Qué se hace con un producto potencialmente inseguro

El registro del pasteurizador mostraba veinte minutos por debajo de la temperatura del límite crítico. El lote ya estaba envasado y el cliente lo esperaba el jueves. En la junta, el argumento fue que "seguro sí alcanzó letalidad, siempre trabajamos con margen", y el lote salió. Nadie pudo mostrar después con qué datos se tomó la decisión, porque no hubo datos: hubo prisa. La ISO 22000 tiene un requisito diseñado para ese momento exacto, y lo que exige es lo contrario de decidir por intuición.

Qué es un producto potencialmente inseguro

Es el producto fabricado mientras una medida de control falló o estuvo fuera de sus condiciones: un PCC que se salió del límite crítico o un prerrequisito operativo que no se cumplió. La palabra clave es potencialmente: la norma no asume que el producto es inseguro, asume que ya no se puede afirmar que es seguro, y eso basta para cambiarle el estatus. Desde ese momento el lote queda retenido bajo control de la organización, identificado y segregado, hasta que una evaluación con evidencia decida su destino. Retener no es castigar el producto: es congelar la decisión mientras se consiguen los datos.

Conviene distinguir este requisito de su gemelo de proceso. Cuando un PCC se desvía, hay dos frentes: corregir el proceso para que vuelva a control —correcciones y acciones correctivas— y decidir qué pasa con el producto fabricado durante la desviación. Este requisito es el segundo frente, y es el que más se improvisa.

Las tres puertas de salida para liberar un lote

La norma solo permite liberar un lote retenido como seguro cuando aplica alguna de estas condiciones:

• —Otra evidencia distinta del monitoreo que falló demuestra que las medidas de control fueron eficaces: un registrador independiente de temperatura, la validación del proceso con margen documentado.
• —La evidencia muestra que el efecto combinado de las medidas de control para ese producto cumple el desempeño previsto: un paso posterior que también reduce el peligro.
• —Los resultados de muestreo, análisis u otras actividades de verificación demuestran que el lote afectado cumple los niveles aceptables del peligro en cuestión.

Las tres puertas comparten una condición: son evidencia, no opinión. "Siempre trabajamos con margen" no es la puerta uno; la validación documentada que demuestra ese margen, sí. Y si el muestreo es la vía, el plan de muestreo tiene que ser estadísticamente defendible para el peligro evaluado, porque analizar tres frascos de un lote de veinte mil no demuestra nada sobre los otros diecinueve mil novecientos noventa y siete.

Cuando ninguna puerta abre: disposición

Si la evaluación no puede demostrar que el lote es seguro, quedan tres destinos y ninguno es el cliente: reprocesar o procesar adicionalmente dentro o fuera de la organización, con un tratamiento que asegure que el peligro se elimina o se reduce a nivel aceptable; desviar a otro uso donde el peligro no comprometa la inocuidad —subproducto, alimento para otra especie cuando es legal y seguro—; o destruir y disponer como desecho. La decisión, con su justificación y su evidencia, se conserva como información documentada, incluyendo quién tenía la autoridad para tomarla. Y si el lote ya salió del control de la organización cuando se determina inseguro, el requisito escala solo: notificar a las partes pertinentes e iniciar el retiro.

La disciplina de retener y liberar con datos pesa doble cuando el producto cruza una frontera. Para las plantas que exportan a Estados Unidos, un lote liberado por intuición no se juega solo una reclamación: se juega una detención del FDA en la línea, con el historial de la empresa marcado en el sistema de alertas de importación. Por eso, en los proyectos de Consultoría ISO 22000 en Tijuana, el procedimiento de retención y liberación se construye pensando en que la evidencia le sirva a la planta dos veces: para el auditor del esquema y para el comprador o la autoridad del otro lado del cruce.

La evidencia que sostiene el requisito

• —Identificación y segregación física o de sistema del producto retenido: nadie puede embarcarlo por error.
• —El registro de la evaluación: qué evidencia se usó, contra qué criterio, y por cuál de las tres condiciones se liberó.
• —La autorización de liberación o disposición firmada por quien tiene la autoridad definida.
• —La trazabilidad del lote afectado, hacia atrás y hacia adelante, por si la decisión escala a retiro.

En resumen

Un producto fabricado durante una falla de control no es automáticamente producto perdido, pero tampoco es liberable por costumbre: queda retenido hasta que evidencia objetiva demuestre que es seguro, y si no la hay, se reprocesa, se desvía o se destruye. El requisito convierte el momento de más presión comercial de la planta en una decisión con reglas escritas, y esa es su función: que el criterio no dependa de qué tan cerca está el embarque del jueves.