Практически каждый поставщик продуктов питания, которому вы напишете, пришлёт вам PDF-файл в течение первого часа переписки. На нём будет логотип, номер сертификата, дата окончания действия и надпись «ISO 22000:2018». Большинство покупателей подшивают этот файл, ставят галочку в анкете поставщика и идут дальше. Такая привычка объяснима — и одновременно это самое распространённое слабое место в проверке контрагентов при B2B-закупках продовольствия. Сертификат представляет собой сжатое утверждение о системе менеджмента, и, не зная, что именно в нём сжато, вы не можете судить, покрывает ли он тот продукт, который собираетесь купить.
Это руководство разбирает именно ISO 22000: что стандарт обязывает делать сертифицированную площадку, как он соотносится с HACCP как методом, какое место занимает рядом со схемами розничных сетей вроде BRCGS и IFS Food, как читать четыре действительно важных поля сертификата и — та часть, о которой поставщики редко говорят сами, — чего ISO 22000 не может сообщить вам о паллете, приезжающей на ваш склад. Более широкую картину сертификатов пищевой безопасности и производства, включая варианты GMP и общие приёмы проверки, даёт наш обзор ISO, HACCP и GMP; эта статья — углублённый разбор одного стандарта.
Что такое ISO 22000 на самом деле
ISO 22000 — это стандарт системы менеджмента безопасности пищевой продукции (СМБПП), опубликованный Международной организацией по стандартизации. Действующая редакция, ISO 22000:2018, применима к любой организации в пищевой цепи — фермерам, переработчикам, фасовщикам, перевозчикам, производителям упаковки, поставщикам ингредиентов — независимо от размера и продукта.
Его определяющая черта в том, что это стандарт системы менеджмента, построенный на той же структуре высокого уровня, что и ISO 9001. Это значит, что требования — не только технические гигиенические правила; это организационные обязательства. Сертифицированная площадка доказала стороннему аудитору, что у неё документально оформлено и подтверждено практикой следующее:
- Контекст и заинтересованные стороны. Организация определила применимые к ней регуляторные, клиентские и рыночные требования и соответствующим образом задала область действия СМБПП.
- Лидерство и политика в области пищевой безопасности. За систему отвечает высшее руководство, а не только отдел качества, и существует группа безопасности пищевой продукции с назначенным руководителем.
- Планирование с учётом рисков. Определены риски и возможности, влияющие на результативность в области пищевой безопасности, с привязкой к измеримым целям.
- Программы обязательных предварительных мероприятий (PRP). Базовые условия: планировка зданий и оборудования, мойка и санитарная обработка, борьба с вредителями, гигиена персонала, качество воды и воздуха, обращение с отходами, одобрение поставщиков, управление аллергенами.
- Анализ опасностей. Биологические, химические, физические и аллергенные опасности определены для каждого шага каждого процесса и оценены по тяжести и вероятности.
- Меры управления, разделённые на oPRP и ККТ. Это аналитическое ядро стандарта. Каждая мера классифицируется либо как производственная программа обязательных предварительных мероприятий, либо как критическая контрольная точка, и для каждой заданы пределы, мониторинг, коррекция и корректирующие действия.
- Прослеживаемость и готовность к чрезвычайным ситуациям. Прослеживаемость «шаг назад — шаг вперёд» плюс процедура изъятия и отзыва, которая была протестирована, а не просто написана.
- Верификация, внутренний аудит, анализ со стороны руководства, улучшение. Доказательства того, что система проверяет сама себя и что найденное действительно что-то меняет.
Ключевое слово здесь — доказано. Аудитор не принимает документ политики как доказательство существования политики. Он запрашивает записи: журналы мониторинга с датами и подписями, отчёты об отклонениях с отметкой о закрытии, свидетельства о поверке, записи об обучении, учебный отзыв продукции с результатом сведения массового баланса.
ISO 22000 против HACCP: система против метода
Именно здесь концентрируется путаница у покупателей, и поставщики иногда пользуются этой двусмысленностью.
HACCP — это метод. Анализ опасностей и критические контрольные точки — структурированный подход из семи принципов к выявлению опасностей и управлению ими в определённых точках процесса. Он кодифицирован на международном уровне через Codex Alimentarius, а в Европейском союзе операторы пищевого бизнеса юридически обязаны внедрить процедуры, основанные на принципах HACCP, согласно правилам гигиены пищевых продуктов — обязанность, вытекающая из общей рамки пищевого законодательства, заданной Регламентом (ЕС) № 178/2002 и построенными на нём гигиеническими регламентами. Поэтому HACCP не является отличительным преимуществом. У каждого законопослушного пищевого предприятия в ЕС есть процедуры HACCP — точно так же, как у каждого допущенного к дорогам автомобиля есть тормоза.
ISO 22000 — это сертифицируемая система менеджмента, которая содержит HACCP внутри себя. Она берёт метод HACCP и обёртывает его в программы обязательных предварительных мероприятий, документированную ответственность руководства, внутренний аудит, прослеживаемость и постоянное улучшение, а затем подвергает всю конструкцию стороннему аудиту на регулярном цикле.
На рынке есть и третья вещь: «сертификат HACCP». Такие сертификаты существуют, они добровольны и выдаются органами по сертификации по различным частным схемам или напрямую по принципам Codex. Их ценность колоссально зависит от того, кто их выдал. Сертификат HACCP от аккредитованного органа с внятной формулировкой области действия — реальная, пусть и более узкая, гарантия. «Сертификат HACCP» без названия схемы и без знака аккредитации сообщает вам немногим больше того, что кому-то заплатили за его печать.
Практическое правило для покупателя: вопрос «есть ли у вас HACCP?» вызывает «да» практически у всех. Вопрос «к какой системе менеджмента безопасности пищевой продукции вы сертифицированы, каким органом, под какой аккредитацией, и можно ли увидеть формулировку области действия?» сортирует поставщиков за одно письмо.
ISO 22000 против BRCGS, IFS Food и FSSC 22000
Их часто подают как конкурентов ISO 22000. Правильнее понимать их как другую категорию: схемы, инициированные розничными сетями, разработанные ритейлом или для ритейла, чтобы стандартизировать аудиты поставщиков, и признанные в рамках процесса бенчмаркинга Global Food Safety Initiative (GFSI).
Сам по себе ISO 22000 не признан GFSI. Путь к такому признанию — FSSC 22000: он объединяет ISO 22000 со специфичными для отрасли спецификациями программ предварительных мероприятий (серия ISO/TS 22002) и дополнительными требованиями схемы, и уже этот пакет признан GFSI.
У различия есть прямое коммерческое следствие. Если ваш конечный клиент — европейская продуктовая сеть, размещающая собственную торговую марку, её политика одобрения поставщиков почти наверняка назовёт именно BRCGS, IFS Food или FSSC 22000, и одного ISO 22000 будет недостаточно. Если же вы закупщик ингредиентов, бренд БАД, разработчик напитков, дистрибьютор для HoReCa или e-commerce-бренд, ISO 22000 плюс добротная партионная документация часто оказываются адекватным и соразмерным уровнем гарантии.
| Стандарт | Что это такое | Кем обычно требуется | Цикл аудита | Признание GFSI |
|---|---|---|---|---|
| HACCP (принципы Codex) | Метод управления опасностями, юридически обязательный в ЕС как процедура | Регуляторы; базовый уровень для всех пищевых предприятий | Не применяется (надзорная инспекция) | Нет |
| Сертификат HACCP | Добровольная сторонняя сертификация по схеме HACCP | Небольшие покупатели, отдельные тендеры | Обычно ежегодно | Нет |
| ISO 22000:2018 | Полноценная система менеджмента пищевой безопасности, включающая HACCP | Закупщики ингредиентов, B2B-производители, дистрибьюторы, экспортёры | Трёхлетний цикл с ежегодным надзором | Нет |
| FSSC 22000 | ISO 22000 + отраслевая спецификация PRP + требования схемы | Производители, поставляющие клиентам с требованиями GFSI | Трёхлетний цикл с ежегодными (часто необъявленными) аудитами | Да |
| BRCGS Food Safety | Стандарт розничного происхождения, сильно ориентирован на продукт и площадку, с оценкой | Британский и международный ритейл, СТМ | Ежегодно, с грейдом (от AA до D) | Да |
| IFS Food | Стандарт розничного происхождения из немецкого и французского ритейла | Ритейл DACH и Франции, СТМ | Ежегодно, с баллом | Да |
Читайте ту строку, которая соответствует вашему клиенту, а не ту, которую предпочитает обсуждать ваш поставщик. Поставщик с ISO 22000 не «менее безопасен», чем поставщик с IFS Food; он сертифицирован по системному стандарту, а не по розничной схеме, и если ваш канал сбыта не требует розничной схемы, оплата такой сертификации ничего не изменит в самом продукте.
Как читать сертификат ISO 22000
Четыре поля решают, релевантен ли сертификат вашей закупке. Всё остальное на странице — дизайн.
1. Область действия (scope). Именно это поле чаще всего обесценивает сертификат применительно к конкретной сделке. Область действия указывает, какие виды деятельности и какие категории продукции покрывает СМБПП. «Производство, фасовка и хранение сухофруктов и растительного сырья» — рабочая формулировка. «Менеджмент пищевой безопасности» без ссылки на продукт — нет. Если вы покупаете эфирное масло, а в области действия указана только переработка сухофруктов, сертификат не покрывает предмет вашей закупки. Поставщик при этом всё ещё может быть отличным поставщиком, но вам нужно знать, какие из его операций находятся внутри системы, а какие — вне её.
2. Адрес площадки. Сертификация привязана к площадкам, а не к брендам или торговым компаниям. Многоплощадочная группа может иметь сертификат на один завод и не иметь на другой; торговая компания может держать сертификат на свой склад, тогда как производство идёт совсем в другом месте. Проверьте, что адрес в сертификате — это адрес, где ваш товар действительно будет произведён. Когда поставщик передаёт этап процесса на подряд — помол, резку, фасовку, стерилизацию, — статус этого подрядчика является отдельным вопросом, и добросовестный поставщик ответит на него без сопротивления.
3. Срок действия и номер сертификата. Фиксируйте дату выдачи, дату окончания и номер сертификата как три отдельных факта. Сертификат внутри заявленного срока действия всё равно мог быть приостановлен между надзорными аудитами — именно поэтому важен номер: это ваш ключ поиска в публичном реестре органа по сертификации.
4. Орган по сертификации и аккредитация. Сертификат стоит ровно столько, сколько стоит выдавший его орган, а орган стоит ровно столько, сколько стоит его аккредитация. Ищите знак аккредитации национального органа по аккредитации, подписавшего многостороннее соглашение о признании IAF MLA — UKAS, DAkkS, ACCREDIA, RvA, COFRAC, ANAB, TÜRKAK и их аналоги. Неаккредитованный орган по сертификации не автоматически мошеннический, но он находится вне цепочки взаимного признания, которая и придаёт сертификату смысл в глазах ваших собственных аудиторов и клиентов.
| Поле сертификата | Как выглядит хорошо | Что должно вызвать вопрос |
|---|---|---|
| Стандарт и редакция | «ISO 22000:2018» | «ISO 22000» без года или устаревшая редакция |
| Область действия | Названы виды деятельности и категории продукции | Общие формулировки; продуктовые группы, которые вы не покупаете |
| Площадка | Полный физический адрес производственной площадки | Только головной офис или торговый адрес |
| Срок действия | Даты выдачи и окончания, внутри срока | Истёк или истекает внутри вашего производственного окна |
| Номер сертификата | Присутствует и находится в реестре органа | Отсутствует или в реестре ничего не находится |
| Аккредитация | Знак аккредитации подписанта IAF MLA | Ссылки на аккредитацию нет вовсе |
Сама проверка занимает около десяти минут. Найдите в онлайн-справочнике органа по сертификации номер сертификата или название компании и убедитесь, что область действия, площадка и срок совпадают с присланным вам PDF. Расхождения между реестром и документом — самый сильный одиночный сигнал, который вы получите на этапе онбординга поставщика.
Что ISO 22000 доказывает и чего не может доказать
ISO 22000 доказывает, что система существовала и работала достаточно хорошо, чтобы удовлетворить аудитора в те дни, когда проходил аудит, в пределах видов деятельности, названных в области действия. Это по-настоящему ценно. Но это не то же самое, что утверждение о вашей партии.
В частности, ISO 22000 не сообщает вам:
- Соответствовала ли ваша партия спецификации. Для этого существует партионный сертификат анализа. Наши материалы о том, как читать CoA на сухофрукты и как интерпретировать протоколы испытаний растительного сырья, разбирают параметры и методы, которые действительно описывают ваш товар.
- Соответствует ли происхождение сырья тому, что вам сказали. Сертификация покрывает процесс; происхождение — вопрос прослеживаемости и документов, разобранный в нашем руководстве по учёту партий и прослеживаемости в ЕС.
- Обладает ли продукт каким-либо конкретным атрибутом. Органический статус, халяльный или кошерный статус, заявления Fairtrade — это отдельные сертификации с отдельными областями действия и отдельными реестрами. ISO 22000 не говорит ни о чём из этого; см. руководство по органической сертификации и руководство по халяльной и кошерной сертификации, чтобы понять, как их проверяют.
- Будет ли поставщик вести себя достойно под коммерческим давлением. Сертифицируются системы. Поведение при неурожае, ценовом скачке или задержке отгрузки выявляется пробным заказом, пилотной партией и первой реальной проблемой, а не PDF-файлом. Наша статья о лучших практиках пробного заказа построена ровно вокруг такой последовательности проверок.
Правильная ментальная модель: сертификация — это фильтр, а не решение. Она отсеивает поставщиков, которые не могут продемонстрировать систему. Она не выбирает среди тех, кто может.
Как собрать досье поставщика вокруг сертификата
Защитимое досье входного контроля по новому B2B-поставщику обычно содержит сам сертификат плюс пять вещей вокруг него:
- Скриншот или ссылку на реестр, подтверждающие, что сертификат действует, с датой вашей проверки.
- Формулировку области действия, сохранённую отдельно и сопоставленную с точным перечнем продукции в вашем заказе.
- Свежий партионный CoA по сопоставимому лоту, с указанием методов испытаний, а не только результатов.
- Спецификацию, подписанную вами и поставщиком, включая параметры, по которым вы будете отклонять товар.
- Ответ по прослеживаемости: что кодирует номер партии, насколько глубоко назад поставщик может проследить сырьё и как быстро он сведёт массовый баланс по вашему запросу.
Если поставщик выдаёт все пять пунктов без напоминаний, ваш профиль риска уже лучше, чем у большинства первых заказов. Если сертификат приходит мгновенно, а остальные четыре пункта выбиваются три недели, само это соотношение — уже результат проверки.
Arovela работает по ISO 22000, ISO 9001 и ISO 27001 — менеджмент пищевой безопасности, менеджмент качества и менеджмент информационной безопасности для коммерческой и документационной части бизнеса. Мы не имеем розничных схем вроде BRCGS или IFS Food и говорим об этом прямо, а не даём покупателю обнаружить это после того, как спецификация уже составлена. Производство расположено на нашей площадке в Сындыргы (Балыкесир), распределительный склад — в Золингене, Германия, обслуживающий клиентов из ЕС; сертификат, формулировку области действия и партионную документацию мы пришлём одним и тем же письмом — потому что нам нужны те покупатели, которые проверяют.
Часто задаваемые вопросы
Обязателен ли ISO 22000 для экспорта продуктов питания в ЕС?
Нет. Обязательным является соблюдение пищевого законодательства ЕС: процедуры на основе HACCP, прослеживаемость, гигиенические требования, пределы по контаминантам и остаткам, корректная маркировка. ISO 22000 — добровольная сертификация, демонстрирующая управляемую систему выполнения этих обязательств. Многие импортёры в ЕС требуют её по договору, хотя ни один регламент этого не требует.
Мой клиент требует BRCGS. Может ли поставщик с ISO 22000 всё же подойти?
Для розничной СТМ — обычно нет: политика одобрения ритейлера называет конкретную схему. Для ингредиентов, которые вы дорабатываете на собственном заводе с сертификатом BRCGS, — часто да, поскольку ваша собственная сертификация покрывает готовый продукт, а входящее сырьё регулируется вашей процедурой одобрения поставщиков. Проверьте требования вашей схемы к критериям одобренного поставщика, прежде чем исключать контрагента.
Как убедиться, что сертификат подлинный?
Введите номер сертификата в публичный реестр клиентов выдавшего органа, а затем подтвердите, что сам орган по сертификации аккредитован подписантом IAF MLA. Сверьте три поля с PDF: юридическое наименование компании, адрес площадки и формулировку области действия. Если хотя бы одно из трёх расходится, попросите поставщика объяснить расхождение до продолжения работы.
В чём разница между oPRP и ККТ?
И то и другое — меры управления. ККТ (критическая контрольная точка) — это шаг, где управление необходимо для предотвращения или устранения опасности, с измеримым критическим пределом и мониторингом, допускающим немедленную коррекцию; типичные примеры — металлодетектор или пастеризатор. oPRP управляет опасностью, но не имеет такого единственного измеримого предела с немедленным корректирующим действием; распространённый пример — мойка при переходе между аллергенными продуктами. ISO 22000 требует от поставщика обосновать, почему каждая мера получила ту или иную классификацию.
Как часто на самом деле аудируют сертифицированную площадку?
Сертификация по ISO 22000 обычно идёт трёхлетним циклом: первичный сертификационный аудит, затем надзорные аудиты (как правило, ежегодные), затем ресертификационный аудит перед истечением срока. Это значит, что с момента последней проверки на площадке может пройти до года. Вполне уместно спросить поставщика, когда состоялся его последний надзорный аудит и остаются ли открытые несоответствия.
Получите документы до того, как возьмёте обязательства
Сертификация — начало проверки контрагента, а не её завершение. Прочитайте область действия, проверьте номер, а затем переводите разговор на партионные документы, спецификации и пробный заказ, потому что именно эти артефакты описывают то, что вы действительно получите.
Если хотите увидеть, как это работает на конкретной спецификации, назовите продукт, объём и рынок, на который вы продаёте, и запросите коммерческое предложение. Сертификат, формулировка области действия и релевантная испытательная документация приходят вместе с предложением, а не после заказа.