预防控制计划

该术语是以下术语的一部分： SG Systems Global 监管及运营指南库。

更新于 2026 年 1 月 • FSMA 预防性控制、危害分析、工艺/过敏原/卫生控制、监控与验证、纠正措施、验证、供应链计划、召回计划、审核就绪证据 • 主要针对食品饮料制造行业（PCQI 主导的计划、检查准备、执行纪律）

预防控制程序是食品企业用于识别重大危害并预防其发生的运营系统。该系统通过明确的控制措施来监控、验证并纠正这些措施失效的情况，且这些措施均有记录可查。用《食品安全现代化法案》（FSMA）的术语来说，这是21 CFR第117部分规定的基于风险的预防控制框架——该框架建立在危害分析的基础上，并通过过程控制、过敏原控制、卫生控制、供应链控制（如适用）以及召回准备等支持性程序来实施。

大多数工厂实际上已经以某种形式实施了预防性控制措施：烹饪、清洁、过敏原更换、标签检查、供应商审批。真正的预防性控制方案与一系列良好实践的区别在于其治理和可衡量性。一个真正的方案应具备以下要素：可靠的危害分析（解释这些危害为何重要）、明确的控制定义（哪些条件必须满足才能被“控制”）、有效的执行机制（严格的流程控制或严格的工作流程规范）以及响应模型（当出现偏差时应采取的措施）。此外，它还应产生可检索且可信的证据。

实话实说：最常见的预防性控制失效并非工厂没有实施控制措施，而是控制措施的定义不够严谨，无法通过审核。人们在没有明确限值的情况下进行“监控”，在没有书面审查的情况下进行“验证”，在没有处置记录的情况下进行“纠正”，以及事后才进行“记录”。程序看起来纸面上一切正常，直到检查员要求你完整地证明某个特定危害控制链的有效性。这时，薄弱的程序就会崩溃。

“预防性控制方案不是一纸空文，而是一个即使在工厂繁忙运转时也能有效控制危险因素的系统。”

1）什么是预防性控制计划（以及它不是什么）

预防性控制方案是一套结构化的控制措施，旨在防止食品安全隐患影响消费者。之所以称之为“方案”，是因为它包含了设计、执行、验证、响应和改进等环节，而不仅仅是一系列检查清单。

它不是：

• 一本堆砌了标准操作规程却没有任何执行措施的手册，
• 一份从模板复制的、缺乏针对特定场所逻辑的HACCP计划，
• 一系列“我们总是这样做”的行为，没有可衡量的界限，或者
• 在轮班结束时进行的记录工作。

这是一个可以根据需要回答以下问题的系统：存在哪些危险，哪些控制措施可以管理这些危险，我们如何知道控制措施是否有效，以及当控制措施出现偏差时我们采取了什么措施。

2) 现行良好生产规范 (CGMP) 和预防性措施 (PRP) 如何支持预防性控制

预防性控制措施并非凭空产生，而是依赖于基本条件：卫生、卫生设计、培训、虫害控制和仓库管理——这些通常通过现行良好生产规范 (CGMP) 和前提方案 (PRP) 来实施。参见B 部分。

当预防性措施薄弱时，预防性控制措施就会变得脆弱，因为危害产生的速度超过了控制措施发现它们的速度。一个完善的预防性措施能够使预防性措施具有足够的可衡量性，从而赢得信任，并在危害分析表明需要额外控制措施时，采取相应的预防性控制措施。

3）风险分析：驱动项目的决策引擎

该程序首先进行危害分析（参见危害分析记录和C子部分）。危害分析必须与实际工艺步骤相关联，并识别已知或可合理预见的危害，包括引入的危害、增加的危害以及可通过工艺控制的危害。

一项强有力的风险分析表明：

• 工艺流程步骤和暴露点
• 危害类别（生物/化学/物理），
• 风险理由（严重性和可能性），
• 决定危险是否需要采取预防性控制措施，以及
• 将危害与控制措施进行映射。

风险分析是审计中最难造假的部分，因为检查员可以将其与现场观察到的情况进行比较。

4) 需要预防性控制的危害：临界阈值

根据《食品安全现代化法案》(FSMA)，关键决策在于判断某种危害是否需要采取预防性控制措施。这一决策决定了哪些控制措施必须在正式的框架下进行监控和验证。不完善的方案要么将所有措施都贴上预防性控制的标签（导致系统管理混乱），要么完全不贴标签（以“良好生产规范”为借口）。

合理的方案会清晰地记录其理由：如果危害很大，具体采取了哪些控制措施来预防？如果危害不大，考虑到产品、工艺和暴露情况，为什么得出这样的结论是合理的？

5）控制类型：过程控制、过敏原控制、卫生控制、供应链控制、其他

预防性控制措施并非单一措施。常见的控制措施类别包括：

• 过程预防控制： 杀菌步骤、时间/温度、pH值、配方限制。
• 过敏原预防控制措施： 防止交叉污染、标签核查、返工规则。
• 卫生预防控制措施： 卫生控制是管理危害的必要措施。
• 供应链控制： 供应商通过明确的验证措施控制风险。
• 其他控制： 异物控制、预防性维护与危险控制相结合。

对照组家庭远不如可衡量的标准和真正的执行重要。

6) 工艺预防性控制：杀菌步骤、时间/温度、配方

过程控制通常最容易理解，但如果没有系统性的规范，却最难始终如一地执行。一个过程控制必须明确以下内容：

• 控制哪些参数（时间/温度/pH值/水蒸气浓度/等等）？
• 限制是什么（不是“关于这件事”），
• 测量方法（仪器和频率），
• 当未达到限制时会发生什么（暂停、返工、丢弃），以及
• 验证支持该控制功能适用于您的产品和设备。

参见终止步骤验证。当工厂将过程参数记录视为文书工作而非执行关卡时，过程控制就会失效。

7) 过敏原预防控制：交叉污染和标签错误预防

过敏原控制属于高风险领域，因为失败后果严重，而且检测效果可能不佳。一套完善的过敏原预防控制系统包括：

• 仓库隔离和分拣规范（见 隔离),
• 切换控制和验证以防止 交叉接触,
• 重新识别和限制过敏原（以防止隐藏的过敏原），
• 标签打印控制和标签验证（防止贴错标签）。

实际操作中，过敏原控制措施在生产环节的边界处（例如换线、返工和包装）往往会失效。因此，预防性控制措施必须能够经受住这些边界条件的考验。

8) 卫生预防控制措施：当卫生状况必须可衡量时

当危害分析表明卫生对于预防危害至关重要时（通常适用于即食食品暴露和高卫生环境），卫生措施就成为一种预防性控制措施。卫生控制措施要真正发挥作用，就必须包含以下要素：

• 制定了明确的程序和时间表，
• 验证证据（ATP/拭子/目测标准），
• 在适用情况下进行环境监测
• 当卫生标准不合格时，会遵循相应的响应规则。

如果卫生计划只是“走过场式清洁”，那就注定失败。预防性控制计划要求卫生状况可衡量、可验证。

9）供应链控制：当上游风险得到控制时。

有时，供应商可以控制某些危害（例如微量危害、化学残留、原料中的某些危害）。在这种情况下，预防性控制措施可能包括供应链控制。具体而言，这意味着：

• 供应商审批标准和基于风险的监控（见 供应商资质),
• CoA匹配和验证（见 CoA验证),
• 必要时进行来料检验和测试
• 供应商违约或变更时的升级规则。

如果只是写“供应商控制”，而没有提供供应商验证的证据，那么供应链控制就会失效。

10）参数和限值：从操作角度定义“控制”

每项预防性控制措施都需要可衡量的标准。否则，就无法进行监测或验证。在实践中，限制条件包括：

• 数值限制（温度、时间、pH值、浓度），
• 合格/不合格标准（标签验证合格，卫生验证合格）
• 频率要求（每批次、每小时、每个班次）
• 谁负责表演，谁负责点评。

限制条件应与验证和风险挂钩。如果限制条件随意设定，审计人员会问“为什么设置这个限制条件？” 无法回答这个问题的程序是脆弱的。

11）监控：在车间真正落实控制措施

监控是对预防性控制措施的例行执行。如果变成“以后再记录”，监控就失去了意义。有效的监控设计包括：

• 与特定步骤和时间窗口相关的监控，
• 仪器完整性（校准和适用性），
• 必要时进行门控（如果监控失败，关键步骤将无法进行），
• 当值超出范围时，立即捕获异常。

如果省略监控不会造成任何后果，那么最终监控就会被省略。

12）验证活动：证明控制措施有效运行

验证问题的答案：我们如何知道监控和控制措施是否有效？验证活动包括：

• 由相关人员进行记录审查
• 校准验证和仪器检查
• 定期验证检查和趋势回顾
• 在适用情况下进行环境监测审查
• 内部审计和管理层对预防性控制措施执行情况的审查。

如果验证没有时间限制，就会失败。“每月审核一次”这种做法，如果产品每天都发布，就行不通了。验证必须与风险和产品发布节奏保持一致。

13）纠正措施及纠正措施：控制失效时的应对纪律

预防性控制方案必须明确规定超出限值时应采取的措施。这包括：

• 立即更正： 停止、调整、隔离、重新清洁、重新贴标签。
• 产品控制： 持有和处置决定（见） 保持/释放).
• 根本原因调查： 当失败表明系统存在缺陷时。
• 防止复发： 对流程、设备、培训和供应商采取纠正措施。

如果对偏差的处理方式不够正式（“我们已经解决了”），没有产品处置证据，也没有防止再次发生，那么程序就会失败。

14）验证和科学支持：证明对照组有效

验证是指证明预防性控制措施在您的条件下能够实现危害控制。它对于过程控制至关重要，并且通常与卫生和过敏原控制密切相关。

验证证据可能包括：

• 过程验证研究
• 支持致死性参数的科学文献
• 设备能力证明（映射、鉴定），
• 卫生验证和确认支持
• 供应商控制证据（审核、测试、证书）。

如果验证是想当然的，而不是有据可查的，那么验证就失败了。“我们一直都是这么做的”并非验证。

15）召回计划和召回准备：所需的响应能力

《食品安全现代化法案》(FSMA) 将预防性控制措施与召回准备工作挂钩。如果存在需要采取预防性控制措施的风险，您必须能够迅速执行召回或市场撤回。实际准备工作包括：

• 支持快速范围界定的可追溯性系统
• 模拟回忆和回忆练习（见 模拟回忆表现),
• 联系人列表和通知模板
• 有效性检查和记录，
• 产品处置与纠正措施的关联。

如果你的追溯能力薄弱，你的召回计划就只是形式主义。

16）记录：为捍卫该计划必须存在哪些记录

记录是确保程序可审计性的关键。主要记录类别：

• 危害分析记录和预防控制措施确定，
• 监测记录（带时间戳且可归因），
• 验证记录（审查证据、校准证据）
• 纠正措施和处置记录，
• 供应商审批和验证记录
• 模拟召回和召回演练记录，
• 执行控制措施人员的培训和能力记录。

有关使该证据可信的记录保存要求，请参阅F 子部分。

17）重新分析和持续改进：保持项目时效性

预防控制方案必须不断发展完善。需要重新分析的触发因素包括：

• 新产品或配方变更，
• 工艺或设备变更，
• 新的过敏原、新的包装或新的标签声明，
• 供应商变更或供应商反复出现偏差，
• 与您的原料相关的监管警报或行业召回趋势。

持续改进还包括趋势监控和结果验证，以便及早发现偏差。

18）关键绩效指标：衡量绩效、偏差和准备情况

关键绩效指标 (KPI) 能帮助您像管理系统一样运行预防性控制措施，而不是将其视为合规负担。有用的 KPI：

KPI应该推动系统改进，而不是惩罚报告问题的操作员。

19）失效模式：预防性控制如何转化为执行性失效

• 控制定义模糊不清。 没有限制，没有可衡量的合格/不合格标准。
• 回填监测。 后来在压力下形成的记录。
• 验证延迟。 评论是在产品发货几周后才发布的。
• 反应纪律薄弱。 未经扣押和处置证据，非正式地纠正了偏差。
• 未经核实的供应商依赖。 “供应商控制了它”，但没有供应商提供任何证据。
• 返工和转换间隙。 交叉感染风险隐藏在返工和过渡环节中。
• 召回剧院计划。 计划虽已制定，但演练发现存在可追溯性缺陷和回收速度缓慢的问题。

预防性控制措施只有在正常运行压力下得到执行和证实时才是真正的。

20) 如何通过 SG Systems Global

V5通过使控制措施在制造和仓储过程中可执行、可控且与证据关联，从而支持预防性控制计划：

• 危害控制映射和规则执行与 C 子部分保持一致，
• 车间监控采集和关键检查的硬性关卡
• 将过敏原和标签验证工作流程整合到执行过程中，
• 与设备和批次相关的卫生验证证据，
• 供应商验证和与进货批次相关的CoA匹配证据，
• 在仓库管理系统/制造执行系统中强制执行扣留/释放和隔离措施，以防止泄漏。
• 快速生成可追溯性输出，用于模拟召回和召回准备。

对于集成平台视图，首先是V5 解决方案概述，然后将执行证据（V5 MES）与移动控制（V5 WMS）和受控质量响应（V5 QMS）连接起来。

21）扩展常见问题解答

问题1：预防性控制程序与HACCP相同吗？
它们在概念上有所重叠，但 FSMA 预防性控制措施范围更广，包括额外的控制类别以及与需要预防性控制的危险相关的验证、记录保存和召回计划的明确要求。

Q2. 预防性控制方案检查不合格的最常见原因是什么？
可测量性弱，证据不足：控制措施没有设定限度，监控不是同步的，验证存在滞后，纠正措施没有记录在产品处置中。

问题3：我们需要针对每一种危险采取预防性控制措施吗？
不。你需要它们来应对那些根据风险分析需要采取预防性控制措施的风险。过度设计会导致系统难以管理；设计不足则会导致风险失控。

Q4. 我们如何检验该程序是否真实存在？
选择一项预防性控制措施，并追踪其执行链：危害分析决策 → 控制措施定义及限值 → 监测记录 → 验证证据 → 异常案例及应对措施 → 与产品处置和可追溯性的关联。如果任何环节是“我们通常这样做”，则该方案存在缺陷。

Q5. 为什么召回准备是预防性控制措施的一部分？
因为控制失效和隐患发现时有发生。该计划必须具备快速移除受影响产品并验证其有效性的能力。可追溯性和演练是预防性控制措施的组成部分，而非独立项目。

相关阅读（注重实用性）
在强大的现行良好药品生产规范 (CGMP) 基础上建立预防性控制措施 (B部分），设计具有可测量限值的控制措施（C子部分），并加强证据和检索（F 子部分然后通过运行实际程序来证明该程序可执行。 模拟召回 并跟踪性能指标，以便在监管机构发现问题之前就发现偏差。