FSSC 22000 version 7: Vad innebär de nya kompetenskraven för TACCP och VACCP?

Att genomföra och dokumentera hot- och sårbarhetsanalyser är sedan länge en etablerad del av arbetet med FSSC 22000. I version 7 förtydligas nu kraven på kompetensen hos de personer som ansvarar för att utveckla och underhålla analyserna och tillhörande planer.

Det kan vid första anblick framstå som en mindre förändring. Men för många livsmedelsföretag finns det anledning att se över hur arbetet med Food Defense och Food Fraud är organiserat, vilken kompetens som finns i analysgrupperna och hur organisationen säkerställer att bedömningarna är välgrundade.

Det räcker inte att ha en dokumenterad analys. Organisationen behöver också säkerställa att personerna bakom den har tillräcklig kunskap för att identifiera och värdera relevanta hot och sårbarheter.

Vad säger FSSC 22000 version 7?

I FSSC 22000 version 7, avsnitt 2.5.3 och 2.5.4, anges uttryckliga krav på kompetens inom både Food Defense och Food Fraud Mitigation.

2.5.3 Food Defense

Organisationen ska säkerställa att hotbedömningen och Food Defense-planen utvecklas och underhålls av personal med lämpliga kunskaper och kompetens.

2.5.4 Food Fraud Mitigation

Motsvarande krav gäller för sårbarhetsbedömningen av livsmedelsbedrägeri och den tillhörande planen för att förebygga och begränsa riskerna.

Det är viktigt att skilja på vad som faktiskt är nytt och vad som redan har funnits i tidigare versioner. Kraven på dokumenterade analyser och förebyggande planer är inte nya. Däremot har kompetensen hos de personer som utvecklar och underhåller dessa fått en tydligare och mer uttrycklig koppling till respektive kravområde.

Den fullständiga kravtexten finns i FSSC 22000 Scheme Version 7.

Att behärska en metod är inte samma sak som att förstå riskerna

Många företag har väl utvecklade mallar för sina TACCP- och VACCP-analyser. Risker identifieras, sannolikhet och konsekvens bedöms och resultaten sammanställs i en matris. Utifrån risknivåerna beslutas sedan vilka åtgärder som behöver genomföras.

Det är ett strukturerat arbetssätt, men kvaliteten på resultatet beror i hög grad på vilken information och vilka kunskaper som ligger bakom bedömningarna.

En riskmatris kan visa att en viss råvara har låg sårbarhet för livsmedelsbedrägeri. Men vilka underlag har använts för att komma fram till den slutsatsen? Har råvarans marknadssituation, prisutveckling, ursprung och leverantörskedja vägts in? Har man bedömt vilka möjligheter som finns att manipulera råvaran och hur sannolikt det är att ett bedrägeri skulle upptäckas?

Samma resonemang gäller Food Defense. Att en anläggning aldrig tidigare har utsatts för sabotage innebär inte automatiskt att sannolikheten för avsiktlig kontaminering kan bedömas som låg.

En korrekt ifylld riskmatris är inte nödvändigtvis detsamma som en korrekt genomförd riskbedömning.

Det är just här kompetensen får betydelse. Personerna som genomför analyserna behöver inte bara förstå metoden, utan också kunna identifiera relevanta hot, värdera tillgänglig information och ifrågasätta tidigare slutsatser.

TACCP och VACCP kräver delvis olika kompetenser

Även om TACCP och VACCP ofta hanteras tillsammans i livsmedelsföretagens ledningssystem är det viktigt att förstå skillnaderna mellan områdena.

TACCP: Förståelse för avsiktliga hot

TACCP, som används inom Food Defense, handlar om att identifiera och bedöma hot kopplade till avsiktliga handlingar som kan skada konsumenter, produkter eller verksamheten.

En välgrundad hotbedömning förutsätter bland annat förståelse för:

Vilka aktörer som skulle kunna utgöra ett hot och vilka motiv som kan finnas.

Hur obehöriga eller behöriga personer skulle kunna få tillgång till känsliga delar av verksamheten.

Vilka processer, råvaror och produktionsmoment som är särskilt sårbara.

Hur befintliga skyddsåtgärder fungerar och vilka begränsningar de har.

Hur förändringar i anläggningen, organisationen eller verksamheten kan påverka hotbilden.

Det räcker exempelvis inte att konstatera att en anläggning har passerkontroll och låsta dörrar. Bedömningen behöver även omfatta hur tillträdet faktiskt är organiserat, vilka personer som har behörighet och vilka möjligheter som finns att komma åt produkter eller processer.

För den som vill fördjupa sig i området finns QMS Consultings TACCP-utbildning: Food Defense i praktiken, med fokus på hotbedömning, sårbarheter och förebyggande skyddsåtgärder.

VACCP: Förståelse för ekonomiska drivkrafter och leverantörskedjor

VACCP handlar i stället om att identifiera sårbarheter för livsmedelsbedrägeri, där den bakomliggande drivkraften vanligtvis är ekonomisk vinning.

Här behöver analysgruppen bland annat förstå:

Hur råvarupriser, tillgång och efterfrågan kan skapa incitament för bedrägeri.

Vilka former av utspädning, substitution, felaktig märkning eller ursprungsmanipulation som kan förekomma.

Hur komplexiteten i leverantörskedjan påverkar möjligheten att upptäcka bedrägerier.

Vilka kontrollmetoder som finns och vad dessa faktiskt kan verifiera.

Hur information från omvärldsbevakning, myndigheter och andra relevanta källor kan användas i bedömningen.

En leverantör som har levererat utan anmärkning under många år behöver inte innebära att sårbarheten är låg. Om råvarupriset stiger kraftigt, tillgången minskar eller leverantörskedjan förändras kan förutsättningarna för bedrägeri ändras utan att företaget omedelbart märker det.

Det ställer krav på att analyserna bygger på mer än historiska leverantörsbedömningar.

I vår VACCP-utbildning: Food Fraud i praktiken behandlas bland annat sårbarhetsanalyser, ekonomiska drivkrafter, leverantörskedjor och riskbaserade förebyggande åtgärder.

Läs gärna också vår artikel VACCP: Vanliga riskområden som ofta underskattas.

Vilka personer behöver ha rätt kompetens?

FSSC 22000 version 7 anger inte att alla medarbetare måste genomgå en särskild TACCP- eller VACCP-utbildning. Kravet riktar sig mot kompetensen hos dem som utvecklar och underhåller bedömningarna och de tillhörande planerna.

I många företag ligger huvudansvaret hos kvalitetschefen eller kvalitetsavdelningen. Det innebär dock inte att all nödvändig kompetens finns där.

En väl sammansatt analysgrupp kan behöva kompetens från flera delar av organisationen.

Inköpsfunktionen kan bidra med kunskap om leverantörskedjor, råvarumarknader och förändringar i inköpsförutsättningarna. Produktion och teknik har ofta bäst kännedom om anläggningens utformning, processernas tillgänglighet och möjliga sårbarheter. Ledning och andra relevanta funktioner kan bidra med information om organisation, behörigheter, säkerhetsåtgärder och förändringar i verksamheten.

Det centrala är inte hur många personer som deltar, utan att organisationen har tillgång till den samlade kompetens som behövs för att genomföra tillförlitliga bedömningar.

Samtidigt behöver de som leder analysarbetet ha tillräcklig metodkunskap för att kunna sammanställa informationen, värdera riskerna och säkerställa att slutsatserna är rimliga.

Hur kan organisationen visa att kompetenskraven är uppfyllda?

En relevant fråga inför kommande revisioner är hur företaget kan visa att kompetensen är tillräcklig.

Det finns ingen anledning att skapa ett omfattande separat dokumentationssystem om detta redan kan hanteras inom organisationens befintliga rutiner för kompetensstyrning.

Däremot bör det gå att visa hur kompetensbehovet har identifierats och hur organisationen har säkerställt att rätt personer deltar i arbetet.

Det kan exempelvis omfatta:

1. Definierade kompetensbehov

Vilka kunskaper behövs för att genomföra och underhålla företagets hot- och sårbarhetsanalyser? Behoven bör utgå från verksamhetens produkter, processer, leverantörskedjor och riskbild.

2. Bedömning av befintlig kompetens

Vilken utbildning, erfarenhet och annan relevant kunskap har personerna som ansvarar för analyserna? Finns det områden där kompetensen behöver kompletteras?

3. Dokumenterad kompetensutveckling

Utbildningar, interna genomgångar, relevanta arbetsuppgifter och andra kompetenshöjande aktiviteter kan utgöra underlag för att visa hur organisationen arbetar med kompetensförsörjningen.

4. Uppföljning av kompetensens tillräcklighet

Ett utbildningsintyg visar att en person har genomgått en utbildning. Det visar däremot inte automatiskt att personen har förmåga att göra tillförlitliga bedömningar i den egna verksamheten.

Kompetensen behöver därför också kunna bedömas genom exempelvis genomförda analyser, diskussioner om riskvärderingar och förmågan att motivera valda kontrollåtgärder.

En viktig fråga för kvalitetschefen blir därmed inte enbart om analysgruppen har genomgått utbildning, utan om den samlade kompetensen är tillräcklig för de bedömningar som ska göras.

När behöver analyserna och kompetensen ses över?

Både hotbilden och sårbarheten för livsmedelsbedrägeri kan förändras över tid.

Nya råvaror, leverantörsbyten, förändrade produktionsprocesser, ombyggnationer och förändringar i organisationen kan påverka bedömningarna. Detsamma gäller exempelvis större prisförändringar, råvarubrist och ny information om bedrägerier i livsmedelskedjan.

En årlig genomgång kan vara en del av företagets arbetssätt, men den bör inte vara det enda tillfället då analyserna omprövas.

Det är också relevant att se över kompetensen när ansvariga personer byts ut eller när verksamheten förändras på ett sätt som kräver nya kunskaper.

En analys kan vara välgrundad när den upprättas men bli mindre relevant om förutsättningarna förändras utan att bedömningen uppdateras.

Kompetensutveckling inom TACCP och VACCP

För företag som behöver utveckla kompetensen inom Food Defense och Food Fraud erbjuder QMS Consulting digitala utbildningar på olika nivåer.

Utbildningarna kan genomföras i egen takt och är framtagna för personer som arbetar med livsmedelssäkerhet, kvalitetsledning och riskbedömningar.

Fördjupade utbildningar

TACCP: Food Defense i praktiken. För dig som arbetar med hotbedömningar, skyddsåtgärder och Food Defense-planer.

VACCP: Food Fraud i praktiken. För dig som ansvarar för sårbarhetsanalyser, råvarurisker och förebyggande arbete mot livsmedelsbedrägerier.

VACCP och TACCP i praktiken. En kombinerad utbildning för den som arbetar med båda områdena.

Introduktion och bredare kompetensutveckling

TACCP: Introduktion. För medarbetare som behöver grundläggande förståelse för Food Defense.

HACCP, VACCP och TACCP i praktiken. För den som vill utveckla en bredare förståelse för hur faro-, hot- och sårbarhetsanalyser kompletterar varandra.

Se även samtliga utbildningar hos QMS Consulting.

Vilken utbildning som är lämplig beror på deltagarens tidigare erfarenhet, arbetsuppgifter och vilket ansvar personen har i organisationens analysarbete.

Från dokumenterade analyser till välgrundade bedömningar

De tydligare kompetenskraven i FSSC 22000 version 7 ger livsmedelsföretag anledning att granska mer än själva dokumentationen.

En hot- eller sårbarhetsanalys kan vara fullständigt ifylld, uppdaterad och formellt godkänd utan att alla relevanta risker har identifierats eller bedömts på ett tillförlitligt sätt.

Det avgörande är att analysgruppen förstår vad som kan inträffa, varför det kan inträffa och vilka förutsättningar som påverkar riskbilden.

För kvalitetschefer och andra ansvariga finns därför anledning att ställa två frågor inför nästa genomgång av TACCP och VACCP:

Har vi rätt kompetens i våra analysgrupper? Och kan vi förklara varför vi har kommit fram till just de risknivåer och åtgärder som finns dokumenterade?

Det är frågor som är minst lika viktiga som när analyserna senast uppdaterades.