Module 0 — Introduction à l’ISO 22000:2018

Ce qu’est un système de management de la sécurité des denrées alimentaires, ce que la norme couvre, et le vocabulaire indispensable pour aborder les chapitres d’exigences

 

Ce qu’est l’ISO 22000

L’ISO 22000 est la norme internationale qui définit les exigences d’un système de management de la sécurité des denrées alimentaires, que l’on abrège en SMSDA. Sa deuxième édition, publiée en juin 2018, remplace celle de 2005. Elle s’adresse à tout organisme de la chaîne alimentaire qui souhaite démontrer sa capacité à maîtriser les dangers pour la sécurité des aliments et à fournir des produits sûrs.

Le mot important de cette définition est « système ». L’ISO 22000 ne se contente pas de demander qu’on identifie les dangers et qu’on les maîtrise, ce que faisait déjà la méthode HACCP depuis des décennies. Elle demande que cette maîtrise soit portée par un système de management complet : une direction qui s’engage, un contexte analysé, des objectifs, des ressources, des compétences, une communication organisée, des mesures de performance, des audits, des revues et une amélioration continue. La norme intègre l’HACCP dans un cadre de management, au lieu de le laisser vivre comme un dossier technique isolé dans un classeur.

C’est la réponse à un constat de terrain répété : la plupart des incidents de sécurité alimentaire ne viennent pas d’une étude HACCP fausse, mais d’un système qui ne l’a pas fait vivre. Un plan HACCP excellent sur le papier et jamais mis à jour après un changement de fournisseur, une équipe compétente mais sans autorité pour arrêter une ligne, une non-conformité détectée mais dont personne n’a analysé la cause : voilà ce que l’ISO 22000 cherche à empêcher.

 

Toute la chaîne alimentaire, pas seulement l’usine

Le domaine d’application est volontairement large. La norme couvre la chaîne alimentaire de bout en bout : la production primaire, l’alimentation animale, la transformation, le transport, l’entreposage, la distribution, la restauration et la vente. Mais elle couvre aussi ce que l’on appelle les organismes indirectement impliqués, dont l’activité influe sur la sécurité du produit final sans qu’ils manipulent eux-mêmes de la denrée : les fabricants d’emballages et de matériaux au contact, les fournisseurs d’ingrédients et d’additifs, les fabricants d’équipements, les fournisseurs de produits de nettoyage et de désinfection, les prestataires de lutte contre les nuisibles.

Cette étendue a une conséquence pratique importante. Deux organismes certifiés ISO 22000 peuvent avoir des systèmes qui ne se ressemblent pas : un abattoir et un fabricant de films plastiques n’ont ni les mêmes dangers, ni les mêmes programmes prérequis, ni les mêmes points critiques. La norme ne prescrit donc presque jamais une solution technique ; elle prescrit une démarche. C’est à l’organisme de la traduire dans sa réalité, et c’est ce que l’auditeur vérifiera : non pas la conformité à un modèle, mais la cohérence entre les dangers réels de l’activité et les moyens mis en face.

La norme précise également qu’un organisme peut recourir à des ressources externes pour établir et faire fonctionner son système. Sous-traiter des compétences est admis, à condition d’en garder la maîtrise et la responsabilité. Une petite structure qui fait appel à un consultant pour bâtir son analyse des dangers reste responsable de cette analyse.

 

Ce que l’ISO 22000 n’est pas

L’ISO 22000 n’est pas une norme d’hygiène qui fixerait des seuils. Elle ne dit pas à quelle température conserver une viande, ni quelle concentration de désinfectant utiliser. Ces valeurs viennent de la réglementation, des guides de bonnes pratiques du secteur, du Codex Alimentarius et de la littérature scientifique ; la norme exige seulement que l’organisme les identifie, les justifie et les respecte.

Elle n’est pas non plus un référentiel reconnu par la GFSI, la Global Food Safety Initiative, contrairement à une idée répandue. C’est le FSSC 22000 qui l’est : ce schéma reconnu par la GFSI ajoute à l’ISO 22000 une spécification technique de programmes prérequis (la série ISO/TS 22002) et un jeu d’exigences additionnelles. Beaucoup de distributeurs exigent un référentiel reconnu GFSI, comme le FSSC 22000, l’IFS Food ou le BRCGS ; l’ISO 22000 seule ne satisfait pas cette demande, même si elle en constitue le socle. Il faut le savoir avant de choisir sa certification, car la question revient systématiquement en formation.

Enfin, l’ISO 22000 n’est pas l’ISO 9001. Les deux partagent la même structure de haut niveau, ce qui rend leur intégration facile, mais leur objet diffère : l’ISO 9001 traite la satisfaction du client et la conformité du produit à ses exigences, l’ISO 22000 traite la sécurité du consommateur. Un produit peut être parfaitement conforme à un cahier des charges commercial et dangereux. Il ne faut pas non plus la confondre avec l’ISO 22005 sur la traçabilité, ni avec l’ISO 22001 ou les autres textes de la famille, qui sont des guides sectoriels.

 

Pourquoi la norme existe

La justification est donnée dans l’introduction du texte : les maladies d’origine alimentaire représentent une charge sanitaire et économique considérable, et la mondialisation des échanges fait qu’un danger introduit en un point de la chaîne peut se diffuser très loin. Un ingrédient contaminé chez un fournisseur de second rang se retrouve dans des produits finis sur trois continents. La chaîne alimentaire n’est sûre que si chacun de ses maillons l’est, et si l’information circule entre eux.

De là découlent les deux idées maîtresses de la norme. La première est la communication interactive tout au long de la chaîne : un organisme ne peut pas maîtriser ses dangers s’il ignore ce que font ses fournisseurs en amont et ce que deviennent ses produits en aval. La seconde est la combinaison de trois piliers de maîtrise — les programmes prérequis, l’analyse des dangers selon les principes HACCP, et un système de management qui organise le tout. Aucun de ces trois piliers ne suffit seul.

Pour l’organisme, l’intérêt est double. Il y a un intérêt de conformité et d’accès au marché : de nombreux clients, notamment à l’export, demandent une certification tierce partie, et la norme fournit une réponse reconnue dans le monde entier. Et il y a un intérêt de maîtrise propre : une analyse des dangers correctement conduite révèle presque toujours des faiblesses que l’organisme ne soupçonnait pas, et le coût d’un rappel de produit est sans commune mesure avec celui d’un système de management.

 

La structure de la norme et la double boucle PDCA

L’ISO 22000:2018 adopte la structure-cadre commune à toutes les normes de systèmes de management, souvent désignée par le sigle HLS. Les chapitres 1 à 3 posent le domaine d’application, les références normatives et les termes et définitions. Les chapitres 4 à 10 portent les exigences auditées : contexte de l’organisme, leadership, planification, support, réalisation des activités opérationnelles, évaluation des performances, amélioration. Quiconque connaît l’ISO 9001 ou l’ISO 14001 se repère immédiatement dans cette architecture, et une entreprise qui possède déjà l’une de ces certifications réutilisera une partie substantielle de son système.

Le texte s’organise autour du cycle PDCA — planifier, réaliser, vérifier, agir — mais la norme précise un point que beaucoup de lecteurs manquent : le PDCA fonctionne ici à deux niveaux imbriqués. Une première boucle porte sur le système de management dans son ensemble, des chapitres 4 à 7 pour la planification, du chapitre 8 pour la réalisation, du chapitre 9 pour la vérification et du chapitre 10 pour l’action. Une seconde boucle, interne au chapitre 8, porte sur les principes HACCP eux-mêmes : on planifie l’analyse des dangers et le plan de maîtrise, on l’applique, on le vérifie, on le met à jour. Cette double boucle explique pourquoi certaines exigences semblent se répéter d’un chapitre à l’autre : elles n’opèrent pas au même niveau.

 

Ce que la version 2018 a changé

Le passage de 2005 à 2018 n’est pas une simple mise en forme. Trois évolutions structurent la nouvelle édition, et l’annexe A du texte fournit la table de correspondance complète entre les deux versions.

La première est l’adoption de la structure HLS et, avec elle, l’arrivée du chapitre 4 sur le contexte et du chapitre 6 sur les risques et opportunités. Ces exigences n’existaient pas en 2005. La norme demande désormais de regarder ce qui, à l’extérieur et à l’intérieur de l’organisme, peut affecter la capacité du système à atteindre ses résultats, et d’identifier les parties intéressées pertinentes ainsi que leurs exigences.

La deuxième est la clarification des deux niveaux de risque, qui est probablement le point le plus important à comprendre pour aborder la norme. Le mot « risque » désigne deux choses différentes selon l’endroit du texte où on le lit, et les confondre conduit à des systèmes bancals. Nous y revenons en détail plus bas.

La troisième est la refonte de la maîtrise opérationnelle. Les « PRP opérationnels » de 2005 deviennent les PRPO, et la norme les traite désormais sur le même plan que les CCP, réunis dans un document unique appelé plan de maîtrise des dangers, qui remplace le plan HACCP et le plan PRPO séparés. La notion de critère d’action apparaît pour les PRPO, en pendant de la limite critique des CCP. La description du produit et des diagrammes de flux est restructurée, et la validation des mesures de maîtrise gagne une clause propre, distincte de la vérification.

 

Le vocabulaire qui commande toute la lecture

Le chapitre 3 de la norme compte quarante-cinq définitions. Cinq distinctions doivent être acquises avant d’aborder les modules suivants ; sans elles, le texte du chapitre 8 reste opaque.

Danger et risque

Un danger pour la sécurité des denrées alimentaires est un agent biologique, chimique ou physique présent dans un aliment, ou un état de cet aliment, ayant un effet néfaste potentiel sur la santé. Le risque, lui, est l’effet de l’incertitude. La norme insiste sur un point : un danger n’est pas un risque, et l’allergène est le cas d’école. Un allergène présent dans une recette est un danger identifié et maîtrisé par l’étiquetage ; le risque naît de la possibilité qu’il se retrouve, non déclaré, dans un produit où il n’a rien à faire.

PRP, PRPO et CCP

Les trois notions forment une gradation de maîtrise, et savoir les distinguer est l’un des exercices les plus discriminants de la mise en œuvre. Un programme prérequis, ou PRP, est une condition de base et une activité nécessaire à l’hygiène tout au long de la chaîne : nettoyage, lutte contre les nuisibles, maintenance, formation du personnel, conception des locaux. Il s’applique de façon générale et n’est pas dirigé contre un danger précisément identifié à une étape donnée. Un PRPO, programme prérequis opérationnel, est en revanche une mesure de maîtrise retenue par l’analyse des dangers pour maîtriser un danger significatif, avec un critère d’action et une surveillance qui permet de démontrer que ce critère est respecté. Un CCP, point critique pour la maîtrise, est une étape où une mesure de maîtrise est appliquée pour prévenir ou ramener un danger significatif à un niveau acceptable, avec une limite critique mesurable et une surveillance qui permet une correction en temps utile.

La différence pratique tient à ce qui se passe quand la maîtrise échoue. Au CCP, le dépassement de la limite critique rend le produit potentiellement dangereux : il doit être identifié et traité comme tel, sans exception. Au PRPO, le non-respect du critère d’action déclenche une évaluation des conséquences ; le produit n’est pas automatiquement déclaré dangereux. Cette nuance commande le traitement des non-conformités au chapitre 8, et l’auditeur la vérifie systématiquement.

Limite critique et critère d’action

La limite critique s’applique au CCP. Elle est mesurable, elle sépare l’acceptable de l’inacceptable, et son dépassement est sans ambiguïté. Le critère d’action s’applique au PRPO. Il peut être mesurable ou observable, il indique si le PRPO reste sous maîtrise, et son non-respect appelle une réaction et une évaluation. Écrire une limite critique non mesurable, ou traiter un PRPO comme un CCP par excès de prudence, sont deux erreurs fréquentes que la formation signale à chaque fois.

Validation, surveillance et vérification

Ces trois mots sont employés dans un sens précis, et le chapitre 3 de la norme prend soin de les séparer. La validation intervient avant la mise en œuvre : elle apporte la preuve que la mesure de maîtrise est capable, en principe, d’obtenir le résultat visé. La surveillance intervient pendant l’activité : elle observe ou mesure en continu ou à intervalles définis, et fournit l’information nécessaire pour agir dans un délai utile. La vérification intervient après : elle confirme, par des preuves objectives, que ce qui était prévu a bien été réalisé et produit l’effet attendu. Un barème thermique est validé par une étude scientifique, surveillé par un enregistreur de température, vérifié par des analyses de produit fini et l’examen des enregistrements.

Correction et action corrective

Une correction élimine la non-conformité détectée : on écarte le lot, on refait le nettoyage. Une action corrective élimine la cause de la non-conformité pour qu’elle ne se reproduise pas. Confondre les deux est l’un des écarts d’audit les plus fréquents, tous référentiels confondus : un registre plein de corrections sans aucune analyse de cause signale un système qui éteint des incendies sans jamais chercher l’origine du feu.

 

Les deux niveaux de risque, à ne jamais confondre

Ce point mérite d’être posé nettement avant d’entrer dans les chapitres, car il est la source de confusion la plus courante chez ceux qui découvrent la version 2018.

Au chapitre 6, le risque est celui du système de management. La question posée est : qu’est-ce qui pourrait empêcher notre SMSDA d’atteindre les résultats que nous en attendons ? La réponse peut être un fournisseur unique sans solution de repli, un turnover élevé sur les postes de surveillance, une évolution réglementaire annoncée, une saturation des capacités de stockage. Ce risque se traite par des actions planifiées et intégrées aux processus du système, et il ouvre aussi sur des opportunités.

Au chapitre 8, le risque est opérationnel : c’est celui d’un danger pour la sécurité des denrées alimentaires qui atteindrait le consommateur. Il se traite par l’analyse des dangers, la détermination des niveaux acceptables, la sélection des mesures de maîtrise, et leur mise en œuvre sous forme de PRP, de PRPO et de CCP.

Un système qui traiterait les dangers alimentaires dans une matrice de risques d’entreprise, ou qui inscrirait le départ d’un salarié dans son analyse HACCP, mélange les deux niveaux. En audit, cela se voit immédiatement, et le constat est rarement bénin : il révèle que l’organisme a appliqué une méthode sans en comprendre l’objet.

 

Comment aborder les modules qui suivent

Les sept modules suivants traitent chacun un chapitre d’exigences. Ils sont conçus pour être suivis dans l’ordre, car la norme est cumulative : le domaine d’application du chapitre 4 conditionne l’analyse des dangers du chapitre 8, les compétences du chapitre 7 conditionnent la fiabilité de la surveillance, et l’évaluation du chapitre 9 alimente la mise à jour du chapitre 10.

Un mot sur la manière de lire les exigences. La norme emploie le verbe « doit » pour ce qui est exigé ; tout ce qui est formulé autrement, dans une note ou dans un exemple, est une aide à la compréhension et non une obligation. Les notes du texte normatif ne sont jamais auditables en tant que telles, mais elles éclairent souvent l’intention et méritent d’être lues. De même, lorsque la norme exige de « conserver des informations documentées », elle demande un enregistrement de ce qui s’est passé ; lorsqu’elle exige de « tenir à jour des informations documentées », elle demande un document vivant. La distinction paraît formelle : elle est très concrète en audit.

 

À retenir avant d’aller plus loin

• L’ISO 22000:2018 est la norme d’un système de management de la sécurité des denrées alimentaires, pas un plan HACCP amélioré : elle intègre l’HACCP dans un cadre de management complet.
• Elle s’applique à toute la chaîne alimentaire, y compris aux organismes indirectement impliqués comme les fabricants d’emballages ou d’équipements.
• Elle ne fixe aucun seuil technique et n’est pas reconnue par la GFSI ; c’est le FSSC 22000 qui l’est, en ajoutant à l’ISO 22000 une spécification de programmes prérequis et des exigences additionnelles.
• Elle repose sur trois piliers : les programmes prérequis, l’analyse des dangers selon les principes HACCP, et le système de management qui les organise et les fait vivre.
• Elle suit la structure HLS des chapitres 4 à 10 et fonctionne selon un PDCA à deux boucles imbriquées, l’une sur le système, l’autre sur les principes HACCP au sein du chapitre 8.
• La version 2018 introduit le contexte, les parties intéressées, l’approche par les risques du chapitre 6, et remplace le plan HACCP et le plan PRPO par un plan de maîtrise des dangers unique.
• Le mot « risque » désigne deux réalités distinctes selon le chapitre : le risque du système au chapitre 6, le danger pour le consommateur au chapitre 8. Les confondre est l’erreur de lecture la plus fréquente.
• PRP, PRPO et CCP forment une gradation de maîtrise ; ce qui les sépare, c’est ce qui se passe quand la maîtrise échoue.
• Validation, surveillance et vérification interviennent respectivement avant, pendant et après ; une correction traite l’effet, une action corrective traite la cause.

Note de source : la version de la norme utilisée pour cette formation a été vérifiée avant production. Il s’agit de l’ISO 22000:2018, deuxième édition de juin 2018, dans sa version publiée. Le texte ne comporte aucun marqueur de projet, et ses intitulés de clauses correspondent à ceux de l’édition publiée.