Tiêu chuẩn ISO 22000 là gì? Nội dung, PRP/CCP và đối tượng áp dụng

ISO 22000 là tiêu chuẩn quốc tế về hệ thống quản lý an toàn thực phẩm (Food Safety Management System — FSMS). Tiêu chuẩn đặt ra yêu cầu để một tổ chức bất kỳ trong chuỗi thực phẩm kiểm soát được mối nguy an toàn thực phẩm và bảo đảm thực phẩm an toàn tại thời điểm tiêu dùng. Bài viết giải thích nội dung tiêu chuẩn, trạng thái phiên bản, và ranh giới giữa ISO 22000 với HACCP, FSSC 22000, GMP.

ISO 22000 là gì?

ISO 22000 do Tổ chức Tiêu chuẩn hoá Quốc tế (ISO) xây dựng và ban hành. Điểm khác biệt lớn nhất của tiêu chuẩn này so với các tiêu chuẩn an toàn thực phẩm khác là phạm vi toàn chuỗi: nó áp dụng cho mọi tổ chức có liên quan tới thực phẩm — từ trang trại, nhà máy chế biến, đơn vị vận chuyển, kho lạnh, nhà cung cấp bao bì, cho tới bán lẻ và dịch vụ ăn uống.

Cần phân định ngay từ đầu: ISO 22000 là tiêu chuẩn về hệ thống quản lý, không phải tiêu chuẩn về sản phẩm. Nó không quy định ngưỡng cụ thể cho từng chỉ tiêu vi sinh hay hoá học — những ngưỡng đó thuộc về quy chuẩn kỹ thuật và pháp luật chuyên ngành. Cái ISO 22000 yêu cầu là tổ chức phải có cơ chế nhận diện những yêu cầu đó, kiểm soát mối nguy tương ứng, và chứng minh được cơ chế ấy đang vận hành.

Tiêu chuẩn cũng không phải văn bản có tính ràng buộc pháp lý. Đây là công cụ quản lý tổ chức tự nguyện áp dụng. Tính bắt buộc, nếu có, đến từ pháp luật quốc gia hoặc từ yêu cầu của khách hàng trong hợp đồng.

Phiên bản hiện hành và tiến trình soát xét

hệ thống FSMS theo ISO 22000:2018 là phiên bản hiện hành, ban hành ngày 19/06/2018. Đây là ấn bản thứ hai, thay thế ISO 22000:2005.

Tháng 02/2024, ISO ban hành Amendment 1:2024 bổ sung yêu cầu xem xét biến đổi khí hậu vào điều khoản 4.1 và 4.2. Bản sửa đổi này không thay đổi các yêu cầu kỹ thuật khác và không tạo ra giai đoạn chuyển đổi mới.

Tiêu chuẩn đang trong tiến trình soát xét tại Ban kỹ thuật ISO/TC 34/SC 17. Chưa có phiên bản mới nào được ban hành; mọi hoạt động chứng nhận hiện nay vẫn thực hiện theo ISO 22000:2018.

Về phiên bản cũ: giai đoạn chuyển đổi từ ISO 22000:2005 sang :2018 ban đầu ấn định tới 29/06/2021, sau đó được gia hạn thêm 6 tháng do ảnh hưởng COVID-19 và kết thúc ngày 29/12/2021. Sau mốc đó, chứng chỉ theo phiên bản 2005 không còn hiệu lực. Chi tiết tại bài ISO 22000:2005 — phiên bản đã được thay thế và hướng dẫn chuyển đổi sang ISO 22000:2018.

Bốn yếu tố nền tảng

ISO 22000 được xây dựng trên bốn yếu tố kết hợp với nhau. Hiểu đúng bốn yếu tố này là hiểu được bản chất tiêu chuẩn:

• Trao đổi thông tin tương tác — thông tin về mối nguy phải đi được cả xuôi và ngược trong chuỗi: từ nhà cung cấp tới tổ chức, từ tổ chức tới khách hàng, và với cơ quan quản lý. Đây là yếu tố mà các tiêu chuẩn chỉ tập trung vào nội bộ nhà máy không có.
• Quản lý hệ thống — áp dụng cấu trúc bậc cao dùng chung với ISO 9001, ISO 14001, ISO 45001, cho phép tích hợp thay vì vận hành song song nhiều bộ hồ sơ.
• Chương trình tiên quyết (PRP) — nền tảng vệ sinh và điều kiện sản xuất cơ bản.
• Nguyên tắc HACCP — phân tích mối nguy và kiểm soát điểm tới hạn theo Codex.

Cấu trúc tiêu chuẩn: điều khoản 4 đến 10

Bảy điều khoản mang yêu cầu được tóm lược như sau (diễn giải, không trích nguyên văn tiêu chuẩn):

Cách tổ chức bộ tài liệu đáp ứng các điều khoản này được trình bày tại bài tài liệu và hồ sơ FSMS theo ISO 22000; quy trình đánh giá nội bộ tại bài đánh giá nội bộ hệ thống ISO 22000.

PRP, OPRP và CCP — ba tầng kiểm soát

Đây là phần gây nhầm lẫn nhiều nhất khi triển khai, và cũng là phần đánh giá viên kiểm tra kỹ nhất.

• PRP (chương trình tiên quyết) — điều kiện và hoạt động cơ bản duy trì môi trường vệ sinh: thiết kế nhà xưởng, vệ sinh, kiểm soát côn trùng và động vật gây hại, bảo trì thiết bị, vệ sinh cá nhân, quản lý chất thải. PRP áp dụng chung, không nhắm vào một mối nguy cụ thể nào.
• OPRP (chương trình tiên quyết vận hành) — biện pháp kiểm soát nhắm vào một mối nguy đáng kể đã xác định, nhưng không có giới hạn tới hạn đo được tại chỗ theo cách của CCP. Việc kiểm soát dựa trên tiêu chí hành động và cần hành động khi mất kiểm soát.
• CCP (điểm kiểm soát tới hạn) — công đoạn mà biện pháp kiểm soát là thiết yếu để ngăn ngừa hoặc giảm mối nguy xuống mức chấp nhận được, và có giới hạn tới hạn đo được cùng cơ chế theo dõi cho phép hành động khắc phục kịp thời.

Sai lầm phổ biến: xác định quá nhiều CCP vì “cho chắc”. Hệ quả là hệ thống theo dõi trở nên nặng nề tới mức không ai làm nổi, và khi đánh giá thì hồ sơ theo dõi khuyết. Ngược lại, gán một mối nguy đáng kể vào PRP chung sẽ bị nêu điểm không phù hợp vì biện pháp không tương xứng với mức rủi ro.

Ba khái niệm này được phân tích riêng tại bài phân biệt PRP, OPRP và CCP; nội dung chương trình tiên quyết tại chương trình tiên quyết trong HACCP; cách xác định điểm kiểm soát tới hạn tại hướng dẫn xác định CCP.

Phân tích mối nguy — bước quyết định

Phân tích mối nguy quyết định chất lượng toàn hệ thống. Trình tự thường dùng: mô tả sản phẩm và mục đích sử dụng; vẽ và xác nhận tại hiện trường lưu đồ quá trình; liệt kê mối nguy sinh học, hoá học và vật lý ở từng công đoạn; đánh giá mức độ đáng kể theo khả năng xảy ra và mức nghiêm trọng; chọn biện pháp kiểm soát và phân loại vào PRP, OPRP hay CCP.

Điểm hay bị bỏ sót: dị nguyên (allergen) và gian lận thực phẩm; mối nguy đến từ bao bì tiếp xúc trực tiếp; mối nguy phát sinh khi đổi nhà cung cấp nguyên liệu; và mối nguy trong các công đoạn không thường xuyên như vệ sinh định kỳ hay sửa chữa thiết bị.

Lưu đồ vẽ trên giấy mà không đi kiểm chứng tại xưởng gần như luôn sai ở vài chỗ — thường là các đường quay vòng, tái chế bán thành phẩm, hoặc lối đi cắt ngang giữa khu sạch và khu bẩn. Xem thêm bảng phân tích mối nguy và kế hoạch HACCP.

Trao đổi thông tin — yếu tố ít được chú ý nhất

Trong bốn yếu tố nền tảng, trao đổi thông tin là yếu tố bị làm hình thức nhiều nhất, dù nó chính là thứ phân biệt ISO 22000 với HACCP thuần tuý.

Tiêu chuẩn yêu cầu hai chiều thông tin:

• Bên ngoài — với nhà cung cấp và nhà thầu (yêu cầu an toàn thực phẩm, thay đổi công thức hoặc nguồn gốc), với khách hàng và người tiêu dùng (thông tin sản phẩm, cảnh báo dị nguyên, kênh khiếu nại), với cơ quan quản lý, và với các tổ chức khác ảnh hưởng tới hệ thống. Tổ chức phải chỉ định người có thẩm quyền trao đổi ra bên ngoài.
• Nội bộ — bảo đảm đội an toàn thực phẩm được thông báo trước khi có thay đổi: sản phẩm mới, đổi nguyên liệu hoặc nhà cung cấp, đổi thiết bị hoặc mặt bằng, đổi chương trình vệ sinh, đổi bao bì, thay đổi nhân sự, hoặc có yêu cầu pháp luật mới.

Điểm rủi ro cao nhất là dị nguyên: một thay đổi nhà cung cấp không được chuyển tới bộ phận ghi nhãn có thể dẫn tới sản phẩm ra thị trường thiếu công bố dị nguyên — không công đoạn sản xuất nào sai, chỉ vòng thông tin bị đứt. Chi tiết tại bài trao đổi thông tin trong chuỗi thực phẩm theo ISO 22000.

Truy xuất nguồn gốc, thu hồi và ứng phó khẩn cấp

Ba năng lực này gắn chặt nhau và đều là yêu cầu riêng của tiêu chuẩn.

Truy xuất nguồn gốc phải cho phép xác định lô nguyên liệu nào đã đi vào lô thành phẩm nào, và lô thành phẩm đã tới những khách hàng nào — theo cả hai chiều. Hệ thống truy xuất chỉ có giá trị khi được thử nghiệm định kỳ và đo được: bao lâu để xác định phạm vi lô, tỉ lệ sản phẩm truy được là bao nhiêu.

Thu hồi sản phẩm cần xác định trước ai có thẩm quyền quyết định, danh sách liên hệ cập nhật, nội dung thông báo mẫu, và nghĩa vụ khai báo với cơ quan quản lý theo quy định hiện hành.

Ứng phó tình huống khẩn cấp bao gồm cả các tình huống ngoài sản xuất có thể ảnh hưởng tới an toàn thực phẩm: mất điện kéo dài làm hỏng chuỗi lạnh, ngập lụt, cháy, ô nhiễm nguồn nước. Xem bài ứng phó tình huống khẩn cấp về an toàn thực phẩm.

ISO 22000 khác gì các tiêu chuẩn an toàn thực phẩm khác?

Đây là câu hỏi thực tế nhất khi doanh nghiệp chọn tiêu chuẩn để áp dụng:

Bức tranh tổng thể các tiêu chuẩn an toàn thực phẩm phổ biến — gồm cả BRC, IFS, GlobalG.A.P — có tại bài tiêu chuẩn an toàn thực phẩm.

Chương trình tiên quyết — nền móng hay bị xem nhẹ

Nhiều doanh nghiệp lao vào xác định CCP mà bỏ qua phần nền. Kết quả là hệ thống có kế hoạch HACCP đẹp trên nền vệ sinh yếu, và điểm không phù hợp xuất hiện ở đúng phần nền đó.

Chương trình tiên quyết cần bao phủ ít nhất:

• Thiết kế và bố trí nhà xưởng — phân luồng nguyên liệu, bán thành phẩm, thành phẩm và chất thải sao cho không giao cắt; phân tách khu sạch và khu bẩn. Xem thiết kế nhà xưởng thực phẩm và điều kiện nhà xưởng đáp ứng HACCP.
• Vệ sinh nhà xưởng và thiết bị — quy trình, tần suất, hoá chất sử dụng, cách kiểm tra hiệu lực làm sạch.
• Kiểm soát côn trùng và động vật gây hại — sơ đồ đặt bẫy, hồ sơ theo dõi, đơn vị thực hiện.
• Vệ sinh cá nhân — trang phục, rửa tay, quy định về sức khoẻ người lao động tiếp xúc trực tiếp với thực phẩm.
• Kiểm soát nước, đá và khí nén tiếp xúc với thực phẩm.
• Bảo trì thiết bị và kiểm soát vật liệu có nguy cơ rơi vào sản phẩm — thuỷ tinh, nhựa cứng, kim loại.
• Quản lý chất thải và kiểm soát hoá chất phi thực phẩm.
• Kiểm soát dị nguyên — phân tách nguyên liệu, trình tự sản xuất, vệ sinh chuyển đổi, ghi nhãn.

Với các ngành cụ thể, bộ ISO/TS 22002 đưa ra yêu cầu PRP chi tiết theo ngành — đây cũng chính là bộ mà FSSC 22000 sử dụng.

Bộ tiêu chuẩn họ ISO 22000

ISO 22000 không đứng một mình. Các tài liệu đi kèm thường dùng:

• ISO/TS 22002 — bộ tiêu chuẩn về chương trình tiên quyết, chia theo ngành: chế biến thực phẩm, sản xuất bao bì, nông nghiệp, thức ăn chăn nuôi, vận chuyển và bảo quản, dịch vụ ăn uống. Đây là bộ mà FSSC 22000 sử dụng làm yêu cầu PRP.
• ISO/TS 22004 — hướng dẫn áp dụng. Bản hiện có được biên soạn cho phiên bản ISO 22000:2005, nên khi áp dụng bản 2018 cần đối chiếu trực tiếp với tiêu chuẩn.
• ISO 22005 — nguyên tắc và yêu cầu đối với hệ thống truy xuất nguồn gốc trong chuỗi thực phẩm.

Ai nên áp dụng ISO 22000?

Tiêu chuẩn không giới hạn quy mô hay loại hình. Trong thực tế Việt Nam, nhu cầu rõ nhất ở:

• Chế biến thực phẩm và đồ uống — nhóm áp dụng nhiều nhất.
• Doanh nghiệp xuất khẩu — nơi khách hàng nước ngoài đưa chứng nhận vào bộ tiêu chí lựa chọn nhà cung cấp. Xem chứng nhận ISO 22000 phục vụ xuất khẩu.
• Nông nghiệp, thuỷ sản, chăn nuôi ở đầu chuỗi.
• Logistics, kho lạnh, vận chuyển thực phẩm.
• Sản xuất bao bì tiếp xúc thực phẩm và nhà cung cấp phụ gia, hương liệu.
• Bếp ăn tập thể, chuỗi nhà hàng, suất ăn công nghiệp.

Lợi ích khi áp dụng

Đo được: giảm khiếu nại về chất lượng và an toàn; giảm số lô bị trả hoặc phải xử lý lại; rút ngắn thời gian chuẩn bị cho các cuộc đánh giá của khách hàng; hồ sơ tuân thủ pháp luật rõ ràng hơn khi có đoàn kiểm tra.

Gián tiếp: kỷ luật vận hành tăng lên khi mọi công đoạn đều có tiêu chí và hồ sơ; năng lực xử lý sự cố cải thiện nhờ có quy trình thu hồi và ứng phó khẩn cấp được diễn tập.

Thị trường — cần diễn đạt thận trọng: chứng chỉ có thể là điều kiện để trở thành nhà cung cấp với một số khách hàng, đặc biệt trong xuất khẩu. Tuy nhiên mức độ chấp nhận phụ thuộc từng khách hàng và từng thị trường; nhiều nhà bán lẻ quốc tế yêu cầu tiêu chuẩn được GFSI thừa nhận như FSSC 22000 hoặc BRC chứ không chấp nhận ISO 22000 đơn thuần.

Điều tiêu chuẩn không hứa: ISO 22000 không cam kết loại bỏ hoàn toàn sự cố an toàn thực phẩm. Giá trị của nó nằm ở chỗ tổ chức phát hiện sớm, xử lý có hệ thống và truy xuất được khi có vấn đề.

ISO 22000 không thay thế nghĩa vụ tuân thủ pháp luật

Có chứng chỉ ISO 22000 không có nghĩa doanh nghiệp đã hoàn thành nghĩa vụ pháp lý về an toàn thực phẩm.

Tại Việt Nam, nghĩa vụ đó do Luật An toàn thực phẩm và hệ thống văn bản hướng dẫn quy định — bao gồm điều kiện bảo đảm an toàn thực phẩm của cơ sở, tự công bố hoặc đăng ký bản công bố sản phẩm, kiểm nghiệm định kỳ, truy xuất nguồn gốc và thu hồi sản phẩm không bảo đảm an toàn. Quy định lĩnh vực này thay đổi tương đối thường xuyên, nên cần đối chiếu văn bản đang có hiệu lực tại thời điểm áp dụng.

Quan hệ đúng: pháp luật đặt sàn tối thiểu bắt buộc; ISO 22000 là khuôn khổ tự nguyện giúp bảo đảm cái sàn đó được đáp ứng có hệ thống. Về quan hệ cụ thể giữa chứng chỉ ISO 22000 và giấy chứng nhận cơ sở đủ điều kiện an toàn thực phẩm, xem bài ISO 22000 có thay được giấy chứng nhận VSATTP không.

Tiêu chuẩn, chứng nhận và công nhận

• ISO xây dựng và ban hành tiêu chuẩn. ISO không cấp chứng nhận — không tồn tại khái niệm “chứng chỉ do ISO cấp”.
• Tổ chức chứng nhận (CB) đánh giá và cấp chứng chỉ.
• Tổ chức công nhận (AB) đánh giá năng lực của chính các CB.

Về khuôn khổ thừa nhận quốc tế: IAF đã chấm dứt hoạt động từ 01/01/2026, hợp nhất với ILAC thành Global Accreditation Cooperation Incorporated (Global ACI); IAF MLA và ILAC MRA được thay bằng GAC MRA. Thoả thuận thừa nhận lẫn nhau làm tăng khả năng chứng chỉ được chấp nhận ở nhiều thị trường, nhưng không tạo ra sự chấp nhận tự động — quyết định thuộc về bên yêu cầu. Xem phân biệt chứng nhận và công nhận.

Lộ trình áp dụng tham khảo

• Bước 1 — Cam kết của lãnh đạo và xác định phạm vi. Xác định sản phẩm, công đoạn và địa điểm nằm trong hệ thống.
• Bước 2 — Thành lập đội an toàn thực phẩm. Đội phải có đủ chuyên môn về sản phẩm, quá trình, thiết bị và mối nguy — không thể chỉ gồm nhân sự QA.
• Bước 3 — Rà soát và hoàn thiện PRP. Nếu nền vệ sinh chưa đạt thì mọi thứ phía sau đều không vững.
• Bước 4 — Mô tả sản phẩm, vẽ và xác nhận lưu đồ tại hiện trường.
• Bước 5 — Phân tích mối nguy, xác định OPRP và CCP, lập kế hoạch kiểm soát.
• Bước 6 — Xây dựng tài liệu, đào tạo, vận hành và thu thập hồ sơ. Hệ thống cần chạy đủ lâu để có bằng chứng thực tế.
• Bước 7 — Đánh giá nội bộ và xem xét của lãnh đạo. Bắt buộc hoàn tất trước khi mời đánh giá chứng nhận.
• Bước 8 — Đánh giá chứng nhận theo hai giai đoạn.

Quy trình chứng nhận theo từng bước có tại bài quy trình cấp chứng nhận ISO 22000. Việc nâng năng lực đội ngũ qua đào tạo ISO 22000.

Câu hỏi thường gặp

ISO 22000 là gì?

Là tiêu chuẩn quốc tế quy định yêu cầu đối với hệ thống quản lý an toàn thực phẩm, áp dụng cho mọi tổ chức trong chuỗi thực phẩm, kết hợp nguyên tắc HACCP với khung quản lý hệ thống.

Phiên bản nào đang có hiệu lực?

ISO 22000:2018, ban hành 19/06/2018, kèm Amendment 1:2024. Chứng chỉ theo ISO 22000:2005 đã hết hiệu lực sau 29/12/2021.

ISO 22000 có bắt buộc không?

Không bắt buộc theo pháp luật. Tính bắt buộc nếu có đến từ yêu cầu của khách hàng hoặc điều kiện hợp đồng.

ISO 22000 khác HACCP thế nào?

HACCP là phương pháp kiểm soát mối nguy. ISO 22000 bao gồm nguyên tắc HACCP và bổ sung khung hệ thống quản lý — bối cảnh tổ chức, lãnh đạo, trao đổi thông tin, đánh giá nội bộ, cải tiến liên tục.

Doanh nghiệp nhỏ có áp dụng được không?

Được. Tiêu chuẩn không quy định khối lượng tài liệu cố định — mức độ chi tiết tương xứng với quy mô và mức rủi ro của tổ chức.

Chứng chỉ ISO 22000 có hiệu lực bao lâu?

Thông thường 3 năm, kèm đánh giá giám sát định kỳ. Hết chu kỳ cần đánh giá tái chứng nhận.

PRP, OPRP và CCP khác nhau thế nào?

PRP là điều kiện vệ sinh và vận hành cơ bản, áp dụng chung. OPRP là biện pháp nhắm vào một mối nguy đáng kể nhưng không có giới hạn tới hạn đo được tại chỗ. CCP là công đoạn thiết yếu, có giới hạn tới hạn đo được và cơ chế theo dõi cho phép hành động kịp thời.

ISO 22000 có yêu cầu sổ tay không?

Không. Tiêu chuẩn dùng khái niệm “thông tin dạng văn bản” và không bắt buộc sổ tay theo kiểu ISO 9001 phiên bản cũ. Doanh nghiệp tự quyết định mức độ chi tiết tương xứng với quy mô và mức rủi ro.

Có ISO 22000 rồi có cần FSSC 22000 không?

Tuỳ khách hàng. Nhiều nhà bán lẻ quốc tế yêu cầu tiêu chuẩn được GFSI thừa nhận; ISO 22000 đơn thuần không nằm trong danh sách đó, còn FSSC 22000 thì có. Nếu khách hàng của bạn yêu cầu GFSI, ISO 22000 là bước nền chứ chưa đủ.

Bước tiếp theo

Nếu doanh nghiệp bạn đang cân nhắc áp dụng ISO 22000, việc hợp lý là bắt đầu từ rà soát chương trình tiên quyết và xác định phạm vi hệ thống — hai thứ này quyết định khối lượng công việc phía sau, và cũng là hai thứ tốn nhiều thời gian nhất nếu làm lại từ giữa dự án.

Một cách kiểm tra mức độ sẵn sàng trước khi mời đánh giá: chọn một công đoạn có điểm kiểm soát tới hạn, xuống tận nơi, rồi đối chiếu ba thứ — tài liệu quy định gì, người vận hành thực tế làm gì, và hồ sơ ghi lại gì. Ba thứ khớp nhau nghĩa là hệ thống đang chạy thật; lệch nhau ở đâu thì đó chính là chỗ đánh giá viên sẽ dừng lại.

Để tìm hiểu quy trình đánh giá, hồ sơ cần chuẩn bị và các yếu tố cấu thành chi phí, xem trang chứng nhận ISO 22000.