概念地圖・HACCP 危害分析重要管制點
作者 山姆（謝冠生）・喵喵書評創辦人
發布 最後更新
分類：管理
這一頁不只是把一個概念解釋一遍——一張自己畫的結構圖，加上拿台灣情境從頭走一次的實例演練、這個框架什麼時候會騙你，以及它接回 P.A.I.N. 之後長什麼樣。一頁必須交付的三層 →
HACCP：哪一關失守，後面補不回來
食物有沒有毒，看外表看不出來。這件事逼出了 HACCP（Hazard Analysis and Critical Control Points，危害分析重要管制點）。一九六〇年代，美國太空總署要送食物上太空，抽驗成品這招不管用——抽到的那盒沒事，不代表沒抽到的那幾百盒沒事，而太空人在軌道上食物中毒是不能承受的後果。於是 Pillsbury 的團隊換了個做法：不驗成品，改成在製程上指認出「這一關沒守住，後面就再也補不回來」的那幾個點，然後把它們死死盯住。這套方法後來擴散到全球食品業，台灣的水產、肉品、餐盒食品工廠等業別，也已由衛福部公告強制實施。
七大原則，各自回答一個問題
HACCP 的七大原則常被寫成七個名詞，背起來很順，用起來很空。把它們還原成七個問句，就知道每一條在現場要交出什麼東西。
| 原則 | 它在問 | 該交出的東西 | 做壞的樣子 |
|---|---|---|---|
| 危害分析 | 這條線上會出什麼事 | 生物、化學、物理三類逐步驟列 | 只想到細菌，漏掉異物與過敏原 |
| 決定管制點 | 哪幾關沒守住就補不回來 | 兩到三個 CCP，指名到步驟 | 列了十幾個，每個都沒人量 |
| 訂關鍵限值 | 守住的標準是幾度、幾分鐘 | 量得出來的數字，別用形容詞 | 寫成「加熱至熟透」 |
| 建立監測 | 誰、多久、用什麼量一次 | 頻率與工具寫死在表上 | 只在稽核前補量 |
| 矯正措施 | 數字不合格時，當下怎麼辦 | 那一批貨的去向要寫明 | 現場臨時決定，事後沒紀錄 |
| 驗證 | 這套真的有在運作嗎 | 抽檢、校正、定期複審 | 把驗證跟監測混為一談 |
| 紀錄 | 出事時能不能追回那一批 | 當下就填、能追溯到批號 | 一週後憑印象補寫 |
七條裡面，第二條決定了整套計畫的重量。CCP 不是「重要的步驟」，是「最後一道還來得及的步驟」——這個定義的門檻，比多數人想的高很多。
一個步驟該不該列為管制點，這樣判
國際上的判定有一套決策樹，白話版就是下面四個自問，依序問下來。
一、這個步驟的危害，後面還有沒有步驟能消除它。生菜沙拉的清洗如果洗不乾淨，後面沒有加熱步驟了，那清洗就是關鍵；同一批菜如果之後要下鍋煮，清洗就退回一般管理。答案完全取決於這條線後面長什麼樣。自問：這一步做壞了，後面哪一步救得回來？
二、失守的後果，是不舒服還是送醫。包裝歪掉、標籤貼斜是品質問題，不會有人進急診。HACCP 只管吃了會不會生病；好不好吃、漂不漂亮歸品質那條線。把品質項目塞進 CCP，會把真正該盯的那兩關稀釋掉。自問：這件事出錯，客訴的是難吃，還是生病？
三、有沒有一個現場量得出來的數字。「充分攪拌」不能當關鍵限值，「中心溫度 75℃、維持 15 秒」可以。沒有數字就沒有合格與不合格的分界，監測就會退化成「看起來還好」。自問：這一關的合格線，能不能用一支溫度計當場判？
四、超標的那一刻，現場的人知道要做什麼嗎。矯正措施是 CCP 的另一半。一個沒寫清楚超標處置的管制點，在最忙的那個中午只會有一種結果：先出貨再說。自問：如果今天量到 68℃，下一個動作是誰做、做什麼？
一家做企業訂餐的中央廚房，把管制點從十四個砍到兩個
每天出兩千個便當，主要客戶是科學園區的三家公司。導入 HACCP 是因為客戶要求，第一版計畫書由顧問代寫，厚達六十頁。
- 第一版：列出十四個 CCP，從進貨驗溫一路到餐盒封膜。表格印出來貼滿一面牆
- 實際狀況：中午出餐尖峰，十四張表沒有人填得完。下午一起補寫
- 重做危害分析：逐步驟問「後面還救不救得回來」。回到定義
- 留下 CCP 1：加熱烹調的中心溫度。後面沒有殺菌步驟了
- 留下 CCP 2：熱食冷卻的降溫時間。回溫的菌，加熱也殺不掉毒素
- 其餘十二個：轉為一般衛生管理，維持既有的清潔與記錄。沒有消失，是換一層
砍到剩兩個之後，發生了一件他們沒預期的事：紀錄的可信度變高了。以前十四張表都是下午補寫的，數字漂亮得像作文；改成兩張表之後，廚師願意在當下插溫度計、當下寫，因為那真的只花十秒鐘。
更關鍵的是第二個管制點。他們原本從沒認真管過冷卻——熱騰騰的滷肉裝進不鏽鋼桶，直接推進冷藏庫，桶子中心可能要六個小時才降到安全溫度。這段時間正好落在細菌繁殖最快的區間，而且有些菌產生的毒素，隔天回鍋加熱也分解不掉。這是整條線上最危險的一段，卻因為「看起來已經進冰箱了」而沒人在意。他們的修正很土法：把大桶改成淺盤分裝，加一台冰水槽，並在分裝前量一次溫度記錄下來。
半年後客戶稽核，稽核員問的第一句話是「你們的 CCP 有幾個」。他們回答兩個，並解釋為什麼另外十二個被降級。稽核員給的評語是：這是他當季看過最少的一份，也是唯一一份現場數字跟表上對得起來的。以上為說明結構用的示意情境，僅供理解框架之用。
三個地方，會讓這套變成一疊沒有用的紙
HACCP 的形式化程度很高，而形式化的東西最容易只剩下形式。
- 地基沒打好，樓蓋得再高都是虛的。HACCP 是蓋在良好衛生規範（GHP／前提方案）之上的：人員洗手、器具清洗、病媒防治、供應商管理，這些是地基。地基鬆動的時候談 CCP 沒有意義——一把沒洗乾淨的刀，可以在烹調之後把所有努力重新汙染一次。實務上很多失敗案例的根因往上追，最後都停在基本清潔從來沒落實這一句。
- 管制點越列越多，等於一個都沒有。這是最常見的退化路徑，而且看起來很認真。列十四個 CCP 的計畫書，通常出自「不敢漏掉任何東西」的心態，但現場的手只有兩隻。真正的紀律是敢降級：把後面救得回來的步驟明確地歸到一般管理，讓有限的注意力集中在那兩三關上。清單越長，稽核時越好看，出事的機率越高。
- 它管安全，不管品質，也不管詐欺。HACCP 的設計目標是「吃了不會生病」，不負責「吃起來好吃」，更抓不到蓄意的食品攙偽——後者是另一套（食品防護與真實性）在處理的問題。台灣幾次重大食安事件的性質屬於刻意添加，製程本身並沒有失控，這種情況下就算 HACCP 表格填得完美無缺也擋不住。把它當成食安的全部保險，是誤用。
值錢的是那句「後面沒機會了」的判斷
HACCP 真正稀有的東西，是那句「這一關過了，後面就沒機會了」的判斷；表格只是它的副產品。判斷做得準，兩張表就夠用；判斷做不出來，十四張表只是把焦慮平均攤在每一個步驟上，看起來很努力，實際上哪一關都沒守住。
這件事在做生意上長成一模一樣的形狀。你的交付流程裡，也有那麼一兩關是「過了就補不回來」的：報價單送出去之後改價，信任就折損了；第一次交付出包，客戶心裡的檔案就永久多了一筆；創業的錢燒到剩三個月才開始找客戶，後面做什麼都來不及。這幾關和「回信慢了兩小時」差了好幾個量級，多數人的注意力卻平均攤在每一件事上。
P.A.I.N. 之尺上，這對應的是「痛得夠不夠深」那一格的鏡像面：你的流程裡，哪一個環節出錯會讓客戶痛到不回頭。今晚可以做的一件小事：把你從接到客戶到收到錢的流程寫成一列方框，然後在每一格旁邊寫一句「這裡做壞了，後面誰救得回來」。救得回來的畫一般線，救不回來的畫金色框。你大概會發現，金色的那一格，正是你最近半年最少花時間的地方。
關於 HACCP，常被問到的幾件事
HACCP 七大原則是什麼？順序可以顛倒嗎？
依序是危害分析、決定重要管制點、訂定關鍵限值、建立監測方法、訂定矯正措施、建立驗證程序、建立紀錄系統。順序不能顛倒，因為每一條都吃前一條的產出：沒做危害分析就決定管制點，等於憑印象挑；沒有關鍵限值就談監測，量了也不知道合不合格。實務上還有一組常被忽略的前置步驟——成立小組、描述產品、確認用途、繪製並現場核對流程圖——沒有那張跟現場對得上的流程圖，第一條原則就無從做起。
CCP 跟一般管制點差在哪？
差在「後面還救不救得回來」。一般管制點做壞了，後續步驟還有機會消除或降低危害，所以它歸良好衛生規範管；CCP 做壞了，這批貨的安全就定案了，只剩報廢或回收兩條路。判定看的是製程位置，跟重要程度沒有關係——同一個清洗動作，擺在有加熱步驟的線上只算一般管理，擺到生食線上就升格成 CCP。這也是為什麼別家的 HACCP 計畫書不能照抄：你的流程圖跟他不一樣。
台灣哪些業者強制實施 HACCP？沒做會怎樣？
依食品安全衛生管理法，中央主管機關（衛福部）會公告特定類別、規模的食品業者應符合 HACCP 準則，水產加工、肉類加工、餐盒食品工廠、乳品加工等都在歷年公告的範圍內，實際適用類別與生效日期以衛福部最新公告為準。未依規定實施的可處罰鍰並限期改善。不過真正推著業者動起來的多半來自通路——大型連鎖、學校團膳、企業訂餐的採購合約多半直接把驗證列為投標門檻。
HACCP 跟 ISO 22000 有什麼不同？
HACCP 是一套針對製程危害的技術方法，核心是那七大原則；ISO 22000 是一套食品安全管理系統的標準，把 HACCP 整個包進去，再加上管理階層承諾、溝通、內部稽核、持續改善那一層管理骨架。粗略地說，HACCP 回答「這條線的危害怎麼管」，ISO 22000 回答「整個組織怎麼確保那套管法會持續運作」。很多工廠的路徑是先把 HACCP 做扎實，通路要求升級時再往管理系統的驗證走。
只有五個人的小餐廳或食品工作室，做得起來嗎？
做得起來，但要先放棄「做出一本計畫書」的想法。小規模的可行版本是：把你的製程畫成一張五到八格的流程圖，用上面那四個自問挑出一到兩個關卡，替它們各訂一個能用溫度計或計時器判斷的數字，做一張只有兩欄的紀錄表貼在現場。整件事一個下午做得完。真正的門檻在現場那隻手：最忙的那個中午，有沒有人願意伸手量那一次——那十秒鐘，才是這套方法的全部。
想知道防線為什麼會一層一層被穿透，可以接著看瑞士起司模型；想把「不能出錯」直接設計成「錯不了」，防呆設計是同一條路上的另一種解法。至於為什麼一張簡單清單能救回無數條人命，這篇拆書講得很清楚。
喜歡這篇文章嗎？
每週幫你拆二本好書，把判斷力、好書金句、好問題，直送你的信箱。
不適合你可隨時退訂 · 每週兩封，陪你把書讀進生活。
送出即表示同意我們依隱私權政策使用你的 email。