Monitoraggio continuo e discontinuo HACCP: quale scegliere
Monitoraggio continuo o discontinuo dei CCP: differenze, quando usarli, calcolo del prodotto a rischio tra due controlli, data logger e allarmi.
Il monitoraggio continuo registra il parametro del CCP senza interruzioni, di solito con strumenti automatici; quello discontinuo prevede misure a intervalli prestabiliti, spesso manuali. Il Codex raccomanda il continuo quando possibile; se non lo è, la frequenza delle misure deve bastare a dimostrare che il CCP resta sotto controllo.
Il quadro di riferimento
L’obbligo di monitorare i CCP deriva dall’art. 5, paragrafo 2, lettera d) del Reg. CE 852/2004, che chiede procedure di sorveglianza efficaci, e dal principio 4 del Codex Alimentarius. Cosa debba contenere il piano di monitoraggio (parametro, metodo, frequenza, responsabile, registrazione) è spiegato nella pagina sul principio 4. Qui il tema è più specifico: come scegliere tra misura continua e misura periodica, e come dimensionare quella periodica.
Nella revisione 2020 del Codex (CXC 1-1969, testo FAO/OMS) il criterio è chiaro: quando il monitoraggio non è continuo, la quantità o la frequenza delle misure deve essere sufficiente a indicare che il CCP è sotto controllo. Il Codex osserva anche che parametri come tempo e temperatura di processo si prestano spesso al monitoraggio continuo, mentre altri, come l’umidità o la concentrazione di un conservante, in genere no; i limiti osservabili, come l’impostazione di un’attrezzatura, raramente sono monitorati in continuo.
Le due modalità a confronto
| Aspetto | Monitoraggio continuo | Monitoraggio discontinuo |
|---|---|---|
| Come funziona | Strumento che registra in modo ininterrotto o a intervalli molto brevi | Misure manuali o strumentali a orari, lotti o cicli definiti |
| Strumenti tipici | Data logger, termoregistratori, sonde collegate a centralina, metal detector in linea | Sonda a infissione, pH-metro, rifrattometro, controllo visivo |
| Rilevazione delle deviazioni | Ogni scostamento resta registrato, spesso con allarme | Ciò che accade tra due misure non è visto |
| Prodotto da isolare in caso di deviazione | Limitato al periodo effettivo di fuori controllo | Tutto il prodotto dall’ultima misura conforme |
| Costi | Investimento in strumenti, manutenzione, gestione dati | Tempo del personale, formazione |
| Punto debole | Dati non letti, allarmi ignorati, sonde mal posizionate | Frequenza troppo bassa, registrazioni a posteriori |
| Esempi | Pastorizzatore con registrazione tempo/temperatura, celle e abbattitori con logger | Temperatura al cuore a fine cottura, pH di un lotto di salsa |
Il continuo non elimina il lavoro umano: qualcuno deve leggere i dati, valutare gli allarmi e firmare il riesame. Il discontinuo, d’altra parte, non è una scelta di serie B: per molti CCP, come la cottura di un arrosto o il pH di un lotto, è l’unico metodo praticabile.
Calcolo: quanto prodotto è a rischio tra due misure
Il modo più concreto per decidere la frequenza è chiedersi quanto prodotto andrebbe bloccato se la misura successiva rilevasse una deviazione. In caso di monitoraggio discontinuo, infatti, tutto ciò che è stato lavorato dall’ultima misura conforme è potenzialmente coinvolto.
Esempio: una linea di cottura di un centro cottura produce 600 porzioni l’ora.
| Frequenza delle misure | Prodotto potenzialmente da isolare | Valutazione |
|---|---|---|
| Ogni 2 ore | fino a 1.200 porzioni | Perdita elevata, rischio di distribuzione prima della scoperta |
| Ogni 30 minuti | fino a 300 porzioni | Gestibile se le porzioni restano in reparto fino al controllo |
| Ogni lotto da 50 porzioni | fino a 50 porzioni | Coerente con un processo a lotti |
| Continuo con allarme | solo le porzioni dell’intervallo fuori limite | Massima precisione, maggior investimento |
La frequenza giusta è quella per cui il prodotto non viene rilasciato prima della misura successiva conforme. Se le porzioni partono per la distribuzione ogni 20 minuti, una misura ogni 30 minuti non basta: si scoprirebbe la deviazione a prodotto già uscito, con la necessità di un ritiro.
Il “continuo” dei data logger: l’intervallo di campionamento
Quasi tutti i registratori elettronici non misurano in modo letteralmente ininterrotto, ma a intervalli regolari. Un logger è adeguato come monitoraggio continuo se l’intervallo è sensibilmente più breve del tempo in cui il parametro può superare il limite critico.
- Stimare la velocità di variazione: una cella frigorifera piena si scalda lentamente, un pastorizzatore a flusso può perdere temperatura in pochi secondi.
- Scegliere un intervallo di registrazione coerente: minuti per una cella, secondi per un trattamento termico in continuo.
- Impostare un allarme sul limite operativo (non solo sul critico), con un ritardo che eviti falsi allarmi all’apertura delle porte. Il confronto tra le due soglie è nella pagina sui limiti critici e operativi.
- Definire chi riceve l’allarme fuori orario e cosa deve fare.
- Stabilire chi scarica e riesamina i dati, con quale frequenza, e dove si archivia la firma del riesame.
- Inserire il logger nel programma di taratura degli strumenti.
La posizione della sonda è decisiva: un sensore vicino all’evaporatore misura l’aria più fredda della cella, non il prodotto. Per i CCP legati alla temperatura dell’alimento conviene usare sonde a simulazione di prodotto o verificare periodicamente la correlazione con una misura al cuore.
Soluzione mista: quando conviene combinarle
Molti piani usano le due modalità insieme sullo stesso CCP:
- abbattitore con registrazione automatica del ciclo più lettura manuale della sonda al cuore a fine ciclo;
- pastorizzatore con termoregistratore più controllo manuale con termometro di riferimento a inizio turno, per confermare che la registrazione è attendibile;
- metal detector in linea (continuo sul prodotto) più prova con campioni test a inizio turno e a intervalli definiti (discontinuo sul funzionamento dello strumento).
In tutti questi casi la scheda CCP deve chiarire quale misura costituisce il monitoraggio del limite critico e quale serve a verificare lo strumento.
Errori tipici in ispezione
- Logger presente ma senza riesame firmato: in caso di controllo la sola memoria dello strumento non dimostra che qualcuno abbia valutato i dati e reagito.
- Allarme disattivato perché “suona troppo”: è un sintomo di soglie mal impostate, non una soluzione.
- Frequenza discontinua non scritta, oppure scritta ma diversa da quella praticata.
- Misure periodiche tutte alla stessa ora “comoda”, che non intercettano i momenti critici (picchi di carico, cambi turno).
- Dati elettronici non conservati: anche i file dei logger sono registrazioni e seguono le regole della pagina sulla conservazione delle registrazioni.
Un modello per riportare frequenza e modalità di ogni CCP è disponibile nella checklist CCP e monitoraggio; per la scelta degli strumenti wireless si può consultare la guida al monitoraggio delle temperature con sensori IoT.
Domande frequenti
Il monitoraggio continuo è obbligatorio?
No. Né il Reg. CE 852/2004 né il Codex lo impongono: il Codex lo indica come preferibile quando possibile. L’obbligo è avere un monitoraggio efficace. Un monitoraggio discontinuo con frequenza motivata e registrazioni puntuali è pienamente conforme, mentre un sistema continuo i cui dati non vengono mai letti non dimostra il controllo del CCP.
Un data logger sostituisce il registro cartaceo delle temperature?
Può sostituirlo, se i dati sono conservati, attribuibili a uno strumento identificato, protetti da modifiche e riesaminati da una persona che firma il controllo e annota le eventuali azioni. Il registro cartaceo resta utile per le misure al cuore fatte con la sonda e per annotare le azioni correttive collegate agli allarmi.
Con quale intervallo deve registrare un data logger?
Non esiste un valore fissato per legge. L’intervallo deve essere più breve del tempo in cui il parametro può passare da valori conformi al superamento del limite critico. Per una cella frigorifera sono spesso adeguati alcuni minuti; per un trattamento termico in flusso continuo serve una registrazione molto più fitta. La scelta va motivata nel piano.
Cosa fare se il data logger si guasta?
La procedura deve prevedere un monitoraggio manuale sostitutivo con frequenza aumentata finché lo strumento non è ripristinato, la valutazione del prodotto lavorato nel periodo privo di dati e la registrazione dell’evento. Il guasto va trattato come una possibile perdita di controllo, non come un semplice problema tecnico.