在確定物理、化學及生物危害后，企業應確定相應控制措施。危害分析的步驟如下:
危害的步驟→列出所有可能出現的危害→描述危害(具體是什么危害)→確定危害可接受的水平(如果可能的話)→評估危害(可能性和嚴重性)識別顯著危害→選擇和描述控制措施→確認控制措施→控制措施的分類。
一、危害識別和可接受水平的確定
1、危害識別
組織應識別出流程圖中每個步驟中的所有潛在危害，危害識別時應全面考慮產品本身、生產過程和實際生產設施涉及的生物性、化學性和物理性三個方面的潛在危害。
生物性危害是指對原料、加工過程和食品造成危害的微生物，包括致病性微生物(主要指有害細菌)、病毒、寄生蟲等。化學性危害是指食用后引起急性中毒或慢性積累性傷害的化學物質，包括天然毒素類、食品添加劑和其他污染物(如農藥殘留等)。物理性危害是指食用后可能導致物理性傷害的異物，如玻璃、金屬碎片、石塊等。
危害識別可基于如下信息:
①原料、輔料、食品接觸材料本身的食品安全危害及其控制措施，生產過程引入、增加和控制的食品安全危害，以及對組織控制范圍外食品安全危害的控制措施。
②組織的自身歷史經驗，如組織曾發生的食品安全危害。
③ 外部信息，如流行病學和其他歷史數據。
④來自食品鏈中，可能與終產品、中間產品和消費食品的安全相關的食品安全危害信息。
⑤原料、配料或與食物接觸材料中危害的流行狀況。
⑥來自設備、加工環境和生產人員的污染。
⑦殘留的微生物或物理藥劑。
⑧ 微生物的增長或化學藥劑的累積。
⑨廠區出現的危害(危害的未知傳播途徑)。
2、危害識別的要求
①應指出每個食品安全危害可能被引人的步驟(從原料、生產和分銷)。此時應考慮:特定操作的前后步驟;生產設備、設施、服務和周邊環境;在食品鏈中的前后關聯。
②危害應當以適當的術語表達，如生物性危害(例如大腸埃希菌)的生物種類、物理性危害(例如玻璃、骨頭渣)的物體種類、化學性危害(例如化學藥品、農藥、殺蟲劑、洗手液等)的化學構成。
3、可接受水平的確定
在識別危害的同時，應確定危害的可接受水平。可接受水平指的是為確保食品安全，在組織的終產品進入食品鏈下一環節時，某特定危害所需要達到的水平。如下一環節是實際消費時，即食品用于直接消費的可接受水平。終產品的可接受水平應通過下一個或多個來源獲得的信息確定:
①由銷售國政府權威部門制定的目標、指標或終產品準則。
②與食品鏈下一環節組織(經常是顧客)溝通的規范，特別是針對用于進一步加工或非直接消費的終產品。
③與顧客達成一致的可接受水平和/或法律規定的標準，食品安全小組制定的可接受的最高水平。
④缺乏法律規定的標準時，通過科學文獻和專業經驗獲得。
二、危害評價
1、危害評價的作用
對識別出的危害進行評價，以確定需要組織進行控制的危害。
2、危害評價的標準和方法
危害發生可能性是指危害發生的難易程度。危害后果嚴重性是指消費該危害的產品(危害暴露)產生后果的嚴重程度。根據危害發生的可能性和危害后果的嚴重性來確定是不是顯著危害。
顯著危害必須具備兩個特性:①有可能發生(有發生的可能性);②一旦控制不當，可能給消費者帶來不可接受的健康風險(后果的嚴重性)。
一般根據工作經驗、流行病學數據、客戶投訴及技術資料等信息來評估危害發生的可能性;一般用政府部門、權威研究機構向全社會公布的風險分析資料、信息來判定危害的嚴重性。
3、危害評價的要求
①應描述危害評價的方法;
②應記錄食品安全危害評價的結果。
三、危害控制措施的選擇和評價
食品安全小組應針對已評價出的危害選擇適宜的控制措施(或控制措施組合)，并對控制措施的有效性進行評價。
1、控制措施的選擇
應對所選擇的控制措施進行分類，以決定是否需要通過操作性前提方案(OPRP)或HACCP計劃對其進行管理，關鍵控制點的控制措施由HACCP計劃來管理，其余危害的控制措施由操作性前提方案來管理。換言之，如果控制措施的識別和評定不能確定關鍵控制點，則潛在的危害須由操作性前提方案來控制。
一般而言，當已識別的危害與產品本身或某個單獨的加工步驟有關時，必須由HACCP計劃來控制;當識別的危害只與環境或人員有關時，一般由操作性前提方案來控制。有時同一個危害可能由HACCP計劃和操作性前提方案共同控制，如HACCP計劃控制菌的殺滅，操作性前提方案控制病菌的再污染等。必須說明的是，控制措施的分類不是絕對的。只要最終的控制措施組合能夠預防、消除或減少食品安全危害至規定的可接受水平即可。
應將對控制措施進行分類的方法和參數形成文件。控制措施分類判斷樹是確定控制措施分類的一種有用工具。控制措施分類判斷樹針對每一種控制措施設計了一系列邏輯問題，HACCP計劃小組按順序回答決策樹中的問題，便能決定某一控制措施屬于哪一類。但需注意的是，判斷樹不能代替專業知識。
2、控制措施的評價
應對控制措施的有效性進行評價，應保存控制措施評價結果的記錄。評價控制措施的有效性需要以下信息:對微生物性危害影響的性質和因素;將影響哪一類已確定的危害;控制措施被預期應用的階段或位置;生產參數及其操作的不確定性(如操作失敗的概率)，以及實際操作的嚴格程度;操作性質,如調整和變動的可能性。
注:嚴格程度可受多種非直接影響因素的限制，如有關終產品準則的不安全因素(如蛋白質的變質)、產品性質(如水含量、pH值、含鹽量和/或含糖量)、產品可識別性(身份)，消費者方便程度、工藝重點(如可能的加工時間、員工能力)、設備本身的能力(如流量、容量)和技術(如有效過濾孔徑)。
操作性前提方案或HACCP計劃在實施前，要對其有效性進行確認。
四、關鍵控制點的確定
1、關鍵控制點的定義
關鍵控制點(CCP)的定義是能夠施加控制，并且該控制對防止或消除食品安全危害或將其降低到可接受水平是所必需的某一步驟。
2、確定關鍵控制點應注意的問題
① 要區分關鍵控制點和控制點。
控制點是指食品鏈中，能夠控制生物、化學、物理因素的步驟或工序。而只有某一點或某些點被用來控制顯著食品安全危害時，才有可能被認為是關鍵控制點。因此可以說，關鍵控制點肯定是控制點，但并不是所有的控制點都是關鍵控制點。
②要明確關鍵控制點和危害的關系。
a.CCP是HACCP計劃中列明的、需要加以重點控制的點、步驟或過程。CCP是用來控制顯著危害的。
b.一個關鍵控制點可以控制一種以上的顯著危害，例如加熱既能控制細菌所引起的危害，又能控制某些病毒和寄生蟲所引起的危害。
c.幾個關鍵控制點可以用于控制同一種顯著危害，例如在蒸熟的漢堡餅中控制病原體，如果蒸熟時間取決于餅的厚度，那蒸熟和制餅的步驟都被認為是關鍵控制點。
d.生產和加工的特殊性決定關鍵控制點的特殊性。因為危害及其控制點可以隨下列因素變化:生產線、產品配方、加工工藝、設備、原輔料、衛生和支持性程序。所以，一條加工線上確定的某一產品的關鍵控制點，與另一條加工線上的同樣的產品的關鍵控制點不同。
e.有時同一個危害可能由HACCP計劃和操作性前提方案共同控制，如HACCP計劃控制病菌的殺滅，操作性前提方案控制病菌的再污染等。
③顯著危害所介入的那個步驟，不一定是CCP，因為隨后的步驟或工序可能控制該顯著危害。CCP應是控制顯著危害最有效的點。
④應該根據已確定的控制措施確定關鍵控制點。如果控制措施的識別和評定不能確定關鍵控制點，則潛在的危害須由操作性前提方案來控制。
⑤在某些產品加工中可能識別不出關鍵控制點。
⑥CCP不要太多，太多就失去了重點，反而會削弱CCP的控制作用。根據美國FDA的推薦，一般只需3~5個CCP。
3、確定關鍵控制點的原則
如果顯著危害在這一點(或這一步驟/過程)不能得到控制，那么以后就沒有控制該顯著危害的方法了，則該點(步驟/過程)一定是關鍵控制點。以下各點可被認為是關鍵控制點:
①當危害能被預防時，這些點可以被認為是關鍵控制點。
a.通過控制原料接收來預防病原體或藥物殘留。
b.通過對配方或添加過程的控制來預防化學危害。
c.通過設計配方或添加配料抑制病原體在成品中的生長，例如調節pH值或添加防腐劑。
d.通過冷凍貯藏或冷卻來抑制病原體生長。
②能將危害消除的點可以被確定為關鍵掉制點。
a.在蒸煮的過程中，病原體被系死。
b.金屬碎片能通過金屬探測器檢出。
c寄生蟲能通過冷凍被殺死。
③能將危害降低到可接受水平的點可以被確定為關鍵控制點。
a通過人工挑選和自動收集使外來雜質的引入降低到最低程度。
b,通過從認可的種植基地、養殖基地、安全水域獲得原料，使某些微生物和化學危害被減少到最低程度。
4、確定關鍵控制點的方法
CCP判斷樹是確定CCP的一種有用的工具。CC判斷樹針對每一種危害設計了一系列邏輯問題，HACCP小組按順序回答判斷樹中的問題，便能決定某一步驟是否為CCP。但需注意的是，判斷樹不能代替專業知識。
通過CCP判斷樹回答下列5個問題來判斷CCP。
問題1，是否為顯著性危害?
如果回答是，則繼續問題2。
如果回答香，則不是CCP。
問題2，對已確定的危害，在本步或隨后的加工步驟是香有相應的控制措施?
如果回答是，則繼續問題3。
如果在加工中不能確定控制措施能控制危害，回答否。則接著問:對食品安全來說，這步控制是必要的嗎?如果出回答否，該步驟不是關鍵控制點，轉移到下一個顯著危害進行判斷。如果回答是，那么就算確定了一個在現行條件下無法控制的顯著危害，在這種情況下，必須對這個步驟、過程或產品進行重新設計，使其能夠被控制。有時確實無法找到合理的預防措施，在這種情況下，HACCP不能確保產品的安全。
問題3:本步驟能否將發生顯著危害的可能性消除或降低到可接受水平?
要回答這個問題，就要考慮它是否是控制此危害的最好步驟?如果回答是，那么這步為關鍵控制點，轉移到下一個顯著危害。如果回答否，繼續問題4。
問題4:已確定的危害造成的污染是否超出可接受水平或增加到不可接受的水平?
這個問題在本步中指存在、發生或增加的污染。如果回答否，那么這步驟不是關鍵控制點，轉移到下一個顯著危害進行判斷。如果回答是，那么繼續5個問題。
問題5:下一步是否能消除危害或將其降低到可接受水平?
如果回答否，那么該步驟是關鍵控制點，如果回答是，那么這步不是關鍵控制點，在這種情況下，該危害將通過接下來的加工步驟控制。
五、填寫“危害分析工作單”
將危害分析的結論填寫在標準的“危害分析工作單”中。一般采用美國FDA推薦的標準化表格。
“危害分析工作單”的填寫要求如下:
第(1)欄填入加工工序(包括輔料、包裝材料的驗收和貯存);
第(2)欄填入存在的潛在危害;
第(3)欄填入對危害是不是顯著危害的判斷結論(是或否);
第(4)欄填入判斷潛在危害是不是顯著危害的理由;
第(5)欄填入控制顯著危害的措施或說明是以后的哪個步驟控制這些顯著危害;
第(6)欄填入本步驟是不是關鍵控制點的結論(是或否)。
