PRP, PRPo et CCP : les trois niveaux de maîtrise d'un plan ISO 22000

En audit ISO 22000, une question revient plus souvent que toutes les autres : « pourquoi avez-vous classé cette mesure en PRPo plutôt qu’en CCP ? » Beaucoup d’équipes n’ont pas de réponse écrite. Elles ont recopié un plan trouvé ailleurs, multiplié les CCP « par prudence », ou rangé en PRPo tout ce qui ne rentrait pas ailleurs. La norme, elle, distingue trois niveaux de maîtrise aux conséquences très concrètes sur la surveillance, les enregistrements et le sort des lots.

Trois niveaux, une seule logique

ISO 22000:2018 organise la maîtrise des dangers en couches successives. Les programmes prérequis (PRP) forment le socle permanent. Les programmes prérequis opérationnels (PRPo) et les points critiques pour la maîtrise (CCP) constituent le plan de maîtrise des dangers, qui fusionne dans la version 2018 l’ancien plan HACCP et les PRPo. La différence entre ces deux derniers ne tient ni à leur importance ni à leur gravité : elle tient à la nature de leur pilotage.

Les PRP : le socle qui ne vise pas un danger précis

Les PRP sont les conditions et activités de base nécessaires pour maintenir un environnement hygiénique : conception des locaux, alimentation en eau et en air, maintenance, nettoyage et désinfection, lutte contre les nuisibles, hygiène du personnel, gestion des matières achetées, prévention des contaminations croisées, gestion des déchets.

Ils ne sont pas choisis à l’issue de l’analyse des dangers pour maîtriser un danger significatif à une étape donnée : ils sont transversaux et permanents. En industrie agroalimentaire, la référence historique est ISO/TS 22002-1:2009, spécification technique détaillant ces exigences pour la fabrication. Elle a été révisée et remplacée en 2025 par ISO 22002-1:2025, publiée cette fois comme norme internationale à part entière, avec une architecture modulaire : les exigences communes à toute la chaîne alimentaire ont migré vers ISO 22002-100:2025. À vérifier si vous êtes certifié FSSC 22000, schéma qui rend obligatoire une spécification PRP sectorielle de la série ISO 22002 en complément d’ISO 22000 — voir notre comparatif ISO 22000 ou FSSC 22000.

Les PRPo : un critère d’action, pas une limite critique

Un PRPo est une mesure de maîtrise — ou une combinaison de mesures — retenue à l’issue de l’analyse des dangers pour prévenir ou réduire un danger significatif à un niveau acceptable, et dont un critère d’action associé à une mesure ou une observation permet de piloter efficacement le procédé ou le produit.

Le critère d’action est une spécification mesurable ou observable. C’est le point clé : là où la limite critique est toujours une valeur, le critère d’action peut être un constat visuel documenté, une conformité de paramétrage, un résultat de contrôle à réception. Exemples fréquents : gestion des allergènes par séquencement de production, validation des fournisseurs sur un danger identifié, tamisage, maîtrise d’une température de stockage intermédiaire.

Les CCP : une limite critique mesurable et une correction possible

Un CCP est une étape du procédé à laquelle une mesure de maîtrise s’applique, où une limite critique mesurable est définie et où la mesure permet d’appliquer des corrections. Deux conditions cumulatives, donc : la limite doit être mesurable, et la surveillance doit permettre de détecter la défaillance à temps pour isoler et évaluer le produit concerné.

Un couple temps/température de pasteurisation, une température à cœur de cuisson, un seuil de détection métallique : ce sont des CCP. Une exigence qu’on ne sait pas mesurer en production ne peut pas être un CCP — au mieux un PRPo, au pire une intention. Nous détaillons la logique des sept principes du Codex dans notre guide sur les 7 principes HACCP appliqués concrètement.

Tableau : ce qui change vraiment

	PRP	PRPo	CCP
Origine	Conditions de base, indépendantes de l’analyse des dangers	Issu de l’analyse des dangers, pour un danger significatif	Issu de l’analyse des dangers, pour un danger significatif
Pilotage	Programmes et procédures	Critère d’action mesurable ou observable	Limite critique mesurable
Surveillance	Planifiée, sans criticité de lot	Proportionnée à la probabilité de défaillance et à la gravité	Fréquence et méthode permettant une détection en temps utile
En cas d’écart	Traitement de la non-conformité, remise en état	Correction + évaluation des conséquences sur le produit	Produit non libéré, traité comme potentiellement dangereux
Validation préalable	Non exigée en tant que telle	Oui, avant mise en œuvre	Oui, avant mise en œuvre
Exemples	Nettoyage, nuisibles, maintenance, hygiène du personnel	Allergènes par séquencement, tamisage, agrément fournisseur	Cuisson, pasteurisation, détection métallique

L’arbre de décision : un outil, pas une obligation

ISO 22000:2018 exige que la catégorisation des mesures de maîtrise repose sur une approche systématique, évaluant notamment la probabilité de défaillance de la mesure, la gravité des conséquences en cas de défaillance, et la faisabilité d’établir des limites critiques mesurables ainsi que d’appliquer des corrections en temps utile. La norme n’impose aucun arbre de décision particulier.

L’arbre du Codex Alimentarius — dont les Principes généraux d’hygiène alimentaire (CXC 1-1969) ont été révisés en 2020, séparant désormais bonnes pratiques d’hygiène et système HACCP en deux chapitres — reste un support pertinent. Mais l’auditeur ne vous demandera pas quel arbre vous avez utilisé : il vous demandera la trace du raisonnement, mesure par mesure. Un tableau de catégorisation avec une colonne « justification » suffit, à condition qu’elle soit remplie.

Surveillance, corrections, produits : les conséquences pratiques

C’est ici que la distinction cesse d’être théorique.

La surveillance. Pour un CCP, méthode et fréquence doivent détecter à temps tout dépassement de limite critique, afin de permettre l’isolement et l’évaluation du produit. Pour un PRPo, elles doivent être proportionnées à la probabilité de défaillance et à la gravité des conséquences. Deux régimes, donc deux justifications distinctes à écrire.

Les corrections et actions correctives. Le plan doit préciser à l’avance ce qui est fait quand une limite critique ou un critère d’action n’est pas respecté. La correction agit immédiatement sur le produit ou le procédé ; l’action corrective élimine la cause pour éviter la récurrence. Confondre les deux est un classique de l’écart d’audit : une fiche qui ne contient que « produit détruit » ne démontre aucune action corrective.

Le sort du produit. Un produit fabriqué alors qu’une limite critique à un CCP n’était pas respectée ne peut pas être libéré : il est traité comme potentiellement dangereux, avec évaluation, disposition et traçabilité de la décision. Un produit affecté par un critère d’action non atteint fait d’abord l’objet d’une évaluation des causes et des conséquences ; il peut être libéré si l’on démontre que le niveau acceptable reste respecté. Cette asymétrie explique pourquoi la multiplication artificielle des CCP se paie en lots bloqués et en pertes.

Validation et vérification : deux exercices que l’audit distingue

Valider, c’est démontrer avant la mise en œuvre que la mesure de maîtrise est capable d’atteindre le niveau acceptable du danger visé : barème de pasteurisation appuyé sur une donnée scientifique, challenge test, étude documentée, données du fournisseur d’équipement. La validation se refait quand la mesure change.

Vérifier, c’est confirmer après coup que le système fonctionne : relecture des enregistrements, étalonnage, analyses microbiologiques, audits internes, analyse des résultats de vérification. Les deux sont exigés par ISO 22000, à des clauses distinctes, et l’absence de validation des PRPo est l’un des écarts les plus fréquemment relevés. Pieternel Luning et ses coauteurs, dans « Systematic assessment of core assurance activities in a company specific food safety management system » (Trends in Food Science & Technology, 2009), montrent que ces activités sont précisément celles qui différencient un système d’assurance robuste d’un système déclaratif (voir l’étude). Mesurer la performance réelle reste toutefois un exercice distinct de la conformité documentaire : Liesbeth Jacxsens et ses coauteurs ont proposé une grille d’indicateurs en ce sens dans « Food safety performance indicators to benchmark food safety output of food safety management systems » (International Journal of Food Microbiology, 2010), validée auprès de neuf entreprises européennes (voir l’étude).

Les erreurs qui deviennent des non-conformités

• Multiplier les CCP. Chaque CCP surnuméraire crée une obligation de blocage de lot que l’entreprise ne tiendra pas — et l’écart apparaîtra dans les enregistrements.
• Des PRPo sans preuve de validation. Classer une mesure en PRPo sans démontrer qu’elle réduit effectivement le danger visé est un écart immédiat.
• Traiter des PRP comme des CCP. Le nettoyage ou la lutte contre les nuisibles n’ont pas de limite critique tenable : les ériger en CCP dilue la surveillance.
• Un critère d’action non mesurable ni observable. « Vigilance du personnel » n’est pas un critère d’action.
• Aucune non-conformité enregistrée depuis deux ans. Ce n’est pas un signe de maîtrise, c’est un signe d’absence d’enregistrement.
• Un plan figé. Changement de recette, de fournisseur ou d’équipement : analyse des dangers et catégorisation doivent être reprises, ce que vérifient les audits de surveillance ISO 22000.

La cause profonde est souvent la même : la compétence de l’équipe. Carol Wallace, Susan Powell, Louise Holyoak et Fiona Dykes l’ont documenté dans « Re-thinking the HACCP team » (Food Research International, 2012), en montrant que les équipes HACCP sont constituées sur des compétences opérationnelles plus que sur la maîtrise de la méthode, et que les décisions collectives tendent à s’aligner sur un niveau moyen de connaissance plutôt que sur le meilleur niveau présent.

Le sujet côté organisme de formation

Un organisme qui forme aux métiers de l’agroalimentaire est concerné à deux titres.

Comme concepteur de formation. Enseigner « les CCP » sans enseigner la catégorisation produit des stagiaires qui reproduiront l’erreur des dix CCP. Un module ISO 22000 crédible traite la logique de décision, la différence limite critique / critère d’action et le traitement des produits potentiellement dangereux. Cela se traduit dans des objectifs pédagogiques opérationnels et évaluables — l’attente de l’indicateur 5 de Qualiopi — et dans une évaluation qui vérifie la compétence de classement, pas la restitution des définitions.

Comme organisme certifié. Les intervenants doivent être à jour des textes en vigueur : ISO 22000:2018, révision 2020 du Codex, refonte 2025 de la série ISO 22002. Une veille datée sur ces évolutions est autant une exigence qualité qu’un argument commercial. Si votre offre couvre aussi l’hygiène réglementaire, notre comparatif formation hygiène alimentaire 14 h ou formation HACCP précise ce que chaque format recouvre.

Passez à l’action

Reprenez votre plan de maîtrise des dangers et ajoutez, en face de chaque mesure, une colonne « justification de la catégorisation » et une colonne « preuve de validation ». Les lignes vides sont vos écarts d’audit à venir. Pour le cadre complet — démarche, étapes et coûts —, consultez notre fiche ISO 22000, et pour le socle réglementaire sur lequel tout repose, la fiche HACCP et plan de maîtrise sanitaire ainsi que notre guide rédiger son plan de maîtrise sanitaire.