21 CFR Parte 11 e Allegato 11: Domande da porsi prima di definire i controlli relativi alle apparecchiature di contenimento

Specificare i controlli per le apparecchiature di contenimento senza aver prima risposto ad alcune domande fondamentali relative al tipo di registrazione, all’ambito delle decisioni in materia di qualità e all’applicabilità giurisdizionale è uno dei modi più sicuri per dover ripetere il processo di convalida. Il problema emerge in una fase avanzata — in genere durante IQ/OQ oppure un’ispezione di pre-approvazione — quando un team addetto al controllo qualità scopre che una registrazione elettronica generata da un’apparecchiatura è stata utilizzata in modo informale nelle decisioni relative al rilascio dei lotti senza alcuna traccia di audit definita, alcun controllo degli accessi o alcuna struttura che garantisca l’immutabilità dei dati. Il costo non è solo quello della correzione; è la credibilità della registrazione stessa. Per evitare tale esito è necessario risolvere la questione dei confini della registrazione prima ancora che venga redatta una singola clausola dell’URS relativa ai controlli sulle apparecchiature di contenimento previsti dal 21 CFR Parte 11.

Documenti elettronici che sollevano questioni relative alla Parte 11

La Parte 11 stabilisce una soglia di affidabilità — lo standard minimo affinché un documento o una firma elettronica siano considerati affidabili ed equivalenti alla loro controparte cartacea. Non prescrive alcuna specifica di progettazione. La questione pratica che solleva non è “l’apparecchiatura dispone di una traccia di audit?”, bensì “un documento elettronico generato da questa apparecchiatura viene utilizzato in una decisione relativa alla qualità e, in tal caso, cosa rende tale documento affidabile?”.”

Questa distinzione è importante perché i sistemi di contenimento generano diverse categorie di dati elettronici, e non tutte comportano gli stessi obblighi. Un registro della pressione utilizzato esclusivamente dal team addetto agli impianti per verificare il funzionamento del sistema HVAC rientra in una categoria diversa rispetto a una serie di parametri di processo in batch che un isolatore per il riempimento automatizzato che genera e che il reparto QA utilizza per approvare il rilascio di un lotto. Confonderli tra loro amplia l’ambito dell’URS e, in ultima analisi, appesantisce il carico di lavoro di convalida senza migliorare l’integrità dei dati laddove è realmente importante.

L’esercizio di pre-specificazione consiste nel classificare ogni tipo di documento in base a due domande: questi dati saranno mai citati in un documento di lotto, in un’indagine su una deviazione o in una decisione relativa alla qualità? E chi ha la responsabilità di decidere se ciò avverrà? La seconda domanda viene spesso tralasciata, ed è per questo che si verifica lo “scope creep”: un registro di monitoraggio di routine viene classificato come documento GxP per impostazione predefinita piuttosto che per scelta deliberata.

La tabella sopra riportata illustra in quali casi la questione relativa alla Parte 11 diventa rilevante. La fase cruciale è rappresentata dalla colonna “Cosa chiarire”: si tratta di discussioni preliminari all’approvvigionamento, non di adeguamenti successivi all’installazione. Se i team addetti al controllo qualità e all’automazione non hanno raggiunto un accordo sulla presenza dei parametri di elaborazione dei lotti nel registro ufficiale del lotto prima della definizione delle specifiche delle apparecchiature, il fornitore non è in grado di definire in modo affidabile l’ambito della piattaforma di controllo e il sito non può redigere un piano di convalida difendibile.

Allegato 11: requisiti relativi ai sistemi informatici

GMP UE Allegato 11 È un documento orientativo, non un regolamento giuridicamente vincolante. Funge da quadro di riferimento procedurale per i sistemi informatizzati nei contesti GMP dell’UE e condivide alcuni concetti con la Parte 11, ma i due non sono intercambiabili. La Parte 11 è pienamente applicabile sotto la giurisdizione della FDA statunitense. L’Allegato 11 no. Considerarli equivalenti in una specifica crea un problema di ambito di applicazione: se un team di progetto redige clausole URS che mescolano il linguaggio delle linee guida dell’Allegato 11 con i requisiti della Parte 11 senza distinguere quali si applichino, le prove di convalida risultanti potrebbero non soddisfare pienamente nessuno dei due.

L’Allegato 11 e la Parte 11 trattano principi simili, ma la loro applicabilità non è equivalente: adattate di conseguenza la formulazione relativa ai controlli.

Qualora l’Allegato 11 sia pertinente a un progetto, utilizzarlo come quadro di riferimento per la progettazione degli impianti registrati secondo le GMP dell’UE. Esso fornisce indicazioni su come effettuare la convalida dei sistemi informatizzati, gestione dei rischi, e il modo in cui le autorità europee affrontano le pratiche relative all’integrità dei dati; è utile per strutturare il dibattito sui requisiti dei fornitori in relazione al ciclo di vita del sistema, alla gestione degli accessi e alla capacità di audit. Tuttavia, non dovrebbe essere citato come requisito di conformità nella stessa struttura di clausola che fa riferimento agli obblighi della Parte 11, a meno che il contesto del progetto non preveda esplicitamente una registrazione sotto doppia giurisdizione.

Dal punto di vista pratico, in fase di definizione delle specifiche delle apparecchiature è necessario identificare quale ente normativo effettuerà l’audit della struttura e quali requisiti in materia di documentazione elettronica tale ente impone. Per un sito che esporta sia verso il mercato statunitense che verso quello dell’UE, entrambi i quadri normativi influenzeranno le aspettative, ma la documentazione di convalida deve indicare chiaramente la base giurisdizionale per ciascun elemento di controllo. Mescolarli senza tale chiarezza crea un problema di difendibilità durante ispezione, non una rete di sicurezza.

Ruoli di accesso, registri di controllo e gestione delle ricette

I tre elementi di controllo che generano la maggiore ambiguità nelle specifiche relative alle apparecchiature di contenimento — ruoli di accesso, audit trail e controllo delle ricette — sono definiti dalla Parte 11 come obiettivi di responsabilità e tracciabilità, non come un elenco di funzionalità software. La questione non è se il fornitore delle apparecchiature offra queste funzioni, ma se il sito sia in grado di dimostrare che la verifica dell’identità, l’attribuzione delle azioni e la cronologia delle modifiche dei parametri siano garantite a livello operativo, e non solo configurate al momento della messa in servizio.

La verifica dell’identità ai sensi della Parte 11 implica che ogni azione registrata nel sistema sia attribuibile a una specifica persona autorizzata. Nel caso di apparecchiature di contenimento con procedure di accesso condivise, pannelli di controllo per operatori con credenziali generiche o modalità di esclusione di controllo da parte dei supervisori che aggirano l’attribuzione all’utente, ciò crea un’immediata lacuna nella traccia di audit. La capacità di generare singole voci nella traccia di audit non ha alcun significato se il sistema è configurato con account condivisi.

La gestione delle ricette e dei parametri comporta un obbligo specifico di tracciabilità. Se un operatore può modificare un parametro di processo su una ricetta convalidata senza generare un registro di modifica, l’integrità di ogni lotto prodotto secondo quella ricetta diventa discutibile. La questione da verificare è se i parametri della ricetta siano bloccati dopo l’approvazione e se qualsiasi modifica — anche una deroga temporanea — venga registrata a nome di un utente specifico. I fornitori delle apparecchiature possono fornire la capacità tecnica necessaria a tal fine; la struttura di revisione procedurale che ne confermi il corretto funzionamento è una responsabilità del proprietario del sito.

Una traccia di audit che esiste ma non viene mai esaminata non garantisce la responsabilità: la possibilità di accesso e la tracciabilità devono essere accompagnate da un obbligo di revisione ben definito.

Il problema in questo caso è che i ruoli di accesso e le funzionalità di tracciabilità vengono trattati come risultati finali della messa in servizio: vengono configurati, viene acquisita una schermata per il file IQ e nessuno definisce chi debba esaminare la tracciabilità né con quale frequenza. Questa lacuna non emerge fino a quando un’indagine su una deviazione non richiede la ricostruzione di una sequenza di modifiche ai parametri o di azioni dell’operatore, e il registro di audit è presente ma non è mai stato utilizzato come prova.

Ambito dei controlli che può essere sopravvalutato

Il rischio di “inflazione” nell’ambito della Parte 11 è reale e ha conseguenze dirette sui costi del progetto. Quando ogni dato generato da un sistema di contenimento viene trattato come un documento elettronico regolamentato — indipendentemente dal fatto che venga utilizzato in una decisione relativa alla qualità — l’onere della convalida si estende fino a includere la convalida del software, la configurazione del controllo degli accessi, le procedure di revisione della traccia di audit e i controlli di integrità dei dati per sistemi che erano stati originariamente acquistati per facilitare il monitoraggio della struttura. Nessuno di questi investimenti migliora la difendibilità dei documenti che contano davvero.

L'esempio più evidente di "scope inflation" è un sistema di gestione degli edifici o un'interfaccia di monitoraggio delle strutture che registra le differenze di pressione, la temperatura e l'umidità in un Zona di contenimento BSL-3. Se tali dati vengono utilizzati esclusivamente dal team addetto alle strutture per dimostrare che l’impianto di climatizzazione (HVAC) mantiene le condizioni richieste per l’impianto fisico — e non compaiono mai in un registro di lotto, in una decisione di rilascio del lotto o in un documento GxP — allora l’imposizione dei controlli completi previsti dalla Parte 11 su tale sistema è una decisione di controllo qualità (QA), non un obbligo normativo. La decisione deve essere presa in modo ponderato e documentata, ma l’impostazione predefinita non prevede l’applicabilità automatica della Parte 11.

Il rischio inverso — considerare i dati di monitoraggio come fuori dall’ambito di applicazione quando vengono citati in modo informale nelle decisioni relative alla qualità — è la modalità di fallimento che dà origine alle segnalazioni relative all’integrità dei dati. Il termine “informalmente” è il problema. Se un responsabile della qualità fa riferimento a un andamento del monitoraggio della struttura durante una discussione sulla destinazione di un lotto senza che tali dati facciano parte di un registro controllato, la sede ha creato una dipendenza della decisione relativa alla qualità da un registro elettronico non controllato. Le decisioni relative all’ambito di applicazione prese in modo informale sono quelle che non superano l’ispezione.

Un altro punto che vale la pena sottolineare chiaramente è che la conformità alla Parte 11 non può essere certificata. Un fornitore che offre un sistema “certificato secondo la Parte 11” utilizza un’espressione priva di significato normativo. La conformità viene dimostrata attraverso prove convalidate e controlli documentati, e l’onere della dimostrazione ricade sul sito — non sul fornitore. Una formulazione dei termini di appalto che consideri l’affermazione di certificazione da parte di un fornitore come soddisfacente degli obblighi del sito crea un falso confine che non reggerà al vaglio di un ispettore competente.

Limite di integrità dei dati per le apparecchiature dei fornitori

Il principio di immutabilità alla base dell’integrità dei dati della Parte 11 — secondo cui non deve essere consentito modificare un valore registrato senza un’autorizzazione tracciabile — dipende sia dalle capacità delle apparecchiature sia dall’implementazione in loco. I fornitori possono fornire l’architettura tecnica: registrazioni con marcatura temporale, campi dati bloccati, generazione di audit trail, esportazione dei dati con conservazione del formato. Ciò che non possono fornire è la prova di convalida che il sistema funzioni in modo accurato e affidabile per l’uso previsto dal sito, né la struttura procedurale che renda significativa la revisione della traccia di audit.

È proprio in questo ambito che, durante l’approvvigionamento delle apparecchiature, si verificano più spesso malintesi tra i team di progetto. La richiesta di offerta (RFQ) chiede se il sistema supporti le tracce di audit e i controlli di accesso a livello di utente. Il fornitore conferma che è così. L’apparecchiatura viene consegnata. Tuttavia, in assenza di una chiara ripartizione delle responsabilità — ovvero cosa deve configurare il fornitore, cosa deve verificare il sito e cosa deve gestire il sito attraverso procedure specifiche — il divario tra le funzionalità del sistema e l’integrità dei dati dimostrata rimane aperto.

La riga relativa all’esportazione e al trasferimento dei dati nella tabella sopra riportata merita particolare attenzione nel caso di apparecchiature di contenimento che si interfacciano con sistemi di archiviazione storica dei dati di sito, LIMS o sistemi di registrazione dei lotti. L’integrità dei dati può essere compromessa proprio a livello dell’interfaccia. Un record che è immutabile all’interno del database proprio dell’apparecchiatura potrebbe essere riesportato in un formato che ne consenta la modifica prima che entri nel registro elettronico dei lotti del sito. Verificare che il percorso di esportazione preservi l’integrità del record originale — e che le procedure di gestione dei dati del sito regolino ciò che accade dopo il trasferimento — è una responsabilità del proprietario del sito che i pacchetti di convalida dei fornitori in genere non affrontano.

Le caratteristiche delle apparecchiature dei fornitori garantiscono l’integrità dei dati, ma non ne dimostrano la validità: sono le prove di convalida e la revisione delle procedure a colmare tale lacuna.

Il requisito di convalida non è una semplice formalità. È necessario dimostrare che i sistemi funzionino in modo accurato, affidabile e coerente per l’uso previsto e che consentano di individuare i dati non validi o alterati. Tale dimostrazione si basa sulla documentazione fornita dal fornitore, sui protocolli di qualificazione del sito e sui controlli procedurali continui — nessuno dei quali può essere eseguito dal fornitore per conto del sito.

Fattori determinanti per i requisiti relativi ai controlli regolamentati

La definizione più utile del fattore scatenante della decisione non è di natura tecnica, bensì giurisdizionale e basata sull’uso. La Parte 11 si applica ai sistemi utilizzati nella ricerca, nella produzione e nella distribuzione di prodotti farmaceutici, prodotti biologici, dispositivi medici, sangue e tessuti destinati ai mercati statunitensi. Se l’apparecchiatura genera registrazioni elettroniche a supporto di una qualsiasi di queste attività e tali registrazioni vengono utilizzate nelle decisioni relative alle norme GxP, si attivano i requisiti di controllo previsti dalla Parte 11. Se nessuna delle due condizioni è soddisfatta, è necessario dimostrare esplicitamente la necessità di applicare l’ambito di applicazione della Parte 11 a tale apparecchiatura, senza darlo per scontato.

La verifica pratica da effettuare prima di redigere qualsiasi clausola URS che faccia riferimento alla Parte 11 consiste in una domanda articolata in tre parti: il prodotto o l’attività rientra nell’ambito di applicazione della Parte 11? La struttura è soggetta a ispezione da parte della FDA o alla registrazione sul mercato statunitense? E l’apparecchiatura specifica genera registrazioni che vengono utilizzate — o potrebbero essere utilizzate — nelle decisioni relative alla qualità per tali attività soggette alla Parte 11? Se la risposta a tutte e tre le domande è ’sì», l’obbligo è effettivo. Se la risposta a una qualsiasi delle domande è «no», l’ambito dei controlli richiede una motivazione documentata, non un’applicazione predefinita.

Per gli stabilimenti non statunitensi non soggetti a ispezioni della FDA, l’assenza di un obbligo ai sensi della Parte 11 non implica l’assenza di una normativa in materia di registrazioni elettroniche. Gli organismi normativi locali applicheranno i propri standard in materia di registrazioni elettroniche e integrità dei dati, e il quadro di riferimento appropriato per la definizione dei controlli è determinato dall’autorità che effettuerà l’audit dello stabilimento. Considerare il contesto non statunitense semplicemente come “esente dalla Parte 11” senza valutare i requisiti locali applicabili introduce un diverso divario di conformità.

La tempistica di questa decisione rappresenta la vera variabile di rischio. Le squadre che rimandano la valutazione dell’impatto GxP a dopo la selezione del fornitore — o, peggio ancora, fino ai test di accettazione in fabbrica — si ritrovano con una piattaforma di controllo specificata senza che i confini del sistema di qualità siano stati chiaramente definiti. Ciò comporta o modifiche retroattive alle specifiche a livello di fornitore, oppure soluzioni procedurali alternative post-installazione difficili da convalidare. La valutazione iniziale deve avvenire all’inizio del processo di definizione delle specifiche di controllo, prima ancora che inizi la trattativa con il fornitore.

L’azione più chiara da intraprendere in fase di pre-specificazione è quella di riunire i reparti di controllo qualità, automazione e affari regolatori nella stessa stanza prima che venga redatta qualsiasi URS relativa ai controlli delle apparecchiature, ponendo un’unica domanda: per ciascuna classe di registrazioni elettroniche che questa apparecchiatura genererà, tale registrazione verrà utilizzata in una decisione relativa alla qualità di un prodotto soggetto a regolamentazione? La risposta determina se si applica la Parte 11 o un quadro normativo locale equivalente, quali controlli il fornitore debba supportare e cosa il sito debba convalidare e mantenere dal punto di vista procedurale. In assenza di tale risposta, l’URS risulterà o eccessivamente dettagliato — aggiungendo costi di convalida e oneri di manutenzione a sistemi che non ne hanno bisogno — oppure insufficientemente dettagliato proprio nei punti su cui si concentrerà l’attenzione di un ispettore.

La verifica a valle, una volta specificati i controlli e avviata la procedura di approvvigionamento delle apparecchiature, consiste nel verificare che la documentazione tecnica del fornitore distingua tra funzionalità e conformità convalidata. Un fornitore che offre funzionalità di audit trail, accesso basato sui ruoli e un’architettura dei record immutabile consente una configurazione conforme; tuttavia, il sito ha l’obbligo di convalidare tale configurazione per l’uso previsto, di definire ed eseguire revisioni dell’audit trail e di controllare i dati dal momento dell’acquisizione fino all’archiviazione e all’esportazione. Qualsiasi lacuna in tale catena costituisce un riscontro relativo all’integrità dei dati in attesa di essere documentato.

Domande frequenti

D: Cosa succede se non stiamo specificando nuove apparecchiature, ma dobbiamo valutare i sistemi di contenimento esistenti ai fini della conformità alla Parte 11?
R: Iniziate con la stessa valutazione relativa all’uso dei registri e alle decisioni GxP. La Parte 11 si applica ai registri elettronici utilizzati nelle decisioni relative alla qualità per le attività soggette alla normativa, indipendentemente dal momento in cui le apparecchiature sono state installate. Riutilizzate le domande preliminari alla specifica contenute nell’articolo come quadro di riferimento per l’analisi delle lacune; laddove l’adeguamento tecnico non sia fattibile, documentate il rischio residuo, implementate controlli procedurali compensativi e prendete in considerazione soluzioni alternative cartacee come misura provvisoria.

D: Una volta individuati i documenti che rientrano nell’ambito di applicazione della Parte 11, come dovremmo documentare formalmente la decisione relativa all’ambito di applicazione affinché sia valida in caso di audit?
A: Illustrare le motivazioni in una valutazione d’impatto GxP o in un documento di definizione dell’ambito di applicazione relativo all’integrità dei dati. Includere la verifica in tre parti, basata sulla giurisdizione e sull’utilizzo, discussa nell’articolo (ambito di applicazione del prodotto, esposizione al mercato statunitense, dipendenza dalle decisioni relative alla qualità), una classificazione record per record e le firme dei responsabili della garanzia della qualità, dell’automazione e degli affari regolatori. Collegare questo documento alle specifiche di requisiti utente (URS) dell’apparecchiatura e al piano di convalida per creare una catena di ragionamento verificabile.

D: La nostra struttura effettua spedizioni verso mercati al di fuori degli Stati Uniti e dell’Unione Europea; come possiamo stabilire quali siano i controlli adeguati sui registri elettronici per quelle regioni?
R: I principi fondamentali in materia di integrità dei dati sono armonizzati a livello globale attraverso quadri normativi quali l’ICH Q9(R1), pertanto un approccio basato sul rischio rimane valido. Identificate l’ente normativo specifico che ispezionerà il vostro stabilimento, esaminate le sue aspettative in materia di integrità dei dati e allineate i vostri controlli a tale quadro normativo — non ricorrete automaticamente alla formulazione della Parte 11 o dell’Allegato 11 per le giurisdizioni in cui tali documenti non hanno alcuna validità.

D: Quando i team di controllo qualità e di automazione non sono d’accordo sul fatto che un documento rientri nell’ambito di applicazione della Parte 11, dovremmo optare per l’inserimento dei controlli per motivi di sicurezza?
R: No, la scelta più sicura è quella di risolvere l’ambiguità attraverso un processo documentato di gestione dei rischi per la qualità, anziché ricorrere a un’inclusione generalizzata. Utilizzate una valutazione dei rischi (ad esempio, una FMEA) per valutare la possibilità che il documento possa influenzare una decisione relativa alla qualità del prodotto. Se il rischio è basso e il documento verrà proceduralmente escluso dall’uso GxP, un’esclusione giustificata è più difendibile rispetto all’ampliare l’ambito di applicazione con controlli che aumentano l’onere di convalida senza migliorare l’integrità dei dati laddove è realmente importante.

D: È possibile evitare i costi di conformità alla Parte 11 utilizzando registrazioni dei lotti cartacee e considerando i dati elettronici delle apparecchiature di contenimento come registrazioni di comodità non GxP?
R: Sì — La Parte 11 stabilisce l’equivalenza con la carta, quindi un sistema di registrazione GxP interamente cartaceo non rientra nell’ambito di applicazione della normativa. Tuttavia, è necessario istituire procedure rigorose per impedire qualsiasi ricorso informale ai dati elettronici nella disposizione dei lotti, nelle indagini sulle deviazioni o in altre decisioni relative alla qualità. Anche un riferimento casuale da parte di un responsabile della qualità può creare una dipendenza che fa rientrare il sistema nell’ambito di applicazione della normativa, e mantenere la disciplina di un processo cartaceo parallelo può costare più che implementare controlli elettronici conformi.