Certificación HACCP

La certificación HACCP es certificación de un sistema de gestión, no de un producto. HACCP es un método para identificar y controlar peligros de seguridad alimentaria, codificado por el Codex Alimentarius en el CXC 1-1969 e incorporado a la ley en la mayoría de los mercados, incluida la Unión Europea con el Reglamento 852/2004 y Estados Unidos con la regla de controles preventivos de FSMA. Ninguna autoridad certifica un producto como conforme a HACCP. Lo que se vende como certificación HACCP es la certificación de su sistema de gestión contra un esquema que incorpora HACCP, es decir ISO 22000, FSSC 22000, BRCGS, IFS o SQF, y lo que minoristas e importadores especifican en realidad es el reconocimiento GFSI, que ISO 22000 por sí sola no tiene.

¿HACCP es siquiera una certificación?

Todas las demás certificaciones de este sitio se vinculan a un producto: se ensaya una muestra contra una norma, se revisa un expediente y un documento dice que ese artículo puede venderse en ese mercado. HACCP no hace nada de eso. Se vincula a una planta y sus procesos, certifica cómo usted los opera y no dice nada sobre si un producto en particular es legal en el destino. Quien llega esperando un certificado de producto es quien descubre tarde que todavía necesita registro, rotulado y certificado sanitario, y que nada de eso estuvo nunca en el alcance.

La obligación legal y el certificado también son cosas distintas. El artículo 5 del Reglamento (CE) 852/2004 exige a los operadores de empresas alimentarias de la Unión Europea implantar procedimientos basados en los principios HACCP; no exige que nadie tenga un certificado. En Estados Unidos la obligación general es la regla de controles preventivos del 21 CFR 117, y no HACCP por su nombre, aunque sobreviven reglamentos HACCP específicos para productos del mar en el 21 CFR 123 y jugos en el 21 CFR 120, y el FSIS del USDA aplica el suyo en el 9 CFR 417 para carne y aves. En todos ellos el inspector le pide que demuestre el sistema. Ninguno pide ver un certificado.

El certificado existe porque los clientes lo piden. Un minorista no puede inspeccionar cuatrocientos proveedores, así que delega eso en un organismo de certificación acreditado y escribe el esquema en el contrato de suministro. Eso convierte al certificado en un requisito comercial montado sobre uno legal, y los dos pueden cumplirse e incumplirse por separado.

¿Por qué los siete principios no equivalen a un plan?

Los principios del Codex son realizar un análisis de peligros, determinar los puntos críticos de control, establecer límites críticos validados, establecer el monitoreo, establecer acciones correctivas, establecer la verificación, y establecer la documentación y el registro. Todos los sitios de consultoría los enumeran. Una lista de los siete es un índice, no un plan, y el auditor la trata como tal.

Lo que el plan tiene que contener es específico de su proceso y no se puede copiar. Qué peligros es razonable esperar en sus materias primas y en su distribución de planta. Por qué una etapa es punto crítico de control y la siguiente no, con el razonamiento registrado. Cuál es el límite crítico y su base científica, que es la etapa de validación y la que más a menudo falta por completo. Con qué frecuencia se monitorea, quién lo hace y qué hace cuando se supera un límite. Quién verifica que el monitoreo realmente se realizó, y cada cuánto se reevalúa el plan entero.

Un plan HACCP de plantilla, descargado y renombrado, falla en la segunda pregunta. Los auditores preguntan por qué, no qué, y la respuesta tiene que venir de las personas que conocen el proceso.

¿Por qué la mayoría de las auditorías fallidas fallan en los prerrequisitos?

HACCP supone que ya existe un entorno de operación higiénico. Ese entorno son los programas de prerrequisitos: limpieza y desinfección, control de plagas, mantenimiento y calibración, control de vidrio y plástico duro, gestión y segregación de alérgenos, higiene y capacitación del personal, potabilidad del agua, manejo de residuos, aprobación de proveedores, trazabilidad y retiro de producto. En la familia ISO están especificados en la serie ISO/TS 22002; BRCGS, IFS y SQF los escriben en sus propias cláusulas.

Los PPR son donde caen las no conformidades, y hay una razón estructural. El análisis de peligros se escribe una vez, por personas que están prestando atención. Los programas de prerrequisitos tienen que ejecutarse en cada turno y por todos, y dejan un rastro documental que existe o no existe: un informe de control de plagas con hallazgos abiertos desde hace tres visitas, certificados de calibración vencidos, un cambio de alérgeno sin hisopado de verificación, un proveedor aprobado sobre un certificado que caducó el año pasado. La auditoría encuentra eso en una tarde.

Hay un segundo efecto que conviene conocer antes del diagnóstico de brechas. Los prerrequisitos débiles empujan el control hacia arriba, de modo que peligros que un PPR competente habría manejado de rutina terminan designados como puntos críticos de control. El plan carga entonces con más PCC de los que debería, cada uno con límites validados, monitoreo y registros, y la planta se ha impuesto en silencio un sistema más pesado para operar por siempre.

¿Quién emite el certificado y cuánto tarda?

Un organismo de certificación, y solo uno acreditado bajo ISO/IEC 17021-1 para el esquema correspondiente por un organismo nacional de acreditación, y autorizado por el dueño del esquema cuando el esquema lo exige. Verifique el alcance en el registro del organismo de acreditación y no en el certificado: la acreditación se concede por esquema y por sector, y un organismo acreditado para ISO 22000 no está automáticamente acreditado para BRCGS. Un certificado de un emisor no acreditado no es tanto incorrecto como que no es lo que su cliente pidió, y será rechazado por ese motivo.

Un consultor no puede emitirlo, y la misma organización no puede consultar y certificar a la vez. ISO/IEC 17021-1 prohíbe a un organismo de certificación prestar consultoría de sistemas de gestión a un cliente que certifica e impone un período de espera, normalmente de dos años, tras cualquier trabajo de ese tipo. Los esquemas GFSI aplican la misma separación. Por eso la forma honesta de este trabajo es que nosotros construimos y ensayamos el sistema y un organismo independiente lo audita, y cualquier proveedor que ofrezca las dos cosas le está ofreciendo un certificado que su cliente puede descartar.

Del diagnóstico de brechas al certificado son típicamente de seis a doce meses, y la restricción que manda casi nunca es la auditoría. El diagnóstico de brechas toma de una a dos semanas. Escribir el plan y cerrar las brechas de PPR toma de dos a cuatro meses. Después el sistema tiene que funcionar, porque el auditor muestrea registros, y una planta no puede presentar tres meses de registros de monitoreo que lleva solo tres semanas generando. La auditoría interna y la revisión por la dirección tienen que haber ocurrido al menos una vez antes de que la auditoría de certificación pueda siquiera programarse.

A partir de ahí el ciclo depende del esquema, y los esquemas difieren de verdad. ISO 22000 y FSSC 22000 emiten un certificado de tres años con auditorías anuales de seguimiento y recertificación completa en el tercer año, y FSSC exige al menos una auditoría no anunciada en cada ciclo. BRCGS, IFS y SQF no funcionan así: reauditan por completo cada año, y el certificado corre hasta la próxima fecha de auditoría y no por tres años. En BRCGS, el grado obtenido define si ese intervalo es de doce meses o de seis.

¿Qué esquema le está pidiendo realmente su cliente?

El reconocimiento GFSI es lo que un minorista quiere decir cuando dice que el certificado tiene que estar aprobado por GFSI, y es la línea que ISO 22000 no cruza. Una planta ya certificada en ISO 22000 suele pasar a FSSC 22000 en lugar de empezar de cero, porque FSSC se construye sobre ella. Todos estos esquemas se versionan y se reeditan cada pocos años, así que confirme la edición vigente antes de definir el alcance.