Come redigere requisiti URS verificabili per isolatori, BIBO, pass box VHP ed EDS

I requisiti vaghi raramente vengono bocciati durante la revisione dell’URS. Vengono bocciati durante il FAT, quando chi redige il protocollo non riesce a individuare un criterio di accettazione e il programma di qualificazione deve assorbire il ritardo. Un requisito che recita “l’isolatore deve garantire il contenimento durante il cambio dei guanti” può superare una revisione documentale senza che nessuno si accorga che non specifica mai quale agente di prova metta alla prova la barriera, quale strumento misuri il risultato o quale documentazione provi che la condizione sia stata soddisfatta. Il costo non è solo il tempo dedicato alla revisione, ma anche le ripetute riunioni di allineamento tra il fornitore, il team di controllo qualità e l’ingegnere addetto alla validazione in loco, spesso dopo che le decisioni relative alla fabbricazione sono già state prese. Ciò che risolve questo problema è una disciplina di redazione applicata prima che l’URS lasci il team di progetto: se un addetto ai test non è in grado di scrivere un test relativo a un requisito senza dover tirare a indovinare, il requisito non è pronto. Le sezioni seguenti danno a tale disciplina una forma specifica per isolatori, sistemi BIBO, pass box VHP ed EDS, e si concludono con una regola per decidere se un singolo requisito meriti o meno di essere inserito nel documento.

Formulazioni verificabili per le funzioni di barriera degli isolatori

I documenti URS relativi agli isolatori contengono spesso requisiti relativi alla funzione di barriera che sembrano validi durante la revisione interna, ma che falliscono durante il FAT. Lo schema di fallimento è sempre lo stesso: i requisiti sono formulati come intenti progettuali anziché come risultati verificabili. “Il sistema deve mantenere un differenziale di pressione negativo” sembra completo finché chi redige il protocollo non chiede quale sia il valore target, quale sia la tolleranza, dove sia posizionato il sensore, con quale frequenza effettui il campionamento e in quale stato entri il sistema quando la lettura esula dall’intervallo. Nulla di tutto ciò è implicito nella frase. Tutto deve essere riportato nello script di prova, il che significa che chi redige il protocollo deve inventare la risposta o riaprire l’URS.

La soluzione pratica consiste nel considerare ogni requisito relativo alle barriere di isolamento come composto da quattro elementi prima che possa essere considerato completo: un attore (quale sistema o ruolo), una condizione di input (quale stato o parametro fa scattare il requisito), un output richiesto o uno stato del sistema e un vincolo (limite di tempo, classe di precisione, tipo di strumento o intervallo di registrazione). Un requisito relativo alla risposta in caso di superamento della pressione, ad esempio, dovrebbe specificare la soglia differenziale, lo standard del sensore, il comportamento dell’allarme visivo e acustico e se il sistema entra in uno stato bloccato che richiede un intervento manuale autorizzato. Questo livello di specificità richiede più tempo per la stesura. Significa inoltre che chi redige il protocollo FAT non deve inventare nulla.

Un secondo errore comune consiste nel raggruppare condizioni correlate in un unico requisito utilizzando costruzioni del tipo “e/o”. Se un elemento riguarda sia l’attivazione dell’allarme che il comportamento dell’interblocco della porta, si tratta di due condizioni verificabili separatamente: una potrebbe superare il test mentre l’altra potrebbe fallirlo. Gli elementi raggruppati creano stati di conformità parziale che i protocolli di qualificazione non sono in grado di valutare in modo univoco. Ogni condizione atomica dovrebbe avere un proprio numero e un proprio criterio di accettazione.

La norma ASTM E2500-25 sostiene il principio fondamentale secondo cui i requisiti devono essere espressi in una forma che consenta una verifica oggettiva — non come regola prescrittiva relativa alla struttura sintattica, ma come aspettativa del quadro di riferimento per i test che definisce le modalità di valutazione del linguaggio delle specifiche. Redigere i documenti in un'ottica di verificabilità sin dall'inizio garantisce che l'URS sia in linea con tale aspettativa, senza dover attendere che la fase di verifica metta in luce eventuali lacune.

Requisiti BIBO legati alla documentazione relativa alla manutenzione

I requisiti relativi agli alloggiamenti “bag-in/bag-out” presentano una specifica vulnerabilità a livello di documentazione che non sempre si riscontra nei requisiti relativi agli isolatori: l’accesso per la manutenzione. Le prestazioni funzionali di un Sistema BIBO dipende dalle procedure di sostituzione dei filtri che devono essere eseguibili in condizioni di contenimento, e spesso è proprio nell’URS che vengono definite – o tacitamente omesse – le aspettative in materia di documentazione relative a tali procedure.

Un requisito URS che recita “la sostituzione del filtro deve essere eseguita in condizioni di sicurezza” non indica al responsabile dei test cosa si intenda per “sicurezza”, quale procedura debba essere seguita, quale verifica del contenimento venga effettuata durante o dopo la sostituzione, né quale documentazione confermi che l’attività sia stata completata correttamente. Nella fase di IQ o OQ, l’ingegnere addetto alla qualificazione deve ricostruire tutto ciò. Se la ricostruzione non corrisponde all’intento progettuale originale del fornitore, la qualificazione subisce un rallentamento mentre si negozia la risoluzione della discrepanza. Tale negoziazione è la conseguenza diretta derivante dal fatto di non aver specificato il tipo di prova nell’URS.

L’approccio più giustificabile consiste nel collegare ogni requisito di manutenzione BIBO alla documentazione specifica che ne attesti l’adempimento. Non “deve essere conservato un registro di manutenzione”, ma “le attività di sostituzione dei filtri devono essere documentate utilizzando il [Modulo di manutenzione preventiva del sito ID] o un equivalente, riportando la data, l’ID del tecnico, il numero di lotto del sacchetto, le letture della pressione differenziale prima e dopo la sostituzione e il risultato del test di verifica del contenimento”. Questo livello di specificità non costituisce un eccesso di ingegnerizzazione: elimina completamente le congetture da parte di chi esegue il test, il che è lo scopo delle aspettative relative alla documentazione di qualificazione dell’Allegato 15 applicate a questo tipo di apparecchiatura.

Anche in questo caso la dimensione della proporzionalità del rischio è importante. Non tutti i requisiti BIBO comportano le stesse conseguenze in termini di contenimento. I requisiti che regolano l’integrità del contenimento durante la sostituzione dei filtri si collocano a un livello di rischio diverso rispetto a quelli che regolano la finitura delle superfici esterne dell’alloggiamento. Quando un URS assegna livelli di rischio ai requisiti, la profondità delle prove richiesta — certificato di calibrazione, registro di manutenzione, documentazione fotografica, risultati di test in presenza di testimoni — deriva da tale livello. Un URS che elenca i requisiti senza contestualizzarli in termini di rischio costringe chi redige il protocollo a valutare autonomamente tale livello di approfondimento, e ingegneri diversi lo valuteranno in modo diverso. Tale incoerenza è soggetta a verifica.

Per i team che desiderano definire in modo più dettagliato le aspettative relative alle prove di messa in servizio, il Lista di controllo per la messa in servizio BIBO che comprende FAT, SAT, IQ e OQ individua i punti specifici che vengono spesso tralasciati in ciascuna fase.

Ipotesi relative al ciclo del pass box VHP nell'URS

Il termine “ipotesi di ciclo” rappresenta il punto in cui la documentazione URS relativa alle camere di trasferimento VHP tende a non superare il vaglio normativo. I team documentano che per il trasferimento verrà utilizzato un ciclo di decontaminazione VHP senza tradurre tale ipotesi in parametri misurabili che il ciclo deve raggiungere. La conseguenza è che il team di validazione giunge alla fase di OQ con un sistema che esegue un ciclo, ma senza alcuna base URS relativa a ciò che il ciclo avrebbe dovuto dimostrare.

Sia l’Allegato 15 che le linee guida della FDA sulla convalida dei processi sostengono il principio secondo cui le condizioni — comprese quelle di scenario peggiore — devono essere definite prima di poter essere verificate. Per una camera di trasferimento VHP, ciò significa che l’URS deve specificare l’intervallo di concentrazione di H₂O₂ previsto, la durata della fase di esposizione, la tolleranza di temperatura nel punto di misurazione, l’andamento del differenziale di pressione durante le fasi del ciclo e i criteri di accettazione degli indicatori biologici o chimici ai fini della qualificazione del ciclo. Non si tratta di specifiche di progettazione, bensì di condizioni prestazionali che il lavoro di sviluppo del ciclo da parte del fornitore deve soddisfare, ed è proprio nell’URS che l’acquirente stabilisce cosa si intenda per «soddisfacente».

Il rischio di lasciare indefiniti i parametri del ciclo non è puramente teorico. Un fornitore potrebbe sviluppare un ciclo che raggiunga una riduzione di 6 log nelle proprie condizioni di produzione senza documentare l’intervallo dei parametri che produce tale risultato. In fase di SAT o PQ, quando la temperatura o l’umidità del sito esulano dalle ipotesi non esplicitate, le prestazioni del ciclo variano e il team di qualificazione non dispone di una base URS per decidere se il risultato sia accettabile. Riproporre i dati di sviluppo del ciclo come criterio di accettazione retrospettivo costituisce una vulnerabilità riconosciuta in sede di audit.

A ciascun parametro dovrebbe essere assegnata una fase di verifica direttamente nell'URS, senza lasciare che sia chi redige il protocollo a stabilirla. Un intervallo di temperatura verificato durante il FAT in condizioni di fabbrica controllate potrebbe richiedere una nuova verifica durante il SAT e ancora una volta durante l'OQ in condizioni di sito. Specificare tale mappatura nell'URS risolve eventuali controversie successive relative all'ambito di applicazione, ovvero quali test siano richiesti in ciascuna fase.

I requisiti relativi ai registri EDS e agli allarmi che gli acquirenti dovrebbero definire

I sistemi elettronici di dati e di allarme presenti nelle apparecchiature di contenimento si collocano all’incrocio tra la sicurezza operativa e l’integrità dei dati prevista dalla normativa, ed è nell’URS che gli acquirenti devono definire i comportamenti specifici da sottoporre a test — non il fornitore. Un fornitore configurerà il sistema secondo le proprie impostazioni predefinite. Se tali impostazioni non soddisfano gli obblighi previsti dalla Parte 11 o dall’Allegato 11 del sito, la discrepanza viene individuata durante la qualificazione, quando le modifiche alla configurazione risultano costose e compromettono le tempistiche.

Il motivo per cui la responsabilità ricade sull’acquirente è la chiarezza dell’ambito di applicazione. La Parte 11 e l’Allegato 11 disciplinano gli obblighi relativi alle registrazioni elettroniche del sito, non la progettazione del prodotto da parte del fornitore. Un fornitore che consegna un sistema con un accesso condiviso, senza richiesta di firma elettronica e con un registro degli allarmi cancellabile ha fornito un prodotto funzionante. Il fatto che tale prodotto sia conforme al contesto normativo dell’acquirente è un problema legato alle URS, non una carenza del fornitore — a meno che le URS non specifichino diversamente.

Ciò significa, in pratica, che gli acquirenti devono specificare esplicitamente ogni comportamento regolamentato prima dell’appalto. Il contenuto della traccia di audit, l’identificazione univoca dell’utente, le condizioni di attivazione della firma elettronica, il significato visualizzato di ciascuna firma e i meccanismi di protezione dei record non sono impliciti in un requisito che recita “il sistema deve essere conforme alle normative applicabili”. Tale frase non è verificabile. I cinque comportamenti a cui allude sono verificabili singolarmente e ciascuno richiede un proprio criterio di accettazione.

La Parte 11 e l’Allegato 11 definiscono i requisiti minimi normativi. L’URS traduce tali requisiti in un linguaggio specifico per il sito e verificabile, indicando campi, comportamenti e tipi di record specifici che un tester può verificare in base a una soglia di superamento/fallimento, anziché in base a un riferimento normativo che ogni revisore potrebbe interpretare in modo diverso.

Coerenza tra diverse configurazioni di apparecchiature

Un progetto che gestisce contemporaneamente gli appalti relativi all’isolatore, al BIBO, alla pass box VHP e all’EDS si trova ad affrontare un rischio documentale che non compare in nessuna singola URS delle apparecchiature: i quattro documenti presenteranno divergenze. In assenza di una struttura imposta, ogni URS sviluppa una propria convenzione di numerazione, una propria sintassi abbreviata per i livelli di rischio e un proprio vocabolario per i tipi di prove. La divergenza rimane invisibile fino a quando un audit trasversale tra pacchetti o un evento di controllo delle modifiche non richiede di collegare un singolo requisito a livello di sito in tutti e quattro i documenti.

La conseguenza pratica è che le lacune nella tracciabilità non derivano da una formulazione inadeguata dei singoli requisiti, bensì dal fatto che il progetto non ha mai definito un quadro di riferimento condiviso a cui tutti e quattro i documenti potessero fare riferimento. Un requisito numerato FR-14 nell’URS dell’isolatore e SR-003 nell’URS della pass box VHP potrebbe riguardare la stessa esigenza di controllo della pressione a livello di sito. Senza una matrice di tracciabilità che colleghi esplicitamente entrambi al requisito principale, un revisore non può confermare che l’esigenza del sito sia stata soddisfatta su tutte le apparecchiature pertinenti — e l’osservazione di audit si scrive da sola.

La soluzione è di natura strutturale e deve essere applicata prima che la prima bozza dell’URS specifico per l’apparecchiatura sia pronta. Una convenzione di numerazione condivisa — come FR-## per i requisiti funzionali, SR-## per i requisiti di sicurezza — applicata in modo coerente in tutti i pacchetti consente di effettuare riferimenti incrociati tra i requisiti senza doverli ricostruire. Un vocabolario condiviso per i livelli di rischio, anche una semplice classificazione a tre livelli, garantisce che le aspettative relative alla profondità delle prove siano applicate in modo coerente. Inoltre, una matrice di tracciabilità a livello di progetto che colleghi ogni voce dell’URS a oggetti di progettazione o configurazione, script di test, risultati e controlli associati fornisce al team di qualificazione un unico artefatto verificabile, anziché quattro documenti paralleli privi di collegamenti tra loro.

Si tratta di criteri di pianificazione e gestione dei progetti, non di obblighi normativi. Tuttavia, sia l’Allegato 15 che la norma ASTM E2500-25 considerano la tracciabilità una condizione necessaria per una qualificazione difendibile — e una lacuna nella tracciabilità tra i pacchetti è più difficile da colmare dopo il FAT che prima dell’emissione dell’URS.

Regola di valutazione per l'accettazione o il rifiuto di un elemento URS

Ogni URS accumula requisiti che sembrano ragionevoli in fase di stesura e resistono alle contestazioni durante la revisione. Il problema operativo è che i team raramente dispongono di una regola decisionale chiara per eliminare o rivedere un elemento; di conseguenza, i requisiti borderline rimangono nel documento e si trasformano in script di test borderline. La conseguenza a valle è un verbale di qualificazione che include test che nessuno è in grado di interpretare come un chiaro “superato” o “non superato”, e un rapporto con il fornitore in cui le controversie sull’ambito di applicazione risalgono a formulazioni che non sono mai state chiarite.

La regola operativa è chiara: se un tester non è in grado di scrivere un test relativo a un requisito senza dover fare supposizioni, il requisito non è pronto per essere inserito nell’URS. Ciò vale prima che il requisito superi la fase di stesura. Si tratta di una disciplina più utile di qualsiasi lista di controllo formale, poiché costringe chi redige il requisito a risolvere immediatamente l’ambiguità, anziché permettere che il requisito dia origine a uno script di test viziato che dovrà essere rivisto in occasione del FAT.

Due metriche di supporto conferiscono a tale regola una forma quantitativa per i cicli di revisione dei progetti. La completezza della tracciabilità — la percentuale di requisiti URS collegati a script di test approvati e a prove di superamento — dovrebbe puntare al valore 100%. Qualsiasi requisito che non riesca a raggiungere tale stato dopo la qualificazione deve essere rimosso o rivisto; un requisito permanentemente non collegato indica che il criterio di accettazione non è mai stato definito in modo sufficientemente chiaro da poter essere testato. Il tasso di ambiguità — ovvero il numero di elementi segnalati dai revisori ogni 100 requisiti — dovrebbe rimanere al di sotto di 2. Tale soglia è un valore basato sul giudizio dei professionisti, non un parametro normativo, ma fornisce un segnale utile: un documento che supera tale soglia necessita di una revisione sistematica prima di essere pubblicato, anziché di una negoziazione punto per punto durante il FAT.

Ciò che accade a livello di progetto quando gli elementi vengono mantenuti nonostante non superino tali controlli è prevedibile. Gli autori del protocollo formulano ipotesi, le sessioni FAT producono risultati condizionati e l’ingegnere addetto alla qualificazione redige una motivazione che cerca di definire retroattivamente il significato del requisito. Tale motivazione è difendibile solo se un revisore accetta la ricostruzione — cosa che non è garantita e che è del tutto evitabile se il requisito viene riformulato prima che esca dall’URS.

Ciò che distingue un URS pronto per la qualificazione da uno che comporta ripetute revisioni del protocollo non è la complessità, bensì la specificità applicata al giusto livello. Per le apparecchiature di contenimento e decontaminazione in particolare, un requisito che non specifichi il metodo di prova, lo strumento di misura, la soglia di accettazione e il tipo di registrazione non è da considerarsi completo. È stato rinviato, e il costo di tale rinvio si manifesta in seguito, nelle tempistiche di qualificazione che i team tendono costantemente a sottovalutare quando considerano la formulazione vaga “deve mantenere” come una ragionevole scorciatoia redazionale.

Prima di emettere qualsiasi URS specifico per un'apparecchiatura, assicurarsi che ogni requisito critico per la sicurezza e di decontaminazione sia accompagnato da un metodo di verifica ben definito, da un identificativo specifico dell'output o della registrazione e da una soglia di superamento/fallimento che un addetto ai test possa applicare senza bisogno di interpretazioni. Tale revisione richiede tempo in fase di stesura, ma comporta sicuramente un costo inferiore rispetto all'alternativa.

Domande frequenti

D: Cosa dovrebbe fare un team subito dopo la finalizzazione dell’URS e prima dell’inizio del FAT?
A: Effettuare una revisione strutturata della tracciabilità che metta in relazione ogni requisito URS con uno specifico script di test, una fase di verifica assegnata (FAT, SAT, IQ, OQ o PQ) e un tipo di documentazione identificato prima dell’emissione del protocollo FAT. Questo passaggio mette in luce le lacune nei criteri di accettazione quando le modifiche alla configurazione sono ancora poco costose: una volta che le decisioni relative alla fabbricazione sono definitive, rinegoziare l’ambito al tavolo del FAT richiede molto più tempo rispetto alla risoluzione delle ambiguità in fase di documentazione.

D: Questo approccio funziona comunque se il progetto riguarda solo un tipo di attrezzatura anziché tutti e quattro?
R: Sì, ma vale la pena applicare le regole di coerenza — convenzioni di numerazione condivise, vocabolario dei livelli di rischio e struttura della matrice di tracciabilità — anche a un URS relativo a un singolo dispositivo, qualora vi sia la possibilità di un futuro ampliamento dell’ambito o di un audit intersistemico. Un progetto esclusivamente BIBO che adotti fin dall’inizio la numerazione FR-## e SR-## non dovrà ricostruire la propria architettura documentale quando, in un secondo momento, verrà aggiunto un isolatore o un pacchetto EDS. L’investimento iniziale è minimo; il costo di adeguamento a posteriori, invece, non lo è.

D: A che punto la definizione dei parametri del ciclo VHP nell’URS passa dall’essere un requisito prestazionale a diventare una prescrizione progettuale?
R: Il confine sta nel fatto che la specifica indichi ciò che il ciclo deve ottenere oppure fornisca istruzioni al fornitore su come progettarlo. Indicare un intervallo di concentrazione target di H₂O₂, la durata dell’esposizione e i criteri di accettazione degli indicatori biologici costituisce una condizione di prestazione: il lavoro di sviluppo del ciclo da parte del fornitore deve soddisfarla, ma il metodo rimane di sua competenza. Specificare l’attrezzatura di iniezione, la posizione degli ugelli o il modello del generatore significa entrare nel campo delle prescrizioni progettuali e riduce la responsabilità del fornitore per il risultato. L’URS dovrebbe definire i limiti entro i quali il ciclo deve operare, non il meccanismo che lo realizza.

D: Un URS conforme alla regola in materia di prove qui descritta è di per sé sufficiente a soddisfare i requisiti di qualificazione di cui all’Allegato 15, oppure è necessaria ulteriore documentazione?
R: Il fatto che l’URS soddisfi la regola delle prove costituisce un prerequisito necessario, ma non rappresenta il documento completo di qualificazione. L’Allegato 15 prevede un ciclo di vita della qualificazione documentato che includa un piano di qualificazione, un protocollo, un registro di esecuzione e una relazione finale — ciascuno collegato ai requisiti dell’URS attraverso una struttura di tracciabilità. Un URS ben redatto, con criteri di accettazione specifici, registrazioni denominate e assegnazioni delle fasi di verifica, rende la produzione di tali documenti a valle più rapida e li rende più difendibili in sede di revisione, ma non li sostituisce.

D: Quando la stessa esigenza critica per la sicurezza ricorre in più pacchetti di apparecchiature, è meglio redigere un unico requisito condiviso oppure duplicarlo in ogni URS?
R: Duplicarlo in ogni URS specifico per l’apparecchiatura con un riferimento padre condiviso nella matrice di tracciabilità a livello di progetto, anziché citare un unico requisito trasversale ai documenti. I redattori di protocolli che lavorano su un pacchetto di apparecchiature specifico hanno bisogno che il criterio di accettazione completo sia visibile all’interno del proprio documento: un riferimento incrociato a un URS separato crea una dipendenza di ricerca che introduce il rischio di errore durante l’esecuzione. La matrice di tracciabilità è il luogo ideale per rendere esplicita e verificabile la relazione tra i requisiti duplicati, senza creare fragili dipendenze tra i documenti.