Впровадження системи безпечності харчових продуктів ISO 22000:2018 (ДСТУ ISO 22000:2019): інженерний гайд із подвійного циклу PDCA, ОПП, ККТ та сертифікації з Еконтроль

Впровадження системи безпечності харчових продуктів ISO 22000:2018 на виробничому підприємстві починається там, де закінчується формальне ведення паперових журналів температур. Коли головний технолог або директор з якості дивиться на лінію пастеризації молока, тунель шокового заморожування чи ділянку фасування дитячого харчування, він бачить потік фізичних, хімічних і мікробіологічних параметрів, які можуть вийти з-під контролю за лічені секунди. Покладатись лише на вибірковий лабораторний аналіз готової партії безглуздо: поки чашка Петрі покаже ріст Listeria monocytogenes або Salmonella spp., заражений товар уже доїде до розподільчого центру торговельної мережі. Саме тому міжнародний стандарт ISO 22000 (в Україні чинний як національний стандарт ДСТУ ISO 22000:2019) переводить фокус із посмертної інспекції продукту на превентивну інженерію процесів уздовж усього харчового ланцюга.

На практиці багато харчових заводів плутають ізольований план HACCP із повноцінною системою управління безпечністю харчових продуктів (СУБХП). Класичний підхід, сформульований Комісією Codex Alimentarius ФАО/ВООЗ, зосереджується на технологічному маршруті конкретного цеху. Проте жодна критична контрольна точка (ККТ) не спрацює, якщо відділ закупівель змінить постачальника гнучкої бар'єрної плівки заради економії в 4%, головний інженер скоротить графік превентивного обслуговування парових клапанів, а оператори нічної зміни не знатимуть, куди подіти напівфабрикат під час аварійного знеструмлення. Редакція ISO 22000:2018 вирішує цю структурну проблему за допомогою унікальної інженерної моделі, якої немає в ISO 9001 чи ISO 14001: подвійного циклу PDCA (Plan-Do-Check-Act).

Як взаємодіють макро- та мікроцикли PDCA в ISO 22000:2018

Подвійний цикл PDCA в ISO 22000 розділяє та водночас синхронізує два рівні управління: організаційний (стратегічний контур бізнесу) та операційний (виробничо-технологічний контур керування небезпечними чинниками). Якщо ці два контури існують окремо, система розвалюється на першому ж наглядовому аудиті. Команда інженерів Еконтроль під час проєктування СУБХП завжди вибудовує прямі цифрові та процедурні містки між обома контурами:

1. Перший контур: Організаційний цикл PDCA (Розділи 4-7 та Розділи 9-10). Цей верхній цикл охоплює планування на рівні підприємства (Розділ 4 Контекст, Розділ 5 Лідерство, Розділ 6 Планування ризиків і цілей, Розділ 7 Ресурси та підтримка), перевірку системної результативності (Розділ 9 Моніторинг, аналіз, внутрішній аудит, аналізування з боку керівництва) та системні дії з удосконалення (Розділ 10). Тут оцінюються макроризики бізнес-середовища: перебої в логістиці сировини, дефіцит кваліфікованих мікробіологів, зміни у законодавстві ЄС щодо граничних рівнів мікотоксинів чи кіберзагрози для промислових контролерів SCADA.
2. Другий контур: Операційний цикл PDCA (Розділ 8 Операційна діяльність). Вкладений безпосередньо всередину фази «Виконуй» (Do) організаційного циклу, цей мікроцикл реалізує принципи Codex Alimentarius на виробничому майданчику. Тут функціонують програми-передумови (ПП, Розділ 8.2), система простежуваності (Розділ 8.3), готовність до надзвичайних ситуацій (Розділ 8.4), аналіз небезпечних чинників і план керування ОПП/ККТ (Розділ 8.5), актуалізація інформації (Розділ 8.6), керування моніторингом і вимірюваннями (Розділ 8.7), валідація й верифікація (Розділ 8.8) та керування невідповідностями продукту й процесу (Розділ 8.9).

Варто зауважити: під час сертифікаційного аудиту провідний аудитор насамперед перевіряє точку стикування цих двох циклів. Наприклад, якщо в операційному циклі (Розділ 8.9) протягом кварталу зафіксовано три спрацювання металодетектора через знос поліуретанового скребка конвеєра, ця інформація мусить піднятися в організаційний цикл (Розділи 9.1, 9.3 та 10.1), щоб керівництво виділило бюджет на заміну матеріалу скребків на металонаповнений детектований полімер і оновило програму превентивного ремонту (Розділ 7.1.3). Коли такої передачі даних немає, аудитор фіксує системну невідповідність за Розділами 6.1 та 9.3.

Коли стартує розробка та впровадження СУБХП ДСТУ ISO 22000 на діючому підприємстві, перша спокуса робочої групи полягає в тому, щоб формально скопіювати розділи 4-7 із наявної системи управління якістю ISO 9001. Такий підхід гарантовано призводить до невідповідностей під час аудиту Stage 1. Попри спільну Високорівневу структуру (High-Level Structure, HLS), кожна вимога організаційного циклу в ISO 22000 має жорстку прив'язку до кінцевої безпечності харчового продукту в точці споживання.

Розділи 4 та 6: Межі застосування СУБХП і розмежування ризиків за п. 6.1

У Розділі 4.3 ви визначаєте сферу застосування (Scope) системи із зазначенням конкретних категорій харчового ланцюга (за класифікацією ISO 22003-1: від категорії C «Виробництво харчових продуктів» до категорії G «Транспортування та зберігання» чи категорії I «Виробництво пакувальних матеріалів»). Якщо на одному промисловому майданчику працюють лінія виробництва сирів і цех сушіння підсирної сироватки, ви не можете виключити сушильний цех зі сфери сертифікації, якщо потоки сировини, трубопроводи CIP-миття або вентиляційні контури перетинаються і впливають на безпечність кінцевого продукту.

Найбільше плутанини у інженерів викликає Розділ 6.1 «Дії щодо ризиків і можливостей». Важливо чітко розрізняти:

• Організаційні ризики (Розділ 6.1): це події, які ставлять під загрозу здатність самої системи менеджменту стабільно працювати. Приклади: плинність лінійного персоналу понад 35% на рік через сезонність робіт, банкрутство єдиного акредитованого постачальника калібрувальних еталонів, санкційні чи митні затримки реагентів для експрес-тестів на антибіотики, втрата бази даних ERP внаслідок збою сервера.
• Операційні небезпечні чинники (Розділ 8.5): це біологічні, хімічні або фізичні агенти безпосередньо в їжі або виробничому середовищі (наприклад, токсин Staphylococcus aureus, залишки пестициду хлорпірифосу, уламки скла чи неالتдекларований арахіс).

Для оцінювання організаційних ризиків за Розділом 6.1 зручно застосовувати модифіковану матрицю впливу бізнес-чинника на цілісність СУБХП та ймовірності його реалізації протягом 12 місяців. Кожен суттєвий організаційний ризик переводиться у план дій із вимірюваними цілями безпечності за Розділом 6.2 (наприклад, знизити частку позапланових зупинок пастеризаційної установки через збої автоматики до 0% або довести рівень проходження атестації операторів СІР-миття з першої спроби до 98%).

Розділи 5 та 7: Лідерство, компетентність групи безпечності (FST) та зовнішня комунікація

Розділ 5.3 покладає персональну відповідальність на вище керівництво за призначення керівника групи безпечності харчових продуктів (Food Safety Team Leader, FSTL). На відміну від старої концепції «представника керівництва з якості», FSTL у ISO 22000:2018 зобов'язаний мати реальну технологічну та мікробіологічну експертизу, адже саме він організовує роботу мультидисциплінарної групи безпечності (FST) та звітує генеральному директору про придатність і результативність СУБХП.

Розділ 7.2 висуває пряму вимогу: група безпечності харчових продуктів у своїй сукупності повинна мати документально підтверджену компетентність (освіта, спеціальне навчання за ISO 22000/HACCP та практичний досвід) щодо конкретних продуктів, процесів, обладнання та небезпечних чинників підприємства. Якщо завод встановлює новий реторт-автоклав для стерилізації м'ясних консервів у паучах, а жоден член групи FST не має підготовки з теплофізики стерилізації та розрахунку летальності $F_0$, підприємство зобов'язане залучити зовнішнього технічного експерта (Розділ 7.1.2) і укласти з ним офіційну угоду із фіксацією відповідальності та конфіденційності.

Окремий акцент у Розділі 7.4 зроблено на зовнішній та внутрішній комунікації. Внутрішня комунікація гарантує, що група безпечності дізнається про будь-які зміни ДО того, як вони відбудуться в цеху: нова рецептура, зміна режиму санітарної обробки, перенесення пакувальної машини, запуск нової рекламної акції з вкладкою пластикового сувеніра в пачку снеків. Зовнішня комунікація за п. 7.4.2 охоплює обмін інформацією про небезпечні чинники з постачальниками (специфікації з чіткими лімітами важких металів, мікотоксинів, радіонуклідів), замовниками (умови транспортування, зберігання, цільове використання, маркування алергенів) та державними регуляторами.

Розділи 9 та 10: Внутрішній аудит, управлінський перегляд і замкнення макроциклу

У Розділі 9.2 внутрішній аудит не може зводитися до обходу цеху з одним загальним чеклистом санітарії. Програма внутрішніх аудитів формується на ризик-орієнтованій основі: процеси з ККТ, ділянки фасування продукції з коротким терміном придатності та процеси алергенного переналагодження перевіряються частіше (наприклад, раз на квартал), ніж склад допоміжних матеріалів. При цьому діє правило об'єктивності: керівник групи НАССР не має права аудитувати власний план керування небезпеками, який він особисто розробляв.

Вхідні дані для аналізування з боку керівництва (Розділ 9.3) обов'язково містять результати верифікації плану керування небезпечними чинниками (п. 8.8.2), статистику спрацювань ОПП і ККТ, результати тренувальних відкликань продукції й перевірок простежуваності, інспекційні акти регуляторних органів і зовнішні скарги. На виході керівництво ухвалює протокольні рішення про перерозподіл ресурсів, модернізацію обладнання та актуалізацію політики безпечності (Розділ 10.3).

Операційний цикл PDCA у Розділі 8 починається з побудови інженерно-гігієнічного фундаменту, без якого будь-який розрахунок критичних контрольних точок втрачає сенс. Якщо у виробничому цеху з балки перекриття капає конденсат просто у відкритий танк замішування, жоден алгоритм моніторингу не захистить партію від вторинного обсіменіння.

Розділ 8.2: Програми-передумови (ПП / PRPs) та перехід до архітектури ISO 22002-100:2025

Згідно з Розділом 8.2.3, при виборі та розробленні програм-передумов організація повинна використовувати відповідні документи серії ISO/TS 22002. У 2025 році набула чинності оновлена модульна архітектура цих стандартів на чолі з базовим стандартом ISO 22002-100:2025 (який об'єднав загальні вимоги до ПП уздовж усього ланцюга постачання харчових продуктів, кормів і пакування) та галузевими частинами, зокрема ISO 22002-1:2025 для виробництва харчових продуктів, ISO 22002-4 для виробництва харчової упаковки та ISO 22002-5 для транспортування і зберігання. Детальний розбір змін ми навели в огляді нового фундаменту ПП за ISO 22002-100:2025 та загальному аналізі оновлення серії ISO 22002:2025.

Інженерне впровадження ПП за Розділом 8.2.4 вимагає конкретних технічних рішень у цеху:

• Зонування та потоковість (п. 8.2.4 a, b, c): фізичне розділення брудних (приймання сировини, первинне миття), проміжних та чистих зон (високого ризику / High Care після термічної обробки до пакування). У чистих зонах підтримується надлишковий тиск повітря $\Delta P = 5-15\text{ Па}$ через каскад фільтрів класу F7-F9 або HEPA H13, щоб виключити підсмоктування неочищеного повітря з коридорів і рамп відвантаження.
• Інженерні мережі як контактні середовища (п. 8.2.4 d): технологічна вода, кулінарна пара (Culinary Steam), що безпосередньо контактує з продуктом, та стиснене повітря для пневмоциліндрів над відкритими лініями фасування. Стиснене повітря очищується від компресорного мастила до класу чистоти 1 за твердими частинками та мастилом і проходить через стерильні мембранні фільтри з розміром пор $0{,}2\text{ мкм}$.
• Керування перехресним забрудненням та алергенами: колірне кодування прибирального інвентарю за зонами (наприклад, білий або синій виключно для поверхонь прямого контакту з їжею, червоний для санітарних вузлів, жовтий для складів), валідована матриця переналагодження ліній між алергенними та без-алергенними продуктами.

Розділ 8.3: Система простежуваності та тест масового балансу за 4 години

Система простежуваності за Розділом 8.3 зобов'язана однозначно ідентифікувати вхідні партії від безпосередніх постачальників і першу ланку дистрибуції готового продукту (принцип «крок назад і крок вперед», плюс повна внутрішня технологічна простежуваність включно з переробленням або доробкою rework). Ключовий інженерний тест, який застосовують аудитори під час сертифікації за ISO 22000 та схемами GFSI, полягає у проведенні імітаційного тесту простежуваності з розрахунком масового балансу (Mass Balance Test) максимум за 4 години.

Як виконується розрахунок масового балансу на практиці? Аудитор обирає довільну партія сировини або первинного пакування (наприклад, партію сухого знежиреного молока масою $M_{\text{вх}} = 10,000\text{ кг}$, отриману 4 місяці тому) і запускає секундомір. Протягом 4 годин команда підприємства повинна підняти прибуткові накладні, виробничі рецептурні карти, журнали зважування, акти технологічних втрат, протоколи лабораторних відборів проб, залишки на складі та видаткові накладні клієнтам. Математичне рівняння масового балансу виглядає так:

$$M_{\text{вх}} = \sum M_{\text{ГП}} + M_{\text{зал}} + M_{\text{втр}} + M_{\text{брак}} + M_{\text{проб}}$$

де $\sum M_{\text{ГП}}$ становить сумарну масу сировини у відвантаженій та наявній на складі готовій продукції (перераховану через затверджені коефіцієнти рецептурної витрати), $M_{\text{зал}}$ дорівнює фактичному залишку сировини на складі, $M_{\text{втр}}$ враховує задокументовані нормативні технологічні втрати (випаровування вологи, осідання на стінках трубопроводів при витісненні водою), $M_{\text{брак}}$ відображає утилізований або переданий на корм тваринам брак за актами списання, а $M_{\text{проб}}$ відповідає масі архівних та лабораторних проб. Коефіцієнт збіжності масового балансу має укладатися в діапазон $98%-102%$ (а для поштучного пакування з урахуванням лічильників браку пакувального автомата дорівнювати рівно $100%$). Найслабша ланка в 9 з 10 українських виробників це облік внутрішнього повернення на перероблення (rework): коли обрізки тіста чи недовагові пачки повертають у бункер наступної зміни без фіксації номера первинної партії, ланцюг простежуваності рветься, і в разі реального інциденту заводу доведеться відкликати продукцію за цілий тиждень замість однієї зміни.

Розділ 8.4: Готовність до надзвичайних ситуацій та реагування в реаліях України

Розділ 8.4 зобов'язує вище керівництво підготувати та регулярно тестувати протоколи реагування на потенційні аварійні ситуації, які впливають на безпечність харчових продуктів. Для українських підприємств у 2026 році цей розділ перетворився з теоретичної процедури на щоденний операційний інструмент виживання:

1. Блекаути та аварійне відключення зовнішнього електропостачання: у протоколі за Розділом 8.4.2 чітко прописується час перемикання АВР на дизель-генератор (наприклад, до 45 секунд), пріоритетність живлення критичних вузлів (насоси та клапани повернення пастеризатора, компресори холодильних камер зберігання, сервер бази даних простежуваності та прилади моніторингу ККТ). Якщо пастеризатор зупинився під час знеструмлення до завершення витримки у трубчастому витримувачі, клапан автоматичного повернення потоку (Flow Diversion Valve, FDV) має бути сконструйований у нормально закритому стані (Fail-Safe), щоб при падінні тиску повітря чи напруги автоматично скидати недопастеризований продукт у дренаж або буферний танк на повторну пастеризацію.
2. Припинення водопостачання або мікробіологічне/хімічне забруднення води: негайна зупинка відкритих вологих процесів і СІР-миття, перехід на резервуари запасу питної води з автоматичним дозуванням гіпохлориту натрію або УФ-знезараженням, обов'язковий позаплановий лабораторний контроль води перед перезапуском цеху.
3. Кібератаки на ІТ-інфраструктуру та промислові контролери (PLC/SCADA): наявність офлайн-регламентів переходу на паперові бланки моніторингу ККТ/ОПП та автономне маркування партій, щотижневе резервне копіювання даних простежуваності на ізольовані носії.
4. Імітаційне вилучення та відкликання (Mock Recall): щонайменше раз на рік підприємство проводить повномасштабне тренування (із залученням служби безпеки, логістики, юристів та відділу продажів), перевіряючи актуальність цілодобових контактів покупців і територіального управління Держпродспоживслужби.

Серцевиною операційного циклу є Розділ 8.5 «План керування небезпечними чинниками (план НАССР/ОПП)». Саме тут найчастіше виникають суперечки між технологами підприємства та зовнішніми аудиторами. Чому? Тому що в редакції ISO 22000:2018 кардинально змінилася логіка класифікації заходів керування, і старе дерево рішень Codex Alimentarius із чотирьох запитань саме по собі більше не закриває вимоги пунктів 8.5.2.4.1 та 8.5.2.4.2.

Крок 1: Оцінювання суттєвості небезпечних чинників (Розділ 8.5.2.3)

Для кожного етапу технологічної блок-схеми (від приймання сировини й пакувальних матеріалів до відвантаження готового продукту) група безпечності ідентифікує всі розумно очікувані небезпечні чинники (біологічні, хімічні, фізичні, радіологічні та алергени) і визначає прийнятний рівень кожного чинника у кінцевому продукті (наприклад, відсутність Salmonella в $25\text{ г}$ продукту, залишковий вміст афлатоксину $B_1 \le 2{,}0\text{ мкг/кг}$, відсутність феромагнітних частинок розміром $\ge 1{,}5\text{ мм}$).

Далі виконується оцінювання кожного чинника за двома осями:

• Імовірність виникнення ($L$, Likelihood) у кінцевому продукті за відсутності специфічного заходу керування на даному етапі (з урахуванням вже діючих базових ПП за Розділом 8.2): за шкалою від 1 (практично неможливо, раз на кілька років) до 5 (регулярно виникає за відсутності бар'єра).
• Тяжкість наслідків для здоров'я споживача ($S$, Severity): за шкалою від 1 (незначний дискомфорт без звернення до лікаря) до 5 (тяжке отруєння, ботулізм, анафілактичний шок, інвалідизація або летальний наслідок).

Інтегральний індекс ризику розраховується як добуток:

$$R = L \times S$$

Якщо методика підприємства встановлює поріг суттєвості, наприклад, $R \ge 9$ (або будь-яку комбінацію з максимальним балом тяжкості $S = 5$ при $L \ge 2$), такий чинник визнається суттєвим небезпечним чинником (Significant Food Safety Hazard). Усі несуттєві чинники ($R < 9$) залишаються під контролем базових програм-передумов (ПП за Розділом 8.2). А от кожен суттєвий небезпечний чинник ОБОВ'ЯЗКОВО переходить до етапу вибору та категоризації заходів керування за Розділом 8.5.2.4 і має управлятися або як ОПП (OPRP), або як ККТ (CCP).

Крок 2: Систематична категоризація заходів керування в ОПП чи ККТ за пп. 8.5.2.4.1 та 8.5.2.4.2

У чому полягає фундаментальна різниця між ПП, ОПП та ККТ у розділі 8.5 стандарту ISO 22000:2018? Розглянемо точні критерії стандарту:

1. Вимоги пункту 8.5.2.4.1 (Оцінка заходу керування): Група безпечності аналізує вибраний захід керування (або комбінацію заходів) за двома параметрами: (a) імовірність відмови його функціонування (чи може обладнання або оператор непомітно дати збій, наскільки стабільний процес) та (b) серйозність наслідків у разі відмови заходу керування, враховуючи: вплив на ідентифіковані суттєві небезпечні чинники; місце даного етапу відносно інших заходів керування у технологічному ланцюгу (чи є далі за потоком ще один бар'єр); чи цей захід спеціально створений і застосовується для зниження небезпеки до прийнятного рівня; чи це поодинокий вирішальний бар'єр, чи частина комбінації заходів.
2. Вимоги пункту 8.5.2.4.2 (Оцінка здійсненності моніторингу та реагування): Для кожного заходу керування група додатково перевіряє здійсненність: (a) встановлення вимірюваних критичних меж (для ККТ) та/або вимірюваних чи візуально спостережуваних критеріїв дії (для ОПП); (b) моніторингу для своєчасного виявлення будь-якої невідповідності критичній межі або критерію дії; (c) застосування своєчасних корекцій у разі збою.

Звідси випливає чітке інженерне розмежування між ККТ (Critical Control Point) та ОПП (Operational Prerequisite Programme):

• ККТ (Критична контрольна точка): це етап процесу, де захід керування є вирішальним бар'єром безпеки (висока тяжкість наслідків у разі відмови, відсутність наступних етапів, що знищать небезпеку), де встановлено суворо вимірювану критичну межу (Critical Limit) як числову межу між безпечним і небезпечним продуктом ($T \ge 72{,}0,^\circ\text{C}$ протягом $\tau \ge 15\text{ с}$), і де моніторинг у реальному часі дозволяє негайно відокремити та заблокувати небезпечну партію до її виходу за межі контролю.
• ОПП (Операційна програма-передумова): це захід керування (або комбінація заходів), що також спрямований на суттєвий небезпечний чинник, де замість критичної межі встановлюється критерій дії (Action Criterion), який може бути або вимірюваним (наприклад, концентрація лужного розчину $\text{NaOH } 1{,}8%-2{,}2%$ та електропровідність на фінальному ополіскуванні СІР-миття лінії перед переходом із молочного продукту на безлактозний), або спостережуваним (наприклад, щозмінна візуальна перевірка цілісності сита борошнопросіювача з коміркою $0{,}8\text{ мм}$ або відсутність залишків білка за експрес-свабом на алерген після миття). При порушенні критерію дії в ОПП продукт не стає автоматично на 100% небезпечним, але вимагає обов'язкової оцінки причин і наслідків для безпеки партії (Розділ 8.9.2.3).

Інженерні приклади розрахунку параметрів ККТ та ОПП у харчовому виробництві

Розглянемо три типові інженерні вузли, які аудитори НААУ та міжнародних органів перевіряють з особливою ретельністю:

1. Термічна стерилізація та пастеризація (ККТ біологічного чинника): Для низькокислотних консервів ($ ext{pH} > 4{,}6$, активність води $a_w > 0{,}85$) цільовим патогеном є спороутворювач Clostridium botulinum. Критична межа задається через інтегральний показник стерилізуючого ефекту $F_0$ (при базовій температурі $T_{\text{ref}} = 121{,}1,^\circ\text{C}$ та константі термостійкості $z = 10,^\circ\text{C}$): $$F_0 = \int_{0}^{t} 10^{\frac{T(t) - 121{,}1}{10}},dt \ge 3{,}0\text{ хв}$$ (у промисловій практиці м'ясних та овочевих консервів робочі режими встановлюють на рівні $F_0 = 6-12\text{ хв}$ з урахуванням спорової мікрофлоori термофілів). Для пива, соків та пастеризованих напоїв аналогічно застосовується розрахунок пастеризаційних одиниць ($PU$, Pasteurization Units при $T_{\text{ref}} = 60,^\circ\text{C}$, $z = 7,^\circ\text{C}$): $PU = \int 10^{(T-60)/7},dt$.
2. Металодетекція та рентген-контроль X-Ray (ККТ або ОПП фізичного чинника): На фінішному конвеєрі пакованого продукту встановлюється тунельний металодетектор з автоматичним пневматичним штовхачем-відкидачем (Pusher/Air-Blast Reject) у закритий контейнер під замком. Чутливість апертури залежить від орієнтації частинки та «ефекту продукту» (вологі, солоні та теплі продукти створюють власне електромагнітне поле). Критичні межі встановлюються за трьома сертифікованими тест-зразками: чорний метал (Fe), наприклад $\varnothing 1{,}5\text{ мм}$; кольоровий метал (Non-Fe, латунь/алюміній) $\varnothing 2{,}0\text{ мм}$; неіржавна сталь (SS AISI 316) $\varnothing 2{,}5\text{ мм}$. Моніторинг виконується на початку зміни, щогодини, при зміні продукту та в кінці зміни шляхом пропускання тест-пластин у передній, центральній (найменш чутливій точці геометричного центру апертури) та задній частині пачки, з обов'язковою перевіркою спрацювання штовхача та фотодатчика підтвердження скидання у бокс браку. Для виявлення немагнітних включень високої густини (уламки скла у скляних банках, твердий пластик, кальциновані кістки, каміння) застосовуються рентген-інспектори (X-Ray) та оптичні сортувальники (Optical Sorters) для сипучих зернових, горіхів і ягід.
3. Фільтрація та ситування (ОПП фізичного чинника): Патронні сітчасті фільтри тонкого очищення на лінії наливу рідких продуктів або магнітні пастки з індукцією $\ge 10,000-12,000\text{ Гаусс}$ (на неодимових магнітах). Саме тут міститься класична пастка categorization: сам факт наявності металевої стружки на магніті під час щозмінного очищення свідчить про те, що магніт ПРАЦЮЄ правильно! Проте якщо під час огляду виявлено механічний розрив сітки фільтра або злам стрижня магнітної решітки, це є порушенням критерію дії ОПП, і вся партія з моменту попередньої успішної перевірки цілісності сітки затримується для оцінювання та повторного проходження через справний контрольний вузол.

Жоден інший термінологічний дует не спричиняє стільки невідповідностей на сертифікаційних аудитах, як валідація та верифікація заходів керування. У тексті ISO 22000:2018 ці поняття розведені максимально чітко (Розділи 3.44, 3.45, 8.5.3 та 8.8), проте на виробництві їх досі часто зливають в один документ.

Що таке валідація (Розділи 8.5.3 та 8.8.1) і коли вона проводиться

Валідація (Validation) це отримання об'єктивних попередніх доказів того, що вибраний захід керування (або комбінація заходів в ОПП і ККТ) здатний результативно знизити суттєвий небезпечний чинник до встановленого прийнятного рівня. Простіше кажучи, валідація відповідає на інженерне запитання: «Чи спрацює наш задум за законами фізики, хімії та мікробіології, якщо ми будемо точно дотримуватися заданих параметрів?»

Відповідно до Розділу 8.8.1, валідація виконується ДО впровадження заходів керування в робочий план НАССР/ОПП, а також щоразу після внесення будь-яких технологічних змін (зміна в'язкості або жирності продукту, заміна теплообмінника, перехід на іншу товщину пакувальної плівки, зміна дезінфікуючого препарату). Які докази приймають аудитори як належну валідацію?

• Картування температурного поля (Thermal Mapping) та профілювання найхолоднішої точки (Cold Spot): при випіканні, смаженні, варінні ковбас чи автоклавуванні недостатньо дивитися на датчик температури під куполом печі. Інженери закладають автономні термологери безпосередньо в геометричний центр продукту в різних зонах рами або тунелю (верхній ярус біля дверей, нижній кут, центр) протягом трьох послідовних виробничих циклів, доводячи, що навіть у найгіршій точці досягається необхідне зниження патогенної мікрофлори (наприклад, $6\text{-log}$ редукція Listeria monocytogenes при досягненні $72,^\circ\text{C}$ у центрі батона).
• Валідація алергенного миття лінії: після завершення циклу миття лінії, на якій фасували продукт із вмістом горіхів, змиви з важкодоступних вузлів (мертві зони дозаторів, ущільнювачі клапанів, шви конвеєрної стрічки) та перші пачки наступного продукту здають на кількісний імуноферментний аналіз (ELISA) у трьох повторах поспіль. Якщо залишковий білок арахісу чи фундука стабільно нижчий за межу кількісного визначення тест-системи ($< 2{,}5\text{ мг/кг}$), режим миття вважається валідованим.
• Науково-технічні посилання та математичне моделювання росту мікроорганізмів: для стандартних процесів (наприклад, пастеризація незбираного коров'ячого молока за кодексами Codex Alimentarius) допускається посилання на офіційно затверджені галузеві нормативи за умови документального доказу, що параметри вашого продукту ($\text{pH}$, $a_w$, сухі речовини, швидкість потоку в трубі та число Рейнольдса $\text{Re} > 4000$ для турбулентного режиму) повністю збігаються з умовами еталонної моделі.

Що таке верифікація (Розділ 8.8.2) і чому важлива акредитація лабораторій за ISO/IEC 17025

Верифікація (Verification) це періодичне підтвердження шляхом надання об'єктивних доказів того, що встановлені вимоги фактично були виконані під час поточної роботи. Вона проводиться ПІСЛЯ впровадження та відповідає на запитання: «Чи виконували ми наш валідований план на практиці протягом минулої зміни, місяця чи кварталу, і чи залишається він результативним?»

До обов'язкових процедур верифікації за Розділом 8.8.2 належать:

1. Перевірка того, що програми-передумови (ПП) впроваджені та реально діють у цехах.
2. Перевірка того, що план керування небезпечними чинниками (ОПП і ККТ) виконується без пропусків (аудит заповнення журналів моніторингу, звірка графіків термографів із підписами операторів).
3. Лабораторні випробування сировини, напівфабрикатів, готової продукції, питної води та санітарно-мікробіологічні змиви з поверхонь виробничого середовища (Environmental Monitoring Program, EMP на індикаторні мікроорганізми та Listeria spp. у зонах 1-4).

Зверніть увагу на критичний аспект під час аудитів: протоколи зовнішніх лабораторних випробувань готової продукції та води в межах програми верифікації мають юридичну та технічну вагу лише тоді, коли вони видані акредитованими випробувальними лабораторіями, компетентність яких підтверджена за стандартом ISO/IEC 17025 з відповідною сферою акредитації на конкретні методи випробувань. Крім того, якщо підприємство має власну виробничу лабораторію для вхідного контролю молока, зерна чи мікробіології змивів, Розділ 7.1.5 ISO 22000:2018 вимагає метрологічної простежуваності всього вимірювального обладнання (калібрування еталонних гир, рН-метрів, рефрактометрів, термостатів та контрольних термометрів за національними або міжнародними еталонами) і регулярної участі в раундах міжлабораторних порівняльних випробувань.

Коли під час нічної зміни температура в пастеризаторі падає нижче критичної межі або металодетектор зупиняє конвеєр через виявлення сталевої стружки, вступає в дію Розділ 8.9. Саме тут аудитори перевіряють, наскільки ваша команда розрізняє два фундаментальні поняття: корекцію (Correction, Розділ 8.9.2) та коригувальну дію (Corrective Action, Розділ 8.9.3).

Корекція проти коригувальної дії: інженерний розбір на прикладі збою

• Корекція (п. 8.9.2): це дія, спрямована безпосередньо на усунення виявленої невідповідності в процесі та ізоляцію зачепленого продукту тут і зараз. Наприклад: під час щогодинної перевірки металодетектора о 14:00 оператор виявив, що прилад не спрацьовує на еталон неіржавної сталі $\varnothing 2{,}5\text{ мм}$ (остання успішна перевірка була о 13:00). У чому полягає корекція? Оператор негайно зупиняє лінію фасування, налаштовує або замінює блок детекції, а всі палети з продукцією, випущені в інтервалі з 13:00 до 14:00, переміщує в карантинну зону невідповідної продукції, маркує червоним ярликом «ЗАБЛОКОВАНО / HOLD» і повторно пропускає кожну пачку через відкалібрований та перевірений металодетектор.
• Коригувальна дія (п. 8.9.3): це системна дія, спрямована на усунення першопричини (Root Cause) виявленої невідповідності та запобігання її повторному виникненню. Чому металодетектор втратив чутливість о 14:00? Група безпечності застосовує метод «5 Чому» (5 Whys) або діаграму Ісікави й з'ясовує: оператор іншої зміни мав доступ до сервісного меню без пароля і вручну знизив поріг чутливості, щоб конвеєр не зупинявся на вологому продукті. Коригувальна дія полягає не в тому, щоб «провести повторний інструктаж оператору» (це найулюбленіша відписка, яку аудитори відхиляють одразу), а в тому, щоб закрити сервісний рівень меню інженерним паролем головного КВПіА, налаштувати окремий автопрофіль компенсації фазового зсуву для вологого продукту та внести перевірку блокування пароля до чеклисту внутрішнього аудиту.

Різниця у поводженні з продуктом при порушенні ККТ та ОПП (Розділи 8.9.2.2, 8.9.2.3 та 8.9.4)

Стандарт ISO 22000:2018 встановлює різний правовий і технічний режим для партій, виготовлених під час відхилення в ККТ та в ОПП:

1. При перевищенні критичної межі в ККТ (п. 8.9.2.2 та 8.9.4): уся продукція, виготовлена з моменту останнього задокументованого нормального вимірювання, автоматично класифікується як «потенційно небезпечний продукт» (Potentially Unsafe Product). Така партія в жодному разі не може бути випущена в обіг без проходження суворої процедури оцінювання за п. 8.9.4.2. Щоб випустити партію, організація повинна надати незаперечні докази одного з трьох фактів: (a) інші заходи керування доводять, що прийнятний рівень безпечності досягнуто; (b) спільний ефект заходів керування для цієї конкретної партії відповідає запланованим характеристикам; або (c) результати репрезентативного відбору проб і аналізу в акредитованій лабораторії (за статистично обґрунтованим планом відбору, а не однією випадковою пробою!) підтверджують відповідність прийнятним рівням безпечності. Якщо ж безпечність не доведена, партія підлягає або повторній технологічній переробці (п. 8.9.4.3) для знищення небезпечного чинника, або перенаправленню на інше безпечне використання (наприклад, переробка на технічні потреби чи корм тваринам, якщо це дозволено законом), або знищенню/утилізації під контролем комісії з оформленням акта.
2. При недотриманні критерію дії в ОПП (п. 8.9.2.3): продукт не отримує статус потенційно небезпечного автоматично, але підприємство зобов'язане визначити наслідки цього збою для безпечності харчових продуктів, встановити причини відмови й провести оцінювання зачепленої партії перед прийняттям рішення про її випуск або переведення до процедури поводження з потенційно небезпечним продуктом (п. 8.9.4).

В Україні міжнародний стандарт ISO 22000:2018 прийнято методом ідентичного перекладу як національний стандарт ДСТУ ISO 22000:2019 «Системи управління безпечністю харчових продуктів. Вимоги до будь-якої організації в харчовому ланцюгу». З технічного погляду вимоги обох документів ідентичні до останньої коми. Проте українським операторам ринку важливо розуміти, як сертифікація за ДСТУ ISO 22000:2019 співвідноситься з обов'язковими державними вимогами та системою акредитації.

Закон України № 771/97-ВР та інспекційний державний аудит Держпродспоживслужби

Відповідно до статті 20 та статті 21 Закону України «Про основні принципи та вимоги до безпечності та якості харчових продуктів» № 771/97-ВР, усі оператори ринку харчових продуктів (за винятком первинного виробництва) зобов'язані розробити, увести в дію та застосовувати постійно діючі процедури, засновані на принципах системи аналізу небезпечних факторів та контролю у критичних точках (НАССР). Державний контроль за виконанням цієї норми здійснюють інспектори Держпродспоживслужби під час планових та позапланових заходів державного нагляду (аудиту постійно діючих процедур, заснованих на принципах НАССР).

Що це означає для бізнесу у практичній площині?

• Законодавчий обов'язок проти добровільної сертифікації: Закон № 771/97-ВР вимагає наявності та реального функціонування самої системи НАССР і програм-передумов на виробничих потужностях (невиконання цього обов'язку тягне за собою великі фінансові санкції за статтею 65 Закону України «Про державний контроль за дотриманням законодавства про харчові продукти, корми, побічні продукти тваринного походження, здоров'я та благополуччя тварин» та зупинення роботи потужності). Водночас наявність паперового сертифіката ISO 22000 сама по собі не звільняє завод від державного інспектування Держпродспоживслужбою.
• Синергія при перевірках: коли на підприємстві професійно виконана розробка та впровадження СУБХП ДСТУ ISO 22000, ваша документація та виробнича дисципліна не просто покривають 100% вимог державного аудиту Держпродспоживслужби, а й суттєво перевищують їх завдяки наявності валідації (п. 8.8.1), верифікації (п. 8.8.2), простежуваності з масовим балансом (п. 8.3) та системних внутрішніх аудитів (п. 9.2). Інспектор бачить упорядковану доказову базу, де кожен параметр підкріплений протоколами.

Чому критично перевіряти акредитацію НААУ та реєстр IAF CertSearch

Коли український виробник виходить на тендери Prozorro, укладає контракти з національними рітейл-мережами (АТБ, Сільпо, Metro, Novus, Auchan) або готує перші експортні відвантаження до країн ЄС, Близького Сходу чи Азії, покупці вимагають сертифікат ISO 22000:2018 (або ДСТУ ISO 22000:2019). І тут на ринку чатує небезпечна пастка: так звані «сірі» сертифікати, які друкують неакредитовані консалтингові фірми за 2-3 дні без жодного виїзду на завод.

Щоб ваш сертифікат мав юридичну та комерційну чинність в Україні та за кордоном, орган із сертифікації систем менеджменту зобов'язаний мати чинну акредитацію за стандартом ISO/IEC 17021-1 та ISO 22003-1 від національного органу з акредитації, який є підписантом багатосторонніх угод про взаємне визнання (EA MLA та IAF MLA):

1. В Україні єдиним державним уповноваженим органом є Національне агентство з акредитації України (НААУ). Перед підписанням договору на сертифікаційний аудит обов'язково перевірте наявність органу сертифікації у відкритому реєстрі НААУ та переконайтеся, що у його сфері акредитації є саме ваша категорія харчового ланцюга за ISO 22003-1 (наприклад, категорія CI «Переробка швидкопсувних продуктів тваринного походження» або CIII «Переробка швидкопсувних продуктів тваринного і рослинного походження»).
2. Для міжнародних контрактів перевірте, чи вноситься ваш сертифікат до глобальної верифікаційної бази даних Міжнародного форуму з акредитації IAF CertSearch. Європейські та британські баєри перевіряють легітимність сертифіката постачальника за 30 секунд саме через пошук у реєстрі IAF CertSearch.

Стратегічна перевага впровадження системи безпечності харчових продуктів ISO 22000:2018 полягає в її модульній масштабованості. Для підприємства, яке сьогодні працює з базовим планом HACCP, перехід на ISO 22000 стає першим системним стрибком, а надалі дозволяє з мінімальними витратами інтегрувати вимоги схем, визнаних Глобальною ініціативою з безпечності харчових продуктів (GFSI).

Чому ISO 22000 є ідеальним трампліном до FSSC 22000, BRCGS та IFS Food

Коли український виробник виходить на прямі контракти з транснаціональними корпораціями (Nestlé, Mondelez, Danone, PepsiCo, McDonald's) або європейськими дискаунтерами під власною торговельною маркою (Private Label для Lidl, Aldi, Kaufland, Carrefour, Biedronka), покупці висувають вимогу сертифікації за однією зі схем GFSI. Порівняємо, як ваша СУБХП за ISO 22000:2018 стикується з цими стандартами:

• Перехід від ISO 22000 до FSSC 22000: схема FSSC 22000 на 100% побудована на тексті стандарту ISO 22000:2018! Фактично формула FSSC 22000 виглядає так: $\text{ISO 22000:2018} + \text{галузевий стандарт ПП серії ISO 22002} + \text{Додаткові вимоги FSSC 22000}$ (зокрема захист харчових продуктів від навмисного забруднення Food Defense / TACCP, запобігання фальсифікації Food Fraud / VACCP, культура безпечності харчових продуктів Food Safety Culture, керування алергенами, моніторинг навколишнього середовища, контроль якості та скорочення харчових втрат). Якщо ви спочатку збудували СУБХП за ISO 22000 з оглядкою на ISO 22002-100:2025, апгрейд до FSSC 22000 займає лише 2-3 місяці доопрацювання додаткових модулів. Докладний розбір читайте в нашій статті ISO 22000 чи FSSC 22000: різниця та вибір.
• Масштабування до BRCGS Food Safety та IFS Food: на відміну від процесно-орієнтованого ISO 22000, стандарти BRCGS (критичний для ринків Великої Британії, скандинавських країн та США) та IFS Food (основний стандарт для рітейлу Німеччини, Франції, Польщі та Італії) є жорстко прескриптивними продуктово-процесними стандартами з сотнями детальних вимог до стану цехів, лабораторного контролю, рецептурної автентичності та системи бальної оцінки (A, B, C або % у IFS). Проте в основі і BRCGS, і IFS лежить те саме ядро: зобов'язання вищого керівництва, план НАССР за Codex Alimentarius, система простежуваності, валідація/верифікація та внутрішні аудити, які ви вже відпрацювали під час експлуатації ISO 22000:2018.

Самостійне впровадження системи безпечності харчових продуктів ISO 22000:2018 силами завантаженого головного технолога зазвичай розтягується на 9-14 місяців і часто застрягає на етапі розроблення матриці ОПП/ККТ та протоколів валідації. Коли бізнесу потрібен прогнозований результат у чіткі строки під конкретний експортний контракт або тендер, сертифікація ISO 22000 під ключ за участі профільних інженерів Еконтроль скорочує цикл проєкту до 3-5 місяців при повному збереженні інженерної глибини.

6 інженерних етапів підготовки та сертифікації СУБХП з Еконтроль

1. Інженерний діагностичний аудит (Тижні 1-2): виїзд аудитора на виробничий майданчик, інспекція інфраструктури за ISO 22002-100:2025, перевірка потоковості сировини, води, пари, повітря, відходів і руху персоналу. За підсумками ви отримуєте ілюстрований звіт діагностичного аудиту харчового підприємства з фотофіксацією вузьких місць та дорожньою картою їх усунення з мінімальним капітальним бюджетом.
2. Проєктування подвійного циклу PDCA та валідація плану НАССР/ОПП (Тижні 3-8): у межах послуги комплексної розробки та впровадження системи ми не роздаємо шаблонні папки, а разом із вашими технологами та механіками складаємо реальні блок-схеми, розраховуємо матрицю ризиків $R = L \times S$, класифікуємо заходи керування за пп. 8.5.2.4.1 і 8.5.2.4.2 в ОПП та ККТ, формуємо робочі критерії дії та критичні межі й оформлюємо доказові досьє валідації за Розділом 8.8.1.
3. Впровадження в цеху, тренування персоналу та 4-годинний тест простежуваності (Тижні 9-12): ми навчаємо операторів ККТ/ОПП за стислими візуальними односторінковими інструкціями (SOP) просто біля обладнання, проводимо практичний інтенсив з ISO 22000 для виробництва, тестуємо аварійні сценарії (блекаут, забруднення води) та виконуємо бойовий тренувальний розрахунок масового балансу простежуваності партії з точністю $98%-102%$.
4. Внутрішній аудит та аналізування СУБХП керівництвом (Тижні 13-14): наші фахівці проводять перехресний внутрішній аудит за методологією ISO 19011 (або готують ваших внутрішніх аудиторів на профільному курсі ISO 22000 / ISO 22002 / ISO 19011), допомагають закрити виявлені невідповідності через аналіз першопричин за Розділом 8.9.3 і формують протокол аналізування системи з боку вищого керівництва за Розділом 9.3. Детальний план підготовки за чеклистом читайте в гайді підготовка до сертифікації ISO 22000 та нашому повному посібнику по ISO 22000.
5. Підготовка до сертифікаційного аудиту НААУ (Stage 1 + Stage 2) та супровід (Тижні 15-18): ми допомагаємо обрати акредитований орган сертифікації з потрібною категорією ISO 22003-1, готуємо пакет документів для камерального аудиту Етапу 1 (Stage 1) і забезпечуємо особистий інженерний супровід під час сертифікаційного аудиту Етапу 2 (Stage 2) безпосередньо на заводі.
6. Постсертифікаційна підтримка та щорічні наглядові аудити: після отримання сертифіката система має жити щодня. Щоб підтримувати СУБХП в ідеальному стані перед 1-м та 2-м наглядовими аудитами, проводити щорічні тести простежуваності, оновлювати аналіз небезпек при запуску нових SKU та актуалізувати вимоги за Розділом 8.6, підприємства передають ці функції на аутсорсинг у межах програми щорічної підтримки системи від Еконтроль.

Готові перетворити вимоги ДСТУ ISO 22000:2019 на працюючий інженерний щит вашого виробництва? Залиште заявку на сторінці контактів Еконтроль або ознайомтеся з умовами роботи на профільній сторінці сертифікації ISO 22000, щоб узгодити графік первинного діагностичного аудиту вже цього тижня.