3. 风险评估法规与标准基础

供应商安全风险评估不是凭经验拍脑袋，而是建立在一套分层法规与标准体系之上的专业判断。理解这套体系，关键要看清三个层次：法律层规定"必须做什么"，违反即违法；标准层规定"做到什么程度算合格"，是审核与判定的技术依据；基准层规定"体系如何被国际互认"，决定供应商证书的含金量与可采信度。评估人员若混淆这三层，就容易出现"有证就放心"或"没证就否决"的简单化判断。

一、法律层：食品安全法确立的底线义务

《中华人民共和国食品安全法》是供应商评估的第一依据。对评估工作最直接相关的条款集中在进货查验与索证索票义务：食品生产者采购食品原料、食品添加剂、食品相关产品，应当查验供货者的许可证和产品合格证明；对无法提供合格证明的食品原料，应当按照食品安全标准进行检验。这意味着评估时必须核查供应商的主体资质（营业执照、食品生产/经营许可证）与批次合格证明（出厂检验报告或第三方检测报告），二者缺一不可。

法律层还规定了召回、追溯与责任追究机制。评估中应关注供应商是否建立批次追溯能力——能否在接到通知后快速定位问题批次并召回。一个实用判断是：要求供应商提供近12个月内一次模拟追溯记录，看其从成品批号反查到原料批号、供应商、入库时间所需的时间。若超过4小时仍无法完成，说明追溯体系存在实质缺陷，应在评估中扣分。

二、标准层：GB标准与体系标准的定位差异

GB标准分为强制性（GB）与推荐性（GB/T）。强制性标准如GB 2760（食品添加剂使用）、GB 2762（污染物限量）、GB 7718（预包装食品标签）是产品合规的硬门槛，评估时通过查验检测报告中的项目覆盖度来判断。例如某调味品供应商的检测报告若只测了菌落总数和大肠菌群，却未覆盖GB 2762中铅、砷等污染物指标，则该报告不足以支撑合规结论，应要求补测。

ISO 22000属于管理体系标准，核心是危害分析与关键控制点（HACCP）原理与前提方案的整合，强调"过程受控"。它不针对具体产品设定限量，而是要求企业建立可验证的食品安全管理体系。因此ISO 22000证书能证明"体系存在"，但不能直接证明"产品合格"，评估时需结合现场审核确认体系是否真实运行。

三、基准层：GFSI认可与认证方案的采信逻辑

GFSI（全球食品安全倡议）本身不直接认证企业，而是对各类认证方案进行基准比对，确认其覆盖食品安全管理的核心要素。被GFSI认可的方案包括FSSC 22000、BRCGS、IFS等。这一机制的意义在于：采购方可以基于"该证书由GFSI认可方案颁发"来建立初步信任，减少重复审核。

FSSC 22000在ISO 22000基础上增加了行业特定前提方案（如ISO/TS 22002系列）和附加要求，覆盖范围广，适合多品类制造企业。BRCGS以分级（AA、A、B、C等）和严格的现场审核著称，对卫生控制、异物防控、过敏原管理要求细致，常见于零售自有品牌供应链。IFS同样采用分级制，在欧洲零售渠道应用广泛，强调审核员资质与审核报告的一致性。三者的条款侧重不同，评估时应根据供应商所处品类与客户渠道选择对应方案，而非笼统以"有GFSI证书"一概而论。

四、把标准条款转化为评估条款

标准文本是通用要求，评估表必须将其转译为可观察、可取证的具体条款。以BRCGS对过敏原管理的要求为例，不能只写"检查过敏原管理"，而应拆为：是否建立过敏原清单并覆盖全部原料；含过敏原物料是否专区存放并有明显标识；换产时是否执行清洁验证并保留记录；标签过敏原声明是否与配方一致。每条对应"查文件、看现场、问人员、验记录"四种取证方式之一，评估结论才有依据。

再以FSSC 22000的附加要求为例，其强调食品防护（food defense）与食品欺诈预防（food fraud）。转译为评估条款即：供应商是否完成脆弱性评估，是否对高风险原料（如橄榄油、蜂蜜、香辛料等易掺假品类）建立掺假预防措施与检测计划。这类条款往往是一般审核的盲区，却是风险评估的加分项与风险点。

五、常见误判与纠正

第一种误判是把ISO 22000证书等同于产品合规。纠正方法：证书证明体系，产品合规需检测报告支撑，两者分开核查。第二种误判是只看证书等级不看审核报告。BRCGS的AA级与A级差异体现在不符合项数量与严重程度，索取最近一次审核报告的不符合项清单，比只看等级更有信息量。第三种误判是忽视标准版本。GB标准会修订，旧版报告可能已不适用，评估时应核对报告所依据的标准版本号是否为现行有效版本。

将三层体系贯通使用，评估逻辑就清晰了：法律层做准入筛查，标准层做技术判定，基准层做信任采信与审核减量。三者互为补充，任何一层都不能单独支撑最终的风险结论。