查驗供應商的食安認證要做四件事：索取證書本體、逐字核對認證範圍是否涵蓋你採購的產品、確認效期與監督稽核狀態，再上簽發機構自己的官方資料庫交叉查驗。官網上掛的認證 logo，說明不了以上任何一件事。
假設你正在為新市場評估珍珠供應商，五家候選裡有三家網站上掛著 HACCP logo，這個 logo 不會告訴你是哪家驗證機構簽發的、證書是否仍然有效、甚至不會告訴你它有沒有涵蓋你打算下單的那項產品。只看 logo 就下單的買家，通常是在事後才發現差別，貨到清關被攔下，或是零售通路夥伴稽核時，發現證書根本沒涵蓋那條產線。這篇文章先說清楚 HACCP、ISO 22000、FSSC 22000 各自到底證明了什麼，再給你一套可以直接照著做的四步驟查驗流程。
在你向供應商索取任何一份文件之前，先把幾件事弄清楚：
這三個詞常被交替使用，但其實位於同一套系統的不同層級。
HACCP 危害分析與關鍵管制點是一套辨識、評估、管制食品安全危害的方法論，源自國際食品法典委員會（Codex Alimentarius）的食品衛生一般原則（CXC 1-1969）。它是幾乎所有現代食安體系的地基：找出製程中哪裡可能出錯（生物性、化學性、物理性危害），在關鍵點設下管制、監控與矯正機制。工廠可以依 Codex 準則接受稽核並取得 HACCP 驗證，證明這套方法確實在運作，而不只是寫在文件上。
ISO 22000 是國際標準化組織（International Organization for Standardization）的食品安全管理系統標準，現行版本為 ISO 22000:2018。它把 HACCP 方法論包進一套完整的管理系統——管理階層承諾、前提方案（Prerequisite Programs, PRPs）、風險思維、內部溝通、持續改善。簡單說：HACCP 管的是製程裡的危害；ISO 22000 管的是整個組織怎麼把食安當成一套制度來運作，而不是個人習慣。
FSSC 22000 建立在 ISO 22000 之上，加上行業別前提方案技術規範，例如食品製造業適用的 ISO/TS 22002-1，以及現行第 6 版的附加要求，涵蓋食品防護、食品詐欺防範、過敏原管理等面向。對買家而言真正重要的差異是：FSSC 22000 獲得 GFSI 承認，HACCP 與 ISO 22000 本身沒有。 GFSI 承認代表這套方案通過全球食品安全倡議的對標審查，與 BRCGS、IFS、SQF 同級，這是多數歐美大型零售商與國際連鎖體系指定供應商認證的實際門檻。此外，FSSC 22000 要求三年週期內至少一次不預警稽核（FSSC 22000 第 6 版方案要求），工廠無法事先準備，對買家來說，這比排定稽核更能反映工廠平時的真實狀態。
| 項目 | HACCP | ISO 22000 | FSSC 22000 |
|---|---|---|---|
| 性質 | 危害管制方法論（Codex CXC 1-1969） | 國際食品安全管理系統標準 | 完整認證方案（ISO 22000＋ISO/TS 22002-1＋附加要求） |
| 涵蓋範圍 | 製程危害分析與關鍵管制點 | HACCP＋管理系統＋前提方案 | ISO 22000＋行業前提方案＋食品詐欺、食品防護等附加要求 |
| GFSI 承認 | 否 | 否 | 是（與 BRCGS、IFS、SQF 同級） |
| 稽核方式 | 定期稽核 | 定期稽核 | 定期稽核＋三年內至少一次不預警稽核 |
| 公開查驗管道 | 直接向簽發 CB 查證 | IAF CertSearch（限經認證機構簽發者） | fssc.com 公開資料庫，以 COID（Certified Organization ID，受證組織編號）查詢 |
| 對買家的意義 | 基本門檻：危害有被管理 | 進階：食安是制度，不是個人習慣 | 國際供應鏈通行門檻：多數大型零售商指定 |
這張表能說明每項認證「是什麼」，但無法告訴你眼前這張證書是不是真的、是不是還有效、跟你要買的產品有沒有關係，那要靠下面這套四步驟流程。
查驗認證，意思是確認它真實、有效、而且相關：由具公信力的驗證機構（CB）簽發、仍在效期內、且認證範圍逐項點名涵蓋你實際採購的產品與製程。三個條件少一個，證書對買家就沒有實質保障。
要求供應商提供證書本身，而不是對證書的描述。一張真的證書至少會列出：證書編號、公司名稱與地址、認證標準與版本、認證範圍、效期起訖日，以及簽發機構（CB）與授權簽署人。只給 logo、只講機構名稱不給編號、或以「機密」為由不提供的供應商，這是警訊，不是可以繞過的手續問題。
這是買家最常跳過、卻也最關鍵的一步。認證範圍必須逐項明確涵蓋你實際採購的產品與製程，「本公司通過 FSSC 22000」不等於「你買的那項產品在認證範圍內」。這一點在珍奶原料採購上比多數品類更重要，因為同一家供應商經常從同一產地同時出貨珍珠、糖漿、粉類、果凍，這些品項在發票上看起來可以互相替代，認證範圍卻不一定同時涵蓋，缺口正好就藏在這裡。如果你採購的品項不在範圍列表裡，就要問清楚原因：是不同廠區？外包產線？還是這項產品本來就不在認證範圍內？以上任何一個答案都可以接受，沉默不行。
證書效期通常為三年，期間須通過年度監督稽核才持續有效。要看兩個日期：效期迄日，以及「certified since」（首次取證日），後者能看出這家工廠連續維持認證多少年，中間有沒有斷過。FSSC 22000 證書還會標示最近一次不預警稽核的日期，值得對照三年週期一併確認。
範圍、日期、資料庫紀錄都對得上之後，只剩一個問題：簽發這張證書的 CB，本身夠不夠有份量？
證書的公信力來自簽發它的機構，可以分三個層次判斷。
第一層：國際公認的驗證機構。 食品業界接受度最高的名字包括 SGS、Bureau Veritas、Intertek、TÜV SÜD、TÜV Rheinland、NSF、DNV、LRQA（Lloyd's Register）、Eurofins。這些機構在全球設有據點、稽核員體系成熟，其簽發的證書在國際買家間接受度最高。
第二層：具備正式授權與認可資格。 對 FSSC 22000 而言，只有經 FSSC 基金會授權的 CB 才能簽發證書，授權名單公開在 fssc.com；對 ISO 22000 而言，CB 本身應經 IAF 會員認證組織（Accreditation Body）認可，例如英國 UKAS、荷蘭 RvA、美國 ANAB、台灣 TAF、澳紐 JAS-ANZ。認證組織的標誌通常會同時出現在證書上。
第三層：查得到、對得上。 無論 CB 名氣大小，最終檢驗標準很單純：證書編號能在該 CB 官方管道或上述資料庫查到，且公司名稱、範圍、效期都一致。一家查無認可資格、資料庫也查不到的 CB 所簽發的證書，就算版面再精美，也不該採信。
認證證明的是管理系統有效運作，不是保證每一批貨都沒問題。懂得善用認證的買家，會把它當作基礎門檻，再疊加：每批出廠檢驗報告（COA）、必要時的第三方抽驗、實地或視訊驗廠，以及樣品與量產一致性驗證。認證縮小了風險範圍，其餘工具負責管住批次層級剩下的風險。
從工廠端與國際買家往來的經驗來看，以下狀況值得追問到底：
站在製造端，我們的立場很單純：查驗對每一方都是好事。買家查得越認真，市場對認真做認證、而不是只把認證拿來展示的工廠就越公平。
BubblePhil 的製造主體 T Foods Co., Ltd. 同時持有本文提到的三張證書——HACCP、ISO 22000:2018、FSSC 22000（第 6 版），均由 SGS 簽發，認證範圍涵蓋常溫與冷凍兩種型態的珍珠粉圓生產、預拌粉，以及風味糖漿產線（BubblePhil 認證紀錄）。認證自 2022 年起持續維持有效，並依 FSSC 要求按時接受不預警稽核。我們的 FSSC 22000 證書可以直接在 fssc.com 資料庫查驗，歡迎買家照著本文的流程來查我們。
願意把證書編號交給你、教你怎麼查的供應商，跟只給 logo 的供應商，是兩種不同的合作對象。這個差異，比證書本身更能說明長期合作的風險高低。
HACCP、ISO 22000、FSSC 22000 分別回答三個層級的問題：危害有沒有被管制、食安是不是一套制度、以及這套制度有沒有通過國際最嚴格的對標審查。讀懂三者的差異，對買家來說只是起點。逐字核對範圍、確認效期與監督稽核狀態、上官方資料庫查驗，這些動作，才能把一張證書從「供應商拿給你看的東西」變成「你真正確認過的東西」。
買家第一次動手查驗證書時，最常遇到以下幾個問題：
Q：HACCP、ISO 22000、FSSC 22000 有什麼不同？ HACCP 是危害分析與關鍵管制點方法論；ISO 22000 是把 HACCP 納入完整管理系統的國際標準；FSSC 22000 則是 ISO 22000 加上行業前提方案與附加要求的認證方案，也是三者中唯一獲 GFSI 承認的。
Q：什麼是 GFSI 承認？為什麼重要？ GFSI 對各認證方案進行對標審查。通過的方案FSSC 22000、BRCGS、IFS、SQF被全球主要零售商與食品集團互認，許多國際買家會把「GFSI 承認的認證」列為供應商准入門檻。
Q：怎麼免費查驗一張 FSSC 22000 證書的真偽？ 到 fssc.com 的公開資料庫，輸入公司名稱或證書上的 COID 編號即可查到該組織的認證狀態、範圍與有效性，查無資料本身就是警訊。
Q：ISO 22000 證書可以在哪裡查？ 經認證機構簽發的 ISO 證書可透過 IAF CertSearch 查詢；也可以直接向簽發的 CB（如 SGS、Bureau Veritas、TÜV）官方管道核對證書編號。
Q：供應商有認證，是不是就代表每批貨都安全？ 不是。認證證明管理系統有效運作，不擔保個別批次。成熟的採購做法是把認證當門檻，再搭配每批 COA、必要時的第三方抽驗與驗廠，共同管理批次層級的風險。
Q：認證範圍要怎麼核對？ 把證書上列出的產品與製程，逐字對照你實際採購的品項。沒有列在範圍內的產品，可能來自不同廠區、外包產線或未認證產線，供應商必須說明是哪一種。
Q：供應商只在官網放認證 logo，不給證書，正常嗎？ 不正常。證書本來就是設計來給交易對象查驗的文件，正常供應商在被要求時會提供含證書編號的電子檔。一再迴避，應視為評估上的重大警訊。
Q：為什麼 FSSC 22000 的「不預警稽核」對買家有意義？ 不預警稽核代表驗證機構不事先通知就進廠稽核，工廠沒辦法提前「佈置現場」。能持續通過不預警稽核的工廠，日常狀態與稽核當天狀態的落差較小，對買家而言是更真實的信心來源。
Q：貿易商拿工廠的證書給我，可以接受嗎？ 證書上的公司名稱應與實際製造者一致。透過貿易商採購時，應要求揭露實際製造工廠、直接取得該廠證書，並確認其認證範圍涵蓋你的產品。無法揭露製造來源的交易結構，風險由買方承擔。
Q：HACCP 可以自我宣告嗎？ 不行。有效的 HACCP 驗證須由驗證機構依 Codex 食品衛生一般原則稽核並簽發，並附有證書編號與簽發機構名稱。「我們有依循 HACCP 原則」跟「我們通過 HACCP 驗證」是兩回事。
Q：哪些驗證機構簽發的證書比較可信？ SGS、Bureau Veritas、Intertek、TÜV SÜD、TÜV Rheinland、NSF、DNV、LRQA、Eurofins 等國際機構的證書接受度最高。此外要確認：FSSC 22000 證書須由 FSSC 授權的 CB 簽發（名單見 fssc.com），ISO 證書的 CB 須經 IAF 會員認證組織（如 UKAS、TAF、ANAB）認可。
正在評估珍珠粉圓或其他珍奶原料供應商？歡迎聯繫 BubblePhil 團隊索取完整認證文件、產品規格與樣品，我們會附上證書編號，並告訴你去哪裡查。
