Criteri di accettazione BSL-3/4: separare i limiti del progetto dalle linee guida

Una struttura di livello BSL-3 o BSL-4 può soddisfare tutti i valori pubblicati in un documento guida riconosciuto e tuttavia non superare un audit interno, un’ispezione normativa o una verifica di messa in servizio. Il divario è solitamente riconducibile a un presupposto non verificato: che i valori indicati nelle linee guida siano criteri di accettazione. Non lo sono, e questa differenza determina se il fascicolo di qualificazione di un progetto reggerà quando qualcuno chiederà perché sia stato scelto un determinato valore per quella specifica stanza.

L'accettazione inizia con l'identificazione del rischio, l'uso e l'autorità competente

Un criterio di accettabilità ha senso solo se è collegato al rischio che controlla, all’uso previsto dello spazio o delle attrezzature, alla funzione di contenimento che verifica e alla giurisdizione sotto la quale opera la struttura. Un numero privo di questi quattro elementi di riferimento è solo un punto di riferimento, non un criterio. Lo stesso parametro può avere una logica di accettabilità diversa a seconda dell’agente trattato, delle modalità di gestione dello spazio e dell’ente regolatore o dell’autorità istituzionale di biosicurezza che ha giurisdizione sul progetto.

Questo è importante perché i team sottoposti a pressioni temporali spesso ricorrono a un valore pubblicato e lo considerano trasferibile. Ma non lo è. Una funzione di contenimento che deve garantire la tenuta in uno stato operativo potrebbe non doverlo fare in un altro, e un valore appropriato per un determinato profilo di rischio potrebbe risultare inadeguato o inutilmente prudente per un altro. Laddove l’uso previsto comporti un’occupazione variabile, processi di lavoro multipli o apparecchiature che, durante il funzionamento, modificano la cascata di pressione della camera, la logica di accettazione deve riflettere quella specifica configurazione, non una descrizione generica del tipo di camera.

L’autorità competente definisce anche il significato procedurale stesso del termine “accettazione”. Alcune giurisdizioni richiedono una valutazione dei rischi che generi controlli specifici per la struttura; altre richiedono la conformità a un quadro di riferimento ben definito, con margine per deviazioni documentate. Prima che qualsiasi limite venga inserito in un protocollo, il team di progetto dovrebbe essere in grado di specificare quale pericolo il criterio controlla, a quale caso d’uso si applica, quale funzione di contenimento verifica e quali aspettative dell’autorità regolano la decisione di accettazione. Se uno qualsiasi di questi quattro elementi non può essere specificato, il criterio non è pronto per essere inserito, indipendentemente dal numero ad esso associato.

Le linee guida definiscono principi o metodi entro i limiti stabiliti

I documenti di orientamento traggono la loro autorevolezza dalla descrizione di principi e metodi, non dall’indicazione di valori fissi che vengono trasferiti automaticamente in un file di progetto. Il Manuale di biosicurezza dei laboratori dell'OMS, 4a edizione, sostiene l’utilizzo della valutazione del rischio per definire misure di biosicurezza proporzionate: indica al team di progetto come valutare l’adeguatezza delle misure rispetto al rischio, non quale debba essere il limite di accettabilità di una specifica stanza. Considerare il contenuto di sintesi del manuale come un sostituto di una valutazione del rischio specifica per il sito vanifica proprio il ragionamento su cui si basa il manuale stesso.

Il "Biosicurezza nei laboratori microbiologici e biomedici" del CDC, 6ª edizione, funziona allo stesso modo ma da una prospettiva diversa. Supporta la valutazione dei rischi basata su protocolli e propone misure di mitigazione come best practice di carattere consultivo, ma rimane una best practice consultiva statunitense piuttosto che un documento normativo. Un team di progetto può utilizzarlo per strutturare le modalità di valutazione e mitigazione dei rischi; non può essere citato come fonte di una soglia obbligatoria di superamento o fallimento, poiché non è stato redatto per svolgere tale funzione.

EudraLex, volume 4, allegato 15 opera a un livello più vicino alla meccanica stessa dell’accettazione. Supporta un quadro di riferimento che comprende la tracciabilità degli URS, i protocolli approvati, i criteri di accettazione predefiniti, le deviazioni e le conclusioni tratte in base a tali criteri. Tale quadro è di natura procedurale: indica a un progetto come i criteri debbano essere documentati, tracciati e risolti, lasciando che siano le circostanze del progetto a definire le fasi di qualificazione e i criteri specifici per le apparecchiature. Nessuno di questi tre riferimenti impone al team di progetto di adottare un numero specifico per una determinata stanza. Laddove un documento enuncia un principio o un metodo, spetta al progetto applicarlo al rischio, all’uso e all’autorità già identificati. È proprio confondendo un metodo con un criterio fisso che protocolli altrimenti ben documentati perdono la loro difendibilità in sede di revisione.

I documenti di progetto devono stabilire limiti misurabili e condizioni di verifica

Una volta identificate le linee guida applicabili per quello che sono, il criterio di accettazione stesso deve essere redatto con un livello di specificità che i documenti di riferimento non forniscono. Un criterio difendibile specifica le condizioni di prova in cui verrà verificato, gli strumenti che produrranno il risultato determinante, la configurazione del limite sottoposto a prova, il risultato che determinerà l’accettazione, il record di dati che dovrà esistere in seguito e la procedura da seguire in caso di deviazione, qualora il risultato esuli da tale limite.

Ciascuno di questi elementi varia a seconda delle condizioni del progetto, motivo per cui nessuno di essi può essere copiato integralmente da un documento di riferimento. Lo stato di test è importante perché un confine di contenimento può comportarsi in modo diverso a seconda di se le porte sono aperte o chiuse, indipendentemente dal fatto che le apparecchiature collegate siano in funzione o che lo spazio si trovi in una configurazione inattiva o operativa; un criterio che non specifichi quale stato sia applicabile è non verificabile, poiché un risultato ottenuto in uno stato non può essere confrontato con un limite previsto per un altro. Gli strumenti utilizzati per generare il risultato determinante sono importanti perché tipi e posizionamenti diversi degli strumenti possono riportare valori diversi per quello che è nominalmente lo stesso parametro; il criterio deve specificare quale strumento e quale metodo hanno prodotto il valore che verrà valutato. La configurazione di riferimento è importante per lo stesso motivo: lo stato fisico di guarnizioni, serrande o aperture interbloccate durante la prova deve corrispondere allo stato che il criterio intende rappresentare.

Il risultato ammissibile e il record di dati servono a rendere il criterio verificabile a posteriori: un ispettore o un revisore dovrebbe essere in grado di ricondurre il valore registrato durante la prova al criterio in base al quale è stato misurato, senza dover ricostruire a memoria la configurazione della prova. Il percorso da seguire in caso di deviazione deve essere definito prima dell’inizio del test, non improvvisato in seguito, poiché un risultato che esula dai limiti stabiliti richiede un percorso prestabilito per la gestione, piuttosto che una decisione ad hoc presa sotto pressione. Un documento di progetto che indichi un limite numerico senza questi elementi di contesto ha prodotto un valore, non un criterio in grado di determinare l’accettazione.

La documentazione relativa ai fornitori richiede un ambito ben definito e un supplemento relativo al sito

I certificati dei fornitori e i risultati delle prove in fabbrica sono preziosi proprio nella misura in cui se ne comprende l’ambito di applicazione. Un certificato attesta che una specifica unità, in determinate condizioni di fabbrica, ha raggiunto un risultato specifico — nulla di più. Lo stesso vale per i risultati delle prove in fabbrica effettuati prima della spedizione delle apparecchiature. Entrambe le forme di documentazione costituiscono elementi validi da inserire nel fascicolo di qualificazione di un progetto, ma solo nell’ambito di applicazione che effettivamente dimostrano.

Il rischio concreto è lo “scope creep”: considerare il risultato ottenuto in fabbrica per un componente come se dimostrasse le prestazioni del sistema una volta installato, oppure considerare il certificato di un fornitore relativo a una singola interfaccia come se coprisse tutte le interfacce che l’apparecchiatura avrà una volta installata. Un’interfaccia testata isolatamente in fabbrica non si comporta allo stesso modo una volta integrata in un locale, collegata alle utenze dell’edificio e funzionante insieme ad altre apparecchiature. Nel caso di apparecchiature quali un sistema di filtrazione in situ oppure un APR a cura di Quando viene fornita la documentazione del fornitore, tale documentazione va letta come un resoconto di ciò che è stato testato, con quale configurazione e con quali risultati, per poi essere confrontata con i requisiti effettivi della configurazione installata del progetto.

È proprio in questo caso che un’analisi delle lacune tramite test in loco diventa necessaria anziché facoltativa. Per ogni certificato del fornitore o risultato di fabbrica presente nel fascicolo di qualificazione, il team di progetto dovrebbe identificare quali interfacce installate non siano coperte da tale documentazione e quali di queste interfacce richiedano quindi ancora test in loco secondo il protocollo approvato dal progetto stesso. I risultati delle prove di fabbrica relative a un alloggiamento di filtrazione non garantiscono le prestazioni dei condotti e delle serrande a cui verrà collegato in cantiere. Un certificato relativo a una guarnizione per porte non garantisce le prestazioni di quella porta una volta integrata in un sequenza di interblocco di airlock. Quando vengono presentate al fornitore, ai fini della sua valutazione, informazioni specifiche relative al progetto riguardanti la configurazione installata, l’uso previsto e le condizioni dell’interfaccia, è proprio questo ambito di applicazione a determinare quali parti della documentazione presentata possano essere considerate attendibili direttamente e quali invece richiedano una verifica in loco prima che si possa procedere all’accettazione.

Le deviazioni e le ripetizioni dei test richiedono regole decisionali preventivamente approvate

Una deviazione non è indice di fallimento del progetto; è un esito prevedibile dei test effettuati su sistemi realmente installati rispetto a limiti definiti, e un progetto ben organizzato la considera un evento procedurale piuttosto che una crisi. Ciò che distingue un processo di accettazione ben gestito da uno disorganizzato è il fatto che le regole per gestire una deviazione siano state concordate prima dell’inizio dei test oppure vengano inventate solo dopo che un risultato è già risultato fuori dai limiti.

Una regola decisionale preapprovata specifica cosa accade quando un risultato non rientra nell’intervallo consentito: chi viene informato, quali indagini sono necessarie prima che venga autorizzata una ripetizione del test, se la ripetizione deve avvenire nelle stesse condizioni di test e con la stessa configurazione dei limiti del test originale, e quali prove devono accompagnare la decisione finale — che si tratti di un’azione correttiva, di una deviazione accettata con giustificazione o di un criterio rivisto. Senza questa struttura concordata in anticipo, una deviazione può portare a una gestione incoerente di eventi simili all’interno dello stesso progetto, compromettendo la tracciabilità che il file di accettazione è destinato a garantire.

Il fattore che più spesso determina la corretta gestione di una deviazione è stabilire se la discrepanza abbia origine nelle prestazioni dell’apparecchiatura, nel metodo di prova stesso o in un errore nella formulazione del criterio. Laddove la discrepanza sia riconducibile a un metodo di prova difettoso o a un criterio formulato in modo errato, ripetere la prova sulla base dello stesso metodo difettoso non risolverà nulla; la correzione deve essere apportata al documento, non al risultato. Laddove la discrepanza sia riconducibile alle prestazioni dell’apparecchiatura, occorre valutare se la discrepanza possa essere colmata tramite una regolazione e una nuova prova conforme, oppure se indichi un problema di progettazione o di installazione che il processo di accettazione non può risolvere da solo. Un insieme di regole preapprovate non deve necessariamente prevedere ogni possibile discrepanza, ma deve definire chi ha l’autorità di operare tale distinzione e quale documentazione sia necessaria per tale decisione prima che il lavoro proceda.

L'approvazione definitiva dipende da criteri di tracciabilità del progetto, non dalle etichette

L'accettazione finale consiste nel valutare se i criteri predefiniti del progetto siano stati soddisfatti, documentati e tracciati — non nel valutare se la struttura corrisponda a una categoria descritta. Una sala può essere costruita, attrezzata e gestita in conformità con i principi BSL-3 o BSL-4 in senso generale e tuttavia non disporre di un fascicolo di qualificazione approvabile, se i criteri effettivamente testati non sono mai stati redatti tenendo conto del rischio, dell'uso, dello stato di prova e della logica delle deviazioni richiesti dalla tracciabilità.

Questo è il motivo pratico per cui le etichette non possono sostituire i criteri durante la revisione finale. Un’etichetta di categoria descrive un livello di contenimento previsto; non specifica quale strumento abbia prodotto quale risultato per quale configurazione dei confini, né registra come sia stata risolta una deviazione. Un ispettore, un revisore o un responsabile della biosicurezza istituzionale che esamina il fascicolo in fase di approvazione cerca di individuare la catena che va dal requisito URS, passando per il protocollo approvato e l’esecuzione dei test in una determinata condizione, fino al risultato registrato confrontato con un limite specificato, con eventuali deviazioni risolte attraverso un percorso documentato e preapprovato. Laddove tale catena sia completa, il progetto può essere approvato indipendentemente dall’etichettatura della sala o del sistema. Laddove sia incompleta, nessuna etichetta può colmare tale lacuna.

Per apparecchiature quali, ad esempio, un Laboratorio con moduli BSL-3/BSL-4 o per i relativi sistemi di porte, ciò significa che il fascicolo di qualificazione deve riportare i limiti di ambito stabiliti in precedenza nel processo: quali risultati provengono dalla documentazione del fornitore o dello stabilimento, quali dalle prove in loco condotte secondo il protocollo specifico del progetto, e in che modo ciascuno di essi sia stato ricondotto a un criterio definito con il proprio stato di prova e il risultato ammissibile. Laddove i team di progetto debbano ancora confermare quali interfacce installate richiedano un’ulteriore verifica in loco, o quali scostamenti rimangano aperti rispetto a un percorso di risoluzione preapprovato, sono proprio queste le informazioni specifiche da cui dipende l’approvazione finale — non una descrizione più generica della categoria di struttura prevista.

Domande frequenti

Q: È possibile utilizzare direttamente un valore di accettabilità tratto da linee guida esterne in materia di biosicurezza come limite per determinare l'idoneità o l'inidoneità di un progetto?
A: Solo se il progetto ha confermato che il valore è adeguato al rischio specifico, all’uso previsto, alla funzione di contenimento e alla giurisdizione applicabile. Registrare il limite risultante dal progetto nell’URS, nella documentazione di progettazione e nel protocollo approvato, in modo che ne siano tracciabili le basi e le condizioni.

Q: Cosa occorre concordare prima di eseguire un test di accettazione?
A: Prima di eseguire la prova, concordare le condizioni di prova, gli strumenti, la configurazione dei confini, i risultati ammissibili, i dati da registrare e la procedura da seguire in caso di scostamenti. Ciò impedisce che un risultato venga valutato in base a condizioni o limiti stabiliti dopo la prova.

Q: In che modo un acquirente dovrebbe confrontare i documenti dell’OMS, del CDC e di EudraLex nella definizione dei criteri di accettazione?
A: Utilizzare ciascun riferimento esclusivamente per la funzione a cui è destinato: principi di controllo basati sul rischio, linee guida consultive in materia di biosicurezza o quadro di riferimento per la qualificazione e la tracciabilità. Individuare quindi la giurisdizione applicabile e tradurre le linee guida pertinenti in criteri specifici per il progetto, anziché considerare tutti e tre i riferimenti come requisiti intercambiabili.

Q: In quali casi i certificati dei fornitori o i risultati delle prove di fabbrica possono essere utilizzati a sostegno dell'accettazione in cantiere?
A: Possono fornire assistenza solo per il prodotto, la configurazione, le condizioni e i risultati che rientrano nell’ambito di applicazione dimostrato. Elencare le interfacce installate al di fuori di tale ambito e coprirle tramite test in loco approvati con limiti di accettazione specifici per il progetto.

Q: Cosa dovrebbe accadere se il risultato di un test non soddisfa i criteri di accettazione?
A: Seguire il percorso di deviazione e le regole decisionali approvate prima dell'esecuzione del test. Conservare il risultato originale, documentare il criterio interessato e le condizioni di prova ed eseguire eventuali ripetizioni del test esclusivamente secondo il protocollo di progetto approvato, in modo che la conclusione finale rimanga tracciabile.

Q: Quali elementi dovrebbero giustificare l'approvazione definitiva di un sistema BSL-3/4?
A: L'approvazione definitiva dovrebbe collegare ciascun criterio applicabile al progetto alla sua base di riferimento, al metodo di prova approvato e allo stato, al risultato determinante, alla registrazione dei dati e a qualsiasi scostamento risolto. Un'etichetta relativa al livello di contenimento o una dichiarazione generica del fornitore non costituiscono di per sé tale collegamento.