemnorm is, gebouwd op dezelfde high-level structuur als ISO 9001. Dat betekent dat de eisen niet alleen technische hygiëneregels zijn; het zijn organisatorische verplichtingen. Een gecertificeerde locatie heeft aan een externe auditor aangetoond dat zij het volgende in de praktijk brengt, gedocumenteerd en met bewijs onderbouwd:

• Context en belanghebbenden. De organisatie heeft de wettelijke, klant- en marktvereisten die op haar van toepassing zijn geïdentificeerd en de scope van het FSMS daarop afgestemd.
• Leiderschap en voedselveiligheidsbeleid. De directie is verantwoordelijk voor het systeem, niet alleen de kwaliteitsafdeling, en er bestaat een voedselveiligheidsteam met een benoemde teamleider.
• Planning rond risico. Risico's en kansen die de voedselveiligheidsprestaties beïnvloeden zijn geïdentificeerd, met meetbare doelstellingen eraan gekoppeld.
• Basisvoorwaardenprogramma's (PRP's). De fundamentele condities: gebouw- en apparatuurindeling, reiniging en desinfectie, ongediertebeheersing, persoonlijke hygiëne, water- en luchtkwaliteit, afvalbeheer, leveranciersgoedkeuring, allergenenbeheer.
• Gevarenanalyse. Biologische, chemische, fysische en allergene gevaren geïdentificeerd voor elke stap van elk proces, beoordeeld op ernst en waarschijnlijkheid.
• Beheersmaatregelen verdeeld in oPRP's en CCP's. Dit is het analytische hart van de norm. Elke beheersmaatregel wordt geclassificeerd als operationeel basisvoorwaardenprogramma of als kritisch beheerspunt, elk met vastgelegde grenswaarden, monitoring, correctie en corrigerende maatregelen.
• Traceerbaarheid en noodplanning. Traceerbaarheid één stap terug en één stap vooruit, plus een terugtrekkings- en recallprocedure die is getest, niet alleen opgeschreven.
• Verificatie, interne audit, directiebeoordeling, verbetering. Bewijs dat het systeem zichzelf controleert en dat bevindingen daadwerkelijk iets veranderen.

Het woord om vast te houden is bewijs. Een auditor accepteert een beleidsdocument niet als bewijs van beleid. Hij vraagt om registraties: monitoringlogboeken met datums en parafen, afwijkingsrapporten met afsluiting, kalibratiecertificaten, opleidingsdossiers, een recallsimulatie met een massabalansresultaat.

ISO 22000 versus HACCP: een systeem tegenover een methode

Hier concentreert de verwarring bij inkopers zich, en leveranciers maken af en toe gebruik van die dubbelzinnigheid.

HACCP is een methode. Hazard Analysis and Critical Control Points is een gestructureerde aanpak met zeven principes voor het identificeren van gevaren en het beheersen daarvan op gedefinieerde punten in een proces. De methode is internationaal vastgelegd via de Codex Alimentarius, en in de Europese Unie zijn exploitanten van levensmiddelenbedrijven wettelijk verplicht procedures op basis van HACCP-beginselen in te voeren op grond van de hygiënevoorschriften — een verplichting die voortvloeit uit het algemene levensmiddelenrechtelijke kader van Verordening (EG) nr. 178/2002 en de daarop gebouwde hygiëneverordeningen. HACCP is daarmee geen onderscheidend kenmerk. Elk conform levensmiddelenbedrijf in de EU heeft HACCP-procedures, net zoals elke auto die de weg op mag remmen heeft.

ISO 22000 is een certificeerbaar managementsysteem dat HACCP bevat. De norm neemt de HACCP-methode en verpakt die in basisvoorwaardenprogramma's, gedocumenteerde directieverantwoordelijkheid, interne audit, traceerbaarheid en continue verbetering — en onderwerpt het geheel vervolgens aan externe audits in een terugkerende cyclus.

Er bestaat op de markt ook nog een derde ding: een "HACCP-certificaat". Die bestaan, ze zijn vrijwillig, en ze worden afgegeven door certificerende instellingen tegen uiteenlopende private schema's of rechtstreeks tegen Codex-beginselen. Hun waarde varieert enorm met de uitgever. Een HACCP-certificaat van een geaccrediteerde instelling met een duidelijke scopeverklaring is een reële, zij het smallere, zekerheid. Een "HACCP-certificaat" zonder schemanaam en zonder accreditatiemerk vertelt u weinig meer dan dat iemand betaald heeft om het te laten drukken.

De praktische regel voor inkopers: de vraag "heeft u HACCP?" nodigt bijna iedereen uit tot een ja. De vraag "tegen welk voedselveiligheidsmanagementsysteem bent u gecertificeerd, door welke instelling, onder welke accreditatie, en mag ik de scopeverklaring zien?" is een vraag die leveranciers binnen één e-mail sorteert.

ISO 22000 versus BRCGS, IFS Food en FSSC 22000

Deze worden vaak gepresenteerd als concurrenten van ISO 22000. Ze zijn beter te begrijpen als een andere categorie: retailgedreven schema's, ontwikkeld door of voor de levensmiddelenretail om leveranciersaudits te standaardiseren, en erkend via het benchmarkingproces van het Global Food Safety Initiative (GFSI).

ISO 22000 op zichzelf is niet GFSI-erkend. FSSC 22000 is de route die dat wel maakt: FSSC 22000 combineert ISO 22000 met sectorspecifieke specificaties voor basisvoorwaardenprogramma's (de ISO/TS 22002-reeks) en aanvullende schema-eisen, en dat pakket is GFSI-erkend.

Dit onderscheid heeft een directe commerciële consequentie. Als uw eindklant een Europese supermarktketen is die private label plaatst, zal het leveranciersgoedkeuringsbeleid zeer waarschijnlijk BRCGS, IFS Food of FSSC 22000 specifiek noemen, en zal ISO 22000 alleen daar niet aan voldoen. Bent u ingrediënteninkoper, supplementenmerk, drankformuleerder, foodservicedistributeur of e-commercemerk, dan is ISO 22000 plus solide batchdocumentatie vaak het passende en proportionele zekerheidsniveau.

Lees de regel die bij uw klant past, niet de regel die uw leverancier het liefst bespreekt. Een leverancier met ISO 22000 is niet "minder veilig" dan een leverancier met IFS Food; hij is gecertificeerd tegen een systeemnorm in plaats van een retailschema, en als uw kanaal het retailschema niet vereist, verandert betalen voor zo'n schema niets aan het product.

Hoe u een ISO 22000-certificaat leest

Vier velden bepalen of een certificaat relevant is voor uw aankoop. Al het overige op de pagina is vormgeving.

1. Scope. Dit is het veld dat een certificaat het vaakst ongeldig maakt voor een bepaalde transactie. De scope vermeldt welke activiteiten en welke productcategorieën het FSMS dekt. "Productie, verpakking en opslag van gedroogd fruit en kruidenbotanicals" is een bruikbare scope. "Voedselveiligheidsmanagement" zonder productverwijzing niet. Koopt u een etherische olie en noemt de scope alleen de verwerking van gedroogd fruit, dan dekt het certificaat niet wat u koopt — de leverancier kan nog steeds prima zijn, maar u moet weten welke van zijn activiteiten binnen het systeem vallen en welke erbuiten.

2. Locatieadres. Certificering hecht zich aan locaties, niet aan merken of handelsvennootschappen. Een groep met meerdere vestigingen kan certificering hebben voor de ene fabriek en niet voor de andere; een handelsonderneming kan gecertificeerd zijn voor haar magazijn terwijl de productie ergens totaal anders plaatsvindt. Controleer dat het adres op het certificaat het adres is waar uw goederen daadwerkelijk worden geproduceerd. Wanneer een leverancier een processtap uitbesteedt — malen, snijden, verpakken, steriliseren — is de status van die onderaannemer een aparte vraag, en een legitieme leverancier beantwoordt die zonder wrijving.

3. Geldigheid en certificaatnummer. Noteer de afgiftedatum, de vervaldatum en het certificaatnummer als drie afzonderlijke feiten. Een certificaat binnen zijn opgegeven geldigheidsvenster kan tussen surveillance-audits toch geschorst zijn geweest, en juist daarom telt het nummer: het is uw zoeksleutel in het openbare register van de certificerende instelling.

4. Certificerende instelling en accreditatie. Een certificaat is waard wat de uitgevende instelling waard is, en die instelling is waard wat haar accreditatie waard is. Zoek naar het accreditatiemerk van een nationale accreditatie-instantie die ondertekenaar is van de IAF Multilateral Recognition Arrangement — UKAS, DAkkS, ACCREDIA, RvA, COFRAC, ANAB, TÜRKAK en hun equivalenten. Een niet-geaccrediteerde certificerende instelling is niet automatisch frauduleus, maar staat wel buiten de keten van wederzijdse erkenning die het certificaat zijn betekenis geeft voor uw eigen auditors en klanten.

De verificatie zelf kost ongeveer tien minuten. Zoek in de online directory van de certificerende instelling op certificaatnummer of bedrijfsnaam, en bevestig dat scope, locatie en vervaldatum overeenkomen met de pdf die u ontving. Verschillen tussen het register en het document zijn het sterkste enkelvoudige signaal dat u tijdens leveranciersonboarding zult krijgen.

Wat ISO 22000 bewijst — en wat niet

ISO 22000 bewijst dat een systeem bestond en goed genoeg functioneerde om een auditor tevreden te stellen op de dagen dat de audit plaatsvond, over de activiteiten die in de scope worden genoemd. Dat is oprecht waardevol. Het is niet hetzelfde als een uitspraak over úw zending.

Concreet vertelt ISO 22000 u niet:

• Of uw batch aan de specificatie voldeed. Daar dient een batchanalysecertificaat voor. Onze gidsen over het lezen van een CoA voor gedroogd fruit en over het interpreteren van botanische testrapporten behandelen de parameters en methoden die uw goederen daadwerkelijk beschrijven.
• Of de herkomst van de grondstof is wat u is verteld. Certificering dekt het proces; herkomst is een kwestie van traceerbaarheid en documentatie, behandeld in onze gids over EU-lottracering en traceerbaarheid.
• Of het product een bepaald kenmerk draagt. Biologische status, halal- of kosherstatus en fairtradeclaims zijn afzonderlijke certificeringen met eigen scopes en eigen registers. ISO 22000 zegt daar niets over; zie de gids over biologische certificering en de gids over halal- en koshersourcing voor hoe die worden geverifieerd.
• Of de leverancier zich goed gedraagt onder commerciële druk. Systemen certificeren. Gedrag bij een korte oogst, een prijspiek of een vertraagde zending blijkt uit een monsterorder, een pilotrun en een eerste echt probleem — niet uit een pdf. Ons artikel over best practices voor monsterorders is precies rond die testvolgorde geschreven.

Het juiste mentale model: certificering is een filter, geen beslissing. Het verwijdert leveranciers die geen systeem kunnen aantonen. Het maakt geen keuze tussen degenen die dat wel kunnen.

Uw leveranciersdossier rond het certificaat opbouwen

Een verdedigbaar ingangscontroledossier voor een nieuwe B2B-leverancier bevat doorgaans het certificaat plus vijf dingen eromheen:

1. De screenshot of link naar het register die bevestigt dat het certificaat actief is, met de datum waarop u het controleerde.
2. De scopeverklaring, apart opgeslagen en afgezet tegen de exacte producten op uw inkooporder.
3. Een recente batch-CoA voor een vergelijkbare partij, met de testmethoden erbij genoemd — niet alleen de resultaten.
4. Het specificatieblad dat u en de leverancier beiden hebben ondertekend, inclusief de parameters waarop u zult afkeuren.
5. Het traceerbaarheidsantwoord: wat de lotcode codeert, hoe ver terug de leverancier kan traceren en hoe snel hij een massabalans kan produceren als u erom vraagt.

Kan een leverancier alle vijf leveren zonder achter hem aan te moeten zitten, dan is uw risicoprofiel al beter dan bij de meeste eerste orders. Arriveert het certificaat onmiddellijk en kosten de andere vier drie weken achtervolgen, dan is die verhouding op zichzelf al een bevinding.

Arovela werkt onder ISO 22000, ISO 9001 en ISO 27001 — voedselveiligheidsmanagement, kwaliteitsmanagement en informatiebeveiligingsmanagement voor de commerciële en documentaire kant van het bedrijf. Wij beschikken niet over retailschema's zoals BRCGS of IFS Food, en dat zeggen we direct in plaats van een inkoper dat te laten ontdekken nadat een specificatie is opgesteld. De productie vindt plaats in onze faciliteit in Sındırgı, Balıkesir, met een distributiemagazijn in Solingen, Duitsland, dat EU-klanten bedient, en wij sturen het certificaat, de scopeverklaring en de batchdocumentatie in dezelfde reactie — omdat de inkopers die wij willen, de inkopers zijn die controleren.

Veelgestelde vragen

Is ISO 22000 verplicht om levensmiddelen naar de EU te exporteren?

Nee. Wat verplicht is, is naleving van het EU-levensmiddelenrecht: HACCP-gebaseerde procedures, traceerbaarheid, hygiënevereisten, contaminanten- en residulimieten en correcte etikettering. ISO 22000 is een vrijwillige certificering die aantoont dat er een beheerst systeem bestaat om aan die verplichtingen te voldoen. Veel EU-importeurs eisen het contractueel, ook al doet geen enkele verordening dat.

Mijn klant eist BRCGS. Kan een ISO 22000-leverancier dan nog werken?

Voor retail private label meestal niet — het goedkeuringsbeleid van de retailer noemt het schema bij naam. Voor ingrediënten die u zelf verder verwerkt in uw eigen BRCGS-gecertificeerde fabriek kan het vaak wel, omdat uw eigen certificering het eindproduct dekt en uw leveranciersgoedkeuringsprocedure de inkomende materialen beheerst. Controleer de criteria voor goedgekeurde leveranciers in uw schema voordat u een leverancier afwijst.

Hoe controleer ik of een certificaat echt is?

Gebruik het certificaatnummer in het openbare klantenregister van de uitgevende instelling en bevestig vervolgens dat de certificerende instelling zelf is geaccrediteerd door een IAF MLA-ondertekenaar. Vergelijk drie velden met de pdf: de juridische bedrijfsnaam, het locatieadres en de scopeformulering. Wijkt een van de drie af, vraag de leverancier dan om uitleg voordat u verdergaat.

Wat is het verschil tussen een oPRP en een CCP?

Beide zijn beheersmaatregelen. Een CCP is een stap waar beheersing essentieel is om een voedselveiligheidsgevaar te voorkomen of te elimineren, met een meetbare kritische grenswaarde en monitoring die onmiddellijke correctie mogelijk maakt — een metaaldetector of een pasteur is typisch. Een oPRP beheerst een gevaar, maar heeft niet zo'n enkele meetbare grenswaarde met onmiddellijke corrigerende actie; reiniging bij allergenenomstelling is een veelvoorkomend voorbeeld. ISO 22000 verlangt dat de leverancier onderbouwt waarom elke beheersmaatregel die classificatie kreeg.

Hoe vaak wordt een gecertificeerde locatie werkelijk geauditeerd?

ISO 22000-certificering loopt normaal in een driejarige cyclus: een initiële certificatieaudit, daarna surveillance-audits, doorgaans jaarlijks, en vervolgens een hercertificatieaudit vóór het verstrijken. Dat betekent dat een certificaat qua laatste verificatie ter plaatse tot een jaar oud kan zijn. Het is een redelijke vraag aan een leverancier wanneer zijn meest recente surveillance-audit plaatsvond en of er nog bevindingen openstaan.

De documenten binnenhalen voordat u zich vastlegt

Certificering is het begin van de due diligence, niet het einde. Lees de scope, verifieer het nummer en verleg het gesprek daarna naar batchdocumenten, specificaties en een monsterorder — want dat zijn de artefacten die beschrijven wat u werkelijk zult ontvangen.

Wilt u zien hoe dit werkt met een echte specificatie op tafel, vertel ons dan het product, het volume en de markt waaraan u verkoopt, en vraag een offerte aan. Het certificaat, de scopeverklaring en de relevante testdocumentatie horen bij de aanbieding, niet bij de nabetaling na de inkooporder.