Fait partie du pilier fraude alimentaire du Centre d'Apprentissage TAAG, avec les référentiels GFSI et audits de sécurité des aliments.
Sommaire
Pourquoi la fraude exige sa propre évaluation
Un plan HACCP part d'une prémisse : les dangers apparaissent de façon non intentionnelle, à cause d'une défaillance de procédé, d'une matière première contaminée ou d'une erreur humaine. La fraude alimentaire ne rentre pas dans cette logique. Quelqu'un, à un point de la chaîne, décide délibérément de substituer, diluer ou falsifier pour gagner de l'argent, et cherche en plus à ce que cela ne se remarque pas.
C'est pourquoi l'industrie distingue trois approches complémentaires :
- HACCP : dangers non intentionnels pour la sécurité des aliments.
- TACCP (défense alimentaire) : menaces intentionnelles visant à causer un préjudice, à motivation idéologique ou comportementale.
- VACCP (vulnérabilité à la fraude) : actes intentionnels à motivation économique.
Le guide de FSSC 22000 sur la maîtrise de la fraude le résume par une idée utile pour l'équipe qui réalise l'évaluation : il faut « penser comme un criminel ». La question n'est pas de savoir ce qui peut défaillir, mais où il serait facile et rentable pour quelqu'un de tromper.
Ce qu'exige la GFSI et comment cela se traduit dans les référentiels
En 2014, la Global Food Safety Initiative a publié un document de position dans lequel son conseil d'administration a décidé d'intégrer deux étapes de maîtrise de la fraude comme nouveaux éléments clés : exiger des entreprises une évaluation de la vulnérabilité à la fraude et un plan de maîtrise. Ces exigences sont entrées dans les Benchmarking Requirements version 7, publiées en 2017, et sont obligatoires pour les référentiels reconnus par la GFSI, comme ceux que nous décrivons dans notre article sur les audits GFSI.
Selon le document technique de la GFSI de 2018, les exigences sont au nombre de trois :
- Une procédure documentée d'évaluation de la vulnérabilité pour identifier les vulnérabilités potentielles et prioriser les mesures de maîtrise.
- Un plan documenté précisant les mesures mises en œuvre pour maîtriser les risques pour la santé publique découlant des vulnérabilités identifiées.
- Que ce plan soit soutenu par le système de management de la sécurité des aliments de l'organisme.
La GFSI définit la vulnérabilité à la fraude comme la susceptibilité ou l'exposition à un risque de fraude, entendue comme une faille qui pourrait mettre en danger la santé du consommateur si elle n'est pas corrigée. Et elle précise un point qui rassure de nombreuses équipes qualité : on n'attend pas de l'auditeur qu'il détecte des fraudes ni qu'il certifie que le programme est capable de les empêcher. Ce qu'il examine, c'est l'approche : est-elle transversale à l'entreprise, a-t-elle été construite par une équipe pluridisciplinaire, est-elle documentée, est-elle revue, et sur quelles sources d'information repose-t-elle.
Le cas de FSSC 22000
Le référentiel FSSC 22000 version 6 comprend l'exigence supplémentaire 2.5.4, applicable à toutes les catégories de la chaîne alimentaire. Elle impose de réaliser et de documenter l'évaluation selon une méthodologie définie, de couvrir les procédés et produits dans le périmètre, de mettre en œuvre des mesures de maîtrise pour les vulnérabilités significatives et de tenir un plan documenté, avec des procédures de vérification, conforme à la législation applicable et tenu à jour.
Comment réaliser l'évaluation pas à pas
Le guide de FSSC 22000 (version 2, juillet 2023) propose une séquence de travail qui sert de référence même si votre site est certifié selon un autre référentiel :
1. Constituer l'équipe
La fraude traverse les achats, la logistique, la qualité, la sécurité d'entreprise et le commercial. La GFSI indique que le responsable du programme rend compte de l'ensemble, mais n'a pas à exécuter chaque tâche : le contrôle des marchandises volées, par exemple, peut déjà relever de la logistique ou de la sécurité.
2. Lister matières premières, emballages et produits
Le périmètre va de ce qui entre (matières premières, matériaux d'emballage) à ce qui sort (produits semi-finis et finis). On peut regrouper les matériaux similaires pour commencer et approfondir dans les groupes où apparaissent des vulnérabilités significatives.
3. Évaluer les facteurs de vulnérabilité
FSSC 22000 énumère, entre autres :
- Vulnérabilité économique : à quel point la fraude est attractive. Un bond du prix d'une matière première est un signal d'alerte.
- Historique : si cela s'est déjà produit ou s'il existe des cas récents dans l'industrie.
- Détectabilité : à quel point elle est facile à détecter et s'il existe une analyse de routine.
- Accès aux matières premières, aux emballages et au produit fini tout au long de la chaîne.
- Relation avec le fournisseur : un lien de longue date n'est pas la même chose qu'un achat ponctuel.
- Certifications sectorielles indépendantes d'authenticité ou de chaîne de traçabilité.
- Complexité de la chaîne : longueur, origines et points où le produit est transformé.
4. Définir quelles vulnérabilités sont significatives
Tout ce qui est identifié n'exige pas une mesure. On peut utiliser une matrice similaire à celle de l'HACCP (probabilité par conséquence), en gardant à l'esprit que la rentabilité est un facteur clé de la probabilité. La GFSI recommande d'être exhaustif dans l'identification et de documenter aussi les vulnérabilités jugées faibles : cette conclusion, bien étayée, fait partie des preuves.
5. Concevoir la maîtrise et documenter le plan
Les mesures peuvent être préventives ou de contrôle. FSSC 22000 cite comme vérification le contrôle de l'origine et de l'étiquette, les analyses de laboratoire, les audits de fournisseurs, la certification par un tiers et la gestion des spécifications. Le plan s'intègre au système de management avec les mêmes éléments que tout autre programme : formation, audits internes, revue de direction, corrections, actions correctives et enregistrements.
6. Réviser
Les vulnérabilités changent. Le guide de FSSC 22000 rappelle lui-même que la viande de cheval dans des produits de bœuf n'était pas considérée comme une vulnérabilité exigeant un contrôle avant que n'éclate le scandale de 2013. Nous l'analysons, avec d'autres épisodes, dans notre article sur les cas emblématiques de fraude alimentaire.
Outils qui aident
Le guide de FSSC 22000 mentionne l'outil d'évaluation de la vulnérabilité de SSAFE, d'utilisation gratuite et soutenu par le conseil d'administration de la GFSI, ainsi que des services de veille comme HorizonScan. Il recommande aussi de cartographier la chaîne d'approvisionnement en incluant les facteurs socio-économiques, géopolitiques, comportementaux et historiques. Aucun outil ne remplace le jugement de l'équipe : son rôle est d'ordonner l'information et de garder trace des décisions. C'est également sur cette traçabilité que s'appuie la traçabilité alimentaire documentaire de chaque lot.
La place des analyses de laboratoire dans le plan
L'analyse est une mesure de maîtrise parmi d'autres, et non le plan tout entier. Là où l'on décide d'y recourir, il convient que l'évaluation de la vulnérabilité détermine quelles matières premières analyser, à quelle fréquence et avec quelle méthode : identification d'espèce dans les poissons et les viandes, profils isotopiques ou marqueurs de sirops dans le miel, recherche de colorants non autorisés dans les épices. Le détail de chaque technique figure dans notre article sur les méthodes analytiques d'authenticité.
Aux États-Unis, le cadre réglementaire pousse dans la même direction sous un autre angle. La FDA indique que, dans le cadre du Food Safety Modernization Act (FSMA), les entreprises doivent appliquer des contrôles préventifs face aux dangers introduits intentionnellement à des fins de profit économique. L'accent y est mis sur la fraude qui affecte la sécurité des aliments ; l'évaluation VACCP des référentiels GFSI couvre en outre la fraude purement économique.
Erreurs fréquentes
- Traiter l'évaluation comme une annexe de l'HACCP et n'analyser que les dangers sanitaires, en laissant de côté la fraude sans impact direct sur la santé.
- Limiter le périmètre au site, alors que les vulnérabilités se trouvent dans les achats, la logistique et chez les fournisseurs.
- Réaliser l'évaluation une seule fois et ne pas la réviser en cas de changement de fournisseur, de prix ou de contexte.
- Analyser des échantillons sans critère, au lieu d'orienter le laboratoire vers les vulnérabilités significatives.
- Ne pas documenter pourquoi une vulnérabilité a été jugée faible.
Conclusion
L'évaluation de la vulnérabilité à la fraude est une exigence de tous les référentiels reconnus par la GFSI depuis 2017, mais sa valeur dépasse l'audit : elle oblige à regarder la chaîne d'approvisionnement avec la logique de celui qui veut tromper. Un bon plan identifie de nombreuses vulnérabilités, justifie lesquelles sont significatives, attribue à chacune des mesures de maîtrise et de vérification proportionnées, dont l'analyse de laboratoire lorsqu'elle se justifie, et se révise chaque fois que le contexte change.
À propos de TAAG
Découvrez comment les services de laboratoire de TAAG apportent des preuves analytiques au système de management de la sécurité des aliments sur lequel s'appuie le plan de maîtrise de la fraude.
Questions fréquentes
Quelle différence entre VACCP et TACCP ?
Les deux traitent d'actes intentionnels, mais avec des motivations différentes. La VACCP évalue la vulnérabilité à la fraude, dont le moteur est le gain économique. La TACCP relève de la défense alimentaire, face à des actes visant à causer un préjudice pour des motifs idéologiques ou comportementaux. L'HACCP, lui, couvre les dangers non intentionnels.
Depuis quand la GFSI exige-t-elle une évaluation de la vulnérabilité à la fraude ?
La GFSI a annoncé la décision dans son document de position de 2014 et l'a intégrée dans les Benchmarking Requirements version 7, publiées en 2017. Depuis, les référentiels reconnus, comme FSSC 22000, BRCGS, SQF ou IFS, doivent inclure une évaluation de la vulnérabilité et un plan de maîtrise.
À quelle fréquence faut-il réviser l'évaluation ?
Le guide de FSSC 22000 insiste sur une révision régulière, car les vulnérabilités changent avec le contexte, par exemple en cas de hausse des prix ou de changement de fournisseur. Le plus prudent est de fixer une fréquence périodique documentée et, en outre, de la réviser à chaque changement significatif dans l'organisation ou sur le marché.
L'auditeur doit-il détecter s'il y a de la fraude dans mon site ?
Non. Selon la GFSI, l'auditeur n'a pas à détecter des fraudes ni à affirmer que le programme les prévient. Il examine l'approche : que l'évaluation soit transversale à l'entreprise, pluridisciplinaire, documentée, révisée et fondée sur des sources d'information solides.