HACCP a été développée entre 1959 et 1971 par trois acteurs en collaboration : la firme alimentaire Pillsbury, la NASA et le laboratoire de recherche militaire de Natick (Massachusetts). L'objectif : produire des aliments « zéro défaut » pour les astronautes des missions Apollo, sachant qu'une simple intoxication alimentaire à bord aurait pu compromettre une mission lunaire.

La logique de rupture consistait à abandonner l'inspection finale (qui suppose de détruire les échantillons) au profit d'une maîtrise préventive à chaque étape du procédé. Au lieu de tester 100 % des produits finis, on identifie en amont les points critiques (cuisson, refroidissement, conditionnement) et on les maîtrise par des paramètres mesurables (température, durée, pH, aw).

« La sécurité ne peut pas être ajoutée au produit en fin de chaîne. Elle doit être conçue dès la formulation et maîtrisée à chaque transformation. »

— Howard Bauman, ingénieur Pillsbury, pionnier de HACCP, 1971

La méthode a été présentée publiquement par Pillsbury en 1971 à la National Conference on Food Protection aux États-Unis. Elle a ensuite été progressivement adoptée par les industriels américains volontaires, puis codifiée internationalement par la Commission du Codex Alimentarius de la FAO/OMS dans son texte CAC/RCP 1-1969 Rev. 4 (2003), traduit dans la quasi-totalité des cadres réglementaires nationaux.

En Europe, HACCP est rendue obligatoire pour tous les exploitants (article 5 du règlement CE 852/2004) à partir du 1ᵉʳ janvier 2006. Aux États-Unis, la FDA et l'USDA ont rendu HACCP obligatoire secteur par secteur : produits de la mer (1995), viandes/volailles (1996), jus de fruits (2001), puis tous les exploitants via le Food Safety Modernization Act (FSMA) de 2011.

Les 7 principes constituent la colonne vertébrale du système. Sans le principe 7 (documentation), aucune des autres mesures n'est démontrable lors d'un contrôle DGCCRF / DGAL — d'où la nécessité d'une traçabilité écrite rigoureuse.

Les 7 principes ne s'appliquent pas directement ; il faut d'abord les 5 étapes préparatoires. Le Codex Alimentarius décrit ainsi une démarche en 12 étapes :

1. Constituer l'équipe HACCP — pluridisciplinaire (qualité, production, maintenance, achats, RH), entre 4 et 8 personnes pour un site agroalimentaire moyen.
2. Décrire le produit — composition, méthode de fabrication, conditionnement, conditions de conservation, durée de vie, mode de consommation prévu.
3. Identifier l'utilisation attendue — populations cibles (notamment vulnérables : enfants, femmes enceintes, immunodéprimés), conditions d'usage.
4. Construire le diagramme de flux — schéma de toutes les étapes du procédé, de la réception des matières premières à la consommation finale.
5. Vérifier le diagramme sur site — confronter le schéma à la réalité opérationnelle, corriger.
6. Principe 1 — Analyser les dangers pour chaque étape.
7. Principe 2 — Identifier les CCP par l'arbre de décision.
8. Principe 3 — Fixer les limites critiques de chaque CCP.
9. Principe 4 — Surveiller les CCP.
10. Principe 5 — Définir les actions correctives.
11. Principe 6 — Vérifier le système.
12. Principe 7 — Documenter et tenir des enregistrements.

Une démarche HACCP complète demande typiquement 3 à 9 mois de travail pour une PME agroalimentaire, et peut atteindre 12 à 18 mois pour un site industriel complexe (multiples produits, multiples lignes, multiples allergènes).

Pour identifier si une étape du procédé est un Critical Control Point, le Codex Alimentarius propose un arbre de décision en 4 questions :

1. Q1 — Existe-t-il une mesure de maîtrise pour ce danger à cette étape ?
   • Si NON et que la maîtrise est nécessaire pour la sécurité → modifier le procédé.
   • Si OUI → passer à Q2.
2. Q2 — Cette étape est-elle spécifiquement conçue pour éliminer ou réduire le danger à un niveau acceptable ?
   • Si OUI → C'est un CCP.
   • Si NON → passer à Q3.
3. Q3 — Le danger pourrait-il atteindre un niveau inacceptable ou augmenter ?
   • Si OUI → passer à Q4.
   • Si NON → ce n'est pas un CCP.
4. Q4 — Une étape ultérieure permettra-t-elle d'éliminer ou réduire le danger ?
   • Si OUI → ce n'est pas un CCP (la maîtrise est ailleurs).
   • Si NON → C'est un CCP.

Un site agroalimentaire bien conçu a en général 3 à 10 CCP. Trop de CCP (> 20) signe souvent une mauvaise hiérarchisation : on confond CCP critiques et BPH générales.

Une limite critique est une valeur mesurable qui sépare l'acceptable de l'inacceptable pour un CCP. Elle doit être :

• Mesurable en temps réel (idéalement instrumentée).
• Justifiée scientifiquement (référence Codex, guide INRS/INRAE, étude validation).
• Connue de l'opérateur qui surveille le CCP.
• Associée à une action corrective claire en cas de dépassement.

Exemples de limites critiques réglementaires (Code rural et de la pêche maritime, règlement 853/2004 annexe III) :

La méthode HACCP est obligatoire par la réglementation (CE 852/2004). Au-delà, plusieurs référentiels privés volontaires intègrent HACCP dans un système de management plus large, avec audit et certification par tierce partie :

• ISO 22000 (2018) — norme internationale de management de la sécurité des aliments, intègre HACCP + ISO 9001. Pas un référentiel d'audit à proprement parler, mais base d'autres référentiels.
• FSSC 22000 — Food Safety System Certification, basée sur ISO 22000 + PRP ISO/TS 22002. Reconnue GFSI (Global Food Safety Initiative). Très répandue dans l'IAA industrielle.
• BRCGS Food (British Retail Consortium, version 9 en 2022) — référentiel d'audit demandé par les distributeurs britanniques et de plus en plus européens. Très exigeant, notation A à D.
• IFS Food (International Featured Standards, version 8 en 2023) — référentiel franco-allemand, équivalent BRC sur le marché continental. Notation Higher Level / Foundation Level.

Pour vendre à la grande distribution européenne (Carrefour, Leclerc, Auchan, Lidl, Aldi), une certification BRC ou IFS est aujourd'hui quasi indispensable. Pour vendre à l'export ou aux multinationales agroalimentaires (Nestlé, Danone, Unilever, Mondelez), FSSC 22000 est souvent requise.

Ces référentiels reposent tous sur le socle HACCP du Codex, mais ajoutent des exigences de management : politique qualité, revue de direction, gestion des fournisseurs, défense alimentaire (food defense), prévention de la fraude alimentaire (food fraud), gestion des incidents.