Copy of ריקול נוטרילון: זה שיעור-מאסטר באיכות.


ריקול בשלבים: מאצווה אחת ועד 21 אצוות. ספויילר: יש יותר אצוות…

כרונולוגיה גלובלית, רצף אירועים (החלק שאף אחד לא מספר לך). אז האירוע שלנו מתחיל עוד הרבה לפני במוצרי תמ״ל של חברות אחרות.

סוף 2025: הסיגנל הראשון

‏Nestlé מדווחת על זיהוי ראשוני של Cereulide (רעלן של Bacillus cereus) ברמות נמוכות מאוד.
בשלב הזה ההיפותזה עדיין “תהליך / ציוד / קו”.

דצמבר 2025: ההיפוך שמגדיר את כל האירוע

החקירה “מתהפכת” ברגע שהם מגיעים ל-oil blend שמכיל ARA.
זה הרגע שבו אירוע מפעל הופך לאירוע שרשרת אספקה.

כי כשחומר גלם כזה מגיע מספק גלובלי פתאום השאלה היא לא “איזה קו”:
אילו מוצרים, באילו מפעלים, באילו מדינות, נגעו באותו רכיב?

ינואר 2026: חברות נוספות נכנסות לתמונה

ריקולים/משיכות מתחילים לצאת גם מחברות אחרות (Danone, Lactalis ועוד) התעשייה מבינה שיש סיכוי לרכיב משותף ולכן מתחילים הצלבות.

סוף ינואר–תחילת פברואר 2026: הסיפור משתנה בגלל רגולציה (EFSA)

יוצאת עם Rapid Risk Assessment, ונכנסת תפיסה קריטית:
לא רק “כמה רעלן באבקה” אלא כמה תינוק באמת נחשף במנה/בפורמולה מוכנה.

פה יש נקודה שחייבים להגיד אותה בקול:
אם עולם הפורמולה מודד שנים “אבקה” ולא “חשיפה” זו פצצה מתקתקת של Design/Regulatory Thinking.
כי תינוק לא אוכל אבקה. הוא שותה מנה.

ישראל: למה זה התחיל מאצווה אחת ואז התרחב?

כי זו בדיוק לוגיקה של חקירה איכותית.

שלב 1 – “מה שבטוח”

מגיעה הודעה מהיצרן באירופה - ריקול לאצווה ספציפית.

שלב 2 – “הצלבה ראשונה”

נכנסים עוד מוצרים (כמו AR) כשמתחילים לראות דפוס או כשהתוצאות/הסף מצביעים על סיכון.

שלב 3 – “סוגרים על מקור”

ברגע שהחקירה מקשרת את הסיכון ל-ARA מספק ספציפי הסקופ נהיה פתאום ברור:
לא “אצווה שנכשלה”, אלא כל אצווה שנגעה באותו רכיב.
וזה מה שמקפיץ את הריקול לגל משמעותי.

מה באמת קורה מאחורי הקלעים (Investigation כמו שצריך) מצרפת חקירה מלאה שסוכן החקירות שלי בנה

כדי להחליט “מה בסקופ” צריך 3 שכבות:

* Finished Goods: איזה מקט / לאן שווק / באילו תאריכים

* Batch: אילו תערובות נכנסו לכל אצווה, rework, line clearance

* Material Trace: איזה לוט של ARA נכנס לאיזה mix, באיזה חלון זמן

ברגע שמזהים רכיב חוצה-אצוות אין “אצווה אחת”. יש משפחה.

Retained Samples + מאות בדיקות אנליטיות

כאן מגיע החלק הכואב:

* לוקחים דגימות שמורות אחורה

* רצים אנליטיקה (ולפעמים משנים method באמצע)

* מייצרים מפת סיכון שמתעדכנת כל שבוע

זה לא “לא ידעו”. זה “הם פיצחו בזמן אמת”.

מה לקחתי מהאירוע הזה (ומה אני רוצה שכל ארגון ייקח)

1. ריקול בשלבים הוא סימן לחקירה שחיה, לא תמיד סימן לכשל. הכשל האמיתי הוא ריקול “חד-פעמי מושלם” בלי מיפוי עומק ואז מתפוצץ שוב.

2. סף בדיקה שלא משקף חשיפה אמיתית הוא מתכון לאירוע הבא.
אם הספציפיקציה שלך לא קשורה לדרך צריכה היא לא מגינה על מטופלים.

3. חומר גלם גלובלי = Single Point of Failure גלובלי.
וזה אומר: ניהול ספקים, בדיקות קבלה, ושחרור חומרי גלם חייבים להיות בנויים אחרת לגמרי במוצרים לתינוקות.

שאלה אחת למנהלי איכות:

אם מחר בבוקר את/ה צריך/ה להחליט סקופ לריקול, יש לך היום בארגון את היכולת לענות תוך 4 שעות על השאלה:

“איזה אצוות, באיזה מדינות, נגעו בלוט הספציפי הזה של חומר הגלם?”

אם התשובה היא “בערך”- זה פער מערכת.

---

חקירה מלאה על ידי סוכן הAI שבניתי, מתודולוגיית 5Whys

בעיית-העל (Problem Statement)

פורמולות לתינוקות (כמה מותגים/מדינות) נכנסו לריקול בשל חשד/נוכחות של Cereulide ברמות שמעלות חשש לבטיחות; הריקול התרחב בשלבים

מסלול A: “למה היה Cereulide בפורמולה בכלל?” (שורש טכני/שרשרת אספקה)

Why #1 — למה נדרש ריקול לפורמולות של תינוקות ממותגים שונים במדינות שונות?

כי זוהתה/נחשדה נוכחות Cereulide בפורמולה (או במרכיב שמגיע לפורמולה) ברמה שעלולה לחרוג מהערכת החשיפה הבטוחה לתינוקות.

Why #2 — למה Cereulide הופיע בכלל במערכת?

כי כנראה היה מקור זיהום/יצירה של הרעלן לאורך השרשרת, בסבירות גבוהה בחומר גלם שומני (oil blend / ARA) שנכנס לתערובת הפורמולה.

Why #3 — למה דווקא חומר גלם שומני (ARA/oil blend) הוא מועמד חזק?

כי:

• Cereulide מיוצר ע״י Bacillus cereus בתנאים מסוימים,

• והרעלן יציב מאוד (לא “נעלם” בחימום),

• וחומרי גלם שומניים/תערובות שמנים הם “נקודת חיבור” שחוצה הרבה אצוות, ולכן כשמזהים שם חריגה—ההשפעה מיד נהיית רוחבית.

Why #4 — למה חומר גלם כזה יכול להגיע עם בעיה?

כאן יש פיצול — כמה תשובות אפשריות (כולן יכולות להיות נכונות במקביל):

A4.1 — כשל בתהליך הייצור אצל הספק

הספק ייצר/אחסן/העביר את ARA/oil blend בתנאים שאפשרו נוכחות/שגשוג Bacillus cereus או מעבר של תוצריו, וכתוצאה מכך נוצר/נשמר Cereulide במוצר.

A4.2 — כשל במערכת היגיינה/בקרת זיהומים אצל הספק

אין שליטה מספקת על ביובורדן/סביבת ייצור/ניקוי ציוד/בקרת נקודות קריטיות, כך שזיהום תהליכי “שרד” וחזר.

A4.3 — כשל בהגדרת מפרט חומר גלם (Specification) ביחס לרעלן

ה-Spec של חומר הגלם לא כלל דרישה מתאימה/רגישה ל-Cereulide (או לא דרש בדיקה תדירה/שיטת בדיקה מסוימת), ולכן גם חומר גלם “שעמד בספק” יכל לעבור.

A4.4 — כשל באימות שרשרת קירור/אחסון/לוגיסטיקה

גם אם הייצור היה תקין, תנאי אחסון/הובלה לא מבוקרים יכלו ליצור תנאים שיקדמו בעיות מיקרוביאליות/פירוק/ריכוז חריג (תלוי במנגנון הספציפי — כרגע לא פומבי לגמרי).

Why #5 — למה הכשלים האלה יכלו לקרות בלי להיתפס?

כאן גם יש פיצול, וזה כבר “שורשי” ניהולית:

A5.1 — בקרת ספקים לא התייחסה לרעלן הזה כסיכון “קריטי”

כלומר: הסיכון לא קיבל דירוג שמצדיק audit depth, דרישות CPP/CCP, או release testing קשוח.

A5.2 — אסטרטגיית Incoming Inspection לא התאימה ל-Risk Profile

בדיקות קבלה נשענו על COA/בדיקות שאינן ממוקדות Cereulide או אינן רגישות מספיק, ולכן “מה שלא מחפשים — לא מוצאים”.

A5.3 — עקיבות Traceability/Batch genealogy איפשרו שימוש רחב באותו רכיב לפני זיהוי

כלומר: אותו לוט של ARA נכנס להרבה תערובות → הרבה אצוות → הרבה מדינות — לפני שהיה טריגר שחוסם אותו.

✅ Root Causes אפשריים למסלול A (קבוצה):

• כשל תהליכי/היגייני אצל ספק חומר הגלם (ARA/oil blend).

• Spec ו־release testing לא מכוונים לרעלן/לסיכון הנכון.

• ניהול ספקים ובקרת קבלה לא היו מותאמים ל-hazard הזה כ-single point of failure גלובלי.

מסלול B: “למה הריקול התרחב בשלבים?” (סקופינג ו־Traceability)

Why #1 — למה הריקול התחיל קטן ואז גדל?

כי בתחילת האירוע היה מידע מאומת רק על אצווה/קבוצת אצוות מצומצמת, אבל לא היה עדיין מיפוי מלא של המקור והרוחב.

Why #2 — למה לא היה מיפוי מלא ביום הראשון?

כי צריך לבצע:

• Retained samples testing (אחורה בזמן),

• Batch genealogy (איזה תערובת/חומר גלם נכנס לאיזה batch),

• והצלבת supplier lots ↔ finished goods — וזה לוקח זמן ומידע.

Why #3 — למה בדיקות אחורה דורשות זמן?

כי:

• אנליטיקה לרעלן (Cereulide) דורשת שיטה רגישה/ולידציה/מעבדות מתאימות,

• ויש מאות דגימות אפשריות (חומר גלם, תערובות, מוצר סופי),

• וחייבים לבנות מטריצת בדיקות: מה דוגמים, כמה, מאיזה חלונות זמן.

Why #4 — למה ההצלבה השתפרה רק בהמשך?

כי נקודת השבירה מגיעה כשמזהים “מקור משותף”:

• למשל ARA מספק ספציפי → אז אפשר להגדיר סקופ לפי “כל מה שנגע בלוטים האלה”.

Why #5 — למה צריך מקור משותף כדי לסגור סקופ?

כי בלי מקור משותף, יש לך רק “אצוות שנכשלו” — וזה עלול לפספס אצוות שנראות תקינות אבל חשופות.

ברגע שיש מקור משותף, הסקופ הופך לכלל חזק:

כל batch שנוגע בלוט X של חומר גלם Y נכנס לסיכון עד שיוכח אחרת.

✅ Root Causes אפשריים למסלול B (קבוצה):

• traceability/visibility בין supplier lots לבין finished batches לא “מיידי”, ולכן הסקופ נבנה בהדרגה.

• תלות ב-retained samples + אנליטיקה מורכבת כדי להגדיר היקף אמיתי.

• ההחלטה לעבור מ-“affected batches” ל-“potentially affected by common ingredient” מגיעה רק כשהחקירה סוגרת על מקור.

מסלול C: “למה זה התגלה רק עכשיו אם האצוות יוצרו ב-2025?” (בקרת שינוי, שיטת מדידה, רגולציה)

Why #1 — למה אצוות שיוצרו מוקדם יותר הפכו לרלוונטיות חודשים אחרי?

כי הזיהוי/החשד התגבש מאוחר יותר, ובמקביל נכנסו שינויים בשיטת הערכה/סף/מתודולוגיה שהפכו רמות “שקטות” לרמות שמצריכות פעולה.

Why #2 — למה שינוי בסף/מתודולוגיה משנה את ההחלטה?

כי כשהסיכון נמדד על בסיס חשיפה אמיתית (כמה תינוק צורך במנה/בפורמולה משוחזרת) במקום רק על בסיס אבקה, אותו מספר במעבדה יכול לקבל משמעות שונה:

מה שנראה “תיאורטית נמוך” באבקה, יכול להפוך לחריגה בחשיפה בפועל.

Why #3 — למה מלכתחילה הסתמכו על מסגור “אבקה” ולא “מנה/חשיפה”?

פיצול אפשרי:

C3.1 — מסגור היסטורי של Specs סביב חומר (powder-based) ולא COU (consumption-based)

כלומר: התקנים/השגרות נבנו סביב שליטה בייצור ולא סביב עקרון exposure.

C3.2 — חוסר בהירות רגולטורית/מדעית עד לאירוע

כל עוד אין ARfD/קווים מנחים ברורים, התעשייה נוטה להיצמד למה שמוגדר.

C3.3 — “Known unknown”: Cereulide לא היה Hazard נפוץ במיינסטרים של פורמולות

כלומר לא מוקם סביבו מערך בדיקה שגרתי כמו למשל סיכונים יותר קלאסיים.

Why #4 — למה זה לא זוהה קודם במסגרת ניטור שגרתי?

כי או שלא בדקו Cereulide ברוטינה, או שבדקו ברגישות/תדירות שלא הייתה מספיק “תופסת” את האירוע, או שהבדיקה הייתה על מטריצה אחרת (powder vs reconstituted).

Why #5 — למה מערך הניטור לא היה בנוי לזה?

שורשים אפשריים:

• חסר Design-to-risk של מערך בדיקות סביב חשיפה לתינוק.

• הסתמכות יתר על COA של ספק בלי verification מתאימה.

• שינויי ידע/רגולציה איטיים יחסית לסיכון שמתפתח בשטח.

✅ Root Causes אפשריים למסלול C (קבוצה):

• gap של “exposure-based specification” מול “powder-based specification”.

• רוטינת בדיקה/שיטות אנליטיות שלא כוונו מספיק ל-hazard הזה עד האירוע.

• governance של שינוי סף/מתודולוגיה שיצר “גילוי בדיעבד” לאצוות ישנות.

מסלול D: “למה זה נהיה גלובלי וחוצה חברות?” (תלות בספקים גלובליים + Industry alerts)

Why #1 — למה כמה חברות במדינות שונות נכנסו לריקולים סביב אותו hazard?

כי היה כנראה רכיב משותף/ספק משותף/קבוצת ספקים שמספקים ARA/oil blends לתעשייה רחבה, ולכן חשיפה יכולה להיות רב-מותגית.

Why #2 — למה משתמשים באותו ספק/אותו רכיב רוחבית?

כי:

• יש מעט ספקים גלובליים לתוצרים כאלה,

• הספק “מאושר רגולטורית” ועובר qualification,

• ולכן התעשייה מתכנסת אליו (עלות/יכולת/רגולציה/קיבולת).

Why #3 — למה תלות כזו הופכת Single Point of Failure?

כי “תקלה אחת” בחומר גלם הופכת לאירוע multi-company לפני שהמערכות מגיבות, במיוחד כשהלוטים מופצים לריבוי מפעלים/מדינות.

Why #4 — למה חברות אחרות מבינות שזה קשור אליהן רק אחרי זמן?

כי הן צריכות:

• לקבל industry alert / מידע מרגולטור/איגוד,

• להריץ traceability פנימי,

• לבצע בדיקות על retained samples,

ואז להחליט על פעולה.

Why #5 — למה אין מערכת שמזהה מראש קשר בין חברות?

כי אין “מאגר” שקוף גלובלי שמקשר supplier lots לתוצרים בכל תעשייה (ובצדק מסחרי), ולכן אירועים כאלה מזוהים דרך:

• רגולטורים,

• דיווחי תעשייה (trade associations),

• הודעות ספקים.

✅ Root Causes אפשריים למסלול D (קבוצה):

• תלות מרוכזת בספקים גלובליים לחומרי גלם קריטיים.

• חסר visibility בין-חברתי (אינהרנטי), ולכן הסנכרון קורה רק אחרי alerts ובדיקות פנימיות.

סיכום “Potential Root Cause” (במילים של CAPA)

כדי לתרגם את זה ל-CAPA, הייתי מסכמת את סיבות השורש האפשריות ל־4 משפחות:

1.Supplier/Manufacturing Controls

כשל בייצור/היגיינה/אחסון אצל ספק ARA/oil blend + בקרת תהליך לא מספקת.

2.Specification & Testing Strategy

הגדרת spec ו־release testing לא “תופסים” Cereulide/לא רגישים/לא תדירים/לא במטריצה הנכונה (חשיפה/פורמולה מוכנה).

3. Traceability & Scope Governance

Batch genealogy ו-supplier lot mapping לא מאפשרים סקופ מיידי → ריקול בשלבים

4. Regulatory/Scientific Evolution

שינוי ב־risk assessment (ARfD, exposure-based) + שיטות אנליטיות → “גילוי מאוחר” של אצוות ישנות.