Définition de la food defense dans la norme ISO 22000:2018
La food defense ou la défense alimentaire est un processus visant à garantir la sécurité des aliments et des boissons de toutes les formes d’attaque malveillante intentionnelle, y compris les attaques commises pour des motifs idéologiques entraînant une contamination ou des produits non sûrs (GFSI v7.2:2018).
Définition de la food defense selon BRC Version 7
Procédures adoptées pour garantir la sécurité sanitaire des matières premières et des produits face à la contamination malveillante ou le vol.
La food defense et le FSSC 22000
L’ISO TS 22002-1 n’a pas détaillé les exigences en termes de Food Defense. En effet, elle n’exige que l’évaluation et la mise en place de mesures de maitrise. Seul détail, la gestion des accès. Pas d’exigence formelle de documentation, bien qu’implicite.
Pour cela, le FSSC 22000 apporte plus de détails:
- Exigence d’une documentation de l’approche Food Defense
- Exigence d’identification des menaces potentielles
- Exigence de mise en place de mesures de maîtrise adéquates
- Exigence de prioriser les mesures de maîtrise
- Exigence d’évaluer la susceptibilité de ses produits aux actes potentiels de Food Defense
- Exigence d’un Plan Food Defense.
Il existe plusieurs documents de référence concernant l’approche Food Defense :
- PAS 96:2017 uniquement disponible en anglais
- Guide des recommandations pour la protection de la chaine alimentaire contre les risques d’actions malveillantes, criminelles ou terroristes, réalisé par ADIVALconseil pour le compte de l’état français (DGAL).
- IFS Food Defense Guideline (pour la V.6).
- Guide méthodologique FOOD DEFENSE de l’Afnor. Ce guide offre une méthodologie prête à appliquer, avec des exemples concrets et fait référence aux autres guides cités.
Étapes préalables à l’analyse food defense
1- Contexte
La compréhension du contexte peut être facilitée par l’examen des questions externes et internes, y compris, mais sans s’y limiter, les environnements juridique, technologique, concurrentiel, de marché, culturel, social et économique, la cyber sécurité et la fraude alimentaire, la défense alimentaire et la contamination intentionnelle, les connaissances et les performances de l’organisation, qu’elle soit internationale, nationale, régionale ou locale.
Il est d’abord nécessaire de déterminer le contexte interne et externe de l’organisme. Le guide AFNOR propose quelques exemples de questions à se poser :
- Le produit jouit-il d’une grande notoriété ?
- Le produit a-t-il une connotation particulière (religieuse, éthique, morale, etc.) ?
- Le produit peut-il être un ingrédient utilisé dans une grande variété d’autres produits ?
- L’origine des matières entrant dans la composition du produit peut-elle être controversée ?
- Le site est-il situé dans une région politiquement et socialement sensible ?
- L’entreprise est-elle impliquée dans un conflit ?
- Y a-t-il des personnalités célèbres à la tête de l’entreprise ?
- La marque est-elle susceptible d’attirer la convoitise des concurrents ou est-elle controversée ?
L’idée est d’identifier si l’organisme évolue dans un contexte :
- Apaisé (menace imprécise)
- Agité (menace possible)
- Critique (menace certaine)
Plus la menace est certaine et plus l’organisme doit augmenter son niveau de vigilance. Il convient que le contexte soit revu régulièrement au moins une fois par an.
2 – Engagement
- L’engagement de la Haute Direction envers la mise en place d’un plan Food Defense sur le long terme.
- Comme pour les autres systèmes de management, ceci se traduit par une politique claire et formalisée.
- Comme toutes les politiques, la politique Food Defense doit être étayée d’objectifs.
Il convient que la direction établie une politique food défense. Cette politique pourra servir de cadre à la définition d’objectifs généraux :
Exemple :
- Diminuer la probabilité d’attaques malveillantes
- Limiter les impacts en cas de survenue
- Protéger la réputation de l’organisme
- Satisfaire les exigences des référentiels internationaux IFS, BRC, ISO/TS 22002 series
3- Equipe Food Defense ( Equipe DÉFENSE ALIMENTAIRE ET FORMATION )
De même que pour le HACCP, il est nécessaire de nommer une équipe chargée de la sureté.
La sélection des membres de l’équipe doit tenir compte de la capacité à communiquer judicieusement sur le thème de la sûreté(capacité également à ne pas communiquer sur ce thème; un comptable sera « secret » sur les comptes de la société, un vendeur sera communiquant…).L’équipe s’organise autour de la mission qui lui est confiée, elle s’inscrit dans la durée (ce n’est pas une équipe projet).L’équipe chargée de la sûreté peut être très différente de l’équipe pluridisciplinaire chargée de la sécurité des denrées alimentaires (équipe HACCP).
Les membres peuvent être internes à l’organisme (directeurs, responsable sûreté /sécurité, responsable RH, responsable flux responsable production, responsable qualité,responsable des achats, responsable entretien& maintenance, services généraux, responsable logistique, responsable laboratoire…) mais aussi externes (assureurs, douanes, prestataires de services…).Il convient toutefois de limiter le nombre de participants.
Une fois l’équipe désignée, il y a lieu de bien définir les missions de chacun et de les faire former à la Food Defense par une personne compétente. Et comme pour l’HACCP, ne promettre de prendre en compte la suppléance, en cas d’absence.
La formation de l’équipe est nécessaire. De nombreuses formations sont proposées par un grand nombre d’organismes en ligne.
4- Diagnostic sureté
- Avant de proposer un plan Food Defense, il est nécessaire de réaliser un état des lieux initial.
- Les diagnostics peuvent être réalisés en suivant les check-lists proposées parles différents référentiels (IFS, BRC, FDA, USDA, etc.).
Le diagnostic réalisé par l’équipe sûreté peut être avantageusement complété par un test d’intrusion. Celui-ci, réalisé dans les conditions normales de fonctionnement impose certaines conditions :
- Choisir une personne inconnue des salariés ;
- Prévoir des scénarii de comportement hors norme (s’approcher des produits en hésitant, faire mine d’être observé, mal à l’aise, répondre en langue étrangère aux injonctions…) ;
- Mettre dans la confidence 1 ou 2 personnes sur la date retenue pour la réalisation du test ;
- Chronométrer la durée d’intrusion ;
- Faire un débriefing du test d’intrusion (lieu de pénétration, attitude des salariés envers l’intrus, facilité d’évolution dans les locaux…) ;
- Prévoir un plan d’actions suite à ce test.
L’annexe A1 « Exemple de grille d’identification des Mesures de Prévention Préalables (MPP) de leur mise en place et de leur effectivité » peut servir de trame à la réalisation d’un diagnostic sûreté.
5- Détermination des mesures de prévention préalables (MPP)
Comme pour les PRPs préalables à l’évaluation du HACCP, il existe six grands domaines de prévention préalable pour le Food Defense.
Les mesures de prévention préalables (MPP) sont des éléments de base de la sûreté et sont donc en amont de l’analyse de risques Food Defense. Cette dernière sera menée en partant du principe que toutes les MPP sont appliquées de manière performante. C’est la clé d’une analyse de risques et d’une maîtrise efficace de la Food Defense.
Une grande partie des éléments du guide de la DGAL sont des MPP à appliquer a priori pour tous types d’organismes agro-alimentaires sauf justifications particulières.
Étapes de l’analyse food defense
1- Évaluation des menaces, de la vulnérabilité
- Avant de proposer un plan Food Defense, il est nécessaire de réaliser un état des lieux initial.
- Les diagnostics peuvent être réalisés en suivant les check-lists proposées par les différents référentiels (IFS, BRC, FDA, USDA, etc.).
2- Identification des zones sensibles
- Pour identifier les zones, il convient de combiner l’approche géographique et les flux (Cf. figure 4).
- Outre les accès classiques (portes, fenêtres, trappes de désenfumage…), d’autres accès doivent être pris en compte : ventilation, air comprimé, chauffage, gaz, eau (y compris forage, glace, vapeur), électricité, réfrigération, système de nettoyage en place, canalisations, cuves, stockages tampon, systèmes de traitement y compris à l’extérieur…
- D’une manière générale, plus on se rapproche du procédé et donc du produit et plus la zone est sensible.
- A l’issue de cette étape, l’équipe Food Defense dispose d’un ensemble de cibles vulnérables.
Pour identifier les cibles potentielles, l’équipe en charge de la Food Defense peut avantageusement s’appuyer sur un certain nombre de documents comme par exemple :
- Le plan de masse du site ;
- Le diagramme des flux (produits, personnel, visiteurs, déchets…) ;
- Le schéma d’implantation des équipements.
3- Évaluation de la vulnérabilité
- L’utilisation d’une matrice comme pour l’étude HACCP est recommandée.
- Cette matrice peut utiliser des critères tels que:
- Impact produit,
- Gravité,
- Accessibilité,
- Facilité (de mise en œuvre)
- Un seuil de criticité permettra de prioriser les actions, si le seuil est atteint, il faudra proposer des mesures supplémentaires aux MPPs.
- Il faut réaliser une première évaluation initiale, et une autre une fois les mesures de maîtrise supplémentaires aux MPP mises en œuvre.
Évaluation des risques destinée à examiner les processus et chaînes d’approvisionnement afin d’identifier des fraudes alimentaires potentielles. Les normes Global Standards du BRC ont élaboré une directive pour aider les sites dans leurs évaluations de la vulnérabilité.
BRC V8
4- Identification des mesures supplémentaires
- Ceci est fait au cas par cas, il n’existe pas de mesures préétablies.
- Des exemples sont donnés dans l’annexe C du guide AFNOR.
Gestion des actes malveillants
- Les cas réels de contamination intentionnelle de denrées alimentaires doivent être gérés selon la procédure Préparation et réponse aux urgences exigée par l’ISO 22000 au chapitre 5.7
- L’entreprise doit évaluer l’efficacité de sa préparation et de sa réaction par des tests, dont les scénarios doivent différer de l’un à l’autre
- La gestion de la continuité peut être systématisée par l’application de normes spécifiques telle que l’ISO 22301
- Les cas de Food Defense donnent souvent lieu à des rappels/ retraits de produits, selon la procédure exigée par l’ISO 22000 au § 7.10.4 et par l’ISO TS 22002-1 au § 15
Suivi, mise à jour et amélioration du plan
- Les données sont obtenus et vérifiés par le biais de:
- Suivi des objectifs
- Résultats des tests et simulations
- Résultats des audits internes et externes
- Inspections
- Cas réels
- Comparaison aux autres entreprises du secteur
- Le plan Food Defense sera revu à une fréquence déterminée (au moins annuellement), mais aussi lors des défaillances réelles ou potentielles
Food fraud – Fraude alimentaire – Définition
La Fraude alimentaire : Substitution, dilution ou addition frauduleuses et intentionnelles à l’égard d’un produit ou à d’une matière première, ou représentation trompeuse du produit ou du matériau, ayant pour objectif un gain financier, en augmentant la valeur apparente du produit ou en réduisant son coût de production.
L’approche Food Fraud est très similaires à celle du Food Defense, à la différence qu’elle s’intéresse aux actes de fraude ayant une motivation économique (tricherie pour augmenter les gains).
- Les résultats attendus sont les mêmes:
- Contexte
- Engagement et politique
- Equipe Food Fraud
- Diagnostic
- Evaluation de la vulnérabilité
- Identification des points de vulnérabilité
- Identification et mise en ouvre des mesures supplémentaires
- Réévaluation des vulnérabilités résiduelles
- Gestion des cas de fraude
- Mise à jour et amélioration du Plan Food Fraud
L’importance de la prévention des risques à motivation économique est devenue évidente après le cas de la viande chevaline de 2013.
- Plusieurs guides de référence existent :
- Outil pour l’évaluation de la vulnérabilité à la fraude alimentaire, SSAFE, 2015
- Ouvrage Food Fraud du Dr. John M. Ryan chez Elsevier, 2016
- Food Fraud Prevention, economically motivated adulteration, Nestlé
- Autres documents à voir sur http://foodfraud.msu.edu/resources/publications/
L’outil SSAFE présente plusieurs avantages :
- Un arbre de décision qui facilite l’approche, comme pour le HACCP,
- Un questionnaire préétabli et
- Une évaluation graphique visible immédiatement (opportunités, motivation, mesures de maîtrise ou de contrôle)
- Des liens utiles pour bien aborder chaque question de l’évaluation
Audits inopinés
- Les organismes certifiés ont l’obligation d’accepter un audit inopiné sur les 3 audits du cycle de certification.
- Afin d’éviter les problèmes liés aux arrêts programmés, les organismes certifiés DOIVENT communiquer les périodes d’arrêt aux organismes certificateurs, incluant les justifications de ces arrêts
- En cas de force majeur au cours de l’audit inopiné (grève, catastrophe naturelle, feu, etc.), le responsable d’audit peut annuler l’audit et e reprogrammer.
- Au cours des audits inopinés, si les responsables des fonctions suivantes sont absents, ils seront audités lors des audits suivants. Cela dit, la responsabilité de la sécurité alimentaire étant celle de tous, et le système ne devant pas être tributaire des personnes, des intérimaires devraient être nommés pour fournir les preuves d’audit nécessaires aux auditeurs.
- Haute Direction,
- RH,
- Services support sous-traités,
- Achats,
- Recherche et développement.
Au cas ou des lignes de production ne sont pas en production durant l’audit inopiné, elles seront programmées lors des audits annoncés afin que l’audité puisse les mettre en marche pour les besoins des auditeurs.
En cas d’exceptions qui empêchent le caractère d’audit inopiné (cas des zones dangereuses demandant des autorisations spécifiques, ou de pays nécessitant un visa ou un guide obligatoire), l’organisme de certification doit garder les preuves écrites justifiant l’exception fournie par l’audité.
