ISO 22000 e HACCP: differenze, punti in comune e quando serve

Un ristoratore di Verona mi chiama in preda al panico. La catena di supermercati a cui fornisce le sue conserve gli ha appena scritto una riga secca: entro sei mesi ci serve la certificazione, altrimenti chiudiamo il contratto. Lui il manuale HACCP ce l'ha, aggiornato, con tanto di piano di autocontrollo firmato. Allora perché non basta? Gli spiego che la parola nella mail non era HACCP, ma ISO 22000. E lì nasce il malinteso più comune che incontro sul campo: tantissimi imprenditori del food pensano che HACCP e ISO 22000 siano la stessa cosa, o due nomi diversi per lo stesso documento. Non lo sono. Uno è un obbligo di legge, l'altro è una scelta strategica. Vediamo dove finisce l'uno e dove comincia l'altro, senza girarci intorno.

Metodo o sistema: la differenza che cambia tutto

La confusione parte da qui, quindi mettiamo subito un paletto. L'HACCP non è un documento e non è una certificazione: è un metodo di analisi. Nasce negli anni Sessanta per garantire la sicurezza del cibo degli astronauti della NASA e si fonda su quei sette principi che ormai conosciamo tutti, dall'analisi dei pericoli fino alla documentazione. In Europa è diventato obbligatorio per legge: il Regolamento CE 852/2004 impone a chiunque manipoli alimenti di predisporre, applicare e mantenere procedure basate sui principi del sistema HACCP. Punto. Non ti serve un ente esterno che ti dica che sei a posto, ti serve applicarlo davvero ed essere in grado di dimostrarlo all'ASL.

La ISO 22000 è un animale diverso. È uno standard internazionale volontario che descrive un sistema di gestione della sicurezza alimentare, il cosiddetto Food Safety Management System. Non sostituisce l'HACCP: lo ingloba. Immagina l'HACCP come il motore e la ISO 22000 come l'intera automobile con carrozzeria, cruscotto, revisione periodica e libretto di manutenzione. Il motore da solo ti fa muovere, ma senza il resto non passi il collaudo che ti chiede la grande distribuzione.

Cosa è davvero l'HACCP e perché è obbligatorio

Se hai un bar, una pizzeria, un laboratorio di gastronomia o una mensa, l'HACCP ce l'hai già, che tu lo sappia bene o no. È la spina dorsale del tuo autocontrollo. Il metodo ti obbliga a guardare in faccia il tuo processo, identificare i pericoli biologici, chimici e fisici, stabilire dove sono i punti critici di controllo e fissare i limiti oltre i quali scatta l'allarme. In pratica: il frigo che deve stare sotto i quattro gradi, la cottura del pollo che deve raggiungere una temperatura al cuore sufficiente, l'abbattitore che documenta il raffreddamento.

Ho fatto decine di ispezioni in cucine dove il manuale era perfetto sulla carta e disastroso nella realtà. Un cuoco che segnava le temperature del frigo tutte identiche per un mese intero, compresa la domenica di chiusura. Ecco: quello non è HACCP, è teatro. Il metodo funziona solo se lo vivi ogni giorno. Se vuoi capire come si costruisce da zero, ho scritto una guida introduttiva su cosa è l'HACCP e un approfondimento sui sette principi che ne formano l'ossatura. Per la parte normativa pura, trovi il dettaglio nel pezzo dedicato al Regolamento CE 852/2004.

Il punto da tenere a mente è semplice: l'HACCP è obbligatorio per legge in tutta l'Unione Europea e non richiede alcuna certificazione da parte di un ente terzo. Basta che tu lo applichi e lo documenti in modo credibile.

Cosa aggiunge la ISO 22000

Qui viene il bello, perché la ISO 22000 prende l'HACCP e ci costruisce intorno una struttura molto più ampia. Non ti chiede solo di controllare i punti critici: ti chiede di dimostrare che tutta la tua organizzazione è progettata per produrre cibo sicuro in modo ripetibile e migliorabile nel tempo. La versione attuale, la ISO 22000:2018, adotta la stessa struttura di alto livello delle altre norme ISO, il che la rende integrabile con i sistemi di qualità e ambiente.

I PRP e gli oPRP

Il primo grande valore aggiunto sono i programmi di prerequisito, i PRP. Sono le condizioni di base senza le quali l'HACCP non sta in piedi: pulizia e sanificazione, lotta agli infestanti, manutenzione, formazione del personale, gestione dei fornitori. In un impianto strutturato questi prerequisiti non possono essere lasciati al buonsenso: vanno scritti, verificati e registrati. Se vuoi capire quanto pesano, ho trattato a parte il tema dei prerequisiti, delle GMP e delle GHP.

La ISO 22000 introduce poi una figura che l'HACCP classico non ha in modo esplicito: i PRP operativi, gli oPRP. Sono una via di mezzo. Non arrivano a essere punti critici di controllo con un limite numerico netto, ma sono comunque misure che vanno gestite attivamente perché un loro cedimento crea un rischio concreto. Pensa al controllo di un fornitore di materie prime a rischio allergeni: non c'è un termometro che ti dice sì o no, ma la procedura di gestione va monitorata come se fosse critica.

Il ciclo PDCA e la filiera

L'altra grande differenza è l'approccio per processi basato sul ciclo PDCA: pianifica, esegui, verifica, agisci, in un loop continuo. È la logica del miglioramento: un audit ISO non si accontenta di vedere che le temperature sono a posto oggi, vuole capire come reagisci quando qualcosa va storto e come impedisci che si ripeta. Infine c'è la comunicazione lungo la filiera, sia verso i fornitori sia verso i clienti. In un mondo dove un allergene non dichiarato può scatenare un richiamo nazionale, saper comunicare in modo tracciabile a monte e a valle non è un lusso: è sopravvivenza.

Tabella comparativa: HACCP contro ISO 22000

Riassumo in modo diretto le differenze che spiego a ogni cliente prima di decidere se ha senso investire nella certificazione.

Aspetto	HACCP	ISO 22000
Obbligatorietà	Obbligatorio per legge (Reg. CE 852/2004)	Volontario
Natura	Metodo di analisi dei pericoli	Sistema di gestione certificabile
Ambito	I punti critici del processo produttivo	Tutta l'organizzazione e la filiera
Certificazione	Nessuna: si autodichiara e si dimostra	Rilasciata da un organismo terzo accreditato
Struttura	I 7 principi Codex Alimentarius	HACCP + PRP + oPRP + ciclo PDCA
Verifica	Controllo delle autorità (ASL / NAS)	Audit iniziale + sorveglianze periodiche
A chi serve	A tutti gli operatori del settore alimentare	Fornitori GDO, export, industria strutturata

Come vedi, non è che una sia meglio dell'altra in assoluto. L'HACCP è il pavimento minimo su cui tutti devono stare; la ISO 22000 è un piano superiore che costruisci solo se il mercato te lo chiede o se hai una complessità che lo giustifica.

FSSC 22000 e il ruolo del GFSI

C'è un altro tassello che confonde le acque, e lo incontri appena entri nel mondo dei fornitori della grande distribuzione: la sigla FSSC 22000. Molti pensano sia un'altra norma concorrente. Non lo è. La FSSC 22000 è uno schema di certificazione che prende la ISO 22000, ci aggiunge i programmi di prerequisito settoriali specifici, cioè le norme tecniche della serie ISO/TS 22002 diverse a seconda che tu faccia trasformazione, packaging o mangimi, e una serie di requisiti aggiuntivi. Il risultato è uno schema completo e verificabile.

Perché esiste? Per una ragione molto concreta: il GFSI, la Global Food Safety Initiative, è l'organismo promosso dalla grande distribuzione mondiale che riconosce gli schemi di certificazione ritenuti solidi. La FSSC 22000 è riconosciuta dal GFSI; la ISO 22000 da sola, storicamente, non lo è. Tradotto in pratica per il fornitore: se una multinazionale della GDO ti chiede una certificazione riconosciuta dal GFSI, la sola ISO 22000 potrebbe non bastare e ti verrà chiesta proprio la FSSC 22000. È la differenza tra il dire "ho un buon sistema" e il dire "ho un sistema riconosciuto da chi mi compra i prodotti".

A chi conviene certificarsi e a chi basta l'HACCP

Arriviamo alla domanda che conta davvero, quella per cui i ristoratori mi chiamano. Non tutti hanno bisogno della ISO 22000, e diffida da chiunque provi a vendertela come obbligatoria: non lo è. Ti do i criteri pratici che uso io.

Ti conviene valutare seriamente la ISO 22000 o la FSSC 22000 se ti trovi in almeno una di queste situazioni:

• Fornisci la grande distribuzione organizzata e ti viene richiesta per capitolato.
• Esporti, soprattutto verso clienti industriali o mercati extra UE che pretendono uno standard riconosciuto.
• Sei un'industria alimentare o un laboratorio di trasformazione con volumi importanti e una filiera articolata.
• Produci per conto terzi con marchio del distributore, dove il committente scarica su di te la responsabilità della sicurezza.

Ti basta invece un HACCP solido, fatto bene, se gestisci un ristorante, un bar, una pizzeria, un piccolo laboratorio artigianale o un'attività di somministrazione al pubblico. In questi casi spendere migliaia di euro per una certificazione volontaria che nessuno ti chiede è semplicemente denaro buttato. Molto meglio investire in un piano di autocontrollo scritto bene e realmente applicato, perché è quello che l'ASL ti verrà a controllare e su cui rischi sanzioni concrete.

Costi, benefici e audit di terza parte

Parliamo di soldi, perché è lì che si decide. L'HACCP ha un costo relativamente contenuto: la stesura del manuale, la formazione del personale, gli strumenti di controllo come termometri e registri. La ISO 22000 è un altro ordine di grandezza. Devi mettere in conto la consulenza per implementare il sistema, il tempo interno delle persone, la formazione approfondita e soprattutto l'audit di certificazione svolto da un organismo terzo accreditato. Quell'audit non è una tantum: c'è la verifica iniziale, poi le sorveglianze periodiche e il rinnovo a scadenza. È un impegno che continua nel tempo, non una medaglia da appendere e dimenticare.

Cosa ci guadagni davvero, oltre al pezzo di carta? Tre cose che ho visto funzionare sul serio:

1. Accesso a clienti che senza certificazione non ti aprirebbero nemmeno la porta, in primis grande distribuzione ed export.
2. Un'organizzazione interna più ordinata, che riduce gli sprechi, i richiami di prodotto e i contenziosi con i fornitori.
3. Una difesa più forte in caso di problema, perché un sistema certificato dimostra che hai fatto tutto il ragionevolmente possibile.

Il rovescio della medaglia lo dico sempre con franchezza: se prendi la certificazione solo per far bella figura e poi non la vivi, diventa un peso burocratico che ti si ritorce contro al primo audit di sorveglianza. La certificazione premia chi ha già una cultura della sicurezza, non la crea dal nulla.

In sintesi: quale scegliere

Torniamo al ristoratore di Verona. Alla fine ha scelto di certificarsi, perché quel contratto con la catena valeva più di tutto il resto del suo fatturato e senza la FSSC 22000 lo avrebbe perso. Per lui era un investimento, non un costo. Ma per la maggior parte dei miei clienti la risposta è opposta: un HACCP curato, aggiornato e vissuto ogni giorno è più che sufficiente e assai più difendibile di un manuale ISO tenuto in un cassetto.

La regola che ti lascio è questa: parti sempre da un HACCP impeccabile, perché è la legge e nessuna certificazione volontaria ti esonera dall'averlo. Poi, e solo poi, valuta la ISO 22000 o la FSSC 22000 se il tuo mercato la richiede in modo esplicito. Non fartela vendere come un obbligo, non è mai stata un obbligo. È uno strumento competitivo: potente se ti serve, sprecato se non ti serve. La domanda giusta non è "ISO 22000 oppure HACCP", ma "di cosa ha bisogno il mio cliente per continuare a comprarmi". Rispondi a quella e avrai già deciso.