La méthode HACCP expliquée sans jargon : les 7 principes appliqués à une cuisine

L'article 5 du règlement (CE) n° 852/2004 impose aux exploitants du secteur alimentaire de mettre en place, d'appliquer et de maintenir une ou plusieurs procédures permanentes fondées sur les principes HACCP. Le texte énumère ensuite ces principes. Il ne dit pas quel document produire, ni sous quelle forme, ni avec quel logiciel.

Ce même article prévoit une souplesse importante et souvent ignorée : les procédures doivent être adaptées à la nature et à la taille de l'établissement, et le recours aux guides de bonnes pratiques d'hygiène élaborés par les professionnels est encouragé. Autrement dit, une cuisine de vingt couverts n'est pas tenue au même appareillage documentaire qu'une unité industrielle, et partir du guide de son secteur est la démarche recommandée plutôt qu'un raccourci.

Il faut donc corriger deux idées reçues symétriques. La première consiste à croire qu'il suffit d'acheter un classeur : le texte impose une procédure appliquée et maintenue, pas un document rangé. La seconde consiste à croire qu'un petit établissement est dispensé : il ne l'est pas, il est simplement autorisé à une mise en oeuvre proportionnée à son activité.

La méthode est née dans les années soixante, aux États-Unis, d'un travail conjoint entre un industriel de l'alimentaire et les programmes spatiaux, pour un problème très concret : garantir qu'un aliment embarqué ne rendrait pas malade un équipage qu'on ne pouvait pas soigner. Le contrôle du produit fini par échantillonnage ne suffisait pas, parce qu'il faut détruire une partie de la production pour la tester et qu'un lot déclaré conforme peut cacher un défaut.

D'où le renversement qui fait toute la méthode : plutôt que de contrôler le produit à la fin, on maîtrise le procédé pendant. Cette origine explique la logique de l'ensemble et notamment le principe des limites critiques, qui sont des valeurs à tenir en cours de production et non des résultats à constater après coup.

La méthode a ensuite été codifiée au niveau international par le Codex Alimentarius, sous la forme des sept principes et des douze étapes que reprennent aujourd'hui les textes européens. Cette filiation a un intérêt pratique : les guides de bonnes pratiques d'hygiène professionnels français suivent la même structure, ce qui rend leur lecture immédiate pour qui a compris les principes.

Les sept principes ne se mettent pas en oeuvre à froid. Cinq étapes préalables les préparent, et c'est en les sautant que la plupart des plans de maîtrise sanitaire deviennent inutilisables. La première consiste à constituer une équipe, ce qui, dans un établissement de cinq personnes, signifie simplement décider qui s'en occupe et avec qui.

La deuxième consiste à décrire le produit : ce que l'on sert, comment c'est conservé, combien de temps, à qui c'est destiné. La troisième identifie l'utilisation attendue, question qui prend tout son sens lorsque la clientèle comprend des publics sensibles. La quatrième construit le diagramme de fabrication, c'est-à-dire la suite des étapes réelles, de la réception au service. La cinquième vérifie ce diagramme sur le terrain, en le confrontant à ce qui se passe vraiment plutôt qu'à ce qu'on croit.

Cette cinquième étape est celle qui produit le plus de surprises en formation. Un exploitant dessine son process, puis observe une journée de production, et découvre trois écarts entre son schéma et la réalité : un produit qui repasse par une zone qu'il n'aurait pas dû retraverser, une étape de refroidissement qui n'existe pas dans les faits, un stockage intermédiaire oublié. Une analyse de dangers construite sur un diagramme faux se trompe partout.

Il s'agit d'énumérer, étape par étape du diagramme, ce qui peut rendre l'aliment dangereux, puis d'apprécier chaque danger et de décider comment le maîtriser. Quatre familles structurent la recherche : les dangers biologiques, avec les bactéries, virus et parasites ; les dangers chimiques, avec les résidus de produits d'entretien, les matériaux au contact et les biocides ; les dangers physiques, avec le verre, le métal, le plastique, les bijoux ; et les allergènes, dont la liste figure à l'annexe II du règlement (UE) n° 1169/2011.

L'appréciation combine deux dimensions : la gravité de ce qui arriverait, et la probabilité que cela arrive dans cet établissement. Il n'est pas nécessaire, et il est même déconseillé, d'inventer une notation chiffrée sophistiquée. Trois niveaux suffisent le plus souvent, à condition d'être appliqués honnêtement et d'être justifiés en une phrase.

L'erreur la plus courante consiste à recopier une liste générique de dangers. Une analyse crédible est courte, précise et propre à l'établissement : elle nomme des produits réels, des équipements réels et des étapes réelles. Le dossier consacré aux cinq M détaille une méthode simple pour ne rien oublier lors de cette recherche.

Un point critique pour la maîtrise est une étape où l'on peut appliquer une maîtrise, et où cette maîtrise est indispensable pour prévenir ou ramener un danger à un niveau acceptable. Les deux conditions comptent : indispensable, et effectivement maîtrisable à cette étape.

La question à se poser est la suivante : si je rate cette étape, est-ce qu'une étape ultérieure rattrapera le danger. Si oui, ce n'est pas un point critique. Si non, c'en est un. Une cuisson est un point critique typique, parce que rien après elle ne détruira ce qu'elle n'a pas détruit. Le lavage des mains est fondamental mais relève des bonnes pratiques d'hygiène, parce qu'il ne se surveille pas par une mesure à une étape identifiée.

L'erreur classique est l'inflation : un établissement qui déclare quinze points critiques n'en surveille aucun sérieusement. Un plan réaliste en compte peu, souvent deux à quatre en restauration commerciale, autour de la cuisson, du refroidissement, du maintien en température et parfois de la réception. Tout le reste est traité par les bonnes pratiques d'hygiène, ce qui n'est pas une rétrogradation mais un rangement correct.

Une limite critique est la valeur qui sépare l'acceptable de l'inacceptable à un point critique. Elle doit être mesurable et observable immédiatement, parce qu'elle sert à décider pendant la production et non après analyse en laboratoire. Une température, une durée, un couple température et durée : voilà de quoi sont faites les limites critiques en cuisine.

Ces valeurs ne s'inventent pas. Elles se prennent dans la réglementation applicable, notamment l'arrêté du 21 décembre 2009 pour les températures de conservation, de service, de refroidissement et de remise en température, ou dans le guide de bonnes pratiques d'hygiène du secteur, qui les décline pour des situations concrètes. Un exploitant qui fixe une valeur de son cru sans source doit pouvoir la justifier, ce qui est plus difficile que de reprendre la valeur du guide.

L'erreur la plus fréquente consiste à écrire une intention à la place d'une valeur. Refroidir rapidement n'est pas une limite critique. Descendre de telle température à telle température en moins de tel délai en est une, parce qu'elle se mesure et qu'un écart se constate sans discussion. Le test simple : une limite critique qu'aucun instrument ne peut vérifier n'est pas une limite critique.

Surveiller, c'est répondre à quatre questions écrites : quoi, comment, quand, qui. Quoi désigne la valeur mesurée. Comment désigne l'instrument et le mode opératoire, thermomètre sonde inséré à coeur, sonde désinfectée entre deux mesures. Quand désigne la fréquence, à chaque production, à chaque service, deux fois par jour. Qui désigne une fonction identifiée, pas un prénom qui aura quitté l'établissement dans six mois.

La fréquence est le paramètre que les exploitants calibrent le plus mal, dans les deux sens. Trop rare, la surveillance laisse passer des lots entiers entre deux mesures. Trop fréquente, elle n'est pas tenue, et une fiche de relevé remplie a posteriori de mémoire vaut moins que rien : elle est fausse, et un agent qui repère une série de valeurs trop régulières le remarque.

La surveillance produit un enregistrement, et cet enregistrement est la preuve de la maîtrise. C'est aussi la raison pour laquelle la fiche de relevé doit être conçue pour être remplie en quelques secondes, au poste, plutôt que dans un bureau. Une fiche mal placée est une fiche non remplie, et le problème n'est pas la rigueur du personnel mais la conception du document.

Une action corrective répond à la question qui met le plus mal à l'aise : que fait-on quand la limite critique n'est pas tenue. Elle doit être écrite avant que la situation arrive, parce qu'une décision prise dans l'urgence, un vendredi soir, en pleine production, penche presque toujours du côté qui arrange.

Une action corrective complète comporte trois volets. Le premier porte sur le produit : que devient-il, on prolonge, on refroidit à nouveau, on écarte. Le deuxième porte sur la cause : pourquoi la limite n'a pas été tenue, un four déréglé, une pièce trop épaisse, une organisation qui empile les productions. Le troisième porte sur la trace : qui a décidé, quand, et sur quel motif.

C'est ce troisième volet qui distingue un établissement maîtrisé d'un établissement chanceux. Un exploitant qui écarte un produit sans rien écrire ne peut pas démontrer sa décision. Un exploitant qui consigne en trois lignes, avec la date, le produit, la valeur relevée et la décision, démontre exactement ce que le règlement attend : une maîtrise, pas une absence d'incident.

La vérification est le principe le plus négligé, parce qu'il ne produit rien de visible au quotidien. Il consiste à s'assurer, périodiquement, que le système fonctionne : que les instruments mesurent juste, que les fiches sont réellement remplies, que les limites choisies protègent bien, que les actions correctives ont été appliquées.

Trois vérifications suffisent dans un établissement de restauration commerciale. Le contrôle de l'étalonnage des thermomètres, sans lequel tous les relevés sont potentiellement faux. La relecture périodique des enregistrements, qui révèle les fiches abandonnées et les séries de valeurs trop parfaites. Et, selon les activités, des analyses microbiologiques ponctuelles, qui ne sont pas une obligation générale mais un outil de confirmation.

Il faut distinguer la vérification de la validation, deux mots que les documents mélangent. Valider, c'est démontrer au départ que la mesure choisie est efficace, par exemple qu'un couple température et durée détruit bien ce qu'il doit détruire. Vérifier, c'est contrôler ensuite que le dispositif tourne comme prévu. La validation s'appuie le plus souvent sur le guide de bonnes pratiques d'hygiène du secteur, ce qui évite d'avoir à la refaire soi-même.

Le septième principe impose de constituer un dossier et de tenir des enregistrements, adaptés à la nature et à la taille de l'établissement. Deux natures de documents cohabitent, et les confondre produit des classeurs illisibles. Les procédures décrivent ce que l'on fait : elles sont écrites une fois et mises à jour quand quelque chose change. Les enregistrements prouvent qu'on l'a fait : ils se remplissent au fil de l'eau et s'accumulent.

Un dossier proportionné, dans une cuisine de restauration commerciale, tient dans un classeur. Il contient le diagramme de fabrication, l'analyse des dangers, la liste des points critiques avec leurs limites, les modes opératoires de surveillance, les actions correctives prévues, les modalités de vérification, et derrière chaque onglet, les enregistrements correspondants.

La durée de conservation se raisonne à partir de la durée de vie des produits et de la nécessité de pouvoir remonter en cas d'incident. Un exploitant qui hésite trouve la réponse dans le guide de bonnes pratiques d'hygiène de son secteur, qui propose des durées adaptées aux différents types d'enregistrements. Le principe à retenir est qu'un enregistrement détruit trop tôt fait disparaître la preuve d'une maîtrise réelle.

La méthode ne fonctionne que posée sur un socle. Ce socle, ce sont les bonnes pratiques d'hygiène : hygiène du personnel, tenue, lavage des mains, plan de nettoyage et de désinfection, lutte contre les nuisibles, maintenance des équipements, marche en avant, qualité de l'eau. Elles découlent de l'annexe II du règlement (CE) n° 852/2004 et s'appliquent en permanence, partout, sans être rattachées à une étape.

Le partage est simple à opérer en pratique. Si la maîtrise s'exerce à une étape identifiée, se mesure et conditionne la sécurité du produit, elle relève d'un point critique. Si elle s'exerce en permanence et conditionne l'ensemble, elle relève des bonnes pratiques. Ce partage explique pourquoi un plan sérieux compte peu de points critiques : les bonnes pratiques en absorbent l'essentiel.

L'intérêt de ce rangement n'est pas théorique. Un plan qui traite tout comme critique impose une surveillance impossible à tenir, donc non tenue, donc un document faux. Un plan qui range correctement concentre l'effort sur trois ou quatre mesures réellement faites, ce qui est infiniment plus protecteur.

La première est le plan acheté tel quel. Elle se voit immédiatement, parce que le document décrit des équipements absents, des postes inexistants ou des produits jamais utilisés. La deuxième est l'inflation de points critiques, qui se voit à des fiches de relevé vides ou remplies par blocs identiques.

La troisième est la limite critique non mesurable, qui se voit à la lecture : refroidir rapidement, cuire suffisamment, nettoyer régulièrement. La quatrième est l'absence d'action corrective écrite, qui se voit à une question simple posée par un agent : que faites-vous si la température n'est pas atteinte. Un exploitant qui hésite répond pour son plan.

La cinquième est le plan figé. Un document daté d'il y a quatre ans, jamais modifié malgré un changement de carte, un nouveau four et un nouveau fournisseur, n'est plus une procédure maintenue au sens de l'article 5 du règlement (CE) n° 852/2004. La mise à jour ne demande pas de tout réécrire : elle demande de reprendre les étapes touchées par le changement, ce qui se fait en une heure quand le document a été construit correctement.

L'examen commence rarement par le classeur. Il commence par les locaux et par ce qui s'y passe, puis le document est confronté à ce qui a été observé. C'est pourquoi un plan magnifique dans un établissement en désordre est une circonstance aggravante plutôt qu'une protection : il démontre que l'exploitant savait.

Les enregistrements pèsent plus lourd que les procédures. Des fiches de relevé remplies au fil de l'eau, avec des valeurs qui varient comme varie la réalité, valent mieux qu'un mode opératoire parfait sans preuve d'application. Les décisions consignées après une non-conformité valent encore davantage, parce qu'elles prouvent que le dispositif a fonctionné en situation réelle.

La question la plus révélatrice tient en une phrase : montrez-moi ce que vous avez fait la dernière fois qu'une valeur n'était pas bonne. Un exploitant capable de sortir cet écrit, avec la date, le produit, la valeur et la décision, a compris la méthode. C'est exactement ce que les quatre heures en salle de la formation font travailler pendant l'atelier température et le contrôle blanc.