Procedimientos obligatorios ISO 22000: qué documentación exige realmente la norma
¿Cuáles son los procedimientos obligatorios de ISO 22000?ISO 22000:2018 no impone una lista fija de procedimientos: exige "información documentada" en cláusulas concretas. Es obligatorio documentar el alcance, la política, los objetivos, los PPR, el análisis de peligros, el plan de control (APPCC/PPRO), la trazabilidad, las emergencias, la retirada de producto, las no conformidades, la auditoría interna y la revisión por la dirección.
Si buscas "procedimientos obligatorios ISO 22000" probablemente has oído que la norma pide un número concreto de procedimientos, como ocurría con la ISO 9001:2008. Ya no es así. Desde la versión 2018, igual que el resto de normas con estructura de alto nivel, ISO 22000 sustituye la distinción entre "procedimientos" y "registros" por el concepto de información documentada. Esto sirve tanto para quien prepara la primera certificación como para quien quiere recortar papeleo sin perder conformidad. Si necesitas el marco general del sistema, lo explicamos en nuestra guía de ISO 22000 para la industria agroalimentaria.
La norma distingue dos usos de la información documentada. La que hay que mantener (documentos que describen cómo se hace algo: política, planes, procedimientos) y la que hay que conservar (evidencias de que se hizo: registros, resultados, actas). Además, la cláusula 7.5.1 reconoce tres orígenes: lo que exige la propia norma, lo que la organización determine necesario para la eficacia de su sistema y lo que exijan la legislación, las autoridades y los clientes. La extensión puede variar según el tamaño, la complejidad de los procesos y la competencia del personal, por lo que dos fábricas certificadas pueden tener volúmenes documentales muy distintos.
Conviene separar tres planos: lo que la norma exige (tabla siguiente), lo que es práctica habitual (manual, procedimientos por proceso) y lo que añade la legislación sanitaria o el cliente (por ejemplo, un plan de alérgenos concreto o los requisitos de un esquema GFSI).
Tabla de documentación exigida por ISO 22000:2018
Cláusulas contrastadas con el texto de ISO 22000:2018. Las dos últimas filas se marcan como recomendadas porque son práctica extendida, no un requisito de la norma.
| Requisito | Cláusula ISO 22000:2018 | Evidencia que espera el auditor | ¿Exigido por la norma? |
|---|
| Alcance del SGIA | 4.3 | Documento de alcance: productos, procesos y centros incluidos | Obligatorio |
| Política de inocuidad alimentaria | 5.2 | Política firmada por la dirección, disponible y comunicada | Obligatorio |
| Objetivos del SGIA | 6.2 | Objetivos medibles con responsable, plazo e indicador | Obligatorio |
| Competencia del personal | 7.2 | Evidencias de formación y competencia (HACCP, higiene, alérgenos) | Obligatorio |
| Información documentada necesaria para la eficacia | 7.5.1 | Lo que la organización determine (procedimientos, instrucciones, planes) | Obligatorio |
| Programas de prerrequisitos (PPR) | 8.2 | Documentación que especifique selección, establecimiento, seguimiento y verificación de cada PPR (limpieza, plagas, mantenimiento, proveedores...) | Obligatorio |
| Sistema de trazabilidad | 8.3 | Registros de trazabilidad conservados al menos durante la vida útil del producto y pruebas de eficacia (simulacros, conciliación de cantidades) | Obligatorio |
| Preparación y respuesta ante emergencias | 8.4 | Plan o procedimiento documentado de emergencias e incidentes que afecten a la inocuidad | Obligatorio |
| Pasos preliminares del análisis de peligros | 8.5.1 | Información de materias primas, producto final, uso previsto, diagramas de flujo y descripción de procesos y medidas de control | Obligatorio |
| Análisis de peligros | 8.5.2 | Peligros identificados, nivel aceptable, evaluación y selección/categorización de medidas de control (PCC, PPRO, PPR) | Obligatorio |
| Validación de medidas de control | 8.5.3 | Evidencia de que las medidas, solas o combinadas, logran el control previsto | Obligatorio |
| Plan de control de peligros (APPCC/PPRO) | 8.5.4 | Por cada PCC o PPRO: peligro, límites críticos o criterios de acción, seguimiento, correcciones, responsables y registros | Obligatorio |
| Control de seguimiento y medición | 8.7 | Registros de calibración y verificación de los equipos de medición | Obligatorio |
| Verificación de PPR y plan de control | 8.8 | Resultados de verificación y su análisis | Obligatorio |
| No conformidades de producto y proceso | 8.9 | Correcciones, acciones correctivas, evaluación para liberación y disposición del producto potencialmente inseguro | Obligatorio |
| Retirada y recuperación de producto | 8.9.5 | Procedimiento documentado (notificación, gestión del stock, secuencia de acciones) y registro de causa, alcance y resultado; verificación por simulacro | Obligatorio |
| Auditoría interna | 9.2 | Programa de auditoría e informes/resultados | Obligatorio |
| Revisión por la dirección | 9.3 | Actas con elementos de entrada y decisiones de salida | Obligatorio |
| No conformidad y acción correctiva del sistema | 10.1 | Registro de la naturaleza de la no conformidad, acciones y resultados | Obligatorio |
| Actualización del SGIA | 10.3 | Registro de las actividades de actualización, informadas a la revisión por la dirección | Obligatorio |
| Manual del SGIA, organigrama, matriz de responsabilidades | — | Documentos habituales que facilitan la auditoría, pero la norma no los exige como tales | Recomendado |
| Procedimientos escritos por cada proceso de la norma | — | Práctica habitual; la norma exige información documentada solo donde lo indica o donde la organización la considera necesaria | Recomendado |
PPR, PPRO y PCC: no se documentan igual
El corazón documental del sistema está en las cláusulas 8.2 y 8.5. Los PPR son las condiciones básicas de higiene y se gestionan con documentación que especifique cómo se seleccionan, se establecen, se vigilan y se verifican. El análisis de peligros determina qué medidas de control se clasifican como PCC (punto crítico de control) o como PPRO (programa de prerrequisito operativo). Ambos acaban en el plan de control de peligros (8.5.4), que debe indicar para cada medida el peligro, los límites críticos (PCC) o criterios de acción (PPRO), el seguimiento, las correcciones, las responsabilidades y los registros. Los límites críticos deben ser medibles y la justificación de cómo se fijaron debe conservarse documentada. Para profundizar en el control de puntos críticos con ayuda de IA, consulta planes APPCC avanzados en la industria alimentaria.
Relación con APPCC/HACCP, FSSC 22000 y BRCGS
APPCC (HACCP) y Codex Alimentarius. ISO 22000 incorpora los principios del HACCP del Codex Alimentarius dentro de una estructura de sistema de gestión. La propia norma incluye un anexo informativo con la correspondencia entre los principios del Codex y sus cláusulas, así que un plan APPCC bien construido cubre buena parte de la cláusula 8.5.
FSSC 22000. Es un esquema de certificación (propiedad de Foundation FSSC) construido sobre ISO 22000, que añade programas de prerrequisitos sectoriales (en fabricación, la especificación técnica ISO/TS 22002-1) y requisitos adicionales propios. Está reconocido por GFSI. En ISO 22000 estándar los prerrequisitos sectoriales se consideran; en FSSC 22000 son obligatorios, por lo que la carga documental es mayor.
BRCGS e IFS. Son normas independientes de seguridad alimentaria con sus propios requisitos documentales, que no se deducen de la tabla anterior. Si dudas entre ellas, compara requisitos y costes en BRC y IFS Food: diferencias y coste.
Documentos mínimos para certificar ISO 22000
Checklist mínimo antes de la auditoría de certificación
- Alcance del SGIA, política de inocuidad y objetivos con indicadores.
- Roles, responsabilidades y evidencias de competencia del equipo de inocuidad.
- Programas de prerrequisitos (limpieza, control de plagas, mantenimiento, proveedores, alérgenos) y sus registros.
- Información preliminar: descripción de producto, uso previsto, diagramas de flujo y descripción de procesos.
- Análisis de peligros con la clasificación de medidas de control y su validación.
- Plan de control de peligros (APPCC/PPRO) con límites críticos, seguimiento y correcciones.
- Sistema de trazabilidad y evidencia de un simulacro de trazabilidad.
- Plan de emergencias y procedimiento de retirada/recuperación con simulacro.
- Registros de calibración y verificación, y gestión de no conformidades y acciones correctivas.
- Programa y al menos un ciclo de auditoría interna, y acta de revisión por la dirección.
- Requisitos legales y de clientes aplicables, mantenidos como información documentada.
Ten en cuenta que el auditor busca implantación, no solo existencia: un plan sin registros de seguimiento o un simulacro de retirada nunca realizado son hallazgos habituales. Para preparar la auditoría interna, revisa auditorías internas ISO: revisión documental y checklists, y para la trazabilidad de lote ante una reclamación, cómo consultar la trazabilidad con IA.
Cómo mantener la documentación bajo control
La cláusula 7.5 exige que la información documentada se cree y actualice de forma adecuada, y se controle para que esté disponible donde se necesita y protegida. En una planta de alimentación el reto no es redactar, sino que el operario encuentre la versión vigente del plan de limpieza o del límite crítico en el momento de actuar. IgeraIndustria permite consultar en lenguaje natural los planes APPCC, procedimientos y registros del SGIA, localizar la versión vigente y detectar documentos desactualizados antes de la auditoría.
¿Quieres tu documentación ISO 22000 lista para auditoría?
Descubre cómo IgeraIndustria centraliza y consulta la documentación de tu sistema de inocuidad alimentaria.
Conocer IgeraIndustriaPreguntas frecuentes
¿Cuántos procedimientos obligatorios exige ISO 22000?
Ninguno en número fijo. La versión 2018 habla de información documentada: exige mantener o conservar documentación en cláusulas concretas (alcance, política, PPR, plan de control de peligros, trazabilidad, emergencias, retirada, auditoría interna, revisión por la dirección, no conformidades) y deja a la organización decidir qué más necesita para que el sistema sea eficaz.
¿Es obligatorio tener un manual de inocuidad alimentaria?
No. La norma no exige un manual como tal. Muchas empresas lo mantienen porque ordena el sistema y facilita la auditoría, pero es una práctica recomendada, no un requisito.
¿Qué documentación obligatoria de ISO 22000 pide el auditor de certificación?
Espera ver alcance, política, objetivos, PPR, análisis de peligros, plan APPCC/PPRO con límites críticos, trazabilidad, plan de emergencias, procedimiento de retirada, auditoría interna y revisión por la dirección, y sobre todo registros que demuestren que se aplican.
¿Son obligatorios los simulacros de trazabilidad y de retirada de producto?
La norma exige verificar y probar la eficacia del sistema de trazabilidad y verificar la retirada o recuperación con técnicas adecuadas, por ejemplo un simulacro, conservando la evidencia. La frecuencia la define la organización, la legislación o su cliente.
¿Qué diferencia hay entre los requisitos documentales de ISO 22000 y FSSC 22000?
FSSC 22000 se basa en ISO 22000 y añade programas de prerrequisitos sectoriales y requisitos propios del esquema, por lo que exige más documentación. Si vas a certificar con FSSC 22000, verifica la versión vigente del esquema antes de planificar.
