Nästan varje livsmedelsleverantör du kontaktar skickar en PDF inom den första timmen av konversationen. Den bär en logotyp, ett certifikatnummer, ett utgångsdatum och orden "ISO 22000:2018". De flesta inköpare arkiverar den, bockar av en ruta i leverantörsformuläret och går vidare. Vanan är begriplig och den är samtidigt den enskilt vanligaste svaga punkten i due diligence vid B2B-inköp av livsmedel, eftersom ett certifikat är ett hopkomprimerat uttalande om ett ledningssystem — och så länge du inte vet vad som komprimerades kan du inte avgöra om det täcker den produkt du står i begrepp att köpa.
Den här guiden packar upp just ISO 22000: vad standarden förpliktar en certifierad anläggning att göra, hur den förhåller sig till HACCP som metod, hur den står sig bredvid handelsdrivna scheman som BRCGS och IFS Food, hur du läser de fyra fält på ett certifikat som faktiskt betyder något och — den del leverantörer sällan berättar självmant — vad ISO 22000 inte kan säga dig om pallen som kommer till ditt lager. För det bredare landskapet av livsmedelssäkerhets- och tillverkningscertifieringar, inklusive GMP-varianter och allmän verifieringsteknik, är vår översikt över ISO, HACCP och GMP fortfarande den vidare kartan; den här artikeln är djupdykningen i en enda standard.
Vad ISO 22000 faktiskt är
ISO 22000 är en standard för ledningssystem för livsmedelssäkerhet (FSMS) publicerad av International Organization for Standardization. Den nuvarande utgåvan, ISO 22000:2018, gäller varje organisation i livsmedelskedjan — odlare, förädlare, packerier, transportörer, förpackningstillverkare, ingrediensleverantörer — oavsett storlek eller produkt.
Dess avgörande drag är att den är en standard för ett ledningssystem, byggd på samma högnivåstruktur som ISO 9001. Det innebär att kraven inte bara är tekniska hygienregler; de är organisatoriska skyldigheter. En certifierad anläggning har visat för en tredjepartsrevisor att den driver följande som dokumenterad och belagd praxis:
- Kontext och intressenter. Organisationen har identifierat de myndighets-, kund- och marknadskrav som gäller för den och har definierat FSMS-omfattningen därefter.
- Ledarskap och livsmedelssäkerhetspolicy. Högsta ledningen är ansvarig för systemet, inte bara kvalitetsavdelningen, och det finns ett livsmedelssäkerhetsteam med en namngiven ledare.
- Planering utifrån risk. Risker och möjligheter som påverkar prestandan inom livsmedelssäkerhet är identifierade, med mätbara mål kopplade till sig.
- Grundförutsättningsprogram (PRP). De grundläggande betingelserna: byggnads- och utrustningslayout, rengöring och sanitet, skadedjurskontroll, personalhygien, vatten- och luftkvalitet, avfallshantering, leverantörsgodkännande, allergenhantering.
- Faroanalys. Biologiska, kemiska, fysikaliska och allergena faror identifierade för varje steg i varje process, bedömda utifrån allvarlighetsgrad och sannolikhet.
- Styråtgärder uppdelade i oPRP och CCP. Detta är standardens analytiska kärna. Varje styråtgärd klassificeras antingen som ett operativt grundförutsättningsprogram eller som en kritisk styrpunkt, var och en med definierade gränsvärden, övervakning, korrigering och korrigerande åtgärd.
- Spårbarhet och krisberedskap. Spårbarhet ett steg bakåt och ett steg framåt, plus en rutin för indragning och återkallelse som har testats, inte bara skrivits ned.
- Verifiering, internrevision, ledningens genomgång, förbättring. Bevis för att systemet kontrollerar sig självt och att iakttagelser faktiskt förändrar något.
Ordet att hålla fast vid är belagd. En revisor godtar inte ett policydokument som bevis för en policy. De begär register: övervakningsloggar med datum och signaturer, avvikelserapporter med avslut, kalibreringsintyg, utbildningsregister, en återkallelseövning med ett massbalansresultat.
ISO 22000 kontra HACCP: ett system kontra en metod
Det är här inköparnas förvirring koncentreras, och leverantörer utnyttjar då och då tvetydigheten.
HACCP är en metod. Hazard Analysis and Critical Control Points är ett strukturerat angreppssätt i sju principer för att identifiera faror och styra dem vid definierade punkter i en process. Metoden är internationellt kodifierad genom Codex Alimentarius, och inom Europeiska unionen är livsmedelsföretagare rättsligt skyldiga att införa förfaranden grundade på HACCP-principerna enligt hygienreglerna — en skyldighet som flyter ur den allmänna livsmedelslagstiftningens ram i förordning (EG) nr 178/2002 och de hygienförordningar som byggts på den. HACCP är därför inte något som särskiljer. Varje regelefterlevande livsmedelsföretag i EU har HACCP-förfaranden, på samma sätt som varje bil som får köra på väg har bromsar.
ISO 22000 är ett certifierbart ledningssystem som innehåller HACCP. Standarden tar HACCP-metoden och lindar in den i grundförutsättningsprogram, dokumenterat ledningsansvar, internrevision, spårbarhet och ständig förbättring — och underkastar sedan hela paketet tredjepartsrevision i en återkommande cykel.
Det finns också en tredje sak på marknaden: ett "HACCP-certifikat". Sådana existerar, de är frivilliga och de utfärdas av certifieringsorgan mot olika privata scheman eller direkt mot Codex-principerna. Deras värde varierar enormt med utfärdaren. Ett HACCP-certifikat från ett ackrediterat organ med ett tydligt omfattningsuttalande är en verklig, om än smalare, försäkran. Ett "HACCP-certifikat" utan schemanamn och utan ackrediteringsmärke säger dig knappast mer än att någon fick betalt för att trycka det.
Den praktiska regeln för inköpare: att fråga en leverantör "har ni HACCP?" bjuder in ett ja från nästan alla. Att fråga "vilket ledningssystem för livsmedelssäkerhet är ni certifierade mot, av vilket organ, under vilken ackreditering, och får jag se omfattningsuttalandet?" är en fråga som sorterar leverantörer inom loppet av ett mejl.
ISO 22000 kontra BRCGS, IFS Food och FSSC 22000
Dessa presenteras ofta som konkurrenter till ISO 22000. De förstås bättre som en annan kategori av sak: handelsdrivna scheman, utvecklade av eller för dagligvaruhandeln för att standardisera leverantörsrevisioner, och erkända genom benchmarkingprocessen inom Global Food Safety Initiative (GFSI).
ISO 22000 är i sig inte GFSI-erkänd. FSSC 22000 är vägen som gör den till det: FSSC 22000 kombinerar ISO 22000 med sektorsspecifika specifikationer för grundförutsättningsprogram (ISO/TS 22002-serien) och ytterligare schemakrav, och det paketet är GFSI-erkänt.
Den distinktionen har en direkt kommersiell konsekvens. Om din slutkund är en europeisk dagligvarukedja som lägger ut private label kommer deras policy för leverantörsgodkännande med stor sannolikhet att namnge BRCGS, IFS Food eller FSSC 22000 specifikt, och ISO 22000 ensamt kommer inte att uppfylla den. Om du är ingrediensinköpare, kosttillskottsvarumärke, dryckesformulerare, foodservice-distributör eller e-handelsvarumärke är ISO 22000 plus gedigen batchdokumentation ofta den lämpliga och proportionerliga nivån av försäkran.
| Standard | Vad det är | Krävs vanligtvis av | Revisionscykel | GFSI-erkänd |
|---|---|---|---|---|
| HACCP (Codex-principer) | En metod för farostyrning, rättsligt obligatorisk i EU som förfarande | Myndigheter; baslinje för alla livsmedelsföretag | Ej tillämpligt (myndighetskontroll) | Nej |
| HACCP-certifikat | Frivillig tredjepartscertifiering mot ett HACCP-schema | Mindre köpare, vissa upphandlingar | Vanligtvis årlig | Nej |
| ISO 22000:2018 | Fullständigt ledningssystem för livsmedelssäkerhet som inbegriper HACCP | Ingrediensinköpare, B2B-tillverkare, distributörer, exportörer | Treårscykel med årlig övervakning | Nej |
| FSSC 22000 | ISO 22000 + sektorsspecifikation för PRP + schemakrav | Tillverkare som levererar till GFSI-drivna kunder | Treårscykel med årliga (ofta oanmälda) revisioner | Ja |
| BRCGS Food Safety | Standard med ursprung i handeln, starkt produkt- och anläggningsinriktad, betygsatt | Brittisk och internationell dagligvaruhandel, private label | Årlig, betygsatt (AA till D) | Ja |
| IFS Food | Standard med ursprung i tysk och fransk detaljhandel | DACH- och fransk handel, private label | Årlig, poängsatt | Ja |
Läs den rad som matchar din kund, inte den rad din leverantör föredrar att diskutera. En leverantör som har ISO 22000 är inte "mindre säker" än en som har IFS Food; de är certifierade mot en systemstandard snarare än ett handelsschema, och om din kanal inte kräver handelsschemat ändrar det ingenting om produkten att betala för ett.
Så läser du ett ISO 22000-certifikat
Fyra fält avgör om ett certifikat är relevant för ditt köp. Allt annat på sidan är formgivning.
1. Omfattning. Det är fältet som oftast ogiltigförklarar ett certifikat för en given affär. Omfattningen anger vilka aktiviteter och vilka produktkategorier FSMS täcker. "Produktion, packning och lagring av torkad frukt och örtbotaniska råvaror" är en användbar omfattning. "Livsmedelssäkerhetsledning" utan produkthänvisning är det inte. Om du köper en eterisk olja och omfattningen enbart namnger bearbetning av torkad frukt täcker certifikatet inte det du köper — leverantören kan fortfarande vara utmärkt, men du behöver veta vilken av deras verksamheter som ligger innanför systemet och vilken som ligger utanför.
2. Anläggningsadress. Certifiering knyts till anläggningar, inte till varumärken eller handelsbolag. En koncern med flera anläggningar kan ha certifiering för en fabrik men inte för en annan; ett handelsbolag kan ha certifiering för sitt lager medan tillverkningen sker någon helt annanstans. Kontrollera att adressen på certifikatet är den adress där dina varor faktiskt kommer att produceras. När en leverantör lägger ut ett processteg — malning, skärning, packning, sterilisering — är den underleverantörens status en separat fråga, och en seriös leverantör besvarar den utan friktion.
3. Giltighet och certifikatnummer. Notera utfärdandedatum, utgångsdatum och certifikatnummer som tre separata fakta. Ett certifikat inom sitt angivna giltighetsfönster kan ändå ha blivit suspenderat mellan övervakningsrevisioner, vilket är precis därför numret spelar roll: det är din uppslagsnyckel i certifieringsorganets offentliga register.
4. Certifieringsorgan och ackreditering. Ett certifikat är värt vad det utfärdande organet är värt, och det utfärdande organet är värt vad dess ackreditering är värd. Leta efter ackrediteringsmärket från ett nationellt ackrediteringsorgan som är signatär till IAF:s multilaterala erkännandeöverenskommelse — Swedac, UKAS, DAkkS, ACCREDIA, RvA, COFRAC, ANAB, TÜRKAK och deras motsvarigheter. Ett oackrediterat certifieringsorgan är inte automatiskt bedrägligt, men det står utanför den kedja av ömsesidigt erkännande som ger certifikatet dess mening för dina egna revisorer och kunder.
| Fält på certifikatet | Så ser det bra ut | Vad som bör väcka en fråga |
|---|---|---|
| Standard och utgåva | "ISO 22000:2018" | "ISO 22000" utan årtal, eller en ersatt utgåva |
| Omfattning | Namngivna aktiviteter och namngivna produktkategorier | Generisk formulering; produktfamiljer du inte köper |
| Anläggning | Fullständig fysisk adress till produktionsanläggningen | Endast huvudkontors- eller handelsadress |
| Giltighet | Utfärdande- och utgångsdatum, inom fönstret | Utgånget, eller utgång inom din produktionsperiod |
| Certifikatnummer | Finns med och går att hitta i utfärdarens register | Saknas, eller ingen träff i registret |
| Ackreditering | Ackrediteringsmärke från IAF MLA-signatär | Ingen ackrediteringshänvisning alls |
Själva verifieringen tar omkring tio minuter. Sök i certifieringsorganets webbkatalog på certifikatnumret eller företagsnamnet och bekräfta att omfattning, anläggning och utgångsdatum stämmer med den PDF du fick. Avvikelser mellan registret och dokumentet är den starkaste enskilda signal du kommer att få under leverantörsonboarding.
Vad ISO 22000 bevisar — och vad det inte kan
ISO 22000 bevisar att ett system fanns och fungerade tillräckligt väl för att tillfredsställa en revisor de dagar revisionen ägde rum, över de aktiviteter som namnges i omfattningen. Det är genuint värdefullt. Det är inte samma sak som ett uttalande om din sändning.
Närmare bestämt säger ISO 22000 dig inte:
- Om din batch uppfyllde specifikationen. Det är vad ett analyscertifikat för batchen är till för. Våra guider om att läsa ett CoA för torkad frukt och om att tolka botaniska testrapporter går igenom de parametrar och metoder som faktiskt beskriver dina varor.
- Om råvarans ursprung är det du fick höra. Certifiering täcker processen; ursprung är en fråga om spårbarhet och dokumentation, som behandlas i vår guide till EU:s partispårning och spårbarhet.
- Om produkten bär någon särskild egenskap. Ekologisk status, halal- eller kosherstatus och rättvisemärkningsanspråk är separata certifieringar med separata omfattningar och separata register. ISO 22000 säger ingenting om någon av dem; se guiden till ekologisk certifiering och guiden till halal- och kosherinköp för hur de verifieras.
- Om leverantören uppträder väl under kommersiell press. System certifieras. Beteende vid en svag skörd, en prisspik eller en försenad leverans avslöjas av en provorder, en pilotkörning och ett första verkligt problem, inte av en PDF. Vår artikel om bästa praxis för provorder är skriven kring exakt den testsekvensen.
Rätt tankemodell: certifiering är ett filter, inte ett beslut. Den sorterar bort leverantörer som inte kan visa upp ett system. Den väljer inte bland dem som kan.
Bygg din leverantörsakt runt certifikatet
En försvarbar akt för inkommande varor från en ny B2B-leverantör innehåller vanligtvis certifikatet plus fem saker runt omkring det:
- Registerutdraget eller länken som bekräftar att certifikatet är aktivt, med datumet då du kontrollerade.
- Omfattningsuttalandet, sparat separat, avstämt mot exakt de produkter som står på din inköpsorder.
- Ett färskt batch-CoA för ett jämförbart parti, med testmetoderna namngivna — inte bara resultat.
- Specifikationsbladet som du och leverantören båda har undertecknat, inklusive de parametrar du kommer att reklamera mot.
- Spårbarhetssvaret: vad partikoden kodar, hur långt bakåt leverantören kan spåra och hur snabbt de kan producera en massbalans om du ber om det.
Om en leverantör kan ta fram alla fem utan påminnelser är din riskprofil redan bättre än vid de flesta förstagångsorder. Om certifikatet kommer omedelbart och de andra fyra tar tre veckors påminnelser är det förhållandet i sig en iakttagelse.
Arovela arbetar under ISO 22000, ISO 9001 och ISO 27001 — ledningssystem för livsmedelssäkerhet, kvalitet respektive informationssäkerhet för den kommersiella sidan och dokumentationssidan av verksamheten. Vi innehar inte handelsscheman som BRCGS eller IFS Food, och vi säger det rakt ut i stället för att låta en inköpare upptäcka det efter att en specifikation har utarbetats. Produktionen sker vid vår anläggning i Sındırgı, Balıkesir, med ett distributionslager i Solingen, Tyskland, som betjänar EU-kunder, och vi skickar certifikatet, omfattningsuttalandet och batchdokumentationen i samma svar — eftersom de inköpare vi vill ha är de som kontrollerar.
Vanliga frågor
Är ISO 22000 obligatoriskt för att exportera livsmedel till EU?
Nej. Det som är obligatoriskt är efterlevnad av EU:s livsmedelslagstiftning: HACCP-baserade förfaranden, spårbarhet, hygienkrav, gränsvärden för föroreningar och restsubstanser samt korrekt märkning. ISO 22000 är en frivillig certifiering som visar ett styrt system för att uppfylla dessa skyldigheter. Många EU-importörer kräver den avtalsmässigt trots att ingen förordning gör det.
Min kund kräver BRCGS. Kan en ISO 22000-leverantör ändå fungera?
För private label i handeln vanligtvis inte — kedjans godkännandepolicy namnger schemat. För ingredienser som du vidareförädlar i din egen BRCGS-certifierade anläggning går det ofta, eftersom din egen certifiering täcker den färdiga produkten och ditt förfarande för leverantörsgodkännande styr inkommande material. Kontrollera ditt schemas krav på godkända leverantörer innan du utesluter en leverantör.
Hur kontrollerar jag om ett certifikat är äkta?
Använd certifikatnumret i det utfärdande organets offentliga kundregister och bekräfta sedan att certifieringsorganet självt är ackrediterat av en IAF MLA-signatär. Stäm av tre fält mot PDF:en: företagets juridiska namn, anläggningsadress och omfattningens formulering. Om något av de tre skiljer sig, be leverantören förklara innan du går vidare.
Vad är skillnaden mellan en oPRP och en CCP?
Båda är styråtgärder. En CCP är ett steg där styrning är väsentlig för att förebygga eller eliminera en livsmedelssäkerhetsfara, med en mätbar kritisk gräns och övervakning som möjliggör omedelbar korrigering — en metalldetektor eller en pastör är typiska. En oPRP styr en fara men har inte den typen av enskild mätbar gräns med omedelbar korrigerande åtgärd; rengöring vid allergenbyte är ett vanligt exempel. ISO 22000 kräver att leverantören motiverar vilken klassificering varje styråtgärd fick.
Hur ofta revideras en certifierad anläggning egentligen?
ISO 22000-certifiering löper normalt i en treårscykel: en inledande certifieringsrevision, därefter övervakningsrevisioner, vanligtvis årliga, och sedan en omcertifieringsrevision före utgång. Det betyder att ett certifikat kan vara upp till ett år gammalt räknat i senaste verifiering på plats. Det är en rimlig fråga att ställa till en leverantör när deras senaste övervakningsrevision ägde rum och om några iakttagelser fortfarande är öppna.
Skaffa dokumenten innan du binder dig
Certifiering är början på due diligence, inte slutet. Läs omfattningen, verifiera numret och flytta sedan samtalet till batchdokument, specifikationer och en provorder — för det är de artefakter som beskriver vad du faktiskt kommer att få.
Vill du se hur det här fungerar med en verklig specifikation framför oss, berätta produkten, volymen och marknaden du säljer till och begär en offert. Certifikatet, omfattningsuttalandet och den relevanta testdokumentationen följer med erbjudandet, inte efter inköpsordern.