四川出入境检验检疫局 陆军
ISO22000标准明确组织应按照前提方案的要求保持卫生环境所必需的基本条件和活动，控制食品加工环境可能给食品带来的危害。前提方案控制的严格程度与产品的安全性只有一定的相关性，前提方案达到一定的水平程度后将无法提高产品的安全水平，针对不同产品的安全性要求组织应通过系统的危害分析针对组织产品特性制定针对具体食品安全危害的控制措施。
根据控制措施的严格程度将控制措施分为操作性前提方案（OPRP）和HACCP计划。其中HACCP计划控制较操作性前提方案控制更为严格。组织如何识别针对组织产品的具体食品安全危害？如何有针对性制定相应的控制措施生产出安全的产品？这需要组织应用科学的方法系统地进行危害分析找出需要由本组织控制的危害，在危害分析基础上制定出可行的控制措施组合将危害控制到可接受水平。ISO22OOO标准只提出危害评估及控制措施选择与评估的要求却没提出具体的方法。过去传统HACCP的危害分析方法通过不同工序危害的显著性分析判定CCP，已不能满足ISO22000标准的危害分析与控制措施选择的要求。
一、食品安全危害评价
组织应对每种已识别的食品安全危害进行危害评价，评价食品安全危害的风险程度，以确定消除危害或将危害降至可接受水平是否是生产安全食品所必需；以及是否需要控制危害到规定的可接受水平。
食品链中组织的食品安全危害评价应根据组织食品安全危害造成不良健康后果的严重性及其发生的可能性，对识别的食品安全危害进行风险评价，最好的办法是通过定性的描述或一个可以量化的数据。如化学危害的严重性评估，确定人体摄入化学物的潜在不良作用，这种不良作用产生的可能性，以及对暴露人群产生这种不良作用的确定性和不确定性，对发生不良作用的可能性作定性的评价。通常科学的危害分析是由食品毒理学家、微生物学家、医生或其他专业人士等负责，对包括流行病学研究、动物毒理学研究、体外试验等数据进行系统分析，以最终评价不同食品安全危害的危害风险程度。组织可以通过聘请专家、收集相关的食品安全危害数据，或是依据经验以及较严格的危害控制认识与要求实现危害的风险评价，通过食品危害的严重性和可能性评价,进而确认相关的危害风险程度。
1、危害的严重性评价
食品危害的严重性与其对顾客产品的影响直接相关，同时食品危害可能对组织影响程度紧密相关。
组织可将危害程度分别定性为灾难性危害、严重危害、中度危害、轻微危害、可忽略危害。组织也可以将危害程度更粗略地只分为严重危害（包括灾难性危害）、中度危害、轻微危害（包括可忽略危害）。可以将食品安全对组织的影响程度分为严重影响、一般影响、轻微影响（或不影响）。并以严重性指数来综合描述危害的严重性。
严重性指数（S）：危害一旦发生顾客及组织不可接受程度的等级描述。
当危害的严重性指数与其危害程度直接对应，如巧克力产品沙门氏菌污染水平与严重性指数的关系。
|
污染程度（个/100克）
|
0
|
≤10
|
100-1000
|
1000-10000
|
≥10000
|
|
危害表现
|
无
|
无
|
体弱人群有腹泻可能、证据不充分
|
体弱者产生腹泻，有案例发生
|
一般人群产生严重腹泻等严重反应，有案例发生
|
|
危害程度
|
无
|
轻微危害
|
中度危害
|
严重危害
|
灾难性危害
|
|
严重性指数（S）
|
S1
|
S2
|
S3
|
S4
|
S5
|
通常危害严重指数与危害直接产生的后果的严重性直接相关，然而当一些危害可能对消费者的危害程度是中度或轻微的，由于在一特定条件下可能会给组织带来十分严重的影响，如国产啤酒中的甲醛，正常工艺条件下在麦汁煮沸过程中，绝大部分甲醛可随蒸汽挥发掉，终产品甲醛不会超过限量标准，也不会对人体造严重危害。然而一段时间随着新闻媒体对啤酒中甲醛危害的夸大报道国内啤酒企业纷纷采用PVPP技术替代甲醛，甲醛含量一度成为影响啤酒企业生存的一个十分重要因素。此时危害分析应充分考虑危害对组织的影响程度。
为了更有效评估危害程度(Q)、及食品安全影响程度(N)与严重性指数（S）的关系，可以利用下列矩阵图的方法对其三者关系进行描述。
危害的程度（Q）与食品安全影响程度（N）的值利用矩阵图得出严重性指数S ，如图
|
危害的程度
食品安全影响程度
|
轻微危害（包括可忽略危害）
|
中度危害
|
严重危害（包括灾难性危害）
|
|
轻微影响或不影响
|
S1
|
S2
|
S3
|
|
一般影响
|
S2
|
S3
|
S4
|
|
严重影响
|
S3
|
S4
|
S5
|
如蘑菇罐头的金黄色葡萄球菌肠毒素，就其对消费者可能造成的危害性而言是严重危害，由于其出口美国的特殊历史因素与目前安全质量要求，，通关时一经检出全部产品将被扣留，给企业造成巨大的合同与经济损失，金黄色葡萄球菌肠毒素对出口企业而言具有严重影响。由于内销过中程缺乏监管，多年从未有类似的质量事故在国内报到或对企业产生不利影响。根据以上矩阵图，蘑菇罐头生产企业金黄色葡萄球菌肠毒素危害程度可评估为严重危害，出口美国的食品安全影响程度为严重影响，严重性指数为S5，内销产品其影响程度为轻微影响严重性指数为S3。
严重性指数是一个相对的危害程度的描述，与组织设计的方法相对应，不同组织及不同的评估标准可能会有不同的评估结果，但针对一特定组织使用同一评估标准是具有实际的评价意义的。
危害发生的可能性评价
危害发生的可能性除了与其真实发生的频次或是概率相关，同时与识别危害发生的能力相关。
组织可将危害发生的可能性分别定性的为频繁发生、经常发生、偶然发生、很少发生或不可能发生。组织也可以将可能性只定性为经常发生（包括频繁发生）、偶然和很少发生（包括不可能发生）。以可能性指数来描述危害发生的可能性。
可能性指数（L）：可确定的危害发生的频次或是概率的级别描述。
当能够准确识别危害发生时危害的可能性指数与其发生的频次或概率直接对应，如组织出口日本产品实施每批农药残留检测，根据产品的质量控制目标和常规控制水平制定出可能性判断准则。
|
芦笋毒死蜱残留超标（大于5PPM）频次/1000批
|
0
|
0-2
|
3-10
|
11-30
|
>30
|
|
可能性描述
|
不可能发生
|
很少发生
|
偶然发生
|
经常发生
|
频繁发生
|
|
可能性指数（L）
|
L1
|
L2
|
L3
|
L4
|
L5
|
当识别危害的能力较小时，发生的频次可能远大于被识别的频次。不同的数据来源对可能性评价具有不同的判断水平，如残留超标数据通过顾客反馈与自身抽样检测数据的不同评价。
|
进口商反馈残留超标（每1000批）
|
0
|
1
|
1-5
|
5-10
|
10以上
|
|
组织自检馈残留超标（每1000批）
|
0
|
0-10
|
10-30
|
30-100
|
100以上
|
|
可能性描述
|
不可能发生
|
很少发生
|
偶然发生
|
经常发生
|
频繁发生
|
|
可能性指数（L）
|
L1
|
L2
|
L3
|
L4
|
L5
|
当无法实现全部产品的监控获取完整的可能性数据时，组织应制定评估不同数据来源的可能性指数（L）标准并持续更新，当数据有多种来源时应通过加权计算的方法，评估其可能性指数。
如蘑菇罐头的毛发危害的可能性评价：
|
样本
|
数据源
|
权重
|
|
每100万瓶
|
5%抽样玻瓶外观察样品发现毛发根数 （A）
|
1
|
|
顾客直接电话投诉次数 (B)
|
5
|
|
|
经销商投诉次数 (C)
|
10
|
|
可能性加权值（A+5B+10C）
|
0
|
0-5
|
6-20
|
21-50
|
大于50
|
|
可能性描述
|
不可能发生
|
很少发生
|
偶然发生
|
经常发生
|
频繁发生
|
|
可能性指数（L）
|
L1
|
L2
|
L3
|
L4
|
L5
|
组织在体系建立初期可能因为没有完整的基础数据可以使用，经验同样是历史数据的积累，很多情况可能没有可见的具体数据，依据经验对危害严重性指数及可能性指数进行直接的判断也是实施最初危害分析的一个重要手段，组织应通过以后的数据对其科学性实施确认和验证。
食品安全危害风险程度的评价
食品危害的风险与危害发生的可能性及严重性相关，用风险值描述危害的风险程度。
风险值P: 食品暴露于特定危害时对健康产生不良影响的概率（可能性指数L）与影响的严重程度（严重性指数S）之间形成的函数。
通过严重性指数S与可能性指数L利用矩阵得出风险值P的大小：
|
严重性指数
可能性指数
|
S1
|
S2
|
S3
|
S4
|
S5
|
|
L1
|
P1
|
P1
|
P2
|
P3
|
P4
|
|
L2
|
P1
|
P2
|
P2
|
P3
|
P4
|
|
L3
|
P2
|
P2
|
P3
|
P4
|
P4
|
|
L4
|
P3
|
P3
|
P4
|
P4
|
P5
|
|
L5
|
P4
|
P4
|
P4
|
P5
|
P5
|
不同风险的危害需要组织不同的重视程度，通常组织会对不同风险程度的食品危害采取相应的对策与措施：
|
风险值P
|
5
|
4
|
3
|
2
|
1
|
|
容许程度
|
决不容许
|
重大的
|
中度的
|
可容许的
|
可忽略的
|
|
可能的对策与措施
|
高度重视、投入所有资源进行控制与改进
|
高度重视、实施系统改进
|
重视、加强管理提高控制能力
|
重视、提高员工意识
|
不重视、不作特殊关注
|
通过组织产品风险度的评估组织可以确定什么危害应该由组织重点控制的、什么危害由组织实施一般控制、什么危害目前可以不予关注。也就是说组织通过危害识别找出所有食品安全潜在的危害（组织可形成潜在的危害清单），通过终产品的安全风险评估进一步明确了应由组织实施控制的食品安全危害（组织可形成危害的控制清单）。
组织在终产品的危害分析的基础上，进一步分析与其相关加工环境与工艺过程，并根据危害分析的结果制定相应的危害控制措施，实现产品的安全控制。
二、 控制措施的选择和评估
以上描述的食品危害的风险评价是指组织终产品暴露于特定危害时对健康产生不良影响的概率（如生�。┯胗跋斓难现爻潭龋ㄋ劳觥⒆≡骸⑷鼻诘龋┲湫纬傻暮Ｍü詹返姆缦辗治鍪侗鸪鲎橹枰刂频奈：�，如何控制，需要组织在此基础上科学的评价组织产品加工过程失控的可能性，以及过程失控对终产品产品危害控制影响的严重性，进而确定组织对各食品安全相关控制过程的控制要求，判定是通过最为严格HACCP计划控制，还是通过一般控制要求的操作性前提方案控制，或是不予关注由食品链其它组织进行控制。
1、控制措施的分类：操作性前提方案（OPRP）和HACCP计划
ISO22000标准明确食品的危害包括生物的、物理的、化学的危害以及食品本身存在特殊状态的危害，这些危害的控制通常是通过一组织的管理活动共同实现的（控制措施组合），操作性前提方案（OPRP）和HACCP计划都是针对特定的危害进行设计的，它们的区别在于工序危害控制的风险度不同，也就是说操作性前提方案（OPRP）的危害控制的风险度要低于HACCP计划控制的风险度。操作性前提方案（OPRP）的失控对产品安全性影响将远远低于CCP的失控，或者是操作性前提方案（OPRP）失控的可能性远远小于CCP。
2、过程失控的风险评价
过程失控的风险度评价是控制措施选择与评估的条件。风险度评价的方法可采用终产品风险评估的方法，分别对过程失控的可能性和严重性进行评估，进而确定过程失控的风险度。
过程失控的严重性：是指本过程失控对终产品危害控制的影响程度。
过程失控的可能性：是指一般工序引入、增加危害的频次或概率，以及危害控制工序失控导致危害的残留或不能有效消除超出可接受水平的频次或概率。
如蘑菇切片工序如果出现刀片断裂不能及时在本工序发现由于后工序有金属探测工序所以其对食品安全影响程度是不影响，也不会对消费者产生危害，本工序金属危害控制的严重性指数为S1。由于切片机使用一年还没有发生刀片损伤，但顾客反应其它工厂使用同样设备曾有发生刀片损伤事件，所以评价其可能性为很少发生其金属危害控制的可能性指数为L2。由此得出切片工序金属危害控制的风险度为P1。
如金属探测工序对如果失控对终产品安全影响程度是严重影响，不能消除的金属危害后工序也无法消除对消费者来说是严重危害，根据下图可评价金属控制工序危害控制的严重性指数为S5。由于使用的金属控制设备日常监控中每天都发现有来自原料及设备磨损等原因的金属物，近三个月设备不稳定的次数明显增加每周都有返工现象出现，经过近三年设备偏离历史数据的统计评价其可能性指数为L4。由此得出金属探测工序金属危害控制的风险度为P5。
可用加工工序危害分析单对上述分析过程进行记录如：
|
工序
|
危害
|
危害描述
|
危害评价
|
控制措施
|
||
|
S
|
L
|
P
|
||||
|
切片
|
物理危害
|
产品中可能的硬性杂质在快速切片过程中导致刀片损伤
|
1
|
2
|
1
|
|
|
金属探测
|
物理危害
|
可能设备传感器运行状态不稳定导致不能有效探测到产品中的金属物
|
5
|
4
|
5
|
|
危害分析在同一工序中应对同一危害的不同原因或途径分别进行危害评价，如蘑菇原料采收工序
|
工序
|
危害
|
危害描述
|
危害评价
|
控制措施
|
||
|
S
|
L
|
P
|
||||
|
蘑菇采收
|
生物危害
|
原料筐未消毒重复使用可能使产品污染致病菌
|
3
|
2
|
2
|
|
|
采收前人员没有洗手可能使产品污染致病菌
|
4
|
2
|
3
|
|
||
|
采收到工厂产品处理时间没有监控导致时间过长导致致病菌多代繁殖
|
4
|
4
|
4
|
|
||
组织应对每一原料、辅料、助剂、添加剂等以及加工过程和重要环境因素进行系统的危害分析，分别评价每一因素可能引入或是增加危害的风险度，并通过风险度的评估结果实现控制措施的选择。
3、 控制措施的选择和评估
危害分析的结果是针对性地制定系统的危害控制措施组合，加强各工序的危害控制能力，对关键的控制点实施严格的控制手段。危害的控制措施是在前提方案的基础保障的基础之上的危害控制手段。如何科学的选择控制措施，一是可以通过本工序风险度评估的结果进行选择；二是可以通过逻辑的方法选择。
1）风险度评估方法
组织可以依据危害分析的结果对控制措施进行分类。
|
工序风险值P
|
5
|
4
|
3
|
2
|
1
|
|
失控容许程度
|
决不容许
|
重大的
|
中度的
|
可容许的
|
可忽略的
|
|
控制措施
|
CCP控制
|
CCP控制或OPRP控制
|
OPRP
控制
|
OPRP控制或不予关注
|
不予关注
|
通过上表可以判断金属探测工序、原料采收时限控制是关键控制点，应加强工序控制能力。更多情况危害分析的结果是对管理能力改进要求，通过对工序过程的分析识别危害关键控制环节加强管理提高组织危害控制的能力。
又如当组织没有金属探测时，金属危害顾客又有特别的控制要求，组织加强现有工艺过程控制，对切片工序实施最严格的控制手段都将无法有效降低危害到可接受水平，此时只能通过增加高能磁棒或购置金属探测仪等改进前提方案的措施来实现危害控制。
前提方案是食品安全控制所必需的基本条件和活动，也就是说当加强管理提高控制能力都无法实现危害的控制时应对前提方案实施改进，
2）逻辑判断的方式。通常组织通过以下方面的评估也可以对控制措施实施分类。
——控制措施与确定食品安全危害的控制效果应有密切的相关性，相关性越强，控制措施越可能属于HACCP计划。或者说控制措施对危害水平和危害发生频率的影响,影响越大，控制措施越可能属于HACCP计划。措施所控制的危害对消费者健康的严重性,越严重，控制措施越可能属于HACCP计划。
——控制措施是否受控应能够被有效监控，及时监视的能力以便能够立即纠正。监视的需要,需要越迫切，控制措施越可能属于HACCP计划。
——相对其他控制措施，该控制措施在系统中的位置不同，如果本步骤不以控制后工序就没有其它的控制措施可以将危害降低到可接受水平，那么控制措施越有可能属于HACCP计划；——控制措施为消除或显著降低危害水平而专门设计，控制措施越有可能属于HACCP计划。。
——当两个或更多措施作用的组合协同作用才能更有效控制危害时，单一控制措施并不直接体现危害控制能力，应充分考虑各要素的稳定性及影响程度（风险度），可能其中一个控制措施是HACCP计划，也可能都是HACCP计划。
3）用“CCP判断树”法。
如图用“CCP判断树”来确定CCP是通过回答五个问题来判断该控制措施是否是HACCP计划，还是操作性前提方案。
第一第二步对终产品的需控制的危害进行识别与可能性评估，通过第一第二个问题以识别需要由组织控制的危害，并制定控制措施组织并确认，需要组织控制的危害在每一加工步骤或管理过程通过随后的三个问题进行控制措施分类，以识别出该步骤是操作性前提方案或是HACCP计划。
CCP 判断树（图）
不同的控制措施分类方法具有不同特点，组织可以综合应用，风险度评估法是其中最为科学的评价方法，需要组织能够收集较充分的数据为基础，对危害的严重性、可能性进行量化或是半量化的评估。逻辑判断法是较感性的一种判断，主要是以经验为主。判断树法是一种传统的CCP点的识别方法，其中明显的缺点是对协同作用的控制措施常常不能做出准确的判断。
ISO22000标准对食品安全危害分析与控制措施的选择提出了新的要求，食品链中的相关组织只有通过建立科学的食品危害风险评价方法，准确的分析出终产品的食品危害风险度，进一步分析与其相关加工环境与工艺过程，并根据危害分析的结果制定相应的危害控制措施，才能实现组织终产品的安全控制。
原文下载：
《满足ISO22000标准要求的食品安全危害风险评价与控制措施的选择研究》
