Come risolvere le non conformità FAT prima della spedizione e dell’accettazione in cantiere

Un test di accettazione in fabbrica (FAT) che si conclude con un esito positivo non implica automaticamente che l’apparecchiatura sia pronta per la spedizione. Le non conformità rilevate durante i test potrebbero rimanere in sospeso al momento della firma del rapporto FAT, e il modo in cui tali punti in sospeso vengono classificati, corretti e documentati determina se l’approvazione della spedizione sia una decisione tecnica o una formalità burocratica. Sia per le apparecchiature di lavorazione asettica che per i sistemi di contenimento, è proprio in quel divario tra “FAT superato” e “spedizione approvata” che si definiscono la tempistica a valle, la qualificazione e la responsabilità commerciale.

Perché un FAT approvato può comunque contenere eccezioni che impediscono la spedizione

Il risultato di un FAT viene solitamente riportato come esito complessivo rispetto a un protocollo di prova, ma tale esito può coesistere con singole fasi di prova che non hanno soddisfatto i rispettivi criteri di accettazione. Laddove un protocollo consenta l’accettazione condizionata o eccezioni documentate, il superamento complessivo riflette la maggioranza delle funzioni verificate, non l’assenza di deviazioni. Il lettore che valuta un rapporto FAT deve distinguere la conclusione sintetica dal registro delle deviazioni che la segue, poiché la sintesi da sola non indica se eventuali punti in sospeso incidano sulla sicurezza della spedizione, sui test a valle o sulla qualificazione del sito.

La distinzione è importante perché una deviazione può presentarsi a diversi livelli di gravità. Alcune deviazioni sono di natura puramente estetica o riguardano la documentazione e non incidono sul funzionamento dell’apparecchiatura né sulla validità di altre prove già eseguite. Altre, invece, influenzano una funzione da cui dipendono i test successivi; pertanto, una non conformità non risolta in una fase iniziale del test può invalidare i criteri di accettazione di una fase successiva, anche se quest’ultima è stata registrata come superata. Laddove una sequenza di controllo, un interblocco o un parametro monitorato influisca sulla verifica successiva, una non conformità irrisolta su quell’elemento comporta un rischio che il risultato sintetico non evidenzia.

È proprio qui che la differenza tra le apparecchiature per la lavorazione asettica e i sistemi di contenimento influisce sul modo in cui viene interpretata una deviazione. Per isolatori oppure, nel caso dei sistemi di barriera di tipo RABS finalizzati alla protezione del prodotto, una deviazione che riguardi la qualità dell’aria, la cascata di pressione o l’integrità del trasferimento incide direttamente sulle basi di garanzia della sterilità che il FAT avrebbe dovuto stabilire. Per le apparecchiature di contenimento regolate dalla protezione dell’operatore e dell’ambiente, una deviazione equivalente su una barriera, un dispositivo di trasferimento o una fase di decontaminazione riguarda invece l’integrità del contenimento. La stessa categoria di riscontro, ad esempio una differenza di pressione al di fuori dei criteri previsti, non ha lo stesso significato in un contesto asettico e in uno di contenimento, poiché viene valutata in relazione a un obiettivo di protezione diverso.

Un acquirente che esamina un rapporto FAT in questa fase dovrebbe chiedersi quale fase specifica del test abbia determinato ciascuna deviazione, se tale fase costituisca un prerequisito per un altro test previsto dallo stesso protocollo e se la deviazione fosse stata risolta, accettata o lasciata in sospeso al momento dell’emissione del rapporto. La risposta determina se il lettore si trovi di fronte a una verifica completata con lievi lacune nella documentazione o a una sequenza di verifica con un anello non risolto nella sua catena.

Documentazione delle deviazioni che riporti requisiti, criteri, risultati e impatto

Un registro delle deviazioni è utile al progetto solo se è possibile risalire a ciò che è stato effettivamente testato e a ciò che ci si aspettava. Registrare che un test è “fallito” senza conservare la funzione testata, l’URS applicabile o il riferimento di progettazione, il criterio di accettazione e il risultato effettivo impedisce al team di progetto di valutare autonomamente la gravità in un secondo momento, sia durante la revisione pre-consegna, sia in sede di SAT, sia durante un audit di qualificazione. La registrazione deve essere autonoma, indipendente dalla memoria di chiunque fosse presente durante il test.

La base dei requisiti è importante perché una deviazione è tale solo rispetto a un criterio definito. Se l’URS o le specifiche di progettazione da cui deriva il criterio non sono identificate nella documentazione, un revisore successivo non può confermare se il criterio stesso sia stato derivato correttamente, se sia stato successivamente rivisto o se sia ancora applicabile senza modifiche al momento della decisione di spedizione. Qualora una specifica subisca modifiche tra il FAT e il SAT, ad esempio a seguito di un adeguamento della configurazione richiesto dal cliente, il documento relativo alla deviazione deve indicare quale versione del requisito fosse in vigore al momento dell’esecuzione del test.

L'impatto è l'elemento che più spesso viene ridotto a una semplice nota generica, quando invece dovrebbe descrivere cosa comporta la deviazione per il funzionamento dell'apparecchiatura, per i test a valle o per l'obiettivo di protezione che l'apparecchiatura è chiamata a garantire. Una deviazione senza un impatto specificato costringe ogni revisore successivo, compresi i team di controllo qualità, di convalida e del sito, a formulare nuovamente tale giudizio in modo indipendente, il che aumenta la probabilità che revisori diversi giungano a conclusioni diverse riguardo allo stesso riscontro.

Il campo “Azioni correttive” è il punto in cui la responsabilità viene registrata nel sistema. L’indicazione di un responsabile e di una data di scadenza trasforma un problema documentato in un impegno di cui si tiene traccia. Senza questi elementi, la non conformità rimane una semplice descrizione di una lacuna, senza alcun meccanismo che ne imponga la risoluzione prima della spedizione o prima dell’inizio della corrispondente attività in loco.

EudraLex Volume 4 Allegato 15 sostiene questa struttura a livello di qualificazione: richiede criteri di accettazione predefiniti, la documentazione delle deviazioni, l’analisi dei guasti e la rendicontazione rispetto a tali criteri, con un utilizzo giustificato delle prove dal FAT al SAT anziché dato per scontato. I campi specifici che un progetto richiede nel proprio registro delle deviazioni e gli esatti criteri di chiusura applicabili rimangono aspetti definiti dai protocolli e dal sistema di qualità propri del progetto.

La classificazione del rischio distingue le stive di carico dagli articoli approvati per la consegna in loco

Non tutte le non conformità aperte devono impedire che le apparecchiature lascino lo stabilimento, né tutte le non conformità aperte possono essere rinviate in tutta sicurezza. La fase di classificazione è quella in cui il team di progetto decide a quale categoria appartiene un determinato elemento, e tale decisione deve essere presa in modo consapevole, anziché per omissione.

Una non conformità che impedisca la spedizione in sicurezza o invalidi un test a valle non può essere risolta programmandone la verifica in un secondo momento in loco. Se una funzione che protegge il personale durante il trasporto o l’installazione non è stata verificata, oppure se un risultato di test da cui dipende un test successivo rimane non confermato, la spedizione dell’apparecchiatura non elimina il rischio irrisolto; si limita a spostare il momento in cui la non conformità diventa visibile, in genere in un ambiente in loco con condizioni meno controllate per la ripetizione dei test rispetto a quelle offerte in fabbrica.

Una voce approvata per la chiusura in cantiere è di natura diversa, non solo di entità diversa. Si tratta di una voce che può essere chiusa in cantiere proprio perché la sua risoluzione non dipende dalle condizioni di fabbrica e non compromette alcuna prova già completata. Problemi di finitura estetica, aggiornamenti non critici della documentazione o componenti la cui funzionalità può essere verificata altrettanto bene in cantiere rientrano in questa categoria, a condizione che il progetto abbia esplicitamente approvato il loro rinvio e disponga di un piano per la loro chiusura durante i lavori in cantiere.

Quando un acquirente esamina un elenco delle non conformità emerse dal FAT prima di autorizzare la spedizione, la domanda rilevante non è se esistano delle non conformità – dato che un certo numero di punti in sospeso è normale in un sistema configurato per un progetto specifico – ma se a ciascuna di esse sia stata assegnata una di queste categorie in modo documentato, e se tale assegnazione rifletta l’effettiva dipendenza a valle piuttosto che una semplice scelta di convenienza. Una deviazione rinviata al sito perché è scomodo risolverla in fabbrica non è la stessa cosa di una rinviata perché il rinvio non comporta alcun rischio tecnico.

Il confine esatto tra queste categorie, nonché i criteri che determinano l’assegnazione di un determinato articolo all’una o all’altra categoria, viene stabilito dal team di progetto sulla base di criteri da esso stesso definiti; la documentazione fornita dallo stabilimento di un fornitore potrebbe comunque richiedere una verifica in loco o ulteriori test prima che un articolo classificato come “punch item” possa essere considerato effettivamente chiuso.

Prove correttive ottenute tramite esame dei documenti, ripetizione dei test o interrogatorio dei testimoni

Una volta corretta una non conformità o proposta un’azione correttiva, il progetto necessita comunque di prove che dimostrino che la correzione risolva effettivamente la non conformità originaria. Esistono generalmente tre modalità per ottenere tali prove e la scelta tra queste determina il contenuto che la documentazione risultante potrà supportare.

La revisione documentale rappresenta la procedura più semplice: si basa su documentazione aggiornata, un calcolo corretto, un disegno rivisto o una giustificazione scritta che attesti che il riscontro originale era dovuto a un errore di documentazione piuttosto che a una carenza nelle apparecchiature o nelle prestazioni. Questa procedura è appropriata quando la funzione sottoposta a prova non è in discussione, ma solo la relativa registrazione. Non è invece appropriata quando la non conformità originaria riguardava un risultato effettivamente misurato o una funzione osservata che non soddisfaceva i criteri previsti, poiché l’aggiornamento della documentazione non può sostituire la dimostrazione che l’apparecchiatura ora funzioni correttamente.

Il ritest mirato colma tale lacuna eseguendo nuovamente la fase specifica del test, o un suo sottoinsieme definito, dopo l’attuazione dell’azione correttiva. Ciò risulta proporzionato nei casi in cui la correzione sia circoscritta e localizzata e in cui il ritest della singola fase interessata non richieda una nuova verifica delle fasi che non erano state interessate dal riscontro originale. La documentazione relativa al ritest allegata al verbale di non conformità costituisce quindi la base per la chiusura di quella specifica voce.

I test di verifica aumentano ulteriormente il valore probatorio, in quanto la ripetizione del test viene osservata e confermata da una parte avente la legittimazione ad accettarla, solitamente il cliente, un responsabile della qualità o un altro soggetto interessato designato, a seconda di quanto definito dal progetto. Questo approccio diventa rilevante quando la deviazione originale riguardava una funzione sufficientemente significativa per l’obiettivo di protezione, asettico o di contenimento, al punto che il progetto non intende fare affidamento esclusivamente sul verbale di ripetizione del test fornito dal fornitore stesso.

La scelta tra queste tre opzioni è una decisione progettuale che dipende dalla natura della non conformità originaria, dall’importanza della funzione sottoposta a verifica ai fini della garanzia di sterilità o dell’integrità del contenimento, nonché dai requisiti previsti dal sistema di qualità del progetto stesso per quella categoria di non conformità. L’acquirente dovrebbe verificare quale procedura sia stata adottata per ciascuna non conformità risolta e se tale procedura sia commisurata all’importanza della non conformità originaria, anziché dare per scontato che tutte le risoluzioni abbiano lo stesso peso.

Trasferimento delle voci aperte nel SAT e qualificazione del sito

Le voci rinviate dal FAT non scompaiono dal progetto; vengono trasferite al SAT e, se del caso, alle fasi di qualificazione successive. Tale trasferimento richiede una gestione rigorosa, poiché una voce in sospeso ben documentata durante il FAT ma trasferita in modo inadeguato diventa invisibile proprio nel momento in cui deve essere nuovamente verificata.

Il meccanismo alla base di questo trasferimento è proprio l’elenco delle voci aperte, che accompagna i registri delle deviazioni FAT e indica quali voci rimangono aperte, quale piano è stato approvato per la loro chiusura e quale obbligo sussiste di sottoporle a un nuovo collaudo in loco. Laddove una deviazione sia stata classificata come voce di collaudo in loco approvata proprio perché la sua risoluzione richiedeva condizioni specifiche del sito, il SAT rappresenta il momento in cui tale risoluzione dovrebbe avvenire. Se il SAT procede senza un riferimento esplicito a quella voce in sospeso, la chiusura potrebbe essere completamente tralasciata, oppure effettuata in modo informale senza generare prove su cui una successiva revisione di qualificazione possa fare affidamento.

Ciò ha un'influenza diretta su Pianificazione IQ/OQ/PQ. I protocolli di qualificazione si basano in genere sul presupposto che l’apparecchiatura sottoposta a test abbia una configurazione nota e documentata e una serie nota di risultati di test precedenti. Un punto in sospeso riportato senza uno stato chiaro può creare ambiguità sul fatto che il risultato di un test di qualificazione rifletta la configurazione finale dell’apparecchiatura o uno stato intermedio ancora in attesa di una correzione derivante dal FAT. Laddove il punto in sospeso riguardi una funzione che l’IQ o l’OQ dovrebbero altrimenti verificare nuovamente, coordinare i tempi di chiusura con il programma di qualificazione evita di duplicare gli sforzi o, al contrario, di trascurare una lacuna che i test di qualificazione non erano stati progettati per individuare.

La pianificazione SAT da parte del team di progetto dovrebbe quindi considerare il Elenco delle voci aperte FAT come dato di input, non come registrazione separata da riconciliare in modo informale. Verificare, prima dell’inizio dell’esecuzione del SAT, quali scostamenti FAT rimangono in sospeso e quali azioni sono necessarie per ciascuno di essi in loco, consente di basare la sequenza di qualificazione su uno stato delle apparecchiature documentato e aggiornato, anziché su uno ipotetico.

Rilascio delle spedizioni con indicazione dei proprietari, delle date, del rischio residuo e delle implicazioni commerciali

La decisione di autorizzare la spedizione delle attrezzature è una decisione a livello di progetto, non una conseguenza della firma del rapporto FAT. Considerare la spedizione delle attrezzature come una chiusura tecnica automatica elimina la visibilità che il lavoro sulle questioni in sospeso e sulla classificazione dei rischi avrebbe dovuto garantire. Un verbale di autorizzazione alla spedizione dovrebbe indicare in modo esplicito quali sono le questioni ancora in sospeso, quale rischio si accetta spedendo tali articoli senza averli risolti, quali obblighi ne derivano in loco, chi è responsabile di ciascuno di tali obblighi e quali sono le conseguenze commerciali qualora la loro risoluzione incida sui costi o sulla tempistica.

L'assegnazione di responsabili e date a ciascuna voce in sospeso è ciò che trasforma un elenco di eccezioni in qualcosa che il progetto può effettivamente monitorare dopo che l'apparecchiatura ha lasciato lo stabilimento. Una voce in sospeso senza un responsabile tende a rimanere aperta oltre il periodo di validità, poiché nessun soggetto è tenuto a chiuderla prima che influisca su una fase successiva, come il SAT o la qualificazione.

L'accettazione del rischio residuo merita di essere espressa in modo esplicito, poiché la consegna con voci in sospeso rappresenta, per definizione, la decisione di accettare un certo livello di rischio che una voce della lista delle cose da fare possa non essere chiusa in modo definitivo, oppure che un nuovo test in loco possa evidenziare un risultato diverso da quello previsto durante il collaudo a fabbrica (FAT). Documentare tale accettazione, anziché lasciarla implicita, fornisce al progetto una base documentata per la decisione, che potrà essere riesaminata in un secondo momento qualora una voce non venisse chiusa come previsto.

La responsabilità commerciale è l'elemento che più facilmente viene tralasciato in un verbale di rilascio tecnico, ma ha un'influenza diretta sull'andamento del progetto nel caso in cui un nuovo test in loco fallisca o la risoluzione di una questione in sospeso richieda più tempo del previsto. Se le conseguenze di tale esito in termini di costi e tempistiche ricadano sul fornitore o sull'acquirente è una questione che dovrebbe essere specificata nella documentazione di rilascio della spedizione, non qualcosa da dedurre a posteriori.

Qualora un progetto stia coordinando tale processo di rilascio con un fornitore come QUALIA, i registri delle non conformità, le classificazioni dei rischi e l’elenco delle voci in sospeso già preparati dal progetto costituiscono la base per la revisione della spedizione, poiché la revisione della configurazione e del preventivo da parte del fornitore stesso dipende dalla disponibilità di tale documentazione, piuttosto che da una sintesi informale di ciò che rimane in sospeso.

Domande frequenti

Q: È possibile spedire le attrezzature mentre è ancora aperta una non conformità relativa al FAT?
A: Solo quando il team di progetto lo classifica come voce di verifica in loco approvata, anziché come problema che impedisce la spedizione in sicurezza o invalida i test a valle. Prima del rilascio, registrare il rischio residuo accettato, il piano di chiusura del sito, il nuovo test richiesto, il nome del responsabile e la data, nonché la responsabilità per eventuali ripercussioni sui costi o sulla tempistica.

Q: È sufficiente uno stato “chiuso” per accettare una deviazione FAT?
A: No. Verificare che il documento colleghi la funzione sottoposta a test all’URS o al riferimento di progettazione, al criterio previsto, al risultato effettivo, all’impatto, all’azione correttiva e alla prova di chiusura. Lo stato dovrebbe fare riferimento a tale prova piuttosto che sostituirla.

Q: Come si dovrebbe scegliere il percorso di verifica della chiusura?
A: Confrontare la revisione del documentario, il nuovo test mirato o le prove effettuate da testimoni con ciò che la correzione deve dimostrare rispetto al criterio di accettazione originale. Registrare tale scelta nel protocollo di progetto e allegare le prove risultanti alla segnalazione di deviazione, indicando, se necessario, ulteriori test in loco.

Q: Cosa dovrebbe essere trasferito insieme a una voce aperta dal FAT al SAT?
A: Indicare i dati relativi alle anomalie riscontrate, la planimetria approvata, gli obblighi specifici di ripetizione dei test in loco, il proprietario, la data di scadenza e il rischio residuo accettato. Mantenere ben visibile anche la responsabilità commerciale, in modo che la spedizione non nasconda chi si fa carico di eventuali costi o ripercussioni sulla tempistica.

Q: Chi dovrebbe decidere se una deroga debba comportare il blocco della spedizione o la registrazione in loco?
A: Il team di progetto dovrebbe definire e documentare i criteri esatti di classificazione, chiusura e spedizione. La documentazione fornita dal fornitore può essere utile ai fini di tale decisione, sebbene possano comunque rendersi necessari un sopralluogo in loco o ulteriori test; la sola spedizione delle attrezzature non costituisce di per sé una chiusura tecnica.