Nesten hver eneste matvareleverandør du kontakter, sender deg en PDF innen den første timen av samtalen. Den har en logo, et sertifikatnummer, en utløpsdato og ordene «ISO 22000:2018». De fleste kjøpere arkiverer den, krysser av i leverandørskjemaet og går videre. Vanen er forståelig, og den er samtidig det enkeltstående vanligste svake punktet i due diligence ved B2B-innkjøp av mat, for et sertifikat er en komprimert påstand om et styringssystem — og med mindre du vet hva som ble komprimert, kan du ikke avgjøre om det dekker akkurat det produktet du er i ferd med å kjøpe.
Denne guiden pakker ut ISO 22000 spesifikt: hva standarden forplikter et sertifisert anlegg til å gjøre, hvordan den forholder seg til HACCP som metode, hvordan den plasserer seg ved siden av kjededrevne ordninger som BRCGS og IFS Food, hvordan du leser de fire feltene på et sertifikat som faktisk betyr noe, og — den delen leverandørene sjelden tilbyr av seg selv — hva ISO 22000 ikke kan fortelle deg om pallen som ankommer lageret ditt. For det bredere landskapet av mattrygghets- og produksjonssertifiseringer, inkludert GMP-varianter og generelle verifiseringsteknikker, er vår oversikt over ISO, HACCP og GMP fortsatt det store kartet; denne artikkelen er dypdykket i én enkelt standard.
Hva ISO 22000 faktisk er
ISO 22000 er en standard for styringssystem for mattrygghet (FSMS) utgitt av International Organization for Standardization. Gjeldende utgave, ISO 22000:2018, gjelder for enhver virksomhet i matkjeden — dyrkere, foredlere, pakkerier, transportører, emballasjeprodusenter, ingrediensleverandører — uavhengig av størrelse og produkt.
Det definerende trekket er at dette er en standard for et styringssystem, bygget på den samme overordnede strukturen som ISO 9001. Det betyr at kravene ikke bare er tekniske hygieneregler; de er organisatoriske forpliktelser. Et sertifisert anlegg har dokumentert overfor en tredjepartsrevisor at det driver følgende som dokumentert og etterprøvbar praksis:
- Kontekst og interessenter. Virksomheten har identifisert de myndighets-, kunde- og markedskravene som gjelder for den, og definert omfanget av styringssystemet deretter.
- Ledelse og mattrygghetspolitikk. Toppledelsen er ansvarlig for systemet, ikke bare kvalitetsavdelingen, og det finnes et mattrygghetsteam med en navngitt leder.
- Planlegging rundt risiko. Risikoer og muligheter som påvirker mattrygghetsytelsen er identifisert, med målbare mål knyttet til seg.
- Grunnforutsetninger (PRP-er). De grunnleggende betingelsene: bygnings- og utstyrsutforming, renhold og desinfeksjon, skadedyrkontroll, personlig hygiene, vann- og luftkvalitet, avfallshåndtering, leverandørgodkjenning, allergenhåndtering.
- Fareanalyse. Biologiske, kjemiske, fysiske og allergenrelaterte farer identifisert for hvert trinn i hver prosess, vurdert etter alvorlighetsgrad og sannsynlighet.
- Kontrolltiltak delt i oPRP-er og CCP-er. Dette er standardens analytiske kjerne. Hvert kontrolltiltak klassifiseres enten som et operasjonelt grunnforutsetningsprogram eller som et kritisk styringspunkt, hvert med definerte grenser, overvåking, korreksjon og korrigerende tiltak.
- Sporbarhet og beredskap. Sporbarhet ett ledd bakover og ett ledd framover, pluss en prosedyre for tilbaketrekking og tilbakekalling som er testet, ikke bare skrevet.
- Verifisering, internrevisjon, ledelsens gjennomgåelse, forbedring. Bevis for at systemet kontrollerer seg selv, og for at funn faktisk endrer noe.
Ordet du bør holde fast ved, er etterprøvbart. En revisor godtar ikke et policydokument som bevis på en policy. Revisoren ber om registreringer: overvåkingslogger med dato og signatur, avviksrapporter med lukking, kalibreringsbevis, opplæringsdokumentasjon, en tilbakekallingsøvelse med massebalanse som resultat.
ISO 22000 kontra HACCP: et system kontra en metode
Det er her forvirringen hos kjøpere samler seg, og enkelte leverandører utnytter tvetydigheten.
HACCP er en metode. Hazard Analysis and Critical Control Points er en strukturert tilnærming med sju prinsipper for å identifisere farer og kontrollere dem på definerte punkter i en prosess. Metoden er internasjonalt kodifisert gjennom Codex Alimentarius, og i EU er næringsmiddelvirksomheter rettslig forpliktet til å innføre prosedyrer basert på HACCP-prinsippene etter hygieneregelverket — en plikt som springer ut av det generelle matlovsrammeverket i forordning (EF) nr. 178/2002 og hygieneforordningene bygget på det. Gjennom EØS-avtalen gjelder det samme regelverket i praksis også for norske virksomheter. HACCP er derfor ikke et fortrinn. Enhver regelverkskonform næringsmiddelvirksomhet har HACCP-prosedyrer, på samme måte som enhver bil som er lovlig på veien, har bremser.
ISO 22000 er et sertifiserbart styringssystem som inneholder HACCP. Standarden tar HACCP-metoden og pakker den inn i grunnforutsetningsprogrammer, dokumentert ledelsesansvar, internrevisjon, sporbarhet og kontinuerlig forbedring — og underlegger så hele pakken tredjepartsrevisjon i en gjentakende syklus.
Det finnes også en tredje ting i markedet: et «HACCP-sertifikat». Slike finnes, de er frivillige, og de utstedes av sertifiseringsorganer mot ulike private ordninger eller direkte mot Codex-prinsippene. Verdien varierer enormt med utstederen. Et HACCP-sertifikat fra et akkreditert organ med en tydelig omfangserklæring er en reell, om enn smalere, forsikring. Et «HACCP-sertifikat» uten navngitt ordning og uten akkrediteringsmerke forteller deg lite annet enn at noen ble betalt for å trykke det.
Den praktiske regelen for kjøpere: å spørre en leverandør «har dere HACCP?» inviterer til et ja fra så godt som alle. Å spørre «hvilket styringssystem for mattrygghet er dere sertifisert mot, av hvilket organ, under hvilken akkreditering, og kan jeg få se omfangserklæringen?» er et spørsmål som sorterer leverandører i løpet av én e-post.
ISO 22000 kontra BRCGS, IFS Food og FSSC 22000
Disse presenteres ofte som konkurrenter til ISO 22000. De forstås bedre som en annen kategori: kjededrevne ordninger, utviklet av eller for dagligvarehandelen for å standardisere leverandørrevisjoner, og anerkjent gjennom benchmarkingprosessen til Global Food Safety Initiative (GFSI).
ISO 22000 alene er ikke GFSI-anerkjent. FSSC 22000 er ruten som gjør den til det: FSSC 22000 kombinerer ISO 22000 med sektorspesifikke spesifikasjoner for grunnforutsetningsprogrammer (ISO/TS 22002-serien) og tilleggskrav fra ordningen, og den pakken er GFSI-anerkjent.
Dette skillet har en direkte kommersiell konsekvens. Er sluttkunden din en europeisk dagligvarekjede som legger ut private label, vil leverandørgodkjenningspolicyen deres etter alt å dømme navngi BRCGS, IFS Food eller FSSC 22000 spesifikt, og ISO 22000 alene vil ikke tilfredsstille den. Er du ingrediensinnkjøper, kosttilskuddsmerke, drikkeutvikler, storhusholdningsdistributør eller e-handelsmerke, er ISO 22000 pluss solid batchdokumentasjon ofte det riktige og forholdsmessige nivået av sikkerhet.
| Standard | Hva det er | Vanligvis krevd av | Revisjonssyklus | GFSI-anerkjent |
|---|---|---|---|---|
| HACCP (Codex-prinsipper) | En metode for farekontroll, rettslig påbudt i EU/EØS som prosedyre | Myndigheter; grunnlinje for all næringsmiddelvirksomhet | Ikke aktuelt (offentlig tilsyn) | Nei |
| HACCP-sertifikat | Frivillig tredjepartssertifisering mot en HACCP-ordning | Mindre kjøpere, enkelte anbud | Vanligvis årlig | Nei |
| ISO 22000:2018 | Fullt styringssystem for mattrygghet som inkluderer HACCP | Ingrediensinnkjøpere, B2B-produsenter, distributører, eksportører | Treårssyklus med årlig oppfølging | Nei |
| FSSC 22000 | ISO 22000 + sektor-PRP-spesifikasjon + krav fra ordningen | Produsenter som leverer til GFSI-drevne kunder | Treårssyklus med årlige (ofte uanmeldte) revisjoner | Ja |
| BRCGS Food Safety | Kjededrevet standard, sterkt produkt- og anleggsorientert, gradert | Britisk og internasjonal dagligvare, private label | Årlig, gradert (AA til D) | Ja |
| IFS Food | Kjededrevet standard fra tysk og fransk dagligvarehandel | DACH-området og fransk dagligvare, private label | Årlig, poengsatt | Ja |
Les raden som passer kunden din, ikke raden leverandøren helst vil snakke om. En leverandør med ISO 22000 er ikke «mindre trygg» enn en med IFS Food; de er sertifisert mot en systemstandard i stedet for en detaljhandelsordning, og hvis kanalen din ikke krever detaljhandelsordningen, endrer det ingenting ved produktet å betale for en.
Slik leser du et ISO 22000-sertifikat
Fire felt avgjør om et sertifikat er relevant for kjøpet ditt. Alt annet på siden er design.
1. Omfang (scope). Dette er feltet som oftest gjør et sertifikat irrelevant for en gitt transaksjon. Omfanget angir hvilke aktiviteter og hvilke produktkategorier styringssystemet dekker. «Produksjon, pakking og lagring av tørket frukt og urtebotanikk» er et brukbart omfang. «Mattrygghetsstyring» uten produktreferanse er det ikke. Kjøper du en eterisk olje og omfanget bare nevner bearbeiding av tørket frukt, dekker ikke sertifikatet det du kjøper — leverandøren kan fortsatt være helt utmerket, men du må vite hvilke av operasjonene deres som ligger innenfor systemet og hvilke som ligger utenfor.
2. Anleggsadresse. Sertifisering knytter seg til anlegg, ikke til merkevarer eller handelsselskaper. Et konsern med flere anlegg kan ha sertifisering for én fabrikk og ikke for en annen; et handelsselskap kan ha sertifisering for lageret sitt mens produksjonen skjer et helt annet sted. Kontroller at adressen på sertifikatet er adressen der varene dine faktisk vil bli produsert. Når en leverandør setter bort et prosesstrinn — maling, kutting, pakking, sterilisering — er underleverandørens status et eget spørsmål, og en seriøs leverandør svarer på det uten friksjon.
3. Gyldighet og sertifikatnummer. Noter utstedelsesdato, utløpsdato og sertifikatnummer som tre separate fakta. Et sertifikat innenfor sitt oppgitte gyldighetsvindu kan likevel ha blitt suspendert mellom oppfølgingsrevisjoner, og det er nettopp derfor nummeret betyr noe: det er oppslagsnøkkelen din i sertifiseringsorganets offentlige register.
4. Sertifiseringsorgan og akkreditering. Et sertifikat er verdt det utstedende organet er verdt, og det utstedende organet er verdt det akkrediteringen er verdt. Se etter akkrediteringsmerket til et nasjonalt akkrediteringsorgan som har signert IAFs multilaterale anerkjennelsesavtale (IAF MLA) — Norsk akkreditering, UKAS, DAkkS, ACCREDIA, RvA, COFRAC, ANAB, TÜRKAK og tilsvarende. Et uakkreditert sertifiseringsorgan er ikke automatisk uredelig, men det står utenfor den kjeden av gjensidig anerkjennelse som gir sertifikatet mening for dine egne revisorer og kunder.
| Felt på sertifikatet | Hvordan det bør se ut | Hva som bør utløse et spørsmål |
|---|---|---|
| Standard og utgave | «ISO 22000:2018» | «ISO 22000» uten årstall, eller en utdatert utgave |
| Omfang | Navngitte aktiviteter og navngitte produktkategorier | Generisk ordlyd; produktfamilier du ikke kjøper |
| Anlegg | Full fysisk adresse til produksjonsstedet | Bare hovedkontor- eller handelsadresse |
| Gyldighet | Utstedelses- og utløpsdato, innenfor vinduet | Utløpt, eller utløp innenfor produksjonsvinduet ditt |
| Sertifikatnummer | Til stede, og mulig å finne i utstederens register | Fraværende, eller ingen treff i registeret |
| Akkreditering | Akkrediteringsmerke fra IAF MLA-signatar | Ingen henvisning til akkreditering i det hele tatt |
Selve verifiseringen tar omtrent ti minutter. Søk i sertifiseringsorganets nettbaserte katalog etter sertifikatnummer eller firmanavn, og bekreft at omfang, anlegg og utløp stemmer med PDF-en du fikk tilsendt. Avvik mellom registeret og dokumentet er det sterkeste enkeltsignalet du får under onboarding av en leverandør.
Hva ISO 22000 beviser — og hva den ikke kan
ISO 22000 beviser at et system fantes og fungerte godt nok til å tilfredsstille en revisor de dagene revisjonen fant sted, på tvers av aktivitetene som er navngitt i omfanget. Det er reelt verdifullt. Det er ikke det samme som en uttalelse om din forsendelse.
Konkret forteller ISO 22000 deg ikke:
- Om batchen din holdt spesifikasjonen. Det er hva et analysesertifikat (CoA) for batchen er til for. Guidene våre om å lese en CoA for tørket frukt og om å tolke testrapporter for botaniske råvarer dekker parameterne og metodene som faktisk beskriver varene dine.
- Om råvarens opprinnelse er det du fikk opplyst. Sertifisering dekker prosessen; opprinnelse er et spørsmål om sporbarhet og dokumentasjon, som behandles i vår guide til EUs lotsporing og sporbarhet.
- Om produktet bærer en bestemt egenskap. Økologisk status, halal- eller kosherstatus og fairtrade-påstander er separate sertifiseringer med separate omfang og separate registre. ISO 22000 sier ingenting om noen av dem; se guiden til økologisk sertifisering og guiden til halal- og kosherinnkjøp for hvordan disse verifiseres.
- Om leverandøren oppfører seg godt under kommersielt press. Systemer sertifiseres. Atferd under en svak avling, et prishopp eller en forsinket forsendelse avdekkes av en prøveordre, en pilotproduksjon og det første virkelige problemet — ikke av en PDF. Artikkelen vår om beste praksis for prøveordrer er skrevet nettopp rundt den testsekvensen.
Den riktige mentale modellen: sertifisering er et filter, ikke en beslutning. Den fjerner leverandører som ikke kan dokumentere et system. Den velger ikke blant dem som kan.
Bygg leverandørmappen rundt sertifikatet
En forsvarlig mappe for varemottak fra en ny B2B-leverandør inneholder som regel sertifikatet pluss fem ting rundt det:
- Skjermbildet eller lenken fra registeret som bekrefter at sertifikatet er aktivt, med datoen du sjekket.
- Omfangserklæringen, lagret separat, koblet mot de nøyaktige produktene på innkjøpsordren din.
- En fersk batch-CoA for et sammenlignbart parti, med testmetodene navngitt — ikke bare resultatene.
- Spesifikasjonsarket som du og leverandøren begge har signert, inkludert parameterne du vil reklamere mot.
- Sporbarhetssvaret: hva lotkoden koder, hvor langt bakover leverandøren kan spore, og hvor raskt de kan produsere en massebalanse hvis du ber om det.
Klarer en leverandør å levere alle fem uten purring, er risikoprofilen din allerede bedre enn ved de fleste førstegangsordrer. Kommer sertifikatet umiddelbart mens de fire andre tar tre uker med purring, er selve forholdet et funn i seg selv.
Arovela opererer under ISO 22000, ISO 9001 og ISO 27001 — styring av mattrygghet, kvalitetsstyring og informasjonssikkerhetsstyring for den kommersielle siden og dokumentasjonssiden av virksomheten. Vi har ikke detaljhandelsordninger som BRCGS eller IFS Food, og vi sier det rett ut i stedet for å la en kjøper oppdage det etter at en spesifikasjon er utarbeidet. Produksjonen foregår ved anlegget vårt i Sındırgı, Balıkesir, med et distribusjonslager i Solingen i Tyskland som betjener kunder i EU, og vi sender sertifikatet, omfangserklæringen og batchdokumentasjonen i samme svar — fordi kjøperne vi ønsker oss, er de som kontrollerer.
Ofte stilte spørsmål
Er ISO 22000 obligatorisk for å eksportere mat til EU?
Nei. Det som er obligatorisk, er å etterleve EUs matlovgivning: HACCP-baserte prosedyrer, sporbarhet, hygienekrav, grenseverdier for forurensninger og restmengder, og korrekt merking. ISO 22000 er en frivillig sertifisering som viser et styrt system for å oppfylle disse pliktene. Mange importører i EU krever den likevel kontraktsmessig, selv om ingen forordning gjør det.
Kunden min krever BRCGS. Kan en ISO 22000-leverandør fortsatt brukes?
For private label i dagligvare som regel ikke — kjedens godkjenningspolicy navngir ordningen. For ingredienser som du videreforedler i ditt eget BRCGS-sertifiserte anlegg, går det ofte, fordi din egen sertifisering dekker ferdigproduktet og din prosedyre for leverandørgodkjenning styrer innkommende råvarer. Sjekk kriteriene for godkjente leverandører i din egen ordning før du utelukker en leverandør.
Hvordan kontrollerer jeg om et sertifikat er ekte?
Bruk sertifikatnummeret i det utstedende organets offentlige kunderegister, og bekreft deretter at sertifiseringsorganet selv er akkreditert av en IAF MLA-signatar. Sammenlign tre felt med PDF-en: juridisk firmanavn, anleggsadresse og ordlyden i omfanget. Avviker ett av de tre, be leverandøren forklare før du går videre.
Hva er forskjellen på en oPRP og en CCP?
Begge er kontrolltiltak. En CCP er et trinn der kontroll er avgjørende for å forhindre eller eliminere en mattrygghetsfare, med en målbar kritisk grense og overvåking som gjør umiddelbar korreksjon mulig — en metalldetektor eller en pasteurisør er typiske eksempler. En oPRP kontrollerer en fare, men har ikke den typen enkelt målbare grense med umiddelbar korrigering; rengjøring ved allergenskifte er et vanlig eksempel. ISO 22000 krever at leverandøren begrunner hvilken klassifisering hvert kontrolltiltak har fått.
Hvor ofte blir et sertifisert anlegg faktisk revidert?
ISO 22000-sertifisering går normalt i en treårssyklus: en innledende sertifiseringsrevisjon, deretter oppfølgingsrevisjoner, typisk årlig, og så en resertifiseringsrevisjon før utløp. Det betyr at et sertifikat kan være opptil ett år gammelt målt i siste verifisering på stedet. Det er et rimelig spørsmål å be leverandøren opplyse når siste oppfølgingsrevisjon fant sted, og om noen funn fortsatt står åpne.
Skaff dokumentene før du forplikter deg
Sertifisering er begynnelsen på due diligence, ikke slutten. Les omfanget, verifiser nummeret, og flytt så samtalen over på batchdokumenter, spesifikasjoner og en prøveordre — for det er de artefaktene som beskriver hva du faktisk kommer til å motta.
Vil du se hvordan dette fungerer med en reell spesifikasjon foran oss, så fortell oss produktet, volumet og markedet du selger inn i, og be om et tilbud. Sertifikatet, omfangserklæringen og relevant testdokumentasjon følger med tilbudet — ikke etter innkjøpsordren.