Різниця між Food Fraud та Food Defense: інженерний посібник із VACCP, TACCP та вимог FSSC 22000, BRCGS і IFS

Коли головний технолог або керівник служби якості готує підприємство до сертифікаційного аудиту за схемами GFSI, перша ж методологічна пастка виникає на спробі описати всі ризики в одній таблиці аналізу небезпек. Класична система HACCP, побудована за принципами Codex Alimentarius та інтегрована в міжнародний стандарт ISO 22000, проєктувалася виключно для контролю ненавмисних (випадкових) біологічних, хімічних, фізичних та алергенних чинників. Вона виходить з аксіоми, що ні постачальник сировини, ні оператор лінії пастеризації не прагнуть свідомо нашкодити споживачу чи обдурити лабораторію вхідного контролю.

У реальному ланцюгу постачання харчової промисловості діють ще два вектори загроз, де ключовим фактором стає людський умисел (intentionality). Саме тут проходить фундаментальна Food Fraud та Food Defense різниця, яку перевіряє кожен провідний аудитор під час оцінки системи менеджменту.

Три площини ризиків: ненавмисні помилки, економічний обман та умисний саботаж

Щоб розмежувати ці підсистеми в робочій документації, інженери з якості спираються на британський публічно доступний стандарт PAS 96 та методологію глобальної ініціативи SSAFE:

1. HACCP (Hazard Analysis and Critical Control Points) для Food Safety. Об'єкт аналізу тут: випадкове виживання патогенів (Salmonella spp., Listeria monocytogenes) через недостатній час витримки в трубчастому пастеризаторі, потрапляння уламка сита у борошно або перехресний контакт із нерозкритим алергеном (арахісом, сухим молоком чи соєвим лецитином). Ці загрози прогнозовані з точки зору фізики та мікробіології, тому вони надійно перекриваються критичними точками контролю (CCP) та операційними програмами-передумовами (OPRP).
2. VACCP (Vulnerability Assessment and Critical Control Points) для Food Fraud Mitigation. Об'єкт аналізу: економічно мотивована фальсифікація (Economically Motivated Adulteration, EMA). Порушник у цьому сценарії не хоче зупинити ваш завод або отруїти покупця в супермаркеті. Його єдина мета полягає в тому, щоб непомітно знизити собівартість партії сировини, замінити дорогий інгредієнт дешевшим аналогом і пройти ваш стандартний вхідний контроль за фізико-хімічними показниками без жодних підозр. Проте історія промислових катастроф (від меламінового скандалу 2008 року в молочній сировині до підміни спецій барвниками Sudan I-IV та розбавлення оливкової олії технічними естерами) доводить, що економічне шахрайство регулярно переростає в токсикологічну кризу.
3. TACCP (Threat Assessment and Critical Control Points) для Food Defense. Об'єкт аналізу: умисне зловмисне забруднення, саботаж, диверсія або біотероризм. Мотив зловмисника ідеологічний, політичний, помста з боку звільненого працівника, рекет або недобросовісна конкурентна атака з метою знищити репутацію бренду та викликати масові отруєння чи паніку. На відміну від фальсифікатора, саботажник не приховує сам факт події в довгостроковій перспективі: йому потрібен максимальний руйнівний та медійний резонанс.

Чому стандартні контролі HACCP (CCP і OPRP) сліпі до загроз VACCP та TACCP

Поширена ілюзія серед виробників полягає в тому, що наявність сучасного рентген-детектора (X-ray), потокового металодетектора, магнітних пасток потужністю 12 000 Гаус і автоматизованої пастеризаційної установки автоматично закриває питання захисту продукту. На практиці ж і фальсифікатор, і інсайдер-диверсант чудово знають розташування та фізичні межі чутливості ваших CCP.

Якщо недобросовісний постачальник додає 15% високофруктозного кукурудзяного сиропу (C4-цукрів) у натуральний мед або вводить 20% пальмового олеїну в молочний жир, ні пастеризатор при $76\ ^\circ\text{C}$, ні фільтр тонкого очищення $100\text{ мкм}$, ні експрес-аналізатор густини молока цього не помітять. Аналогічно, якщо незадоволений оператор нічної зміни введе розчин пестициду чи лужного мийного засобу безпосередньо у відкритий бункер фасувального автомата вже після вузла пастеризації та фільтрації, класичний план HACCP зафіксує ідеальні параметри всіх CCP партії. Саме тому стандарти GFSI категорично забороняють підміняти оцінку вразливостей до фальсифікації (VACCP) та оцінку загроз саботажу (TACCP) стандартним аналізом небезпек HACCP.

Глобальна ініціатива з безпечності харчових продуктів (GFSI) зробила розмежування між захистом від саботажу та протидією економічному шахрайству обов'язковою умовою визнання будь-якої міжнародної схеми сертифікації. Проте кожен стандарт має власні структурні нюанси, недотримання яких на сертифікаційному чи наглядовому (surveillance) аудиті миттєво блокує видачу сертифіката.

FSSC 22000 Версія 6: додаткові вимоги п. 2.5.3 (Food Defense) та п. 2.5.4 (Food Fraud Mitigation)

Оскільки базовий стандарт ISO 22000 не містить деталізованих вимог до методик VACCP та TACCP, схема FSSC 22000 (Version 6) вводить їх через блок обов'язкових Додаткових вимог (Part 2, Additional Requirements):

• Пункт 2.5.3.1 (Оцінка загроз / Threat Assessment): організація зобов'язана розробити та задокументувати процедуру оцінки загроз за визначеною методологією, щоб виявити потенційні загрози, пов'язані з виробничими процесами та продукцією на майданчику, і згрупувати їх за рівнем значущості.
• Пункт 2.5.3.2 (План захисту харчових продуктів / Food Defense Plan): для всіх суттєвих загроз мають бути задокументовані та впроваджені заходи пом'якшення (mitigation measures). План повинен охоплювати процеси і продукти в межах сфери СУБХП, відповідати застосовному законодавству та проходити верифікацію й перегляд щонайменше раз на рік або при кожній зміні процесів чи появі нової загрози. Окрема вимога у Версії 6 стосується категорії FII (Брокери та трейдери): вони зобов'язані гарантувати, що їхні постачальники мають чинний план Food Defense.
• Пункт 2.5.4.1 (Оцінка вразливості / Vulnerability Assessment): компанія повинна провести і задокументувати оцінку вразливості до харчового шахрайства (FFVA), що охоплює не лише харчову сировину й інгредієнти, а й первинне пакування (food packaging) та аутсорсингові процеси.
• Пункт 2.5.4.2 (План протидії фальсифікації / Food Fraud Mitigation Plan): заходи контролю для суттєвих вразливостей інтегруються в СУБХП, верифікуються за річним графіком і переглядаються при будь-яких цінових шоках чи повідомленнях систем раннього попередження (RASFF).

BRCGS Food Safety Issue 9: розділи 4.2 (Site Security and Food Defence) та 5.4 (Product Authenticity, Claims and Chain of Custody)

Стандарт BRCGS Food Safety Issue 9 інтегрує ці дві програми безпосередньо в фундаментальні та операційні розділи:

• Розділ 4.2 (Безпека об'єкта та Food Defence): вимагає задокументованої оцінки загроз (ТАССР), яка переглядається щорічно та після будь-якого інциденту з безпекою. У 9-й редакції BRCGS посилено акцент на навчанні персоналу усвідомленню загроз саботажу (культура безпечності згідно з п. 1.1.2) і фізичному контролі зовнішніх резервуарів, силосів та труб приймання рідин.
• Розділ 5.4 (Автентичність продукту, заяви та ланцюг постачання): вимагає мати задокументований процес постійного моніторингу ринкової інформації (Horizon Scanning) щодо нових ризиків фальсифікації сировини. Якщо на етикетці готового продукту декларується спеціальний статус (Organic, Halal, Kosher, Non-GMO, Free-Range, конкретне географічне походження або сортова чистота), пункт 5.4.6 зобов'язує проводити документований тест балансу мас (Mass Balance test) щонайменше кожні 6 місяців.

IFS Food Version 8: пункти 4.15 (Безпека транспорту) та 4.20 (Food Fraud Mitigation)

У стандарті IFS Food v8 вимоги щодо протидії фальсифікації виділені в окремий блок 4.20 (Food Fraud):

• Пункти 4.20.1 - 4.20.4 вимагають проведення оцінки вразливості для всієї сировини, інгредієнтів, пакувальних матеріалів та процесів, переданих на аутсорсинг. При цьому критерії оцінки для пакування можуть відрізнятися від критеріїв для сировини, але сама оцінка пакування є беззаперечно обов'язковою.
• Пункт 4.15 жорстко регламентує фізичну безпеку під час транспортування та відвантаження (пломбування вантажівок, перевірка цілісності кузова і пломб перед розвантаженням), а вимоги до фізичного захисту майданчика та контролю доступу інтегровані в інфраструктурний блок розділу 4. Додатково для виробників кормових компонентів ці вимоги синхронізуються зі схемою GMP+ Feed Fraud Prevention.

Щоб оцінка вразливості VACCP мала інженерний зміст, група безпечності харчових продуктів не може обмежуватися загальним формулюванням «ризик неякісної сировини». Глобальна класифікація GFSI та SSAFE поділяє харчове шахрайство на 7 чітких категорій, кожна з яких вимагає специфічного інструментального методу виявлення в акредитованих за стандартом ISO/IEC 17025 випробувальних лабораторіях.

1. Розбавлення (Dilution)

Змішування рідкого високовартісного інгредієнта з дешевшою рідиною без декларування у специфікації. Найбільш поширені промислові приклади в Україні та ЄС:

• Сире коров'яче молоко: додавання води (знижує густину та масову частку сухих речовин), яке шахраї маскують одночасним внесенням хлориду натрію, сахарози або сироватки для відновлення ареометричної густини до норми $1027{-}1030\text{ кг/м}^3$. Стандартний лактоденсиметр при такому комбінованому обмані безсилий; надійна детекція виконується виключно методом кріоскопії (визначення точки замерзання молока за ISO 5764), оскільки додавання електролітів різко зміщує кріоскопічну константу за межі базового діапазону $-0{,}520\dots-0{,}550\ ^\circ\text{C}$.
• Оливкова олія Extra Virgin та високоолеїнова соняшникова олія: розбавлення рафінованою дезодорованою соняшниковою, ріпаковою або соєвою олією. Виявляється комбінацією спектрофотометрії в ультрафіолеті (коефіцієнти екстинкції $K_{232}$ та $K_{270}$, які відразу показують наявність продуктів термічної рафінації) та газової хроматографії триацилгліцеролів.
• Натуральний мед та концентровані фруктові соки: розбавлення інвертними сиропами з цукрового буряку (C3-рослини) або кукурудзяним і тростинним сиропом (C4-рослини). Виявляється методом ізотопної мас-спектрометрії співвідношення стабільних ізотопів вуглецю ($\delta^{13}\text{C}$ IRMS за методом AOAC 998.12) у поєднанні з профілюванням методом $^1\text{H}$-ЯМР (NMR-спектроскопія).

2. Заміна або підміна (Substitution)

Повна або часткова підміна дорогого компонента дешевшим біологічним або хімічним замінником:

• Підміна молочного жиру у вершковому маслі, сметані, згущеному молоці та сирах пальмовим стеарином, кокосовою олією або переетерифікованими рослинними жирами. Виявляється в лабораторіях ISO/IEC 17025 двома етапами: спершу аналізом метилових ефірів жирних кислот методом ГХ-ПІД (GC-FID) за співвідношенням масляної ($\text{C}{4:0}$), пальмітинової ($\text{C}{16:0}$) і олеїнової ($\text{C}_{18:1}$) кислот, а в арбітражних випадках: газохроматографічним визначенням фітостеролів ($\beta$-ситостеролу, кампестеролу, стигмастеролу за ISO 12228), наявність яких понад слідовий поріг однозначно доводить присутність рослинного жиру навіть на рівні 1-2%.
• Видова підміна м'ясної та рибної сировини: заміна яловичини вищого сорту на м'ясо птиці механічного обвалювання (ММО), свинину або конину; підміна дикої атлантичної тріски чи лосося дешевшими видами аквакультури (пангасіус, минтай, форель). Золотий стандарт детекції тут: мультиплексна ПЛР у реальному часі (Real-Time qPCR) або ДНК-баркодинг гена цитохромоксидази субодиниці I (COI).
• Підміна ботанічної сировини: заміна кави сорту 100% Арабіка на Робусту (детектується за маркером 16-O-метилкафестолу методом ВЕРХ або ЯМР), підміна меленого чорного перцю подрібненими кісточками папаї або гречаним лушпинням.

3. Приховування дефектів і псування (Concealment)

Маскування мікробіологічного псування, окислення або низького гатунку сировини хімічними реагентами, щоб продати браковану партію як свіжу:

• Додавання карбонату або бікарбонату натрію (соди), гідроксиду натрію чи аміаку у сире молоко влітку для нейтралізації молочної кислоти та штучного зниження титрованої кислотності з $22{-}24\ ^\circ\text{T}$ до нормативних $16{-}18\ ^\circ\text{T}$. При пастеризації такого молока виживають термостійкі спори та стафілококові ентеротоксини. Виявляється якісним тестом із розоловою кислотою та кількісною полум'яною фотометрією на вміст іонів натрію.
• Обробка філе тунця або охолодженої яловичини монооксидом вуглецю (CO) або нітритами для утворення яскраво-червоного карбоксиміоглобіну. Риба виглядає щойно виловленою, хоча в тканинах уже накопичився критичний рівень гістаміну ($>200\text{ мг/кг}$), здатний викликати тяжке скомброїдне отруєння.

4. Недозволені добавки для штучного завищення показників (Unapproved Enhancements)

Додавання сторонніх (часто токсичних або нехарчових) хімічних сполук, які імітують високий вміст цінного нутрієнта під час стандартного лабораторного аналізу:

• Азотні фальсифікатори (меламін, ціанурова кислота, карбамід/сечовина, біурет, сульфат амонію) у сирому та сухому молоці, сироватковому протеїні, пшеничному глютені та високопротеїнових кормових шротах (соєвому, соняшниковому). Оскільки класичний метод К'єльдаля (ISO 8968) вимірює лише загальний азот ($N_{\text{заг}} \times 6{,}38$ для молока або $\times 6{,}25$ для кормів), він не відрізняє амінокислоти справжнього білка від синтетичного небілкового азоту. Саме тому у програмі VACCP для високобілкової сировини обов'язковим є цільовий скринінг на небілковий азот (NPN) та визначення меламіну методом ВЕРХ-МС/МС (LC-MS/MS) із межею кількісного визначення $<0{,}5\text{ мг/кг}$.
• Промислові азобарвники (Sudan I, II, III, IV, Rhodamine B, хромат свинцю) у паприці, перці чилі, куркумі, шафрані та пальмовій олії для надання насиченого кольору старій окисленій сировині. Контролюються виключно методом ВЕРХ-МС/МС або ВЕРХ із діодно-матричним детектором (HPLC-DAD).

5. Фальсифікація маркування та походження (Mislabelling / Origin Fraud)

Маніпуляції з документами та етикетками без фізичної зміни самого продукту: перебивання дат виробництва та термінів придатності на заморожених м'ясних блоках, продаж конвенційної сільськогосподарської продукції під виглядом сертифікованої Organic або Non-GMO, підробка країни походження для обходу митних квот і санітарних заборон. Перевіряється мультизалишковим скринінгом пестицидів (QuEChERS + GC-MS/MS та LC-MS/MS на 500+ діючих речовин), ізотопним профілюванням географічного походження ($\delta^{18}\text{O}, \delta^{2}\text{H}, {}^{87}\text{Sr}/{}^{86}\text{Sr}$) та наскрізним аудитом балансу мас.

6. Сірий ринок, диверсія стоків та крадіжка (Grey Market Production / Diversion / Theft)

Несанкціоноване виробництво понаднормових партій продукції (overrun) на лінії контрактного виробника (co-packer) у нічну зміну з використанням брендованої плівки замовника, або повернення у торговельну мережу партій, які були офіційно списані на утилізацію чи переробку в корми для тварин.

7. Контрафакт (Counterfeiting)

Повне копіювання інтелектуальної власності: підробка рецептури, тари, голографічних етикеток, номерів партій (Lot numbers) та супровідних посвідчень про якість (COA) поза межами легального заводу.

Щоб захистити результати оцінки вразливості на аудиті FSSC 22000 або BRCGS, недостатньо просто присвоїти кожній сировині бали «низький/середній/високий». Методологія SSAFE (розроблена спільно з Вагенінгенським університетом та PwC) і британське керівництво PAS 96 базуються на кримінологічній моделі рутинної активності: шахрайство стається у точці перетину Можливості (Opportunity), Економічної привабливості / Мотивації (Attractiveness / Motivation) та Відсутності ефективного контролю виявлення (Detection Difficulty).

Кількісна формула розрахунку індексу вразливості VACCP ($V = O \times D \times A$)

Для кожної сировини, інгредієнта та первинного пакувального матеріалу група VACCP (до якої обов'язково входять технолог, керівник закупівлі, завідувач лабораторії та фахівець із безпеки) оцінює три множники за 5-бальною шкалою:

1. Фактор $O$ (Occurrence / Opportunity: фізична та логістична можливість фальсифікації, від 1 до 5 балів):
   • Фізичний стан сировини: цілі туші, цільне зерно або яйця у шкаралупі важко підмінити непомітно ($O = 1{-}2$); гранульовані та різані продукти мають середню вразливість ($O = 3$); а рідкі (молоко, наливна олія, фруктові пюре), порошкоподібні (сухе молоко, какао, мелені спеції, борошно) та багатокомпонентні премікси дозволяють легко розчинити або змішати фальсифікат ($O = 4{-}5$).
   • Довжина та прозорість ланцюга постачання: прямі поставки з заводу-виробника у власній опломбованій тарі дають мінімальний бал; закупівля через міжнародних трейдерів, брокерів (категорія FII), перевантажувальні хаби або збірне молоко від десятків дрібних господарств піднімає $O$ до максимуму.
   • Історичні прецеденти: наявність нотифікацій у європейській системі RASFF, базі Food Fraud Network або галузевих зведеннях за останні 3 роки.
2. Фактор $A$ (Attractiveness / Motivation: економічна привабливість обману, від 1 до 5 балів):
   • Оцінюється питома вартість інгредієнта на кілограм, гострота цінової конкуренції, неврожай чи кліматичний дефіцит у регіоні походження (наприклад, стрибок світових цін на какао-боби, оливкову олію чи вершкове масло на 40-80% миттєво піднімає фактор $A$ до 5 балів), а також наявність дешевого та легкодоступного сурогату (наприклад, технічний гліцерин, пальмовий стеарин або кукурудзяний сироп).
3. Фактор $D$ (Detection Difficulty: складність виявлення фальсифікації при поточному контролі, від 1 до 5 балів):
   • $D = 1$: фальсифікація легко виявляється візуально або експрес-тестом на рампі за 5 хвилин;
   • $D = 3$: виявляється стандартними фізико-хімічними методами у заводській лабораторії;
   • $D = 5$: стандартний вхідний контроль та перевірка сертифіката аналізу (COA) повністю сліпі до підміни; для виявлення потрібні високоточні арбітражні дослідження (IRMS, ЯМР, LC-MS/MS або qPCR) у зовнішній акредитованій лабораторії.

Підсумковий Індекс вразливості розраховується за формулою:

$$V = O \times D \times A \quad (\text{діапазон від } 1 \text{ до } 125)$$

Якщо індекс перевищує встановлений організацією поріг значущості (зазвичай $V \ge 27$, або у двовимірній матриці комбінація високої ймовірності та низької детектованості), для цієї позиції обов'язково розробляється План протидії фальсифікації (Food Fraud Mitigation Plan).

Розrахунок та звірка балансу мас (Mass Balance Reconciliation)

Окрім лабораторних випробувань, ключовим інженерним інструментом верифікації автентичності у BRCGS Issue 9 (п. 5.4.6), FSSC 22000 v6 та IFS v8 є перевірка матеріального балансу мас, як на власному заводі, так і під час аудиту другої сторони у постачальника:

$$M_{\text{вхід}} + M_{\text{залишок поч.}} = M_{\text{готова прод.}} \cdot k_{\text{рец}} + M_{\text{тех. втрати}} + M_{\text{брак}} + M_{\text{залишок кін.}}$$

де $k_{\text{рец}}$ визначає нормативний коефіцієнт витрати автентичної сировини на одиницю готової продукції згідно з технологічною картою. Якщо під час аудиту постачальника виявляється, що він закупив за півріччя $120\text{ тонн}$ сертифікованої органічної сої або какао-тертого, але відвантажив клієнтам $165\text{ тонн}$ готового продукту з відповідним маркуванням, дефіцит у $45\text{ тонн}$ документально доводить факт прихованого розбавлення конвенційною сировиною навіть без хроматографа.

Якщо програма VACCP спрямована на ланцюг постачання та закупівлі, то Food Defense (TACCP) фокусується на фізичній, операційній та кадровій захищеності самого виробничого майданчика, складів та логістичних маршрутів. Найбільш глибокою інженерною методологією оцінки загроз, яку приймають усі аудитори GFSI та інспектори FDA (у межах правила FSMA 21 CFR Part 121 Intentional Adulteration), є матриця CARVER+Shock або оцінка чотирьох ключових параметрів уразливості кожного технологічного вузла.

Розшифрування 7 параметрів моделі CARVER+Shock (за шкалою 1-10 балів)

Під час обходу підприємства команда TACCP оцінює кожну технологічну ділянку очима потенційного диверсанта за сімома критеріями:

• C (Criticality / Критичність): наскільки масштабними будуть медичні наслідки для споживачів (кількість уражених порцій в одному замісі чи танку) та економічні збитки від зупинки вузла.
• A (Accessibility / Доступність): наскільки легко зловмиснику фізично наблизитися до точки введення контамінанта без виявлення охороною чи камерами відеонагляду.
• R (Recuperability / Відновлюваність): скільки діб або тижнів знадобиться підприємству для повної деконтамінації лінії, заміни обладнання та відновлення випуску продукції.
• V (Vulnerability / Вразливість вузла): наскільки технічно просто внести небезпечний агент у достатній летальній чи токсичній концентрації так, щоб він рівномірно розподілився в партії та не деградував під час подальшої термічної обробки.
• E (Effect / Прямий ефект): частка виробничої потужності заводу, яка буде паралізована внаслідок атаки на конкретний вузол.
• R (Recognizability / Розпізнаваність): наскільки легко непідготовленому інсайдеру чи підряднику візуально ідентифікувати цей вузол як критичну ціль без спеціальних креслень.
• Shock (Шоковий фактор): комбінований психологічний, соціальний та репутаційний ефект (наприклад, контамінація дитячого харчування або молочної продукції масового споживання викликає максимальний бал Shock).

Чотири найвразливіші фізичні вузли харчового заводу та інженерні бар'єри їх захисту

Досвід сотень діагностичних аудитів показує, що 90% критичних уразливостей Food Defense зосереджені в чотирьох інженерних точках:

1. Свердловини водозабору, резервуари запасу питної води (РЧВ) та станції водопідготовки. Вода входить до складу майже кожної партії продукції та використовується для фінального ополіскування обладнання. Інженерний стандарт захисту: огородження санітарної зони свердловини, герметичні металеві люки резервуарів із навісними замками підвищеної секретності та герконовими датчиками відкриття, виведеними на пульт охорони; зворотні клапани (backflow preventers) на магістралях; потокові датчики електропровідності, pH та залишкового вільного хлору з автоматичним блокуванням подачі води у цех при виході показників за межі уставки.
2. Станції централізованої мийки CIP (Clean-in-Place) та склади концентрованих мийних і дезінфікуючих засобів. Азотна кислота, каустична сода ($\text{NaOH}$) та надоцтова кислота вже знаходяться всередині цеху у великих обсягах, тому зловмиснику навіть не потрібно проносити отруту через прохідну. Інженерний стандарт захисту: зберігання каністр і IBC-кубів із концентратами виключно у замкненому хімічному складі з доступом за персональною RFID-карткою апаратника CIP; захищені кожухами всмоктувальні трубки дозуючих насосів; обов'язкова автоматична перевірка повернення мийного розчину за датчиком індуктивної електропровідності (conductivity sensor) на лінії повернення CIP з апаратним блокуванням відкриття продуктового клапана, якщо електропровідність фінальної промивної води перевищує фон питної води.
3. Зовнішні силоси безтарного зберігання борошна, цукру, зерна та патрубки пневмотранспорту. Часто приймальні труби силосів виведені на зовнішню стіну будівлі біля під'їзної дороги. Інженерний стандарт захисту: металеві заглушки з замками та номерними пломбами на кожному приймальному патрубку; блокування драбин підйому на дах силосів захисними кожухами з замком; відкриття лінії приймання тільки у присутності лаборанта та комірника після звірки пломб автоборошновоза.
4. Зони розвантаження рідкої сировини (автоцистерни з молоком, олією, меланжем, патокою) та відкриті бункери змішування (batch mixers). Інженерний стандарт захисту: приймання автоцистерн виключно за умови цілісності силових номерних пломб стандарту ISO 17712 на всіх верхніх люках, дихальних клапанах та зливному колекторі (із фіксацією всіх номерів у ТТН та електронному авізо ще до виїзду машини від постачальника); обладнання оглядових люків купажних танків і міксерів у цеху решітками та кінцевими вимикачами, а також купольними камерами CCTV без сліпих зон.

Статистика реальних інцидентів Food Defense у світі свідчить про те, що понад 80% випадків умисного псування продукції вчиняють не міфічні зовнішні диверсанти, які перелізають через паркан з колючим дротом, а внутрішні порушники (insiders). Це штатні працівники у стані трудового конфлікту або під час процедури звільнення, тимчасовий сезонний персонал, водії експедиторських компаній, а також співробітники клінінгових, будівельних чи пест-контрольних підрядних організацій, які легально перебувають усередині виробничого корпусу.

Кадровий контур безпеки та кольорове зонування доступу (Red / Yellow / Green Zones)

Щоб мінімізувати інсайдерський ризик відповідно до вимог FSSC 22000 v6 (п. 2.5.3) та BRCGS Issue 9 (п. 4.2), система управління персоналом та фізичної безпеки має включати чотири обов'язкові процедури:

1. Попередній скринінг при наймі (Pre-employment screening): перевірка достовірності трудової біографії, рекомендацій з попередніх місць роботи та відсутності конфлікту інтересів для персоналу, який допускається до критичних вузлів (водопідготовка, станція CIP, купажне відділення, склад хімікатів і мікробіологічна лабораторія).
2. Трирівневе фізичне зонування підприємства:
   • Зелена зона (Green Zone): адміністративні корпуси, зовнішня територія, стоянка транспорту;
   • Жовта зона (Yellow Zone): склади тарного зберігання закритої сировини та готової продукції, коридори, пакувальні лінії третинної гофротари;
   • Червона зона (Red Zone / High-Care & Open Product Area): ділянки, де продукт перебуває у відкритому контакті з середовищем (змішувачі, дозатори, лінії фасування до запаювання первинної упаковки), станція CIP, водопідготовка та серверна АСУ ТП. Електронні перепустки працівників складу або слюсарів підрядника фізично не відкривають турнікети й електромагнітні замки Червоної зони.
3. Візуальна диференціація спецодягу та правило супроводу: різна кольорова гама касок, сіток для волосся або халатів для операторів Червоної зони, працівників інженерної служби та зовнішніх відвідувачів/підрядників. Будь-яка людина у синій касці відвідувача в купажному відділенні без супроводу призначеного співробітника миттєво зупиняється майстром зміни.
4. Протокол негайного відкликання доступів при звільненні (Offboarding Security Protocol): при оголошенні працівнику про звільнення з ініціативи роботодавця або при виникненні гострого трудового конфлікту його RFID-картка доступу в Червону зону та облікові записи в системі керування рецептурами блокуються протягом 15 хвилин.

Кіберфізичний вимір Food Defense: захист мереж АСУ ТП (SCADA, PLC, HMI)

На сучасному автоматизованому заводі зловмиснику не обов'язково кидати отруту в чан вручну. Якщо панель оператора (HMI) на лінії пастеризації або промисловий логічний контролер (PLC) станції дозування консервантів чи алергенної промивки має спільний мережевий шлюз із офісним Wi-Fi або незахищений віддалений доступ (TeamViewer / AnyDesk для підрядника з пусконалагодження), атака на безпечність продукту може бути здійснена зміною цифрової уставки:

• зниження температури пастеризації або зміна порогу спрацювання перепускного клапана (divert valve) без відображення тривоги на екрані оператора;
• скорочення часу лужної мийки та кислотної пасивації в циклі CIP після випуску продукту з алергеном (молоком, гірчицею чи селерою);
• примусове відкриття клапана подачі мийного розчину в продуктовий танк.

Тому сучасний аудит Food Defense обов'язково перевіряє сегментацію мережі OT (Operational Technology) від офісної IT-мережі, скасування стандартних заводських паролів на панелях HMI (заміна спільного логіна admin / 1234 на іменні облікові записи з журналюванням дій Audit Trail) та фізичне опломбування шаф керування PLC.

Окремі папки «План Food Fraud» і «План Food Defense», які лежать у кабінеті керівника якості й відкриваються лише за два дні до приїзду аудитора, не мають жодної практичної цінності. Стандарти ISO 22000 та FSSC 22000 v6 вимагають наскрізної інтеграції обох програм у щоденні операційні контури СУБХП.

Точки зшивання VACCP і TACCP із розділами ISO 22000:2018

• Пункт 4.1 (Розуміння організації та її контексту) і п. 6.1 (Дії щодо ризиків і можливостей): макроекономічні тригери фальсифікації (інфляція сировини, дефіцит врожаю, зміна логістичних коридорів) та безпекові загрози регіону фіксуються у контексті організації й автоматично ініціюють позаплановий перегляд матриць VACCP/TACCP.
• Пункт 7.1.6 (Контроль зовнішньо наданих процесів, продуктів і послуг): результати оцінки вразливості VACCP напряму визначають категорію ризику постачальника. Постачальник сировини з індексом вразливості $V \ge 27$ не може бути схвалений лише за анкетою самооцінки: для нього блокується допуск без чинного сертифіката GFSI або очного аудиту другої сторони й арбітражного тестування перших трьох партій в акредитованій лабораторії ISO/IEC 17025.
• Пункт 8.4 (Готовність до надзвичайних ситуацій та реагування на них): виявлення зламаної пломби на люку молоковоза, спрацювання геркона на резервуарі питної води або позитивний результат лабораторного тесту на фітостероли чи меламін негайно запускає процедуру блокування партії (Hold & Quarantine), криміналістичного збереження зразків та імітації/реального вилучення продукції (Product Recall / Withdrawal).
• Пункт 9.2 (Внутрішній аудит) та п. 9.3 (Аналіз з боку керівництва): результати щорічних стрес-тестів Food Defense, статистика виявлених розбіжностей балансу мас та бюджет на лабораторну верифікацію автентичності входять до обов'язкових вхідних даних аналізу з боку вищого керівництва.

Як проводити щорічні практичні випробування: Food Defense Drills та Mock Fraud Challenges

На аудитах BRCGS Issue 9, IFS Food v8 та FSSC 22000 v6 аудитор обов'язково запитує документальні докази того, що плани TACCP і VACCP були протестовані на практиці протягом останніх 12 місяців. Ефективне випробування ніколи не проводиться у форматі «зібралися в переговорній і підписали протокол».

Три перевірені інженерні сценарії польових тренувань (Food Defense Drills):

1. Сценарій «Неавторизований інсайдер у Червоній зоні» (Intruder Challenge): спеціально проінструктований співробітник з іншого підрозділу (або консультант під час внутрішнього аудиту) одягає білий халат без бейджа допуску в Червону зону і намагається зайти в купажне відділення або до відкритого бункера фасування з пластиковим флаконом-імітатором у руках. Оцінюється час у хвилинах до моменту, коли оператор лінії зупинить порушника, викличе начальника зміни та охорону й зафіксує інцидент.
2. Сценарій «Порушена пломба на автоцистерні / зовнішньому силосі» (Tampered Seal Simulation): перед прийманням машини керівник групи TACCP непомітно замінює одну з пломб на верхньому люку або підкладає у пакет ТТН розбіжність на одну цифру в номері пломби ISO 17712. Перевіряється, чи зупинить приймальник і лаборант злив сировини до з'ясування обставин.
3. Сценарій «Тест балансу мас і підробленого COA» (Food Fraud Challenge): для високоризикової сировини (наприклад, какао-порошку, вершкового масла чи органічного соняшникового ядра) за 4 години група повинна звести повний матеріальний баланс від вхідних митних декларацій та накладних постачальника до рапортів зміни, карт розкрою плівки та актів списання технологічних втрат, а також верифікувати справжність протоколу випробувань в реєстрі акредитованих лабораторій НААУ.

Під час супроводу сертифікаційних і неоголошених (unannounced) аудитів ми регулярно бачимо п'ять типових помилок, які призводять до винесення суттєвих невідповідностей (Major Non-Conformities) за пунктами 2.5.3 та 2.5.4 FSSC 22000 v6 або розділами 4.2 і 5.4 BRCGS:

1. Групова оцінка сировини замість поінгредієнтного аналізу. Компанія записує в таблицю VACCP один рядок «Спеції та прянощі» або «Молочна сировина» з низьким балом ризику. Проте цільний лавровий лист і мелений перець чилі чи куркума мають кардинально різну фізичну вразливість ($O = 1$ проти $O = 5$) і різну історію фальсифікації барвниками Sudan. Групування дозволяється лише для інгредієнтів з абсолютно ідентичним фізичним станом, країною походження та профілем ризику.
2. Відсутність первинної упаковки та аутсорсингових процесів у матриці VACCP. Ігнорування плівки, пляшок ПЕТ, жерстяних банок, картонного пакування прямого контакту та послуг зовнішніх складів заморожування чи фасувальників.
3. Сліпа довіра до посвідчень якості постачальника (COA) без власної аналітичної верифікації. Якщо у вашій матриці VACCP вершкове масло, мед, сухе молоко або олія отримали високий бал вразливості, а в графі «Заходи контролю» написано лише «Перевірка сертифіката якості постачальника при прийманні», аудитор одразу фіксує невідповідність. Порушник, який фальсифікує продукт, завжди надрукує ідеальний COA. Контроль має спиратися на незалежні випробування в акредитованій за ISO/IEC 17025 лабораторії.
4. Розрив між документом TACCP та фізичною реальністю в цеху. У процедурі Food Defense записано, що люки резервуарів води, склад хімії CIP та зовнішні силоси борошна замкнені й опломбовані, але під час обходу території аудитор бачить незамкнені двері водопідготовки, підперті дерев'яним клином двері виробничого цеху у спеку або каністри з лугом у вільному доступі біля лінії.
5. Відсутність документованого Horizon Scanning та щорічного перегляду. Оцінка вразливості датована позаминулим роком і не враховує ні нових постачальників, ні зміни цінової кон'юнктури, ні свіжих повідомлень європейської системи RASFF.

Дорожня карта впровадження VACCP і TACCP за 60-90 днів із командою Еконтроль

Команда інженерів і провідних аудиторів Еконтроль вибудовує системи протидії харчовому шахрайству та захисту виробництва під ключ, без шаблонних відписок:

• Етап 1 (Дні 1-20): Польовий діагностичний аудит майданчика та ланцюга постачання. Ми проводимо фізичне обстеження периметра, водозабору, станцій CIP, силосів, складів, систем СКУД/CCTV та мереж АСУ ТП, а також картографуємо всіх прямих постачальників і трейдерів.
• Етап 2 (Дні 21-50): Розробка матриць VACCP (SSAFE / PAS 96) та TACCP (CARVER+Shock) під час впровадження. Ми формуємо поінгредієнтний реєстр вразливостей (включно з первинним пакуванням), прописуємо специфікації та графік арбітражних досліджень у лабораторіях ISO/IEC 17025, налаштовуємо форми балансу мас та фізичного зонування доступу.
• Етап 3 (Дні 51-90): Проведення симуляційних тренувань (Food Defense Drills) і супровід аудиту. Ми проводимо реальні стрес-тести для першої та нічної зміни, навчаємо персонал алгоритмам блокування підозрілих партій і супроводжуємо ваше підприємство до успішного отримання сертифіката FSSC 22000, BRCGS або IFS. Зв'яжіться з нами, щоб узгодити дату стартової діагностики.