TACCP -guide

01 Kort introduktion.

02 Vad är TACCP?

03 Varför är TACCP viktigt?

04 Skillnaden mellan TACCP, VACCP och HACCP

05 När krävs TACCP?

06 Hur genomförs en TACCP-analys?

07 Steg 1 – Sätt samman TACCP-teamet

08 Steg 2 – Identifiera tänkbara hot

09 Steg 3 – Bedöm sannolikhet och konsekvens

10 Steg 4 – Identifiera sårbarheter

11 Steg 5 – Bestäm skyddsåtgärder

12 Steg 6 – Dokumentation och uppföljning

13 Vanliga hot mot livsmedelsföretag

14 Praktiska exempel på TACCP

15 Vanliga misstag

16 Hur hjälper QMS Consulting?

17 Vanliga frågor (FAQ)

18 Kontakta oss

Att skydda livsmedel handlar inte bara om att förebygga oavsiktliga risker. Livsmedelsföretag behöver även arbeta förebyggande mot avsiktliga hot som sabotage, obehörigt intrång och medveten kontaminering av produkter. TACCP (Threat Assessment and Critical Control Points) är en metod för att identifiera och hantera dessa risker som en del av företagets arbete med Food Defense.

I den här guiden går vi igenom vad TACCP är, hur en TACCP-analys genomförs och vilka åtgärder som hjälper till att skydda verksamheten. Guiden riktar sig till livsmedelsföretag som vill stärka sitt arbete med Food Defense och uppfylla kraven i standarder som exempelvis FSSC 22000 och BRCGS Food.

TACCP (Threat Assessment and Critical Control Points) är en metod för att identifiera, bedöma och förebygga avsiktliga hot mot livsmedel och livsmedelsproduktion. Till skillnad från HACCP, som fokuserar på oavsiktliga faror, handlar TACCP om att skydda verksamheten mot personer som medvetet vill orsaka skada.

Hoten kan komma både från personer inom den egna organisationen och från externa aktörer. Det kan exempelvis handla om sabotage, avsiktlig kontaminering av produkter, obehörigt intrång i produktionslokaler eller andra handlingar som syftar till att skada konsumenter, företagets varumärke eller verksamhetens ekonomi.

TACCP är en central del av arbetet med Food Defense och hjälper företag att identifiera sårbarheter innan de kan utnyttjas. Genom att bedöma var verksamheten är mest utsatt kan företaget införa lämpliga skyddsåtgärder och minska risken för avsiktliga angrepp.

För företag som är certifierade enligt standarder som FSSC 22000 och BRCGS Food är ett dokumenterat arbete med TACCP en viktig del av ledningssystemet för livsmedelssäkerhet.

En TACCP-analys bygger på ett systematiskt arbetssätt där verksamheten identifierar och bedömer tänkbara hot mot livsmedelssäkerheten. Syftet är att hitta de områden där risken för avsiktliga angrepp är störst och införa lämpliga skyddsåtgärder innan en incident inträffar.

Arbetet genomförs normalt av ett tvärfunktionellt team med kunskap om verksamheten, produktionen och de processer som ska skyddas. Analysen omfattar hela verksamheten – från mottagning av råvaror till färdig produkt och distribution.

En TACCP-analys består vanligtvis av följande steg:

Sätt samman ett TACCP-team med rätt kompetens.

Identifiera tänkbara hot mot verksamheten.

Bedöm sannolikhet och konsekvens för varje identifierat hot.

Identifiera verksamhetens sårbarheter.

Fastställ lämpliga skyddsåtgärder.

Dokumentera, följ upp och uppdatera analysen regelbundet.

En TACCP-analys är inte en engångsinsats. Den bör ses över regelbundet och alltid uppdateras när verksamheten förändras, exempelvis vid nya produkter, nya processer, ombyggnationer eller förändrade hotbilder.

Ett framgångsrikt TACCP-arbete börjar med att sätta samman ett team med rätt kompetens. Eftersom TACCP handlar om att identifiera avsiktliga hot mot verksamheten är det viktigt att flera olika funktioner deltar i arbetet. På så sätt får företaget en bredare bild av vilka sårbarheter som finns och vilka skyddsåtgärder som kan behövas.

I många verksamheter består TACCP-teamet av representanter från kvalitet, produktion, underhåll och inköp. Beroende på verksamhetens storlek kan även personer med ansvar för säkerhet, HR eller IT bidra med värdefulla perspektiv. Det viktigaste är att teamet har god kännedom om verksamheten och de processer som ska skyddas.

En tydlig ansvarsfördelning gör arbetet mer effektivt. Teamet bör ha en utsedd sammankallande person som ansvarar för att planera möten, dokumentera analyser och säkerställa att beslutade åtgärder följs upp.

Praktiskt exempel

Ett livsmedelsföretag som producerar färdigförpackade produkter kan sätta samman ett TACCP-team bestående av kvalitetschef, produktionschef, underhållsansvarig och lageransvarig. Tillsammans kan de identifiera vilka delar av verksamheten som är mest sårbara, exempelvis råvarumottagning, produktionslinjer eller områden där obehöriga personer skulle kunna få tillträde

När TACCP-teamet har satts samman är nästa steg att identifiera vilka avsiktliga hot som skulle kunna påverka verksamheten. Syftet är inte att förutse exakt vad som kommer att hända, utan att förstå vilka scenarier som är möjliga och vilka konsekvenser de skulle kunna få.

Analysen bör omfatta hela verksamheten – från mottagning av råvaror till produktion, lagring och distribution. Det är viktigt att tänka brett och diskutera både interna och externa hot.

Exempel på frågor som kan ställas är:

Finns det områden där obehöriga personer kan få tillträde?

Kan någon medvetet kontaminera en råvara eller produkt?

Finns det kritiska processer som är särskilt sårbara för sabotage?

Hur hanteras besökare, entreprenörer och tillfällig personal?

Finns det risk att tidigare anställda eller andra personer missbrukar sina behörigheter?

Är känsliga kemikalier, allergener eller andra ämnen tillräckligt skyddade?

Finns det rutiner för att upptäcka misstänkt eller avvikande beteende?

Genom att identifiera tänkbara hot skapas en tydligare bild av vilka delar av verksamheten som behöver analyseras mer ingående i de kommande stegen.

Praktiskt exempel

Ett företag identifierar att chaufförer som hämtar färdiga produkter ibland har fri tillgång till lastningsområdet utan att alltid vara under uppsikt. TACCP-teamet bedömer att detta innebär en potentiell sårbarhet eftersom obehöriga skulle kunna få tillgång till produkter eller produktionsutrustning. Företaget beslutar därför att införa tydligare rutiner för besökare, begränsa tillträdet till vissa områden och säkerställa att externa personer alltid ledsagas inom verksamheten.

En TACCP-analys är inte ett engångsarbete utan en del av verksamhetens kontinuerliga arbete med livsmedelssäkerhet och Food Defense. För att analysen ska ge verkligt värde behöver den dokumenteras, följas upp och uppdateras regelbundet.

Dokumentationen bör tydligt beskriva vilka hot och sårbarheter som har identifierats, hur riskbedömningarna har genomförts, vilka skyddsåtgärder som har beslutats samt vem som ansvarar för att de genomförs. En tydlig dokumentation gör det enklare att följa upp arbetet och visar samtidigt för kunder och certifieringsorgan hur verksamheten arbetar systematiskt med Food Defense.

TACCP-analysen bör ses över minst en gång per år. Den ska även uppdateras när verksamheten förändras, exempelvis vid nya produkter, nya produktionsprocesser, ombyggnationer, förändrade lokaler eller när nya hot identifieras.

Uppföljningen bör även omfatta en kontroll av att beslutade skyddsåtgärder fungerar som planerat. Om brister upptäcks behöver verksamheten analysera orsaken och vid behov justera både riskbedömningen och de förebyggande åtgärderna.

Praktiskt exempel

Ett företag genomför en årlig genomgång av sin TACCP-analys i samband med ledningens genomgång. Under året har en ny produktionslinje installerats och flera nya entreprenörer arbetar regelbundet i fabriken. TACCP-teamet bedömer därför att vissa delar av analysen behöver uppdateras och beslutar om nya rutiner för behörighetskontroll och registrering av externa besökare.

Att tänka på

En TACCP-analys är en färskvara. Hotbilden förändras över tid och verksamheten utvecklas kontinuerligt. Genom att regelbundet följa upp och uppdatera analysen säkerställer företaget att skyddsåtgärderna fortfarande är relevanta och att arbetet med Food Defense fortsätter att vara effektivt.

Alla livsmedelsföretag är olika, men många delar liknande utmaningar när det gäller att skydda verksamheten mot avsiktliga hot. Genom att känna till vilka risker som är vanligast blir det enklare att identifiera verksamhetens sårbarheter och införa lämpliga skyddsåtgärder.

Nedan följer några exempel på hot som kan vara relevanta att beakta i ett TACCP-arbete.

Obehörigt tillträde

Personer som obehörigt tar sig in i produktions- eller lagerlokaler kan få möjlighet att manipulera produkter, utrustning eller råvaror. Därför är fungerande tillträdeskontroll och tydliga rutiner för besökare viktiga delar av ett effektivt Food Defense-arbete.

Avsiktlig kontaminering

En person kan medvetet försöka kontaminera råvaror, produkter eller processvatten för att orsaka skada. Även om sådana händelser är ovanliga kan konsekvenserna bli mycket allvarliga, vilket gör att risken behöver analyseras.

Sabotage av utrustning

Produktionsutrustning, styrsystem eller kritiska processer kan utsättas för sabotage som påverkar produktkvalitet, livsmedelssäkerhet eller produktionens kontinuitet.

Missbruk av behörigheter

Tidigare anställda eller personer med tillgång till känsliga områden kan utnyttja sina behörigheter på ett sätt som innebär en risk för verksamheten. Därför är tydliga rutiner för behörighetsstyrning och återkallande av behörigheter viktiga.

Otillräcklig kontroll av besökare och entreprenörer

Externa personer som vistas i verksamheten utan registrering eller ledsagning kan skapa onödiga sårbarheter. Rutiner för besökshantering är därför en viktig del av företagets skydd.

Social manipulation

Personer kan försöka få tillgång till information, lokaler eller system genom att utge sig för att vara leverantörer, entreprenörer eller myndighetspersonal. Utbildning och tydliga rutiner hjälper personalen att upptäcka och hantera sådana situationer.

Att tänka på

Alla dessa hot är inte relevanta för alla verksamheter. Syftet med TACCP är inte att identifiera så många risker som möjligt, utan att bedöma vilka hot som är realistiska för den egna verksamheten och införa skyddsåtgärder där de gör störst nytta.

En TACCP-analys handlar om att identifiera realistiska hot mot den egna verksamheten och bedöma vilka skyddsåtgärder som behövs. Nedan följer några exempel på situationer som kan vara relevanta att diskutera i ett TACCP-team.

Exempel 1 – Obehörigt tillträde till produktionsområdet

Under en leverans lämnas en dörr till produktionsområdet öppen under en längre tid. En obehörig person skulle i teorin kunna ta sig in i lokalen utan att uppmärksammas.

Möjliga skyddsåtgärder:

Passerkontroll till produktionslokaler.

Rutiner för att hålla dörrar stängda.

Kameraövervakning där det är motiverat.

Regelbundna kontroller av tillträdesvägar.

Exempel 2 – Avsiktlig kontaminering av produkter

En missnöjd medarbetare eller annan person med tillgång till produktionen skulle kunna försöka kontaminera en råvara eller färdig produkt.

Möjliga skyddsåtgärder:

Begränsad åtkomst till känsliga områden.

Tydliga behörighetsnivåer.

Ökad närvaro av arbetsledare i kritiska delar av produktionen.

Utbildning i Food Defense och rapportering av misstänkta händelser.

Exempel 3 – Entreprenörer i produktionsområdet

Externa entreprenörer utför arbete i produktionen under ordinarie drift. Om rutiner saknas kan de röra sig i känsliga områden utan tillräcklig kontroll.

Möjliga skyddsåtgärder:

Registrering av samtliga entreprenörer.

Besöksbrickor eller tillfälliga passerkort.

Ledsagning i produktionsområdet.

Tydliga regler innan arbetet påbörjas.

Exempel 4 – Missbruk av behörigheter

En tidigare anställd har fortfarande ett aktivt passerkort eller tillgång till företagets system efter avslutad anställning.

Möjliga skyddsåtgärder:

Rutiner för att omedelbart avsluta behörigheter.

Regelbunden kontroll av aktiva passerkort och användarkonton.

Dokumenterad ansvarsfördelning vid avslut av anställningar.

Exempel 5 – Besökare utan tydliga rutiner

Kunder, leverantörer eller andra besökare vistas i verksamheten utan att registreras eller ledsagas.

Möjliga skyddsåtgärder:

Besöksregistrering.

Besöksbrickor.

Ledsagning under hela besöket.

Information om företagets regler för Food Defense.

Att tänka på

Det finns ingen färdig lista över vilka hot som ska ingå i en TACCP-analys. Riskbilden varierar mellan olika verksamheter beroende på exempelvis produkter, produktionsprocesser, lokaler och organisation. Därför behöver varje företag genomföra en egen bedömning och identifiera de hot och sårbarheter som är mest relevanta för den egna verksamheten.

Många livsmedelsföretag har infört ett TACCP-system som en del av sitt ledningssystem för livsmedelssäkerhet. Trots detta finns det ett antal återkommande brister som ofta upptäcks vid internrevisioner och certifieringsrevisioner. Genom att känna till de vanligaste misstagen blir det enklare att utveckla ett TACCP-arbete som ger verkligt värde och stärker företagets arbete med Food Defense.

TACCP-analysen uppdateras inte

En av de vanligaste bristerna är att TACCP-analysen inte uppdateras när verksamheten förändras. Nya produkter, förändrade produktionsflöden, ombyggnationer eller nya leverantörer kan påverka hotbilden och kräva en ny bedömning.

Analysen blir en skrivbordsprodukt

TACCP genomförs ibland enbart för att uppfylla ett certifieringskrav. Om analysen inte används aktivt i verksamheten finns en risk att viktiga sårbarheter förbises och att beslutade skyddsåtgärder aldrig genomförs.

För få funktioner deltar i analysen

När endast kvalitetsavdelningen ansvarar för TACCP finns en risk att viktiga perspektiv saknas. Produktion, underhåll, lager, inköp och andra funktioner har ofta kunskap om sårbarheter som inte framgår av dokumentationen.

Skyddsåtgärder följs inte upp

Att besluta om en skyddsåtgärd är bara första steget. Verksamheten behöver också kontrollera att åtgärden har genomförts och att den fungerar som avsett. Utan uppföljning finns en risk att identifierade sårbarheter kvarstår.

Personalen saknar kunskap om Food Defense

Även väl utformade rutiner får begränsad effekt om medarbetarna inte känner till varför de finns eller hur de ska agera vid misstänkta händelser. Regelbunden utbildning och information är därför en viktig del av ett fungerande TACCP-arbete.

TACCP integreras inte i det övriga ledningssystemet

TACCP bör inte ses som ett separat dokument. Arbetet blir betydligt mer effektivt när det integreras med företagets övriga arbete inom HACCP, VACCP, internrevision och livsmedelssäkerhetskultur.

Att tänka på

Syftet med TACCP är inte att skapa mer dokumentation, utan att minska verksamhetens sårbarheter och stärka skyddet mot avsiktliga hot. Ett väl genomfört TACCP-arbete bygger därför på regelbunden uppföljning, engagerade medarbetare och ett kontinuerligt förbättringsarbete.

Att genomföra en TACCP-analys kräver både kunskap om verksamheten och förståelse för hur avsiktliga hot kan påverka livsmedelssäkerheten. Många företag upplever att det är svårt att identifiera relevanta hot, bedöma sårbarheter och avgöra vilka skyddsåtgärder som ger störst effekt.

QMS Consulting hjälper livsmedelsföretag att utveckla och förbättra sitt arbete med Food Defense och TACCP. Med erfarenhet som livsmedelsinspektör, kvalitetschef och certifieringsrevisor hjälper vi verksamheter att omsätta kraven i praktiska arbetssätt som fungerar i den dagliga verksamheten.

Vi kan bland annat hjälpa er med:

- Genomförande och uppdatering av TACCP-analyser.

- Identifiering och bedömning av hot och sårbarheter.

- Framtagning och utveckling av skyddsåtgärder.

- Förberedelser inför kund- och certifieringsrevisioner.

- Internrevisioner med fokus på Food Defense.

- Utbildning och stöd till ledning och medarbetare.

Oavsett om ni behöver stöd inför en certifiering, vill utveckla ett befintligt TACCP-system eller önskar en oberoende genomgång av verksamhetens arbete med Food Defense hjälper vi er att hitta en lösning som är anpassad efter era behov.

💬 Behöver ni stöd med TACCP?

Har ni frågor om TACCP eller vill diskutera hur ni kan stärka ert arbete med Food Defense?

Kontakta QMS Consulting för ett kostnadsfritt första samtal. Tillsammans går vi igenom er verksamhet och hur vi kan hjälpa er att utveckla ett praktiskt och effektivt TACCP-arbete.