L'albero delle decisioni HACCP: come individuare i CCP
Le 4 domande del Codex per distinguere i punti critici di controllo dai prerequisiti, con esempi pratici.
Quando in audit chiediamo al titolare di mostrarci come ha scelto i punti critici di controllo, nella metà dei casi la risposta è la stessa: "me li ha messi il consulente". E qui casca l'asino. Perché un CCP non si eredita da un modello scaricato, si dimostra. Lo strumento che serve a dimostrarlo esiste dal 1997, è pubblico, ed è l'albero delle decisioni del Codex Alimentarius (Allegato al CAC/RCP 1-1969, con le revisioni successive). Vediamo come si usa davvero, fase per fase, con la logica che un ispettore ASL si aspetta di trovare nero su bianco.
Che cos'è l'albero delle decisioni HACCP
L'albero delle decisioni HACCP è una sequenza logica di domande a risposta binaria (sì/no) che si applica a ogni pericolo significativo individuato in una determinata fase del processo. Serve a rispondere a una sola domanda operativa: questa fase è un Critical Control Point (CCP), cioè un punto dove la perdita di controllo comporta un rischio inaccettabile per la salute e per il quale posso stabilire un limite misurabile? Oppure il pericolo è già tenuto sotto controllo dai prerequisiti, o verrà eliminato più avanti?
Attenzione a un equivoco frequente: l'albero non si applica alla fase in quanto tale, ma alla coppia fase-pericolo. La cottura del pollo può essere un CCP per Salmonella e nello stesso tempo irrilevante per un pericolo chimico. Ecco perché prima dell'albero servono due lavori fatti bene: l'analisi dei pericoli e il diagramma di flusso HACCP verificato sul campo. Senza quelle basi, l'albero produce risposte eleganti a domande sbagliate.
L'applicazione dell'albero è la traduzione operativa del secondo principio del sistema (identificazione dei CCP), all'interno della sequenza descritta ne I 7 principi HACCP. Il Reg. CE 852/2004, art. 5, non impone quale metodo usare per identificare i CCP, ma pretende che l'OSA lo faccia in modo documentato e coerente. L'albero del Codex è lo standard di fatto che gli organi di controllo riconoscono.
CCP, CP e prerequisiti: non confondiamoli
Prima di far girare le domande bisogna avere chiara la gerarchia, perché è qui che nasce l'80% degli errori che troviamo in audit.
- Prerequisiti (PRP): le buone prassi igieniche che tengono sotto controllo i pericoli in modo generale e trasversale. Pulizia e sanificazione, lotta agli infestanti, potabilità dell'acqua, formazione del personale, manutenzione, gestione dei rifiuti (che rientra anche negli obblighi del D.Lgs. 152/2006). Non hanno limiti critici misurabili sul singolo prodotto: sono la fondazione della casa.
- PRP operativi (PRPo): prerequisiti mirati a un pericolo specifico, con monitoraggio più stringente, ma che non raggiungono la soglia del CCP. È la categoria "grigia" introdotta dalla logica ISO 22000, utile per non trasformare tutto in CCP.
- CCP: la fase dove il controllo è essenziale per prevenire, eliminare o ridurre un pericolo a un livello accettabile, con un limite critico misurabile e monitorabile in tempo reale.
La domanda-guida che ci facciamo sempre è brutale ma efficace: se perdo il controllo qui, e nessuna fase successiva rimedia, il consumatore può ammalarsi? Se la risposta è sì e ho un parametro da misurare, siamo davanti a un candidato CCP serio.
In pratica: la temperatura del frigo non è quasi mai un CCP, è un prerequisito operativo. Diventa CCP solo quando la refrigerazione è l'unica barriera contro la crescita di un patogeno o la produzione di tossine, ad esempio nella conservazione di prodotti ittici freschi rispetto all'istamina.
Le quattro domande dell'albero delle decisioni
Il cuore del metodo sono quattro domande da porsi in sequenza, per ciascuna coppia fase-pericolo. Rispondere fuori ordine è l'errore da principiante che manda in tilt tutta la valutazione. La figura qui sotto riassume il percorso: tenetela accanto mentre analizzate le vostre fasi.
Q1 - Esistono misure di controllo per questo pericolo?
Ci sono azioni preventive attuabili in questa fase (o altrove) per il pericolo considerato? Se sì, si prosegue a Q2. Se no, ci si ferma e ci si pone una sotto-domanda decisiva: il controllo in questa fase è necessario per la sicurezza? Se lo è, va modificato il processo, il prodotto o la fase per introdurre una misura di controllo. Non si può lasciare un pericolo significativo senza risposta e andare avanti come niente fosse: è esattamente il tipo di lacuna che fa scattare la prescrizione ai sensi del D.Lgs. 193/2007.
Q2 - La fase elimina o riduce il pericolo a un livello accettabile?
Questa fase è specificamente progettata per eliminare il pericolo o ridurlo a un livello accettabile? Pensate alla cottura, alla pastorizzazione, all'abbattimento termico, all'acidificazione. Se la risposta è sì, la fase è un CCP: fine del percorso, si passa a definire il limite critico. Se è no, si prosegue a Q3. La parola chiave è "specificamente progettata": lavare l'insalata riduce la carica, ma non è progettato per portare E. coli a un livello accettabile con certezza, quindi non supera Q2 come CCP a sé.
Q3 - Il pericolo può aumentare fino a livelli inaccettabili?
La contaminazione può verificarsi o il pericolo può crescere fino a superare la soglia accettabile? Qui entra in gioco la conoscenza microbiologica reale: moltiplicazione batterica nella zona di temperatura pericolosa (indicativamente tra +4°C e +60°C), produzione di tossine, contaminazione crociata. Se no, la fase non è un CCP e si documenta il perché. Se sì, si va a Q4. Attenzione a non rispondere "no" per pigrizia: è la scorciatoia che porta a piani con zero CCP, altrettanto sbagliati di quelli con troppi.
Q4 - Una fase successiva elimina o riduce il pericolo?
Esiste una fase a valle del processo che eliminerà il pericolo o lo ridurrà a un livello accettabile? Se sì, la fase attuale non è un CCP, perché il rimedio arriva dopo (classico: il ricevimento di carne cruda non è CCP se a valle c'è una cottura controllata che è il vero CCP). Se no, cioè se non c'è nessuna barriera successiva, la fase diventa l'ultima linea di difesa ed è quindi un CCP.
| Domanda | Risposta | Conseguenza |
|---|---|---|
| Q1 - Misure di controllo? | No + controllo necessario | Modificare fase/processo/prodotto |
| Q2 - Elimina/riduce il pericolo? | Sì | È un CCP |
| Q3 - Può aumentare a livelli inaccettabili? | No | Non è un CCP |
| Q4 - Fase successiva elimina il pericolo? | No | È un CCP |
| Q4 - Fase successiva elimina il pericolo? | Sì | Non è un CCP |
Esempi applicati: cottura, refrigerazione, ricevimento
La teoria si chiarisce solo sul processo reale. Prendiamo tre fasi che ricorrono in quasi ogni attività.
Cottura degli hamburger in una hamburgeria. Pericolo: E. coli O157:H7 e Salmonella nella carne macinata. Q1 sì (temperatura di cottura). Q2 sì: la cottura è progettata per abbattere i patogeni fino a un livello accettabile. Percorso chiuso: CCP, con limite critico al cuore del prodotto (tipicamente 75°C, o combinazioni tempo-temperatura equivalenti). Qui non c'è margine di opinione: è il CCP da manuale.
Refrigerazione in una gastronomia con piatti pronti. Pericolo: crescita di Listeria monocytogenes e produzione di tossine in prodotti pronti al consumo che non subiranno ulteriore cottura. Q1 sì, Q2 no (il frigo non elimina, contiene), Q3 sì (la crescita è possibile se la catena del freddo salta), Q4 no perché non c'è cottura a valle. Risultato: CCP di conservazione, con limite ≤ 4°C e monitoraggio registrato. Se invece a valle c'è una rigenerazione controllata, la stessa fase può scivolare a prerequisito operativo.
Ricevimento merci in una mensa scolastica. Pericolo: temperatura non conforme delle derrate deperibili in ingresso. Nella nostra esperienza è la fase più abusata come "CCP". Se a valle esistono cottura e/o conservazione refrigerata controllate, il ricevimento supera Q4 con un "sì" e resta un prerequisito ben monitorato, non un CCP. Diventa CCP solo per prodotti ricevuti pronti al consumo senza alcuna barriera successiva. Il controllo va fatto e registrato in ogni caso, ma chiamarlo con il nome giusto cambia limiti, azioni correttive e responsabilità.
Un pericolo che la cottura non tocca: gli allergeni. Attenzione a non ragionare solo di microbiologia. In un laboratorio di pasticceria che lavora in parallelo prodotti con e senza frutta a guscio, la contaminazione crociata da allergene è un pericolo chimico che nessun trattamento termico elimina: Q2 no, Q3 sì, Q4 no. La fase di manipolazione può quindi diventare un CCP con misura di controllo dedicata (separazione delle linee, sequenza di produzione, pulizia specifica tra un lotto e l'altro), mentre la corretta informazione in etichetta resta un obbligo distinto ai sensi del Reg. UE 1169/2011. È l'esempio che smonta il pregiudizio secondo cui i CCP sarebbero soltanto temperature.
«L'operatore del settore alimentare deve predisporre, attuare e mantenere una o più procedure permanenti basate sui principi del sistema HACCP» - Reg. CE 852/2004, art. 5, comma 1.
Gli errori tipici negli audit
Dopo qualche centinaio di manuali letti, gli errori si ripetono con precisione quasi comica. I due opposti sono i più pericolosi.
- Troppi CCP. Il piano che elenca ricevimento, stoccaggio secco, refrigerazione, cottura, raffreddamento, conservazione e trasporto tutti come CCP non è "prudente", è ingestibile. Sette CCP significano sette monitoraggi, sette limiti, sette registrazioni al giorno che nessuno compilerà davvero. Un piano che non si applica è peggio di un piano scarno: in audit dimostra che non avete capito la differenza tra CCP e prerequisito.
- Nessun CCP. L'estremo opposto, tipico di chi copia un manuale generico. "Da noi è tutto sotto controllo con le buone prassi". Se cuocete, abbattete o conservate prodotti pronti al consumo, un CCP quasi certamente c'è. Zero CCP in una cucina che tratta carne o pesce fresco è una bandiera rossa che l'ispettore vede da lontano.
- Confondere sorveglianza dei prerequisiti con monitoraggio del CCP. Registrare la temperatura del frigo è sorveglianza di un PRP nella maggior parte dei casi; trattarla come CCP senza averlo dimostrato con l'albero è un errore logico, non solo formale.
- Non ridiscutere l'albero dopo una modifica. Nuovo forno, nuova ricetta, nuovo fornitore di prodotti pronti: il diagramma cambia e le risposte alle quattro domande possono cambiare con lui. L'albero non è un esercizio una tantum.
Le sanzioni per un autocontrollo carente o assente derivano dal D.Lgs. 193/2007 e possono andare dalla sanzione amministrativa alla prescrizione con sospensione dell'attività nei casi gravi; l'entità e le procedure variano per regione e per ASL competente, quindi verificate sempre le disposizioni locali e gli Accordi Stato-Regioni applicabili.
Dall'albero al piano di autocontrollo
Identificare i CCP con l'albero è il passaggio-cerniera, ma non è il traguardo. Ogni CCP confermato apre una catena di obblighi che vanno scritti e resi operativi: limite critico (principio 3), sistema di monitoraggio (principio 4), azioni correttive (principio 5), verifica (principio 6) e documentazione (principio 7). Un CCP senza limite misurabile e senza azione correttiva definita è un CCP solo sulla carta.
Il consiglio che diamo sempre è di conservare, allegato al manuale, la tabella di applicazione dell'albero: per ogni coppia fase-pericolo, le risposte a Q1-Q4 e la conclusione. È la prova che la scelta dei CCP è ragionata e non copiata, ed è la prima cosa che chiediamo in verifica. Per la struttura complessiva del documento e l'integrazione dei CCP nelle procedure, vale la pena seguire un percorso ordinato come quello descritto in come redigere il piano di autocontrollo HACCP, e approfondire l'intera metodologia nelle nostre guide HACCP.
Se avete un dubbio ricorrente - "il ricevimento è o non è un CCP nel mio caso?", "quanti CCP sono ragionevoli per la mia gastronomia?" - spesso la risposta dipende da dettagli del vostro flusso che un modello standard non conosce. In quei casi una consulenza mirata sul processo reale vale più di dieci manuali scaricati. L'albero delle decisioni è uno strumento potente, ma resta uno strumento: la testa la mettete voi.
Domande frequenti
L'albero delle decisioni HACCP è obbligatorio per legge?
Il metodo specifico non è imposto. Il Reg. CE 852/2004 obbliga a identificare i CCP in modo documentato e coerente con i principi HACCP, ma non nomina l'albero. L'albero del Codex Alimentarius è però lo standard di fatto riconosciuto dagli organi di controllo: usarlo e conservare la tabella delle risposte è il modo più solido per dimostrare che la scelta dei CCP è ragionata.
Qual è la differenza tra un CCP e un prerequisito?
Il prerequisito (pulizia, infestanti, formazione, catena del freddo generale) tiene sotto controllo i pericoli in modo trasversale, senza limiti critici misurabili sul singolo prodotto. Il CCP è la fase dove il controllo è essenziale per prevenire o ridurre un pericolo specifico, con un limite misurabile e un monitoraggio in tempo reale. Se perdere il controllo lì mette a rischio il consumatore e nessuna fase successiva rimedia, siete davanti a un CCP.
Quanti CCP dovrebbe avere il mio piano di autocontrollo?
Non esiste un numero giusto a priori: dipende dal processo. In molte cucine e gastronomie i CCP reali sono pochi, spesso uno o due (tipicamente la cottura e, se ci sono prodotti pronti al consumo, la conservazione refrigerata). Diffidate dei piani con sei o sette CCP: quasi sempre confondono prerequisiti operativi con veri punti critici e diventano ingestibili nella pratica quotidiana.
Il ricevimento merci è sempre un CCP?
No, ed è uno degli errori più comuni. Se a valle del ricevimento esistono fasi che eliminano o riducono il pericolo (una cottura controllata, una conservazione refrigerata monitorata), il ricevimento supera la quarta domanda dell'albero e resta un prerequisito ben sorvegliato, non un CCP. Diventa CCP solo per prodotti ricevuti pronti al consumo senza alcuna barriera successiva.
In che ordine vanno poste le quattro domande dell'albero?
Sempre in sequenza: Q1 esistono misure di controllo, Q2 la fase elimina o riduce il pericolo a livelli accettabili, Q3 il pericolo può aumentare a livelli inaccettabili, Q4 una fase successiva lo elimina. Rispondere fuori ordine è l'errore da principiante che invalida la valutazione. Ogni domanda si applica alla singola coppia fase-pericolo, non alla fase in generale.
