La convalida del sistema nell'industria farmaceutica è un processo cruciale per garantire che i sistemi computerizzati siano adatti all'uso previsto e soddisfino i requisiti normativi vigenti. Si tratta di un requisito obbligatorio delle cGMP (current Good Manufacturing Practices) ed è essenziale per gestire la qualità dei prodotti fabbricati. Qualsiasi sistema computerizzato che possa influire sulla sicurezza del paziente, sulla qualità del prodotto e sull'integrità dei dati deve essere adeguatamente convalidato.
Leggete di più o ascoltate il nostro podcast sull'IA:
La convalida mira a sviluppare le buone pratiche esistenti nel settore in modo efficiente ed efficace. Si tratta di dimostrare attraverso prove documentate che ogni sistema computerizzato produca costantemente i risultati attesi. I principali requisiti normativi e le linee guida che informano la convalida in questo settore includono le normative GxP (Good Practice), il volume 4 di EudraLex, l'allegato 11 sui sistemi computerizzati, il 21 CFR Part 11 della FDA statunitense sui record elettronici e le firme elettroniche e la guida GAMP dell'ISPE: A Risk-Based Approach to Complaint GxP Computerized Systems (GAMP 5). La GAMP 5, ad esempio, fornisce una guida pratica, stabilisce un linguaggio comune e promuove un approccio al ciclo di vita del sistema basato sulle buone prassi.
In questo contesto, un sistema computerizzato, come i sistemi MES o EBR di Accevo, è un insieme di componenti software e hardware che insieme soddisfano determinate funzionalità. Il software applicativo deve essere convalidato, mentre l'infrastruttura IT sottostante deve essere qualificata. Se un sistema computerizzato sostituisce un'operazione manuale, non deve diminuire la qualità del prodotto, il controllo del processo o la garanzia di qualità, né aumentare il rischio complessivo del processo.
Il modello V nella convalida dei sistemi
L'approccio generale alla convalida di un sistema computerizzato come il MES o l'EBR integra le attività di convalida con l'implementazione del sistema, tipicamente seguendo una Ciclo di vita del sistema. Questo ciclo di vita spesso comprende fasi come la pianificazione e le specifiche, la progettazione e lo sviluppo, la verifica, il funzionamento e la dismissione. Il livello di impegno della convalida è commisurato alla complessità del sistema (categorizzazione) e al rischio associato all'uso previsto (criticità cGxP). Il processo di convalida viene spesso rappresentato con un Modello V.
Le tipiche attività di convalida e la relativa documentazione comprendono:
- Piano generale di convalida (VMP): Un documento fondamentale che fornisce una panoramica delle attività di convalida e qualificazione pianificate, definendo l'ambito, il quadro di riferimento, gli standard del sistema di qualità, i ruoli e le responsabilità, l'approccio e gli elementi da fornire per la convalida.
- Piano di convalida (VP): Descrive le attività e i risultati specifici richiesti per l'implementazione e il funzionamento del sistema, fornendo una pianificazione dettagliata, definendo le responsabilità ed elencando la documentazione necessaria. Fornisce la prova che le attività di convalida saranno sistematiche e controllate.
- Specifiche dei requisiti utente (URS): Documenta le esigenze e i requisiti aziendali per i processi controllati dal sistema. Specifica ciò che il sistema deve eseguire. L'URS comprende i requisiti generali, i requisiti normativi (come quelli per l'integrità dei dati, la traccia di audit e la sicurezza) e i requisiti funzionali/processuali. Dovrebbe includere un elenco dei luoghi in cui vengono utilizzati i record e le firme elettroniche e che hanno un impatto normativo. I requisiti sono identificabili in modo univoco.
- Analisi del rischio (RA): Un processo sistematico, che spesso utilizza metodi come la FMEA semplificata (Failure Mode and Effects Analysis) basata sulle raccomandazioni GAMP 5, per valutare, controllare, comunicare e rivedere il rischio durante il ciclo di vita del sistema. Valuta la rilevanza GxP del sistema, l'integrità dei dati e l'impatto sui processi di qualità, definendo anche le azioni correttive. Le attività di convalida si basano spesso sulle conclusioni dell'analisi dei rischi.
- Specifiche funzionali (FS) e specifiche di progettazione software/hardware (DS): Il FS descrive le funzioni e i moduli del sistema utilizzati per soddisfare i requisiti definiti nell'URS. Il DS documenta il modo in cui viene costruito il sistema, compresi struttura, algoritmi, logica, formati di dati e descrizioni delle interfacce. Il DS comprende anche le specifiche di configurazione e di progettazione HW/SW. Il FS viene creato a partire dall'URS e da eventuali documenti di proposta e costituisce la base per i test di funzionalità. La Qualificazione della progettazione (DQ) prevede la valutazione della documentazione del progetto per stabilire se il sistema è stato progettato secondo le regole GMP/GAMP.
- Qualificazione dei fornitori (SQ): Valuta se il fornitore è in grado di fornire un prodotto o un servizio di alta qualità, di soddisfare i requisiti normativi, di disporre di procedure di qualità adeguate e di gestire l'implementazione, il supporto e gli aggiornamenti.
- Qualificazione dell'installazione (IQ): Verifica l'installazione e la configurazione documentata di tutti i componenti del sistema, sia hardware che software, in base alle specifiche. Comprende la verifica della corretta installazione e configurazione.
- Qualificazione operativa (OQ): Conferma che il sistema funziona come descritto nella specifica funzionale. L'OQ verifica le funzioni più critiche del sistema, in particolare quelle che gestiscono i dati critici, e include risultati di test positivi e negativi. Dovrebbe includere la verifica dei requisiti normativi per le registrazioni e le firme elettroniche. L'OQ viene tipicamente eseguito in un ambiente di convalida.
- Qualificazione delle prestazioni (PQ): Verifica e documenta che i requisiti dell'utente sono soddisfatti. Il PQ verifica l'intero processo gestito dal sistema, come definito nell'URS. I test PQ sono spesso eseguiti nell'ambiente di produzione utilizzando dati reali.
- Matrice di rintracciabilità (TM): Mappatura di tutti i requisiti tecnici dell'URS nelle sezioni corrispondenti dei documenti di progettazione e delle procedure di prova (IQ/OQ/PQ). L'obiettivo è verificare che tutti i requisiti definiti nell'URS siano soddisfatti dal sistema. Dimostra la relazione tra i requisiti dell'utente e i test eseguiti con successo.
- Rapporto di sintesi della convalida (VSR): Un documento emesso alla fine del processo di convalida che riassume tutte le attività e i risultati pianificati. Analizza i dati raccolti, riporta i risultati dei test (comprese le non conformità), conferma che le attività sono state eseguite come previsto, valuta i risultati dei test rispetto ai criteri di accettazione e fornisce una chiara dichiarazione che il sistema è verificato e rilasciato per l'uso operativo. La matrice di rintracciabilità è tipicamente inclusa come allegato.
Chi convalida?
La convalida viene eseguita da diversi ruoli, tra cui il Proprietario del processo (responsabile del processo aziendale, revisione dei documenti di convalida, gestione delle modifiche), Proprietario del sistema (responsabile delle questioni tecniche, delle infrastrutture, delle fasi di approvazione), Unità di qualità (responsabile delle questioni di qualità, della revisione/approvazione di specifici prodotti, della garanzia di conformità), Responsabile di progetto (responsabilità generale per la fornitura della soluzione, revisione dei deliverable), e la Fornitore (fornisce implementazione del sistema, servizi di consulenza, test).
Mantenere la convalida durante il ciclo di vita del sistema
La convalida non è solo un'attività una tantum al momento dell'implementazione. Mantenere il Stato convalidato durante la vita operativa del sistema e durante la sua fase di dismissione. Le attività di queste fasi comprendono il passaggio di consegne, la gestione del supporto, il monitoraggio delle prestazioni, la gestione degli incidenti, la CAPA, la gestione delle modifiche, la riparazione, la revisione periodica, il backup e il ripristino, la continuità operativa, la gestione della sicurezza, l'amministrazione del sistema, la migrazione dei dati e il pensionamento/smaltimento del sistema.
In questo contesto, un sistema computerizzato è un insieme di componenti software e hardware che insieme svolgono determinate funzionalità. Il software applicativo deve essere convalidato, mentre l'infrastruttura informatica sottostante deve essere qualificata. Se un sistema computerizzato sostituisce un'operazione manuale, non deve diminuire la qualità del prodotto, il controllo del processo o la garanzia di qualità, né aumentare il rischio complessivo del processo.
L'approccio generale alla convalida di un sistema computerizzato integra le attività di convalida con l'implementazione del sistema, in genere seguendo un ciclo di vita del sistema. Questo ciclo di vita spesso comprende fasi come la pianificazione e le specifiche, la progettazione e lo sviluppo, la verifica, il funzionamento e la dismissione. Il livello di impegno della validazione è commisurato alla complessità del sistema (categorizzazione) e al rischio associato all'uso previsto (criticità cGxP). Il processo di validazione è spesso rappresentato con un modello a V.
Le tipiche attività di convalida e la relativa documentazione comprendono:
- Piano generale di convalida (VMP): Un documento fondamentale che fornisce una panoramica delle attività di convalida e qualificazione pianificate, definendo l'ambito, il quadro di riferimento, gli standard del sistema di qualità, i ruoli e le responsabilità, l'approccio e gli elementi da fornire per la convalida.
- Piano di convalida (VP): Descrive le attività e i risultati specifici richiesti per l'implementazione e il funzionamento del sistema, fornendo una pianificazione dettagliata, definendo le responsabilità ed elencando la documentazione necessaria. Fornisce la prova che le attività di convalida saranno sistematiche e controllate.
- Specifiche dei requisiti utente (URS): Documenta le esigenze e i requisiti aziendali per i processi controllati dal sistema. Specifica ciò che il sistema deve eseguire. L'URS comprende i requisiti generali, i requisiti normativi (come quelli per l'integrità dei dati, la traccia di audit e la sicurezza) e i requisiti funzionali/processuali. Dovrebbe includere un elenco dei luoghi in cui vengono utilizzati i record e le firme elettroniche e che hanno un impatto normativo. I requisiti sono identificabili in modo univoco.
- Analisi del rischio (RA): Un processo sistematico, che spesso utilizza metodi come la FMEA semplificata (Failure Mode and Effects Analysis) basata sulle raccomandazioni GAMP 5, per valutare, controllare, comunicare e rivedere il rischio durante il ciclo di vita del sistema. Valuta la rilevanza GxP del sistema, l'integrità dei dati e l'impatto sui processi di qualità, definendo anche le azioni correttive. Le attività di convalida si basano spesso sulle conclusioni dell'analisi dei rischi.
- Specifiche funzionali (FS) e specifiche di progettazione software/hardware (DS): Il FS descrive le funzioni e i moduli del sistema utilizzati per soddisfare i requisiti definiti nell'URS. Il DS documenta il modo in cui viene costruito il sistema, compresi struttura, algoritmi, logica, formati di dati e descrizioni delle interfacce. Il DS comprende anche le specifiche di configurazione e di progettazione HW/SW. Il FS viene creato a partire dall'URS e da eventuali documenti di proposta e costituisce la base per i test di funzionalità. La Qualificazione della progettazione (DQ) prevede la valutazione della documentazione del progetto per stabilire se il sistema è stato progettato secondo le regole GMP/GAMP.
- Qualificazione dei fornitori (SQ): Valuta se il fornitore è in grado di fornire un prodotto o un servizio di alta qualità, di soddisfare i requisiti normativi, di disporre di procedure di qualità adeguate e di gestire l'implementazione, il supporto e gli aggiornamenti.
- Qualificazione dell'installazione (IQ): Verifica l'installazione e la configurazione documentata di tutti i componenti del sistema, sia hardware che software, in base alle specifiche. Comprende la verifica della corretta installazione e configurazione.
- Qualificazione operativa (OQ): Conferma che il sistema funziona come descritto nella specifica funzionale. L'OQ verifica le funzioni più critiche del sistema, in particolare quelle che gestiscono i dati critici, e include risultati di test positivi e negativi. Dovrebbe includere la verifica dei requisiti normativi per le registrazioni e le firme elettroniche. L'OQ viene tipicamente eseguito in un ambiente di convalida.
- Qualificazione delle prestazioni (PQ): Verifica e documenta che i requisiti dell'utente sono soddisfatti. Il PQ verifica l'intero processo gestito dal sistema, come definito nell'URS. I test PQ sono spesso eseguiti nell'ambiente di produzione utilizzando dati reali.
- Matrice di rintracciabilità (TM): Mappatura di tutti i requisiti tecnici dell'URS nelle sezioni corrispondenti dei documenti di progettazione e delle procedure di prova (IQ/OQ/PQ). L'obiettivo è verificare che tutti i requisiti definiti nell'URS siano soddisfatti dal sistema. Dimostra la relazione tra i requisiti dell'utente e i test eseguiti con successo.
- Rapporto di sintesi della convalida (VSR): Un documento emesso alla fine del processo di convalida che riassume tutte le attività e i risultati pianificati. Analizza i dati raccolti, riporta i risultati dei test (comprese le non conformità), conferma che le attività sono state eseguite come previsto, valuta i risultati dei test rispetto ai criteri di accettazione e fornisce una chiara dichiarazione che il sistema è verificato e rilasciato per l'uso operativo. La matrice di rintracciabilità è tipicamente inclusa come allegato.
La linea di fondo
La convalida viene eseguita da diversi ruoli, tra cui il Process owner (responsabile del processo aziendale, revisione dei documenti di convalida, gestione delle modifiche), il System owner (responsabile delle questioni tecniche, dell'infrastruttura, dell'approvazione delle fasi), l'unità Quality (responsabile delle questioni di qualità, revisione/approvazione di specifici deliverable, garanzia di conformità), il Project manager (responsabile generale della consegna della soluzione, revisione dei deliverable) e il Supplier (che fornisce l'implementazione del sistema, servizi di consulenza, test).
La convalida non è solo un'attività una tantum al momento dell'implementazione. È fondamentale mantenere lo stato di convalida anche durante la vita operativa del sistema e durante la fase di dismissione. Le attività di queste fasi comprendono il passaggio di consegne, la gestione del supporto, il monitoraggio delle prestazioni, la gestione degli incidenti, la CAPA, la gestione delle modifiche, la riparazione, la revisione periodica, il backup e il ripristino, la continuità operativa, la gestione della sicurezza, l'amministrazione del sistema, la migrazione dei dati e il pensionamento/smaltimento del sistema.
Vale la pena di saperlo! Esiste la possibilità di implementare un sistema computerizzato come l'OEE nell'industria farmaceutica senza convalida per supportare un sistema locale non critico; per saperne di più, leggete qui: Come implementare un sistema di monitoraggio OEE senza validazione in 3 mesi? - Caso di studio.
Controlla anche: