Pourquoi une grille de rangement des causes
L'analyse des dangers, premier principe de la méthode HACCP, demande d'énumérer ce qui peut rendre un aliment dangereux à chaque étape. Face à cette consigne, la difficulté n'est pas de trouver des dangers : c'est de ne pas en oublier. L'esprit humain repère facilement ce qu'il a déjà vu arriver et passe à côté du reste.
Les cinq M répondent exactement à ce problème. Ce ne sont pas cinq dangers, ce sont cinq familles de causes, et poser la question cinq fois plutôt qu'une force à explorer des territoires que l'intuition néglige. Un exploitant qui pense spontanément à la matière première et au matériel oublie presque toujours la méthode et le milieu, qui sont pourtant à l'origine de la majorité des contaminations croisées.
L'outil vient de l'analyse industrielle des causes, sous la forme du diagramme causes et effets aussi appelé diagramme en arête de poisson. Sa transposition à l'hygiène alimentaire est ancienne et généralisée : les guides de bonnes pratiques d'hygiène professionnels l'emploient, et c'est la trame la plus répandue dans les plans de maîtrise sanitaire de la restauration commerciale.
Là où l'erreur coûte cher
Les cinq M ne sont pas une obligation réglementaire. Aucun texte ne les impose et aucun contrôle ne demandera à les voir sous cette forme. Ce qui est exigé est une analyse des dangers réelle, au titre de l'article 5 du règlement (CE) n° 852/2004. Les cinq M sont un moyen commode d'y parvenir, pas une fin.
Main d'oeuvre : ce que les personnes apportent et transportent
Cette famille couvre tout ce qui tient aux personnes présentes dans les locaux. La contamination par les mains est la voie la plus documentée, et elle explique la place centrale du lavage des mains et de l'équipement des postes de lavage dans l'annexe II du règlement (CE) n° 852/2004. Une plaie non protégée, un pansement inadapté, un état de santé compatible avec un portage : autant de causes qui appartiennent à cette famille.
La tenue en fait également partie : vêtements de travail, coiffe, absence de bijoux de mains, ongles courts et sans vernis. Ces exigences ne relèvent pas de l'esthétique. Une bague retient de l'humidité et des résidus sous elle, un ongle long est un réservoir, un cheveu est un corps étranger. L'atelier de manipulation des quatre heures en salle fait constater ces points plutôt que de les énoncer.
La cause la plus souvent oubliée dans cette famille n'est pourtant ni l'hygiène personnelle ni la tenue : c'est la compétence. Un salarié qui n'a jamais reçu de consigne écrite sur le refroidissement des préparations produira un refroidissement approximatif, et ce n'est pas un problème de rigueur mais de formation. Le règlement impose d'ailleurs, à son annexe II, chapitre XII, que les personnes manipulant des denrées soient encadrées et formées à la mesure de leur activité.
Matière : ce qui entre dans l'établissement
Cette famille couvre les denrées, les ingrédients, l'eau, la glace, les emballages et tout ce qui entre au contact du produit. Le danger commence avant l'établissement, chez le fournisseur et pendant le transport, et il se maîtrise d'abord à la réception : température des produits livrés, état des emballages, dates limites, cohérence entre le bon de livraison et ce qui est effectivement déchargé.
L'eau et la glace sont les causes les plus régulièrement oubliées de cette famille, parce qu'elles ne ressemblent pas à des ingrédients. Une machine à glaçons mal entretenue, un bac de glace utilisé pour refroidir des bouteilles puis pour un usage alimentaire, une eau de rinçage stagnante : chacune de ces situations réintroduit une contamination après des étapes maîtrisées.
Les allergènes appartiennent également à cette famille, du côté de la matière première. Un changement de fournisseur ou de recette d'un produit acheté peut introduire un allergène qui n'était pas présent la semaine précédente, sans que la carte ne change. C'est la raison pour laquelle la vérification des étiquettes des produits achetés est une opération de traçabilité autant qu'une opération d'information du consommateur, au titre du règlement (UE) n° 1169/2011.
Matériel : équipements, ustensiles, instruments de mesure
Cette famille couvre les équipements de production, les ustensiles, les surfaces au contact des denrées et les instruments de mesure. Les causes évidentes sont l'état de propreté et l'état d'entretien : un joint de chambre froide fendu, une planche à découper entaillée qui n'est plus nettoyable, un ouvre-boîte jamais démonté.
Les causes moins évidentes tiennent à la conception. Un matériel non conçu pour un usage alimentaire, une surface poreuse, un revêtement qui s'écaille sont des sources de danger physique et chimique permanentes. Les matériaux destinés à entrer en contact avec des denrées alimentaires relèvent d'une réglementation propre, et un ustensile acheté hors circuit professionnel ne présente pas nécessairement les garanties attendues.
L'instrument de mesure mérite une place à part, parce qu'il conditionne toute la surveillance. Un thermomètre sonde dérivé de deux degrés rend faux l'ensemble des relevés qu'il a produits, sans qu'aucun d'eux ne paraisse anormal. C'est pourquoi le contrôle de l'étalonnage fait partie de la vérification du dispositif, et c'est l'un des gestes que la séance en salle fait pratiquer.
| Famille | Ce qu'elle couvre | Cause souvent oubliée |
|---|---|---|
| Main d'oeuvre | Hygiène des personnes, tenue, état de santé, compétence | L'absence de consigne écrite, qui produit des pratiques approximatives |
| Matière | Denrées, ingrédients, eau, glace, emballages, allergènes achetés | La glace et l'eau, qui ne ressemblent pas à des ingrédients |
| Matériel | Équipements, ustensiles, surfaces au contact, instruments de mesure | La dérive du thermomètre, qui rend faux tous les relevés |
| Méthode | Modes opératoires, séquences, durées, dosages, organisation du travail | La production anticipée qui multiplie les refroidissements |
| Milieu | Locaux, circulation, températures ambiantes, ventilation, nuisibles, déchets | Le trajet des déchets qui traverse une zone propre |
Méthode : la manière de faire, écrite ou non
Cette famille couvre les modes opératoires, les séquences, les durées, les dosages et l'organisation du travail. C'est la famille la plus riche en causes réelles et la plus négligée dans les analyses, parce qu'elle oblige à regarder ce que l'établissement fait plutôt que ce qu'il possède.
Les causes typiques sont de trois ordres. Les procédés eux-mêmes : refroidissement conduit dans un contenant trop profond, remise en température trop lente, décongélation à température ambiante. Les dosages : produit de nettoyage appliqué au jugé, temps de contact non respecté. Et l'organisation : production anticipée de gros volumes qui multiplie les étapes de refroidissement et de remise en température, chacune étant une occasion de perdre la maîtrise.
Cette dernière cause est la plus fréquente en restauration commerciale et la plus difficile à voir, parce qu'elle est vécue comme une nécessité de service. Un établissement qui prépare tout la veille pour tenir un coup de feu a fait un choix d'organisation qui crée des dangers réels. La solution n'est pas toujours de renoncer, mais elle passe toujours par une écriture précise du procédé et par une surveillance à la hauteur.
Milieu : les locaux et ce qui s'y passe autour du produit
Cette famille couvre les locaux, la circulation des personnes et des produits, les températures ambiantes, la ventilation, l'éclairage, la gestion des déchets et la lutte contre les nuisibles. C'est la famille qui porte la marche en avant, principe simple à énoncer et difficile à appliquer dans des locaux non conçus pour la restauration.
Les causes les plus fréquentes tiennent aux trajets. Le trajet des déchets qui traverse une zone de dressage, celui des cartons de livraison qui entrent jusque dans la zone de préparation, celui du personnel qui passe des sanitaires au poste de travail sans point de lavage sur le chemin. Chacun de ces trajets crée un croisement entre le propre et le sale, et aucun ne se voit sur une photo : il faut suivre le mouvement.
Quand la séparation physique est impossible, la marche en avant dans le temps prend le relais : les opérations incompatibles ne se déroulent pas simultanément sur le même poste, avec un nettoyage et une désinfection entre les deux. Cette solution est admise, mais elle exige une rigueur d'organisation supérieure et elle doit être écrite dans le plan de maîtrise sanitaire pour être opposable. L'atelier marche en avant de la séance en salle travaille précisément sur ces configurations exiguës.
Comment les cinq M nourrissent l'analyse des dangers
La méthode d'emploi tient en une phrase : à chaque étape du diagramme de fabrication, poser les cinq questions. Qu'est-ce qui, du côté des personnes, peut introduire un danger ici. Du côté de la matière. Du côté du matériel. Du côté de la méthode. Du côté du milieu.
Cette mécanique produit une liste de causes, pas encore une analyse. L'étape suivante consiste à qualifier chaque cause en danger identifié, biologique, chimique, physique ou allergène, puis à décider comment il est maîtrisé. Trois issues seulement : la cause est traitée par une bonne pratique d'hygiène permanente, elle est traitée à une étape identifiée par une mesure mesurable, ce qui en fait un point critique, ou elle appelle une modification de l'organisation.
L'intérêt de cette discipline est de rendre l'analyse traçable. Un exploitant qui peut expliquer pourquoi une étape ne comporte pas de point critique, parce qu'une étape ultérieure rattrape le danger, démontre une maîtrise réelle. Un exploitant dont le tableau se contente d'affirmer des conclusions ne démontre rien.
- Reprendre le diagramme de fabrication étape par étape, dans l'ordre réel des opérations.
- Poser les cinq questions à chaque étape, sans en sauter une même quand la réponse paraît évidente.
- Qualifier chaque cause retenue : danger biologique, chimique, physique ou allergène.
- Décider de la maîtrise : bonne pratique permanente, point critique mesurable, ou changement d'organisation.
- Écrire la justification en une phrase, notamment quand aucune mesure n'est retenue.
L'exercice sur un plat réel, du début à la fin
Prenons une préparation courante : un plat cuisiné en sauce, produit la veille, refroidi, stocké, puis remis en température au service. Le diagramme comporte au moins sept étapes : réception, stockage, préparation des composants, cuisson, refroidissement, stockage en froid, remise en température et service.
À l'étape de refroidissement, les cinq questions donnent des réponses concrètes. Main d'oeuvre : qui conduit le refroidissement et sait-il quelle valeur atteindre. Matière : le volume et la nature de la préparation permettent-ils un refroidissement dans les délais. Matériel : dispose-t-on de l'équipement, et le thermomètre est-il fiable. Méthode : dans quel contenant, sur quelle hauteur, à quel moment la mesure est-elle prise. Milieu : où la préparation est-elle placée pendant ce temps, et que se passe-t-il autour.
Ce seul examen produit en général deux à trois causes réelles à traiter, souvent la hauteur du contenant, l'absence de mesure de la valeur atteinte et l'emplacement de la préparation pendant le refroidissement. Aucune de ces trois causes n'apparaît dans un plan acheté tout fait, parce qu'aucune n'est générique.
Coter un danger sans inventer de chiffres
L'appréciation d'un danger combine deux dimensions : la gravité de ce qui arriverait si le danger se réalisait, et la probabilité qu'il se réalise dans cet établissement. Beaucoup de plans empruntent des grilles de notation à trois ou cinq niveaux, avec des produits de scores et des seuils. Ce formalisme n'est imposé par aucun texte.
Le risque de ces grilles est réel et mérite d'être dit : elles donnent une apparence de rigueur à des chiffres choisis sans fondement. Un exploitant qui note la probabilité d'un danger à deux plutôt qu'à trois n'a rien mesuré, et le score obtenu hérite de cette approximation. Pire, la grille sert parfois à justifier a posteriori l'absence d'une mesure jugée contraignante.
Une appréciation honnête tient en trois niveaux et une phrase de justification. Ce danger est-il grave pour un consommateur, oui ou non. Est-il vraisemblable ici, compte tenu de nos produits, de nos équipements et de notre organisation, et pourquoi. La réponse écrite en une phrase vaut mieux qu'un score, parce qu'elle peut être discutée, corrigée et relue dans deux ans.
Ce que les cinq M ne font pas
Ils ne remplacent pas le diagramme de fabrication. Appliquer les cinq questions à un établissement en général, sans passer par les étapes réelles de production, produit une liste de généralités sans point d'accroche. La grille n'a de valeur que posée sur un process décrit et vérifié sur le terrain.
Ils ne décident pas des points critiques. Les cinq M produisent des causes, la détermination des points critiques relève du deuxième principe de la méthode HACCP et suppose de se demander, pour chaque étape, si une étape ultérieure rattrape le danger. Confondre les deux conduit à l'inflation de points critiques, donc à une surveillance impossible à tenir.
Ils ne dispensent d'aucune obligation. Le plan de maîtrise sanitaire reste à écrire, la traçabilité à organiser, l'information sur les allergènes à mettre en place, les enregistrements à tenir. La grille est un outil de réflexion, elle ne produit aucun document par elle-même.
Les cinq M comme trame d'auto-inspection
Le même outil sert à un second usage, très rentable : parcourir périodiquement son établissement en se posant les cinq questions, non plus par étape de production mais par zone. Cette auto-inspection ne demande ni prestataire ni logiciel, et elle prend une heure quand elle est faite régulièrement.
Le parcours suit le produit : réception, réserves, chambres froides, postes de préparation froide et chaude, plonge, zone de dressage, sortie des déchets, vestiaires et sanitaires. À chaque zone, les cinq questions. Ce qui est constaté s'écrit, avec une action et une échéance, et cet écrit est précisément ce que la vérification du sixième principe attend.
L'auto-inspection a un effet secondaire utile : elle habitue l'équipe à regarder les locaux avec l'oeil d'un tiers. Un exploitant qui l'a pratiquée quelques fois n'est pas surpris par les questions d'un agent, parce qu'il se les est déjà posées. Le contrôle blanc de la séance en salle est un exercice de la même famille, conduit sur les documents plutôt que sur les locaux.
Les cinq M après un incident
Le troisième usage est l'analyse après incident : un client se plaint, une valeur de température est hors limite, une préparation est écartée, un fournisseur signale un lot. La tentation immédiate est de désigner un responsable, ce qui produit une tension et aucune correction durable.
La grille impose une discipline différente : passer les cinq familles avant de conclure. Une remise en température insuffisante peut tenir à la personne qui l'a conduite, à la nature de la préparation, à un four défaillant, à un mode opératoire mal écrit ou à une organisation qui superpose trois productions au même moment. Dans la majorité des cas, plusieurs familles contribuent, et traiter la seule main d'oeuvre laisse la cause en place.
L'analyse se termine par un écrit court : ce qui s'est passé, ce qui a été décidé pour le produit, ce qui a été modifié pour éviter la répétition, et qui a décidé. Cet écrit alimente le volet des non-conformités du plan de maîtrise sanitaire et constitue, en contrôle, l'une des preuves les plus convaincantes qu'un établissement maîtrise réellement ses risques.
Cas concrets
Le refroidissement qui échoue une fois sur trois
Un établissement constate que ses préparations en sauce n'atteignent pas la valeur attendue lors du refroidissement, sans comprendre pourquoi cela réussit certains jours.
La grille désigne rapidement les suspects. Matière : le volume préparé varie selon les jours, et un bac plein ne se comporte pas comme un bac à moitié rempli. Matériel : la hauteur et la nature du contenant changent tout, un bac profond en plastique épais ralentit l'échange thermique. Méthode : la préparation est-elle divisée avant refroidissement, à quel moment la mesure est-elle prise. Milieu : où le bac est-il placé, et combien d'autres productions occupent le même espace au même moment. Dans ce type de situation, la cause est presque toujours une combinaison de volume, de contenant et d'organisation, et la correction passe par la division des volumes plutôt que par un rappel à la vigilance.
L'allergène apparu sans changement de carte
Un client signale une réaction après avoir consommé un plat qui, selon la fiche technique de l'établissement, ne contenait pas l'allergène en cause.
Deux familles sont à explorer en priorité. Matière : un produit acheté a-t-il changé de composition ou de fournisseur, ce qui introduit un allergène sans que la recette de l'établissement ait bougé. La vérification passe par les étiquettes des produits en stock et par les bons de livraison. Méthode : une contamination croisée a-t-elle pu se produire, planche ou ustensile partagé, huile de friture commune, poste non nettoyé entre deux préparations. Ces deux pistes couvrent la grande majorité des cas. La conclusion se traduit dans les fiches techniques et dans l'information du consommateur, organisée par le règlement (UE) n° 1169/2011 et le décret n° 2015-447 du 17 avril 2015.
L'auto-inspection qui ne trouve jamais rien
Un exploitant remplit chaque mois une grille d'auto-inspection dont toutes les cases sont cochées conformes depuis un an.
Une auto-inspection qui ne relève jamais rien n'inspecte pas. Deux corrections s'imposent. La première est de changer le parcours : suivre le produit dans l'ordre réel plutôt que la grille dans l'ordre du papier, ce qui fait apparaître les trajets et les croisements que la grille ne demande pas. La seconde est de faire réaliser l'exercice par une autre personne, un associé, un responsable de salle, quelqu'un qui ne dessine pas les lieux de mémoire. Un écart relevé et corrigé est une preuve de maîtrise ; une grille uniformément conforme est, en contrôle, un signal plutôt qu'une garantie.
Le nouveau four et le plan resté identique
Un établissement remplace son four par un modèle différent et conserve son plan de maîtrise sanitaire sans modification.
Le changement touche au moins deux familles. Matériel : les performances, les temps de montée et le comportement thermique diffèrent, et les valeurs habituelles peuvent ne plus être atteintes dans les mêmes conditions. Méthode : les modes opératoires écrits font référence à des réglages qui n'existent peut-être plus. La reprise est ciblée et rapide : vérifier les étapes de cuisson et de remise en température, mesurer réellement ce que le nouvel appareil produit, ajuster les modes opératoires et former les personnes qui l'utilisent. Une procédure maintenue au sens de l'article 5 du règlement (CE) n° 852/2004 est une procédure qui suit les changements de l'établissement.