ISO 22000: o que é, requisitos e como certificar

A ISO 22000 é a norma internacional que define os requisitos de um sistema de gestão da segurança de alimentos (SGSA) : um sistema que vale para toda a cadeia, da produção primária à mesa, e cujo objetivo é um só: garantir que o alimento não cause dano a quem consome.

Ela é certificável, mas não é a mesma coisa que a FSSC 22000, que é o esquema reconhecido pelo GFSI e construído sobre ela. A diferença entre as duas decide o seu projeto : e está explicada abaixo, antes de qualquer outra coisa.

O que é a ISO 22000

Publicada pela primeira vez em 2005 e revisada em 2018, a ISO 22000 combina três coisas que antes viviam separadas: a estrutura de um sistema de gestão (a mesma lógica da ISO 9001), os princípios do HACCP/APPCC e os programas de pré-requisitos. É o que permite que uma padaria, uma transportadora de carga refrigerada e uma fábrica de embalagens usem a mesma norma com profundidades diferentes.

A revisão de 2018 trouxe três mudanças que ainda se sentem na auditoria: a adoção da Estrutura de Alto Nível (o Anexo SL), que facilitou integrar o SGSA com outros sistemas de gestão; o duplo ciclo PDCA, separando o ciclo do sistema de gestão do ciclo operacional da análise de perigos; e o esclarecimento de conceitos que geravam interpretação livre : abordagem de risco no nível do negócio versus perigo no nível do processo, retirada e recolhimento, e a distinção entre oPRP e PCC.

Cobrimos a revisão em detalhe na série: a nova estrutura, os termos e as definições, contexto, liderança e planejamento, o requisito 8, PPRs e análise de perigos e verificação, desempenho e melhoria.

ISO 22000 e FSSC 22000: a diferença

A ISO 22000 é uma norma. A FSSC 22000 é um esquema de certificação, que soma três blocos:

1. a própria ISO 22000;
2. os programas de pré-requisitos setoriais : a série ISO 22002, específica para cada categoria da cadeia;
3. os requisitos adicionais da FSSC: food defense, food fraud, alergênicos, monitoramento ambiental, cultura de segurança de alimentos e outros, num total de 18. A lista está em requisitos da FSSC 22000.

A diferença que pesa na prática é comercial: a ISO 22000 sozinha não é reconhecida pelo GFSI, e é o reconhecimento do GFSI que grandes varejistas e indústrias exigem dos fornecedores. Por isso, quem certifica na ISO 22000 costuma fazê-lo por decisão própria de organizar o sistema, e quem tem exigência de cliente ou meta de exportação vai direto para a FSSC 22000 : ou usa a ISO 22000 como primeira etapa.

Estar certificado na ISO 22000 não significa atender à FSSC: faltam os PPRs setoriais e os requisitos adicionais, e é neles que se concentram as não conformidades de quem faz essa transição. Se a dúvida é qual esquema o seu cliente aceita, compare em FSSC, IFS e BRC.

Quem pode certificar

Qualquer organização da cadeia alimentar, de qualquer porte: produtores primários, indústrias de alimentos e bebidas, fabricantes de ingredientes e de embalagens, serviços de alimentação, transportadoras e operadores logísticos, varejo, produtores de ração e fabricantes de equipamentos e produtos de limpeza usados na indústria. A norma se aplica também a quem não toca o alimento diretamente, mas influencia a sua segurança.

Nossos clientes nessa vertical incluem produtores primários, fabricantes de embalagens, fabricantes de insumos, indústrias de produto acabado e serviços de alimentação : e a experiência mostra que o porte importa muito menos que a clareza do escopo. Um exemplo de operação pequena que certificou está em ISO 22000 para buffets.

A estrutura da norma, cláusula por cláusula

As cláusulas 1 a 3 são escopo, referências e definições. Os requisitos auditáveis começam na 4:

• 4 : Contexto da organização. Questões internas e externas que afetam a segurança de alimentos, partes interessadas e seus requisitos, e o escopo do SGSA: produtos, processos e sites que entram;
• 5 : Liderança. Comprometimento da direção, política de segurança de alimentos comunicada, papéis e responsabilidades : incluindo a designação formal do líder da equipe de segurança de alimentos;
• 6 : Planejamento. Ações para tratar riscos e oportunidades do sistema (que não se confundem com os perigos do processo), objetivos mensuráveis e planejamento das mudanças;
• 7 : Apoio. Recursos, infraestrutura, ambiente de trabalho, competência da equipe, conscientização, comunicação interna e externa : com clientes, fornecedores e autoridades : e informação documentada;
• 8 : Operação. A cláusula maior: programas de pré-requisitos, rastreabilidade, preparação e resposta a emergências, análise de perigos completa (descrição de matérias-primas e produtos, fluxogramas verificados in loco, identificação e avaliação de perigos, seleção das medidas de controle), plano de controle de perigos, validação, verificação e controle de produto não conforme, com retirada e recolhimento;
• 9 : Avaliação de desempenho. Monitoramento, medição, análise, auditoria interna e análise crítica pela direção;
• 10 : Melhoria. Não conformidade, correção, ação corretiva com análise de causa, melhoria contínua e atualização do sistema.

PPR, oPRP e PCC: a distinção que a auditoria cobra

Se há uma confusão que reprova sistema na auditoria, é esta:

• PPR (programa de pré-requisito) : a condição básica que vale para o ambiente inteiro: higiene, layout, controle de pragas, manutenção, água, resíduos. Não é dirigido a um perigo específico. É a base descrita nas boas práticas de fabricação;
• oPRP (PPR operacional) : medida de controle aplicada a um perigo significativo identificado na análise, com monitoramento e ação definida quando falha;
• PCC (ponto crítico de controle) : a etapa em que o controle é essencial para prevenir ou reduzir o perigo a um nível aceitável, com limite crítico mensurável e monitoramento capaz de detectar a perda de controle a tempo de agir.

O caminho correto é sempre o mesmo: a análise de perigos vem primeiro e é ela que classifica a medida de controle. Detector de metais marcado como PCC porque "sempre foi" : sem que a análise justifique : é achado clássico. O passo a passo está em avaliação de perigos do APPCC.

Como funciona a certificação

A organização escolhe um organismo certificador acreditado e passa por uma auditoria em dois estágios: o estágio 1 verifica se o sistema foi planejado e documentado conforme a norma : escopo, análise de perigos, plano de controle, auditoria interna e análise crítica : ; o estágio 2 acontece com a operação rodando e verifica a implementação, com o auditor caminhando o processo, entrevistando quem executa e amostrando registros.

O certificado vale três anos, com auditorias de acompanhamento anuais e recertificação ao fim do ciclo. Quem vai para a FSSC 22000 tem ainda a auditoria não anunciada obrigatória dentro do ciclo : o passo a passo completo, com o que define o custo, está em certificação FSSC 22000: etapas, auditoria e custo.

Vale lembrar o que a certificação não substitui: registro, licenciamento e as exigências sanitárias brasileiras continuam valendo, e a própria norma cobra que a legislação aplicável seja atendida. Veja boas práticas de fabricação e a legislação brasileira.

O que a empresa ganha

• Acesso a mercado. Grandes compradores trabalham com fornecedores certificados; sem certificado, muitas conversas comerciais nem começam;
• Menos auditoria de cliente. Uma auditoria de certificação substitui várias auditorias de comprador : dias de fábrica que voltam para a operação;
• Menos perda. Sistema que controla perigo controla também retrabalho, devolução e descarte. Veja se você está perdendo dinheiro na produção;
• Redução de risco jurídico e de imagem. Rastreabilidade testada e recolhimento ensaiado mudam completamente a resposta a um incidente;
• Integração. Com a Estrutura de Alto Nível, o SGSA se integra à ISO 9001 e às demais normas de gestão sem duplicar documentação.

As falhas mais comuns na implementação

• Fluxograma de escritório. Desenhado em reunião e nunca verificado no chão de fábrica : o auditor caminha o processo com ele na mão;
• Análise de perigos copiada de outra empresa ou de modelo, com perigos que não existem no seu processo e sem os que existem;
• PCC por tradição, sem lastro na análise, e perigo significativo controlado por oPRP sem validação;
• PPR frágil. Nenhum plano HACCP se sustenta sobre higiene e infraestrutura ruins;
• Rastreabilidade só no papel. Sem teste executado, cronometrado e com balanço de massa fechado;
• Direção ausente. A cláusula 5 pede liderança demonstrada, e a ata da análise crítica é a prova principal.

Mais falhas, com o que fazer em cada uma, em falhas na implementação do SGSA e parte II.

Leia mais

• FSSC 22000: o que é e como funciona o esquema
• Requisitos da FSSC 22000: os três blocos e os 18 adicionais
• Certificação FSSC 22000: etapas, auditoria e custo
• HACCP (APPCC): o que é e como montar o plano
• O que é segurança dos alimentos
• Cultura de segurança de alimentos, de forma auditável
• FSSC 22000 Versão 7: o que muda e o prazo
• FSSC, IFS e BRC: qual é a diferença