Normas ISO 5 min de lectura
ISO 22000: requisitos de APPCC y prerrequisitos que debes cumplir
La norma ISO 22000 obliga a implementar prerrequisitos (PRP) y un plan APPCC basado en los principios del Codex Alimentarius. Este artículo desglosa las cláusulas 7 y 8, los límites críticos, la validación y la evidencia documental que exigen los auditores en España, México, Argentina y Colombia.
Si trabajas en inocuidad alimentaria, sabes que ISO 22000 no es un simple certificado: es un sistema que integra prerrequisitos, APPCC y trazabilidad bajo un único marco de gestión. La norma publicada en 2018 (ISO 22000:2018) dedica los apartados 7 y 8 a los requisitos operativos, y ahí es donde la mayoría de las empresas fallan en auditoría. Este artículo se centra en lo que exige la norma, sin rodeos, para que sepas qué preparar antes de que llegue el auditor.
¿Qué cláusulas te obligan a tener APPCC y prerrequisitos?
La obligación no está en un solo punto, sino en una combinación de cláusulas. El apartado 8.1 establece que debes planificar, implementar y controlar los procesos necesarios para cumplir los requisitos de inocuidad. El 8.5.1 exige que establezcas, implementes y mantengas prerrequisitos (PRP). El 8.5.2 te obliga a validar los PRP. Y el 8.5.4 es el corazón del sistema: el plan APPCC.
En la práctica, esto significa que no puedes tener un APPCC sin una base sólida de prerrequisitos. Si un auditor ve que no has validado tus PRP, ya tienes una no conformidad mayor. La norma también te obliga a vincular los prerrequisitos con el análisis de peligros: cada peligro significativo debe ser controlado por un PRP, un punto crítico de control (PCC) o un programa de prerrequisitos operativos (PRPo).
Requisitos mínimos de los prerrequisitos (cláusula 8.2)
La cláusula 8.2 define qué deben cubrir los PRP. No es una lista cerrada, pero sí obligatoria en cuanto a contenido. Debes seleccionar y documentar los PRP adecuados a tu tamaño, tipo de proceso y naturaleza del producto. La norma menciona explícitamente: diseño y distribución de instalaciones, servicios (agua, aire, vapor), limpieza y desinfección, control de plagas, mantenimiento, gestión de residuos, higiene del personal y control de proveedores.
Cada PRP debe tener un límite de actuación (no confundir con límite crítico). Por ejemplo, si tu PRP de limpieza exige una concentración de cloro de 100 ppm en superficies, ese valor debe estar documentado y verificado. La norma no fija valores numéricos universales; tú los defines, pero debes justificarlos con evidencias técnicas o normativas locales.
Validación de los PRP (cláusula 8.2.3)
La cláusula 8.2.3 te obliga a validar los PRP antes de implementarlos. Esto significa demostrar que son eficaces. Si no tienes un estudio microbiológico que respalde tu concentración de desinfectante, o una referencia a una norma nacional, tu PRP no está validado. Guarda informes de laboratorio, fichas técnicas y registros de pruebas iniciales.
El plan APPCC: cláusula 8.5.4 paso a paso
El apartado 8.5.4 replica los principios del Codex Alimentarius, pero con un matiz: ISO 22000 exige que integres el APPCC con tu sistema de gestión. Debes documentar:
- Análisis de peligros (cláusula 8.5.2): identifica todos los peligros razonablemente esperables, de tipo biológico, químico y físico. Evalúa su gravedad y probabilidad.
- Determinación de PRPo (cláusula 8.5.3): para peligros que no son controlados por un PCC, defines PRPo con criterios de actuación y medidas de control.
- Identificación de PCC (cláusula 8.5.4): aplica el árbol de decisiones. Cada PCC debe tener uno o varios límites críticos.
- Sistema de vigilancia (cláusula 8.5.4): define qué, cómo, cuándo y quién vigila cada PCC.
- Acciones correctivas (cláusula 8.5.4.2): cuando se supera un límite crítico, debes actuar sobre el producto y sobre el proceso.
- Verificación (cláusula 8.7): incluye revisión de registros, calibración de equipos y muestreo.
Límites críticos: qué dice la norma exactamente
La cláusula 8.5.4 exige que cada PCC tenga un límite crítico medible. No basta con decir "cocción suficiente". Debes fijar, por ejemplo, 72 °C en el centro del producto durante 15 segundos. La norma no da valores; los define tu estudio de validación. Pero sí exige que el límite sea objetivo y verificable, y que los equipos de vigilancia estén calibrados según la cláusula 8.7 (control del seguimiento y la medición).
Documentación y evidencia que te pedirán en auditoría
Los auditores no se conforman con tener un plan APPCC colgado en la pared. Buscan evidencia de que el sistema funciona. Según la cláusula 7.5 (información documentada), debes tener:
- Política de inocuidad (cláusula 5.2).
- Objetivos medibles (cláusula 6.2).
- Procedimientos de trazabilidad (cláusula 8.3) — obligatorio, no opcional.
- Plan APPCC completo con sus 7 principios.
- Registros de vigilancia de PCC (temperaturas, tiempos, presiones).
- Registros de acciones correctivas cuando se superó un límite.
- Resultados de verificación y validación.
Un error común es no actualizar el APPCC cuando cambias un proveedor o una línea de proceso. La cláusula 8.5.4 exige que revises el plan cuando se produzcan cambios significativos (cláusula 8.6). Si no lo haces, tu certificación queda en riesgo.
Requisitos específicos para países de habla hispana
En España, México, Argentina y Colombia, los auditores cruzan la norma con la legislación local. Por ejemplo, en México la NOM-251-SSA1-2009 exige prerrequisitos similares a los PRP de ISO 22000; en Colombia, el INVIMA aplica el Decreto 60 de 2002 y la Resolución 2674 de 2013. En Argentina, el CAA (Código Alimentario Argentino) y el SENASA marcan la pauta; en España, el Reglamento (CE) 852/2004 obliga a aplicar APPCC en todas las empresas alimentarias.
Esto significa que tu sistema ISO 22000 debe ser compatible con esas normas. No puedes tener un límite crítico que contradiga la ley local. Por ejemplo, si la legislación española exige una temperatura de conservación de 4 °C para un producto, tu APPCC debe usar ese valor o uno más estricto, nunca menos.
Conclusión práctica
Cumplir ISO 22000 en su parte de APPCC y prerrequisitos no es burocrático: es operativo. La norma te obliga a demostrar que controlas los peligros con datos, no con intenciones. Antes de la auditoría, revisa si tus PRP están validados, si tus límites críticos son medibles y si tu equipo de vigilancia está calibrado. Esa es la diferencia entre aprobar y recibir una no conformidad mayor.
Recuerda: el apartado 8.5.4 no es un formulario que se rellena una vez. Es un sistema vivo que se actualiza con cada cambio de proceso, proveedor o normativa. Si lo tratas como un documento estático, tu sistema de inocuidad no sirve.
Preguntas frecuentes
¿ISO 22000 exige tener un plan APPCC obligatoriamente? Sí, la cláusula 8.5.4 lo exige. No puedes certificarte sin un plan APPCC documentado y aplicado, basado en los principios del Codex Alimentarius.
¿Los prerrequisitos son opcionales en ISO 22000? No. La cláusula 8.2 los establece como obligatorios. Debes seleccionarlos, implementarlos y validarlos antes de operar.
¿Qué diferencia hay entre PRPo y PCC? Un PRPo controla un peligro sin necesidad de un límite crítico estricto; un PCC requiere vigilancia continua y límites críticos medibles. La norma los trata en cláusulas 8.5.3 y 8.5.4.
¿Qué pasa si supero un límite crítico? Debes activar las acciones correctivas de la cláusula 8.5.4.2: evaluar el producto afectado, corregir la causa y documentar todo.
¿Necesito calibrar los termómetros de los PCC? Sí, la cláusula 8.7 exige que los equipos de vigilancia estén calibrados y verificados, con registros disponibles.
Datos clave
Afirmaciones legibles por máquina extraídas de las fuentes anteriores. Cada dato conserva el mismo identificador en las seis versiones de idioma.
8.5.4
La cláusula 8.5.4 de ISO 22000 obliga a establecer, implementar y mantener un plan APPCC basado en los principios del Codex Alimentarius.
ID del dato:
clausula_8528.2
La cláusula 8.2 exige definir, implementar y validar prerrequisitos (PRP) antes de operar el sistema.
ID del dato:
clausula_prp72 °C / 15 s (ejemplo)
Los límites críticos de cada PCC deben ser medibles y objetivos, como 72 °C en el centro durante 15 segundos, y no pueden contradecir la legislación local.
ID del dato:
limite_critico8.3
La cláusula 8.3 exige un sistema de trazabilidad obligatorio, no opcional, que permita rastrear el producto en todas las etapas.
ID del dato:
trazabilidad8.7
La cláusula 8.7 obliga a calibrar y verificar los equipos de vigilancia de los PCC, con registros disponibles para auditoría.
ID del dato:
calibracion8.5.4.2
Cuando se supera un límite crítico, la cláusula 8.5.4.2 exige acciones correctivas inmediatas sobre el producto y el proceso.
ID del dato:
acciones_correctivas
Preguntas frecuentes
¿ISO 22000 exige tener un plan APPCC obligatoriamente?
Sí, la cláusula 8.5.4 lo exige. No puedes certificarte sin un plan APPCC documentado y aplicado, basado en los principios del Codex Alimentarius.
¿Los prerrequisitos son opcionales en ISO 22000?
No. La cláusula 8.2 los establece como obligatorios. Debes seleccionarlos, implementarlos y validarlos antes de operar.
¿Qué diferencia hay entre PRPo y PCC?
Un PRPo controla un peligro sin necesidad de un límite crítico estricto; un PCC requiere vigilancia continua y límites críticos medibles. La norma los trata en cláusulas 8.5.3 y 8.5.4.
¿Qué pasa si supero un límite crítico?
Debes activar las acciones correctivas de la cláusula 8.5.4.2: evaluar el producto afectado, corregir la causa y documentar todo.
¿Necesito calibrar los termómetros de los PCC?
Sí, la cláusula 8.7 exige que los equipos de vigilancia estén calibrados y verificados, con registros disponibles.
Fuentes y licencias
Cada afirmación de este artículo remite a las fuentes indicadas abajo. Los enlaces abren directamente al editor.
