À quel moment passer du signal qualité au retrait et au rappel d’une denrée ?

Qualifier le signal sans attendre la clôture de l’enquête

L’article 19 du règlement 178/2002 déclenche des obligations lorsque l’exploitant considère ou a des raisons de penser que la denrée ne respecte pas les prescriptions de sécurité. Il prévoit notamment le retrait immédiat lorsque le produit a quitté son contrôle direct et l’information des autorités ^[1]. Le seuil de décision n’est donc pas assimilable à une preuve définitive de dommage. Dans l’exemple, l’incertitude doit être analysée, pas utilisée comme motif d’inaction.

Le premier enregistrement précise ce qui est connu : identité de la matière suspectée, heure de réception du signal, production concernée et origine de l’information. Il conserve aussi les inconnues. Un courriel indiquant « problème sur la sauce » doit être complété, mais ne doit pas être perdu dans une file de réclamations ordinaires. La personne qui le reçoit dispose d’un chemin d’escalade vers un responsable capable de décider sur les produits et les expéditions.

La qualification distingue un défaut commercial, une information inexacte et une question de sécurité. Ces catégories peuvent se recouper. Une omission d’allergène n’est pas seulement un problème graphique ; elle peut affecter la protection du consommateur concerné. À l’inverse, une faute typographique sans effet sur une information pertinente n’appelle pas automatiquement les mêmes mesures. La décision initiale explique les raisons de cette qualification et les éléments susceptibles de la modifier.

Un responsable technique examine la plausibilité de l’introduction de lait avec les données de fabrication. Un responsable opérationnel localise les stocks et suspend les mouvements nécessaires. La direction assure les moyens et la liaison avec les interlocuteurs. Cette répartition est une proposition d’organisation : elle évite d’exiger qu’une seule personne possède simultanément toutes les données, tous les pouvoirs et toutes les compétences. Elle prévoit un suppléant pour chaque fonction indispensable.

La première réunion doit produire une action et une nouvelle étape de vérification. Dans le cas fictif, la matière concernée et les produits encore présents sont placés en attente ; les destinataires connus sont identifiés ; la composition utilisée est recherchée. La décision indique qui effectue chaque action et comment son exécution est confirmée. Une réunion sans instruction vérifiable peut donner le sentiment que le problème est traité alors que les commandes continuent de partir.

Construire un périmètre provisoire puis le justifier

Le périmètre initial suit les faits disponibles. Si la matière suspectée a été utilisée dans deux fabrications, les produits issus de ces opérations sont recherchés. Si la date d’utilisation est incertaine, le périmètre peut être élargi dans l’attente des vérifications. Le choix doit être motivé par les limites des données, non par la seule commodité commerciale. Une liste de références proches n’est pas équivalente à une démonstration de leur exposition au même événement.

L’article 14, paragraphe 6, du règlement 178/2002 établit une présomption concernant le lot ou chargement lorsqu’une denrée dangereuse en fait partie, sauf évaluation détaillée permettant de distinguer le reste ^[1]. Dans le cas fictif, cette règle invite à justifier toute réduction du périmètre. La simple présence d’un résultat rassurant sur une bouteille ne suffit pas à expliquer pourquoi une autre partie de la fabrication serait exclue de l’action.

Le tableau de suivi sépare fabriqué, expédié, vendu, encore stocké, retourné et détruit. Les quantités doivent être rapprochées sans additionner deux fois les mêmes unités. Le grossiste peut avoir vendu une partie et retourné le reste ; un détaillant peut conserver un stock tout en ayant reçu un nouvel approvisionnement. Une carte de distribution sans ces mouvements successifs donne une localisation historique, pas l’état utile à la décision présente.

Le système de traçabilité prévu par l’article 18 permet de retrouver les fournisseurs et les entreprises clientes ^[2]. Pour l’incident, l’exploitation de ces données est concrète : une personne transmet une liste, une autre vérifie les identifiants et les destinataires confirment ce qu’ils détiennent. La note ne suppose pas que tous les consommateurs sont nominativement identifiables. Elle distingue donc la recherche auprès des entreprises de la communication nécessaire lorsque les produits ont pu être achetés.

Une nouvelle information peut réduire ou élargir le périmètre. Chaque version du tableau est conservée avec sa justification. Si la troisième fabrication a utilisé une autre matière, sa libération éventuelle repose sur des éléments précis et sur une décision autorisée. Elle ne résulte pas du seul fait qu’elle n’a pas encore été vendue. La maîtrise physique d’un produit facilite la protection ; elle ne démontre pas que sa composition ou sa sécurité est conforme.

Distinguer blocage interne, retrait et rappel

Le blocage interne agit sur les produits présents dans les sites maîtrisés. Le retrait vise à faire cesser la circulation des produits déjà distribués. Lorsque les produits peuvent avoir atteint les consommateurs, l’article 19 prévoit leur information effective et précise et, au besoin, un rappel si les autres mesures sont insuffisantes pour protéger la santé ^[1]. Ces décisions peuvent être simultanées ; elles ne forment pas obligatoirement trois étapes séparées dans le temps.

Dans l’exemple, l’atelier bloque la troisième fabrication tandis que la marque contacte les clients des deux premières. Une instruction de retrait indique la référence, les identifiants, les quantités concernées et la conduite demandée. Elle précise également le retour attendu du destinataire. Une formule comme « merci de vérifier votre stock » laisse ouverte la vente des unités retrouvées. L’instruction doit produire une décision opérationnelle compréhensible par le magasin ou l’entrepôt concerné.

L’absence de réponse d’un client ne vaut pas confirmation d’absence de stock. Le suivi distingue message envoyé, message reçu, mesure exécutée et preuve obtenue. Un canal alternatif est prévu lorsque le contact habituel ne répond pas. La recherche des produits peut nécessiter plusieurs échanges, notamment si un distributeur a fractionné les livraisons. La clôture n’est donc pas fondée sur le nombre de courriels envoyés, mais sur les éléments établissant l’action menée.

Pour les consommateurs, le message doit permettre de reconnaître les produits et de comprendre la conduite à tenir. Une photographie peut compléter les identifiants ; elle ne les remplace pas si plusieurs variantes ont un aspect voisin. Les conseils sont formulés en cohérence avec la qualification de l’incident et les échanges compétents. La communication évite autant l’assurance prématurée que les formules si générales qu’une personne ne peut savoir si son achat est concerné.

Les échanges entre partenaires ne doivent pas retarder l’information légalement requise des autorités. L’article 19, paragraphe 3, vise l’information immédiate lorsqu’une denrée mise sur le marché peut être préjudiciable à la santé ^[1]. Dans la sauce fictive, la discussion sur le fournisseur fautif ou sur le coût des retours se poursuit dans un dossier distinct. Elle ne commande pas le calendrier des actions de protection et ne doit pas devenir une condition préalable à leur déclenchement.

Vérifier l’exécution et conserver les éléments utiles au contrôle

La vérification commence avant la fin de l’action. Le responsable confronte les réponses des clients, les mouvements d’entrepôt et les quantités initialement expédiées. Un retour de produits sans identification exploitable appelle une clarification. Les unités reçues sont isolées et leur destination est décidée, avec conservation des éléments utiles à l’enquête. La procédure ne doit pas permettre une réintégration au stock disponible par le simple effet d’un remboursement commercial.

Le dossier de décision contient les faits, leur source, la qualification retenue, les mesures et les versions successives du périmètre. Il conserve les pièces qui contredisent l’hypothèse initiale autant que celles qui la confirment. Cette discipline permet à un contrôle de comprendre la progression du raisonnement. Une reconstitution faite après l’événement risque de présenter comme certaine une information qui ne l’était pas au moment où il fallait choisir.

Les contrôles internes ne se limitent pas aux analyses de produits finis. Ils examinent aussi les changements de matières, la validation des recettes et les opérations de conditionnement. Dans le cas fictif, l’absence de lien entre recette et étiquette peut être la cause principale. Multiplier les analyses sans corriger ce lien laisserait le même défaut se reproduire. Le plan de contrôle doit donc suivre les mécanismes possibles d’erreur, pas seulement les produits disponibles pour être prélevés.

Le règlement 852/2004 prévoit la révision des procédures fondées sur les principes HACCP lorsque le produit ou le procédé change ^[3]. Après l’incident, la remise en production doit être liée à une correction effectivement vérifiée. Dans l’exemple, l’atelier rétablit un contrôle de correspondance entre matière, recette et support avant de relancer la référence. La décision conserve le résultat de ce contrôle et les conditions de suivi des premières fabrications corrigées.

La Commission traite la culture de sécurité alimentaire et la communication ouverte des écarts dans sa communication de 2022 ^[4]. L’incident permet d’évaluer un aspect très concret : le salarié qui détecte une incohérence peut-il la signaler sans que la poursuite de la production soit imposée automatiquement ? La réponse appelle des moyens et un pouvoir d’arrêt clairement organisé. Une affiche invitant à signaler les anomalies a peu d’effet si les objectifs de production rendent le signal inutilisable.

Clore l’action sans confondre fin des retours et maîtrise du risque

Une clôture doit distinguer plusieurs résultats : produits localisés, action de retrait ou de rappel exécutée, cause comprise et correction vérifiée. Ces résultats n’arrivent pas forcément ensemble. La filière peut disposer d’un périmètre solide sans avoir encore identifié l’origine de l’erreur. Elle peut aussi connaître la cause mais attendre des confirmations de destinataires. Un statut unique « incident clos » masque ces différences ; le dossier décrit séparément ce qui est acquis et ce qui reste suivi.

L’objection fréquente concerne le coût d’une action large alors que le signal peut finalement être infirmé. Ce coût est réel et doit être étudié. Il ne justifie pas de traiter l’incertitude comme une absence de risque. La réponse consiste à agir sur un périmètre provisoire fondé sur les données, puis à l’affiner rapidement avec des critères explicites. La qualité de la traçabilité réduit le coût de cette distinction et permet de protéger sans maintenir inutilement tous les produits en attente.

Une autre limite est la tentation de promettre une maîtrise totale après correction. Une mesure nouvelle peut réduire un mécanisme d’erreur sans supprimer toutes les possibilités de défaillance. Le retour d’expérience examine donc les interfaces concernées, les autres références exposées au même processus et la capacité de détection. Il ne conclut pas simplement que l’incident résulte d’une faute individuelle : une instruction ambiguë ou une validation impossible peut avoir contribué à la décision de l’opérateur.

Quand faut-il passer au retrait ou au rappel ? Lorsque les faits disponibles satisfont les conditions légales, avec une décision adaptée à la circulation des produits et à la protection nécessaire des consommateurs. Pour Sauce des Prés, l’action commence par la qualification du signal et la maîtrise des mouvements, puis se poursuit auprès des destinataires et du public si nécessaire. Elle se termine par une vérification des résultats et une correction du mécanisme d’erreur, sans attendre que les responsabilités financières soient entièrement tranchées.