Qué exige ISO 22000 ante una emergencia en planta

El transformador falló un viernes a las siete de la tarde y la planta se quedó sin energía nueve horas. El lunes, la discusión era si las tres cámaras de refrigeración habían mantenido temperatura o no: nadie tenía registro continuo, el termómetro de una cámara marcaba bien pero llevaba horas reestabilizada, y el turno de fin de semana no sabía a quién avisar ni si podía disponer del producto. Se terminó liberando todo porque "olía bien". Ese es exactamente el escenario para el que la ISO 22000 exige estar preparado por escrito, antes de que ocurra.

Qué exige la norma exactamente

El requisito de preparación y respuesta ante emergencias le asigna la responsabilidad a la alta dirección: asegurarse de que existen procedimientos para responder a situaciones de emergencia e incidentes que puedan afectar la inocuidad y que sean pertinentes al rol de la organización en la cadena alimentaria. Y le pide a la organización tres cosas con los procedimientos: responder conforme a ellos cuando la emergencia ocurre, probarlos periódicamente cuando sea factible, y revisarlos —y actualizarlos si es necesario— después de cada prueba y, en particular, después de cada emergencia real.

La distinción con protección civil importa. El plan de evacuación protege a las personas; este requisito protege al alimento. Un simulacro de sismo no evidencia nada sobre qué pasa con el producto en proceso cuando la línea se detiene a media cocción, y esa confusión es la razón por la que tantas plantas creen tener cubierto un requisito que no han leído.

Qué cuenta como emergencia de inocuidad

• —Corte de energía que compromete cadena de frío, proceso térmico o atmósferas controladas.
• —Falla o contaminación del suministro de agua, cuando el agua toca producto o superficies de contacto.
• —Incendio, inundación o fenómeno natural que compromete instalaciones o almacenes.
• —Falla mayor de equipo en un paso que es medida de control: el pasteurizador, el detector de metales, el túnel de congelación.
• —Brote o contaminación notificada aguas arriba: un proveedor que retira un ingrediente que ya está en tu proceso.
• —Interrupciones externas: bloqueo logístico, huelga, pandemia, ciberataque que tira el sistema de trazabilidad.

La lista correcta no es genérica: sale de la operación propia. Una planta de congelados vive o muere por energía y frío; un envasador aséptico, por agua y esterilidad; un centro de distribución, por logística. El procedimiento que vale es el que responde tres preguntas por escenario: quién decide, qué se hace con el producto expuesto y qué registro queda.

El destino del producto es parte de la respuesta

Toda emergencia de inocuidad termina en la misma pregunta: qué se hace con lo que estaba en proceso o almacenado mientras duró el evento. El procedimiento tiene que conectar con el control de producto potencialmente inseguro —retener, evaluar con datos y decidir liberación, reproceso o destrucción— y con el retiro si algo alcanzó a salir. Una respuesta a emergencia que no define el estatus del producto deja la decisión al olfato del turno, que es como se liberan los lotes que después regresan.

Hay regiones donde estos escenarios no son hipotéticos. En el noroeste, los veranos ponen la red eléctrica al límite justo cuando la cadena de frío más se necesita, el agua es un recurso racionado y buena parte del producto —mariscos de la costa, hortalizas frescas, cárnicos— es de alto riesgo y corta vida útil. Definir esos escenarios con la operación real de cada planta, probarlos y dejar la evidencia lista para auditoría es parte del trabajo de Consultoría ISO 22000 en Hermosillo.

Cómo se prueba sin detener la planta

Probar no siempre significa simular el evento completo. Un ejercicio de escritorio que recorra el escenario paso a paso con los responsables reales, una prueba de la alarma de temperatura y del protocolo de llamadas en fin de semana, o un corte controlado en área no productiva son pruebas válidas si dejan registro de qué funcionó y qué no. Lo que la norma no acepta es el procedimiento que nunca se ha ejercitado: la primera vez que se ejecute no puede ser la emergencia real. Y cuando la emergencia real ocurre, el cierre del evento incluye revisar el procedimiento con lo aprendido, que es el registro que casi nadie tiene.

En resumen

La ISO 22000 exige procedimientos de emergencia específicos de inocuidad, probados y actualizados con cada evento. La evidencia mínima es una lista de escenarios propios de la operación, un procedimiento por escenario que defina quién decide y qué pasa con el producto, registros de pruebas periódicas y la revisión posterior a cada emergencia real. Si lo único que hay es el plan de evacuación, el requisito está descubierto.