我参观过的每一个食品生产现场都有一个质量文件夹。有时它是实体的——生产线旁边的一个活页夹。有时它是一个按年份命名文件夹的共享云盘。通常两者兼有。在许多情况下，这个文件夹中的批次记录是在轮班结束时填写的——通过记忆、每天早上都会被擦掉的白板，或是下班前与生产线操作员的简短交谈来还原出来的。
HACCP 计划表明每两小时检查一次关键控制点。而实际的检查却是在有人想起来的时候才进行的。
这并不是弄虚作假。这就是食品生产的实际运作方式。
软件的设想
大多数食品安全与生产软件都是围绕监管模型设计的：HACCP 标准、审计检查表、认证要求。它经过优化，是为了生成能让审核员满意的文档——而不是为了帮助生产线上的员工完成他们的工作。
结果就是这些软件虽然功能全面却无人问津。包含三十个字段的表单需要花费十二分钟才能填完。完全照搬监管格式的批次记录模板，根本不符合任何人的实际工作流。追溯系统需要手动录入已经存在于其他地方的数据。
当软件要求改变工作流以适应自身时，工作流并没有改变。相反，软件被绕开了。批次记录在轮班结束时才被重新补全。HACCP 记录展示了本该发生的情况。审核员满意了。风险却依然存在。
谱系追溯问题
询问任何食品工厂的生产经理他们会如何处理召回。大多数人都能准确而迅速地在脑海中回答这个问题。他们知道哪些批次使用了相同的进料批次。他们知道哪些客户收到了这些批次的产品。他们之所以知道，是因为他们管理那条生产线已经十一年了。
他们无法做到的，是以一种在他们离职后依然有效的方式将这些知识记录下来。
食品生产中的 Genealogy ——从原材料批次向前追溯至成品，或从客户投诉向后追溯至引发该问题的进料的能力——是食品企业最重要的运营核心能力之一。这也是最常被通过电子表格和企业记忆来管理的内容之一。
这里的软件问题不在于没有人开发 Genealogy 模块。实际上有人开发了。问题在于，数据录入的负担过重，导致记录不完整或只是大概数据，这意味着 Genealogy 查询只能提供部分的答案。在召回情况下，部分的答案比没有答案更糟，因为它会制造一种虚假的安全感。你以为自己了解波及范围。其实你并不了解。
无人记录的过敏原切换
这里有一个发生频率超出预期的具体场景。一个生产现场在上午生产含有过敏原的产品，而在下午生产“不含该过敏原”的产品。切换程序是有记录的——就在墙上的一张塑封卡片上。它涉及按照特定的方案进行清洁、目视检查以及签字确认。
在实际操作中：了解该程序的生产线操作员是 Maria。当 Maria 休假时，她的同事大约知道 Maria 会怎么做，于是也大概照着做。字签了。记录也存在了。至于清洁工作是否真正达到了标准，靠的是企业内部知识，而不是系统的强制执行。
把这当作文档记录问题来处理的软件——创建一个检查表，获取一个签名——其实什么也没解决。签名只能证明有人勾选了这些复选框。它不能证明过敏原已经被清除了。
真正有效的方法是：在执行动作的节点，将程序直接内嵌到工作流中的系统。在传感器确认、测试结果被记录，并附带时间戳和操作员 ID 完成特定方案步骤之前，生产线不能被释放用于下一个产品——而不是在事后让别人去回忆两个小时前发生了什么再来补填。
真正被使用的软件
真正能改变结果的食品生产软件，其设计是围绕着大多数企业合规工具所忽视的几个原则展开的。
数据录入的速度比表单的完整性更重要。两秒钟的扫描每次都能胜过两分钟的表单，哪怕表单能捕获更多数据。在情境中捕获的数据——在执行动作的现场，由执行动作的人员捕获——比依靠记忆还原的数据更准确。需要十二分钟填写的表单是不会在操作过程中填写的。它会被留到事后，凭借某人的记忆来填写。
异常情况比流程更重要。流程已经记录在案。塑封卡片就贴在墙上。每个人都受过培训。软件的任务是捕获流程没有被执行的情况——而不是生成一份记录来证明它被执行了。对偏差发出警报。标记缺失的检查。当缺失两条记录时，不要生成一份显示一切合规的报告。
系统必须要在工厂车间现场能运行。被工业清洁产品擦拭的共享终端。加固型平板电脑。并非由操作员选择也不归他们所有的设备。如果戴着手套无法操作，在冷库中无法运行，让站立了六个小时的员工无法使用，那它就不合格。只能在办公室里使用的软件，最终只会变成每天早上都要被擦除的白板上的副本。
食品安全合规性与食品安全实践之间的差距是真实存在的、持续不断的，并且被大多数旨在消除这一差距的软件所低估。能够弥合这一差距的企业，其开发的软件是基于工厂的真实情况——而不是审计框架所设想的情况。
这是一项更为艰巨的设计任务。它要求我们深入了解生产车间，而不仅仅是了解法规。但这也是唯一值得去接受的任务。