La inocuidad no se inspecciona al final de la línea: se diseña en el proceso, se sostiene con programas prerrequisito y se gestiona como cualquier otro sistema de la empresa, con objetivos, recursos, auditorías y revisión por la dirección. Eso es exactamente lo que propone ISO 22000:2018, la norma internacional para sistemas de gestión de la inocuidad de los alimentos (SGIA) aplicable a cualquier organización de la cadena alimentaria.
Esta guía está escrita para gerentes de calidad e inocuidad, líderes de equipos de inocuidad, jefes de planta y directores de empresas de alimentos y bebidas en México. Explica la estructura de ISO 22000 para la industria alimentaria, cómo se relaciona con el Codex Alimentarius, la NOM-251-SSA1-2009 y la serie ISO 22002 de programas prerrequisito, qué evidencia pide el auditor y cuáles son los hallazgos que más frecuentemente detienen una certificación.
Qué es ISO 22000:2018 y a quién aplica
ISO 22000:2018 especifica los requisitos de un SGIA que permite a una organización planificar, implementar, operar, mantener y actualizar un sistema que proporcione productos y servicios inocuos según su uso previsto. Es aplicable a cualquier organización de la cadena alimentaria, independientemente de su tamaño: productores primarios, fabricantes de alimentos e ingredientes, fabricantes de alimento para animales, fabricantes de envases, transportistas, almacenes, distribuidores, servicios de alimentos y proveedores de equipos o productos de limpieza.
La edición 2018 sustituyó a la de 2005 y adoptó la Estructura de Alto Nivel (hoy Estructura Armonizada) común a ISO 9001, ISO 14001 e ISO 45001. Esto facilita integrar la inocuidad con otros sistemas de gestión; si ese es tu caso, revisa nuestra guía de sistemas de gestión integrados. En 2024 se publicó la Enmienda 1:2024, que pide considerar si el cambio climático es una cuestión pertinente en el contexto (§4.1) y en los requisitos de las partes interesadas (§4.2).
Una característica distintiva de ISO 22000:2018 es que opera con dos ciclos PHVA (Planificar-Hacer-Verificar-Actuar) anidados:
Ciclo de la organización
Cláusulas 4 a 7, 9 y 10: contexto, liderazgo, planificación con riesgos y oportunidades del sistema, soporte, evaluación del desempeño y mejora. Es el ciclo de gestión que comparten todas las normas con Estructura Armonizada.
Ciclo operacional
Cláusula 8: PPR, trazabilidad, preparación ante emergencias, análisis de peligros, plan de control de peligros (PCC y PPRO), verificación y control de no conformidades de producto y proceso. Es donde vive el HACCP.
La norma también distingue entre dos tipos de riesgo: el riesgo del negocio (§6.1, riesgos y oportunidades del sistema de gestión) y el peligro para la inocuidad (§8.5, análisis de peligros). Confundirlos es un error frecuente que el auditor identifica de inmediato.
Marco normativo y regulatorio para la industria alimentaria en México
ISO 22000 no sustituye ninguna obligación legal. Su §4.2 pide identificar los requisitos legales y reglamentarios aplicables, y el §8.1 exige que los procesos operativos los cumplan. En México, la base sanitaria es la Ley General de Salud, su Reglamento de Control Sanitario de Productos y Servicios y las normas oficiales mexicanas aplicables, con la vigilancia de COFEPRIS y las autoridades sanitarias estatales.
| Referencia | Qué aporta | Cómo se integra |
|---|---|---|
| ISO 22000:2018 + Amd 1:2024 | Requisitos del SGIA | Norma certificable |
| Codex CXC 1-1969 (rev. 2020) | Buenas Prácticas de Higiene y sistema HACCP | ISO 22000 §8.5 incorpora los principios HACCP |
| ISO/TS 22002-1:2009 | PPR para fabricación de alimentos | Referencia histórica de PPR para §8.2; en FSSC 22000 es obligatoria según la versión del esquema |
| ISO 22002-100:2025 e ISO 22002-1:2025 | Nueva serie de PPR: requisitos comunes más requisitos sectoriales | Sucesoras de ISO/TS 22002-1:2009; se usan en conjunto |
| NOM-251-SSA1-2009 (DOF 01-03-2010) | Prácticas de higiene obligatorias para el proceso de alimentos | Mínimo legal de los PPR |
| NOM-051-SCFI/SSA1-2010 y su modificación | Etiquetado de alimentos y bebidas preenvasados | Información del producto terminado (§8.5.1.3) y comunicación externa (§7.4.2) |
| NOM-127-SSA1-2021 | Calidad del agua para uso y consumo humano | Agua como materia prima o en contacto con alimentos (PPR) |
| ISO/TS 22003-1:2022 | Requisitos para organismos de certificación de SGIA | Define categorías de la cadena alimentaria y duración de auditoría |
Requisito normativo: los PPR deben basarse en referencias específicas
ISO 22000:2018 §8.2 pide establecer PPR apropiados a la organización y a su contexto, y considerar la serie ISO/TS 22002 aplicable, así como normas, códigos de prácticas y legislación. En la práctica, el auditor espera que puedas mostrar qué referencia usaste para cada PPR (por ejemplo, NOM-251-SSA1-2009 más la especificación ISO 22002 de tu sector) y cómo la aplicaste a tu planta.
Requisitos clave de ISO 22000 para la industria alimentaria
Liderazgo y equipo de inocuidad (§5)
La alta dirección debe demostrar compromiso con el SGIA (§5.1), establecer una política de inocuidad (§5.2) y designar un líder del equipo de inocuidad con responsabilidad y autoridad para asegurar que el sistema se establezca, se mantenga y se actualice (§5.3). El equipo debe ser multidisciplinario y contar con conocimiento y experiencia en el desarrollo y la implementación del SGIA, incluidos los productos, procesos, equipos y peligros dentro del alcance (§7.1.2 y §7.2).
Soporte: elementos externos y procesos externos (§7.1.5 y §7.1.6)
Si usas elementos del SGIA desarrollados externamente (por ejemplo, un plan HACCP elaborado por un consultor o por tu corporativo), debes demostrar que se adaptaron a tu organización, que se implementaron y que se actualizan (§7.1.5). Para procesos, productos y servicios externos (laboratorios, control de plagas, transporte, servicios de limpieza), debes definir criterios de evaluación, selección y seguimiento, y comunicarles tus requisitos (§7.1.6).
Comunicación interna y externa (§7.4)
La comunicación externa abarca proveedores, clientes, consumidores, autoridades y otras organizaciones con impacto en la inocuidad (§7.4.2). La interna asegura que el equipo de inocuidad conozca a tiempo los cambios en productos, materias primas, equipos, procesos, personal, quejas y requisitos legales (§7.4.3). Es el mecanismo que mantiene vivo el análisis de peligros.
Operación (§8)
- §8.2 PPR: infraestructura, distribución de instalaciones, suministro de agua, aire y energía, manejo de residuos, limpieza y desinfección, control de plagas, higiene del personal, control de proveedores, almacenamiento y transporte, y medidas contra contaminación cruzada, incluidos alérgenos.
- §8.3 Trazabilidad: identificar materiales entrantes del proveedor inmediato y la ruta de distribución inicial del producto terminado, con verificación periódica de la eficacia del sistema.
- §8.4 Preparación y respuesta ante emergencias: desastres naturales, accidentes ambientales, bioterrorismo, accidentes laborales, emergencias de salud pública y fallas de servicios como agua, electricidad o refrigeración.
- §8.5 Control de peligros: pasos preliminares (características de materias primas y producto, uso previsto, diagramas de flujo confirmados), análisis de peligros con niveles aceptables, selección y categorización de medidas de control, validación (§8.5.3) y plan de control de peligros con PCC y PPRO (§8.5.4).
- §8.6 Actualización: mantener al día la información de PPR y del plan de control de peligros ante cambios.
- §8.7 Control de seguimiento y medición: calibración o verificación de los equipos usados en el monitoreo.
- §8.8 Verificación: confirmar que PPR y plan de control funcionan, con análisis de resultados.
- §8.9 Control de no conformidades: correcciones, acciones correctivas, manejo de producto potencialmente no inocuo y retiro o recuperación del producto.
PCC y PPRO: la categorización es obligatoria
ISO 22000:2018 §8.5.2.4 exige categorizar cada medida de control como PCC o PPRO con un enfoque sistemático, considerando, entre otros factores, su efecto sobre el peligro, la factibilidad de monitorearla, su posición respecto a otras medidas, la probabilidad de falla y la severidad de las consecuencias si falla. Un PCC se gestiona con límites críticos medibles; un PPRO, con criterios de acción medibles u observables.
Requisito → evidencia que pide el auditor
El organismo certificador acreditado conduce la auditoría conforme a ISO/IEC 17021-1 e ISO/TS 22003-1:2022, en dos etapas para la certificación inicial. Esta es la evidencia que esperamos ver como auditores:
| Requisito | Qué verifica el auditor | Evidencia aceptable |
|---|---|---|
| §4.1 / §4.2 Contexto y partes interesadas | Cuestiones y requisitos pertinentes, incluidos legales y de clientes | Análisis de contexto, matriz de requisitos legales y de clientes actualizada |
| §4.3 Alcance | Productos, procesos y sitios cubiertos | Alcance documentado con categorías de la cadena alimentaria |
| §5.3 Líder del equipo de inocuidad | Designación y autoridad | Nombramiento firmado, descripción de puesto |
| §6.2 Objetivos | Objetivos medibles y planes | Objetivos con indicador, meta, responsable y seguimiento |
| §7.1.6 Procesos externos | Criterios y seguimiento de proveedores | Evaluación de proveedores, contratos con requisitos de inocuidad |
| §8.2 PPR | PPR implementados y referenciados | Programas con registros: limpieza, plagas, mantenimiento, higiene, agua |
| §8.3 Trazabilidad | Eficacia probada | Ejercicio reciente con balance de masa y tiempo de respuesta |
| §8.4 Emergencias | Escenarios identificados y respuesta | Procedimiento, simulacros y registros de respuesta |
| §8.5.2 Análisis de peligros | Peligros, niveles aceptables y justificación | Matriz por etapa con evaluación documentada |
| §8.5.2.4 Categorización | Método sistemático PCC/PPRO | Tabla de categorización con criterios aplicados |
| §8.5.3 Validación | Capacidad de las medidas para lograr el nivel aceptable | Estudios, literatura, datos históricos, pruebas de desafío |
| §8.5.4 Plan de control de peligros | Límites críticos, criterios de acción, monitoreo y acciones | Plan vigente y registros de monitoreo firmados |
| §8.9.5 Retiro | Procedimiento probado | Simulacro anual con resultados y mejoras |
| §9.2 Auditoría interna | Programa y auditores competentes | Programa, informes, seguimiento de hallazgos |
| §9.3 Revisión por la dirección | Entradas completas y decisiones | Acta con verificación, emergencias, retiros, quejas y acuerdos |
Cómo implementar ISO 22000 en una planta de alimentos paso a paso
- Diagnóstico inicial. Evalúa PPR contra NOM-251-SSA1-2009 y la especificación ISO 22002 de tu sector, revisa el plan HACCP existente y mapea brechas contra las cláusulas 4 a 10.
- Contexto, alcance y requisitos legales. Define alcance por productos y sitios, identifica requisitos legales y de clientes y documenta cuestiones internas y externas (§4).
- Liderazgo y equipo. Política de inocuidad, designación del líder y conformación del equipo multidisciplinario con competencias documentadas (§5, §7.2).
- PPR primero. Corrige brechas de infraestructura y prácticas antes de construir el análisis de peligros; un PPR débil infla el número de PCC.
- Análisis de peligros y plan de control. Pasos preliminares, análisis por etapa, categorización PCC/PPRO, validación y plan de control (§8.5). Si necesitas profundizar en la metodología, revisa nuestra guía de los 7 principios HACCP.
- Trazabilidad, emergencias y retiro. Diseña y prueba los tres procesos con simulacros documentados (§8.3, §8.4, §8.9.5).
- Verificación y análisis de resultados. Programa de verificación de PPR y plan de control, con análisis de tendencias (§8.8, §9.1.2).
- Auditoría interna y revisión por la dirección. Al menos un ciclo completo antes de la etapa 1, con hallazgos cerrados o en tratamiento (§9.2, §9.3).
- Certificación. Selecciona un organismo acreditado en la categoría de tu cadena alimentaria y prepara las etapas 1 y 2.
Ejemplo resuelto: categorización de medidas de control en una planta de galletas
Ejemplo aplicado: "Galletera del Bajío", 210 personas, León, Guanajuato
Contexto. Empresa ficticia que elabora galletas con chispas de chocolate y galletas rellenas sabor cacahuate en tres líneas. Materias primas críticas: harina de trigo, huevo líquido pasteurizado, chocolate, pasta de cacahuate. Consumidor objetivo: población general, incluidos niños.
Método de categorización (§8.5.2.4). El equipo calificó cada medida de control con cinco criterios en escala de 1 a 3: efecto sobre el peligro (E), factibilidad de monitoreo con límite medible en tiempo real (M), probabilidad de falla (F), severidad si falla (S) y si es la última medida antes del consumidor (U). Regla: si E = 3, M = 3, S = 3 y U = 3, se categoriza como PCC; si la medida es eficaz pero el monitoreo es observable o no es la última etapa, PPRO.
| Peligro | Medida de control | E | M | F | S | U | Categoría |
|---|---|---|---|---|---|---|---|
| Salmonella en harina y huevo | Horneado con perfil tiempo-temperatura validado | 3 | 3 | 2 | 3 | 3 | PCC 1 |
| Fragmentos metálicos | Detector de metales en empaque primario con rechazo automático | 3 | 3 | 2 | 3 | 3 | PCC 2 |
| Contacto cruzado con cacahuate en línea de chispas | Secuencia de producción, limpieza validada y liberación de línea | 3 | 2 | 2 | 3 | 2 | PPRO 1 |
| Etiqueta incorrecta (alérgeno no declarado) | Verificación de etiqueta al arranque y cambio de lote | 3 | 2 | 2 | 3 | 3 | PPRO 2 |
| Vidrio y plástico duro | Programa de control de materiales frágiles | 2 | 1 | 1 | 2 | 1 | PPR |
Plan de control resultante.
- PCC 1 (horneado): límite crítico de tiempo de residencia y temperatura de horno conforme al estudio de validación con registradores de temperatura en producto; monitoreo continuo con alarma; acción: retención del producto desde la última verificación correcta.
- PCC 2 (detector de metales): verificación con piezas patrón de ferroso, no ferroso y acero inoxidable al arranque, cada hora y al cierre, con tamaños definidos por la validación del equipo y del producto; acción: retención y reinspección del producto desde la última verificación correcta.
- PPRO 1 (alérgenos): criterio de acción: inspección visual sin residuos y resultado negativo de prueba rápida de proteína en superficies definidas antes de liberar la línea; acción: relimpieza y nueva prueba.
- PPRO 2 (etiquetado): criterio de acción: etiqueta coincide con orden de producción y con la ficha técnica; acción: detener la línea, segregar producto y reetiquetar.
Resultado. Dos PCC, dos PPRO y el resto gestionado por PPR. Las calificaciones son ilustrativas; los criterios deben aprobarse por tu equipo de inocuidad y quedar documentados.
Este razonamiento es el que el auditor revisa: no basta con decir "es PPRO"; debe verse el método, los criterios aplicados y la coherencia con la validación y el monitoreo.
Indicadores de desempeño del SGIA
El §9.1 pide determinar qué se mide, los métodos, cuándo y quién analiza los resultados. Los criterios deben definirse en función de tu riesgo y de los requisitos de tus clientes.
| Indicador | Fórmula | Criterio sugerido (ajústalo) | Cláusula |
|---|---|---|---|
| Desviaciones de PCC | Desviaciones por mes por PCC | Tendencia descendente; 100 % con acción registrada | §8.5.4.4 |
| Incumplimientos de criterios de acción de PPRO | Eventos por mes | Tendencia descendente | §8.5.4.4 |
| Cumplimiento de verificación de PPR | Inspecciones realizadas ÷ programadas | 100 % | §8.8 |
| Tiempo de trazabilidad | Horas para rastrear un lote | Definido por la organización y clientes | §8.3 |
| Quejas relacionadas con inocuidad | Quejas por millón de unidades vendidas | Tendencia descendente | §9.1.2 |
| Proveedores críticos evaluados | Proveedores evaluados en plazo ÷ críticos | 100 % | §7.1.6 |
| Acciones correctivas eficaces | Acciones verificadas como eficaces ÷ cerradas | ≥ 90 % | §10.1 |
Hallazgos típicos de auditoría ISO 22000
| Hallazgo | Cláusula | Corrección y acción correctiva |
|---|---|---|
| Riesgos del negocio y peligros de inocuidad mezclados en una sola matriz | §6.1 y §8.5.2 | Separar la gestión de riesgos del sistema del análisis de peligros |
| Categorización PCC/PPRO sin método documentado | §8.5.2.4 | Definir criterios y aplicarlos a cada medida con registro |
| Medidas de control sin validación | §8.5.3 | Validar con estudios, literatura o datos y documentar |
| PPR sin referencia a normas o legislación | §8.2 | Vincular cada PPR con NOM-251-SSA1-2009 y la especificación ISO 22002 aplicable |
| Plan HACCP corporativo no adaptado a la planta | §7.1.5 | Revisar y adaptar a productos, equipos y peligros locales |
| Simulacro de emergencias inexistente | §8.4 | Identificar escenarios y probar la respuesta al menos una vez en el ciclo |
| Termómetros y detectores sin verificación | §8.7 | Programa de calibración y verificación con trazabilidad |
| Resultados de verificación sin análisis de tendencias | §8.8.2, §9.1.2 | Análisis periódico con conclusiones llevadas a revisión por la dirección |
| Cambios de proveedor de materia prima sin aviso al equipo de inocuidad | §7.4.3, §8.6 | Gestión de cambios con aprobación del líder del equipo |
El plan "de corporativo" no es tuyo hasta que lo adaptas
En empresas con varias plantas es común recibir un plan HACCP corporativo. ISO 22000:2018 §7.1.5 exige demostrar que ese elemento externo se adaptó a tu sitio, se implementó y se mantiene. Si tus equipos, distribución o materias primas difieren, el auditor encontrará peligros no evaluados o PCC sin sentido para tu línea.
Checklist de preparación para la certificación ISO 22000
- Contexto, partes interesadas y requisitos legales y de clientes documentados, con consideración del cambio climático (§4.1, §4.2).
- Alcance con productos, procesos y sitios definidos (§4.3).
- Política de inocuidad aprobada y comunicada (§5.2).
- Líder y equipo de inocuidad designados y competentes (§5.3, §7.2).
- Riesgos y oportunidades del sistema gestionados por separado del análisis de peligros (§6.1).
- Objetivos de inocuidad medibles con seguimiento (§6.2).
- Proveedores y procesos externos evaluados con criterios definidos (§7.1.6).
- PPR implementados y referenciados a NOM-251-SSA1-2009 y a la serie ISO 22002 aplicable (§8.2).
- Trazabilidad probada con balance de masa (§8.3).
- Escenarios de emergencia identificados y probados (§8.4).
- Análisis de peligros, categorización, validación y plan de control vigentes (§8.5).
- Equipos de monitoreo calibrados o verificados (§8.7).
- Verificación con análisis de resultados (§8.8).
- Procedimientos de producto potencialmente no inocuo y retiro probados (§8.9.4, §8.9.5).
- Ciclo completo de auditoría interna y revisión por la dirección (§9.2, §9.3).
Si tus clientes exigen un esquema reconocido por GFSI, compara opciones en FSSC 22000 vs ISO 22000. Más contexto en la página de FSSC 22000 y en la de alimentos y bebidas.
Cómo lo abordamos en Quality College
Comenzamos con un diagnóstico en planta que evalúa tus PPR, tu plan HACCP y tu sistema de gestión contra ISO 22000:2018, la NOM-251-SSA1-2009 y la especificación ISO 22002 de tu sector. Con base en él definimos el plan de trabajo con tu equipo de inocuidad, acompañamos la implementación, formamos auditores internos, ejecutamos la auditoría interna y te acompañamos en las etapas 1 y 2 frente al organismo certificador acreditado que elijas. Los proyectos típicos van de 8 a 16 semanas según alcance y madurez.
Para la documentación usamos Qualitix Bot®, nuestra IA especializada que genera borradores de análisis de peligros, procedimientos y planes de control a partir de tu proceso real, siempre revisados por un consultor; e ISO Track®, nuestro SaaS para gestionar verificaciones, acciones correctivas, auditorías e indicadores. Hemos acompañado a más de 150 organizaciones en su certificación desde 2018 y ofrecemos garantía contractual de certificación.