HACCP 和 ISO22000 差在哪

先講結論：最根本的差別不在技術，在效力的來源。我國的食品安全管制系統是法規——食安法第 8 條第 2 項規定「經中央主管機關公告類別及規模之食品業，應符合食品安全管制系統準則之規定」，準則第 2 條第 2 項並列出它包含的八件事。ISO 22000 則是國際標準，效力來自你與客戶之間的契約與市場共識，由驗證機構稽核發證。一個是「不做會違反行政法上義務」，一個是「不做可能接不到單」。兩者不是升級關係，也沒有誰比較高級的問題——它們回答的是不同的問題。

最根本的差別：義務與自願

看最後一列就知道為什麼順序上要先確認法規那一側：法規的要求沒得談，市場的要求可以談。先把不能談的處理掉，再處理可以談的。

範圍：一個管製程，一個管系統

從內容看，兩者的重心不同。

食品安全管制系統準則第 2 條第 2 項把這套系統定義為八件事：成立食品安全管制小組、執行危害分析、決定重要管制點、建立管制界限、研訂及執行監測計畫、研訂及執行矯正措施、確認本系統執行之有效性、建立本系統執行之文件及紀錄。

這八件事的共同對象是危害與製程——準則第 5 條要求以產品描述、預定用途及加工流程圖為基礎執行危害分析；第 6 條決定重要管制點；第 7 條建立管制界限並驗效；第 8 條訂定監測計畫。

ISO 22000 則是以管理系統的架構出發，除了危害管制的部分之外，還涵蓋組織背景、領導、規劃、支援、營運、績效評估與改進這類管理面的要求，並可與其他 ISO 管理系統標準整合。

用一句話區分：前者問「這條線上哪幾個點不能失守」，後者問「你這個組織怎麼確保它持續不失守」。兩個問題都重要，但不是同一個問題。

文件與稽核的實際落差

對業者而言，最實際的差別在這三點：

• 誰來稽核——法規這一側是主管機關依食安法第 41 條執行查核，業者應配合，不得規避、妨礙或拒絕；驗證這一側是驗證機構依約定排程稽核
• 週期固定與否——驗證通常有固定的年度查核與換證週期；主管機關的稽查則不以事先通知為前提
• 文件量——管理系統標準通常額外要求政策、目標、管理審查、內部稽核程序等組織層級的文件，這部分是法規準則裡沒有明文要求的

要注意的是，法規這一側也有持續性義務，不是取得就結束：準則第 4 條要求管制小組成員從業期間每三年累計至少十二小時的訓練；第 10 條每年至少一次內部稽核；第 11 條每年至少一次內部教育訓練；第 12 條書面紀錄保存至少五年並應經負責人或其指定人員簽署，並註記日期。

證書對通路的意義

這是多數業者真正在意的一點，值得說得直白：法規的符合性不會產生一張可以交給客戶的證書。

食安法第 8 條第 2 項要求的是「符合準則之規定」，不是「取得證書」。所以當通路說「要有證書」時，他要的通常是自願性驗證那一側的產物。

但反過來說也成立：通路要的未必真的是證書。實務上要求可能落在三個層級——提供管理文件、接受二方稽核、出示驗證證書，三者的投入差距很大。先問清楚再決定，見要上架大型通路，供應商稽核要準備什麼與只做 GHP 夠不夠。

已經有 HACCP，還要做 ISO 嗎

這題沒有通則，但有三個可以自己回答的問題：

1. 有沒有具體的客戶要求？沒有的話，取得證書的商業價值要另外論證
2. 組織管理面的要求，你現在做得到嗎？管理系統標準要的是政策、目標、管理審查這類組織層級的運作，需要的是管理階層的時間
3. 維持得住嗎？驗證有年度查核，法規那一側也有第 10 條、第 11 條的年度義務。兩套並行的維持成本要事先算

值得一提的是，兩者的基礎工作有重疊——危害分析、管制界限、監測與矯正措施，在兩邊都要做。所以先把法規那一側做扎實，之後要往上走時，重複的工作不多。

選擇順序怎麼判斷

1. 先確認法規義務——你在不在食安法第 8 條第 2 項的公告範圍。判斷方式見小工廠需要做 HACCP 嗎
2. 再確認 GHP 的狀態——第 8 條第 1 項是全體義務，而且是上面所有東西的基礎，見先做 GHP 還是先做 HACCP
3. 最後才看市場要求——要什麼證書、給誰看、什麼時候要

三級品管的政策架構怎麼把這些層次串起來，見三級品管是怎麼來的；二級品管的位階見二級品管是什麼，我需要做嗎。

今天就能做的三件事

• 先查你在不在公告範圍。這一題決定後面所有的順序
• 如果客戶要求證書，請他寫明標準名稱與版本。不同標準的工作量差很多
• 把兩邊的年度義務列在同一張表上。維持成本是年年發生的，評估時最常被漏掉

常見問題

ISO 22000 包含 HACCP 嗎？

在技術內容上有相當程度的重疊——危害分析與重要管制點的方法論是兩者共同的核心。我國食品安全管制系統準則第 2 條第 1 項即定義本系統為「使用危害分析重要管制點原理，管理原料、材料之驗收、加工、製造、貯存及運送全程之系統」。但「包含」不等於「可以取代」：法規義務的依據是食安法第 8 條第 2 項及主管機關公告，取得任何國際標準的驗證都不會使該項法定義務消滅，主管機關的查核依據仍是食安法第 41 條。所以正確的理解是：兩者的技術基礎共用，但法律地位各自獨立。

哪一個比較難？

難的地方不同，不容易直接比較。法規這一側的難點在指名到人：食品安全管制系統準則第 3 條第 2 項要求管制小組至少三人且負責人或其指定人員為必要之成員，第 4 條要求成員受訓至少三十小時，第 12 條第 2 項要求書面紀錄應經負責人或其指定人員簽署——這些都無法外包。管理系統標準的難點則在組織層級的運作：政策、目標、管理審查這類要求需要管理階層持續投入，對小型組織而言往往比技術文件更吃力。本文不評價任何標準或驗證機構的優劣。

只做一個可以嗎？

要看是哪一個。如果你落入食安法第 8 條第 2 項的公告範圍，符合食品安全管制系統準則就不是選項，那是法定義務，不能以取得其他驗證替代。反過來，自願性驗證本來就是選擇——沒有客戶要求時，不做並不違法。另外提醒一個常被忽略的前提：不論做哪一個或都不做，食安法第 8 條第 1 項的 GHP 對全體食品業者都適用，食品良好衛生規範準則第 2 條第 1 項明定適用於本法第 3 條第 7 款所定之食品業者，沒有規模門檻。

FSSC 22000 又是什麼？

它是以 ISO 22000 為基礎、再加上附加要求的一套驗證方案，常見於國際通路與大型食品供應鏈的採購條件中。對台灣的中小微型業者而言，要先問的不是「它是什麼」，而是有沒有客戶真的要求它——若沒有明確的訂單條件支撐，投入的資源未必對應得到回收。決策順序建議仍是：先確認法規義務（食安法第 8 條第 2 項）、再確認 GHP 是否做實（第 8 條第 1 項），最後才是市場要求。本文不評價任何驗證方案，具體要求請以該方案發布機構之現行版本及客戶合約為準。

最後

這一題最常見的問法是「該選哪一個」，但那個問法預設了兩者可以互相替代。

實際上它們回答的是不同的問題：法規問你有沒有違法，證書問市場信不信你。前者由主管機關認定，後者由客戶決定。

所以真正該先做的，是把「誰在要求我」這件事弄清楚。要求來自法規，就照法規走；來自客戶，就把合約條件問到具體。兩邊都問清楚之後，這題通常就不需要選了。

不確定自己該走到哪一段，先看食品廠合規路線圖：你在哪一段。

本文為一般性專業資訊，不貶低亦不推薦任何驗證制度、驗證方案或驗證機構，各標準之具體要求請以其發布機構之現行版本為準。本所提供食品衛生安全之專業協助，不轉包、不代簽、不代理訴訟。