Matrice delle responsabilità dei fornitori per i progetti relativi ad apparecchiature ad alto contenimento: competenze dell’acquirente, dell’EPC e del fornitore

I progetti relativi ad apparecchiature ad alto contenimento falliscono a livello di interfaccia, non a livello delle apparecchiature stesse. Quando un modulo BSL-3 arriva in cantiere e le dimensioni della camera di scarico non corrispondono alla rete di condutture dell’EPC, oppure quando viene installato un sistema di decontaminazione degli effluenti ma nessuna delle parti ha documentato a chi spetti la responsabilità della convalida del sistema di tracciamento termico della linea di scarico, il progetto non si ferma per una discussione ordinata, ma si blocca mentre i team legali esaminano la formulazione contrattuale e i project manager si attribuiscono le responsabilità. Questo schema è prevedibile e ha origine prima di quanto la maggior parte delle organizzazioni voglia ammettere: nel periodo precedente all’approvazione dell’appalto, quando sembra prematuro formalizzare i confini dell’ambito di lavoro. La soluzione sta nel sapere esattamente cosa deve specificare una matrice delle responsabilità — e quali attribuzioni, se lasciate vaghe, trasformeranno un problema di interfaccia tecnica in una controversia contrattuale nel momento peggiore possibile.

Campi della matrice delle responsabilità per i progetti ad alto livello di contenimento

Una matrice delle responsabilità priva di specificità a livello di colonna è un elenco di intenzioni, non un documento di controllo del progetto. La distinzione è importante perché i progetti ad alto contenimento coinvolgono almeno tre parti con ambiti di competenza parzialmente sovrapposti — committente, EPC e fornitore di attrezzature — e la comprensione da parte di ciascuna di esse di dove finiscano i propri obblighi divergerà sotto pressione se il documento lo consente. La matrice deve definire, per ogni controllo o attività, non solo chi è responsabile, ma anche cosa tale responsabilità richieda concretamente: tempistiche, criteri di accettazione e i nomi delle azioni coinvolte, non categorie.

La struttura a quattro colonne che rende tutto questo fattibile separa il controllo o l’attività dal ruolo specifico di ciascuna parte e aggiunge una colonna per i dettagli condivisi che risolve le dinamiche di passaggio di consegne. Il “controllo degli accessi” come riga della matrice è operativamente inutile. “Revisioni trimestrali degli accessi per i sistemi classificati come ”contenimento”, condotte dal fornitore, esaminate e approvate dal reparto QA dell’acquirente» è un’attività assegnabile e verificabile. La differenza non sta nella precisione amministrativa fine a se stessa: è la differenza tra una deviazione risolta in tre giorni e una deviazione che rimane aperta per sei settimane mentre ciascuna parte attende che sia l’altra a prendere l’iniziativa.

Il tipo di errore che vale la pena segnalare in questa sede è la copia dei modelli. Una matrice copiata da un progetto precedente senza adeguamenti all’ambito effettivo dell’incarico corrente crea una responsabilità, poiché elenca attività che nessuna delle parti è tenuta a svolgere in base al contratto. Nei progetti di contenimento, ciò si manifesta tipicamente con una riga che assegna la convalida del ciclo di decontaminazione al fornitore, quando il contratto in essere attribuisce tale attività al team di messa in servizio dell’EPC — e quindi la riga rimane senza firma, senza contestazioni e dimenticata fino alla fase di esecuzione dell’IQ.

Requisiti stabiliti dall'acquirente e punti di approvazione

Il ruolo dell’acquirente non consiste in un’approvazione passiva. In un progetto ad alto livello di contenimento, l’acquirente è responsabile delle specifiche dei requisiti utente (URS) intese come documento in continua evoluzione, e i criteri di accettazione incorporati in tale documento costituiscono la soglia rispetto alla quale viene valutato ogni sistema consegnato. Se tali criteri non sono specificati in modo adeguato all’avvio del progetto — se le prestazioni di contenimento sono descritte come “conforme ai requisiti BSL-3” senza riferimento a specifiche differenze di pressione, volumi di flusso d’aria o setpoint di allarme — allora ogni protocollo FAT e SAT redatto sulla base di tali URS eredita tale ambiguità.

Ciò che l’acquirente deve detenere, e che deve essere esplicitamente indicato nella matrice, comprende: l’approvazione finale di tutti i protocolli di collaudo prima dell’esecuzione, l’autorità di approvazione in ciascuna fase di accettazione (FAT, SAT, IQ, OQ, PQ) e il diritto di rifiutare qualsiasi pacchetto di documentazione che non soddisfi l’URS. La norma ASTM E2500-25 definisce lo sviluppo degli URS e la pianificazione della verifica come attività fondamentali che determinano il significato di “idoneità allo scopo” per un determinato sistema; ciò significa che l’acquirente non può affidare tale definizione al fornitore e poi aspettarsi che il processo di accettazione si svolga senza intoppi.

Le conseguenze derivanti da una definizione incompleta delle responsabilità dell’acquirente in questa fase si manifestano nella fase IQ. Se l’acquirente non ha specificato quali caratteristiche prestazionali richiedano la verifica da parte di terzi anziché l’approvazione interna, la fase di esecuzione IQ comporta spesso la rinegoziazione di tali decisioni sotto pressione, quando l’apparecchiatura è già stata installata e il programma del progetto è già in corso.

Servizi di pubblica utilità di proprietà di EPC e interfacce installate

La responsabilità dell’EPC nei progetti ad alto contenimento è spesso il punto in cui risiede l’ambiguità più rilevante, poiché l’EPC collega le apparecchiature fornite ai sistemi dell’edificio che determinano se tali apparecchiature possano funzionare come previsto. La qualità dell’alimentazione elettrica, i volumi di mandata e di scarico dell’impianto HVAC, il dimensionamento delle linee di scarico, la capacità di carico strutturale e il cablaggio di interblocco tra i sistemi di gestione dell’edificio e le apparecchiature contenute sono tutte interfacce in cui l’ambito di competenza dell’EPC e la progettazione delle apparecchiature da parte del fornitore devono essere allineati con precisione prima dell’inizio dell’installazione.

Il rischio non è che gli EPC non comprendano il proprio lavoro, bensì che “fornito dall’EPC” e “convalidato dall’EPC” non siano la stessa cosa, e che la matrice debba distinguere tra i due concetti. Un EPC può essere responsabile dell’installazione di un raccordo di scarico su un isolatore OEB4/OEB5 senza però essere tenuto a verificare che la pressione statica erogata in quel punto corrisponda ai requisiti di progetto dell’isolatore. Se tale verifica non viene assegnata a un soggetto specifico, è probabile che emerga come una discrepanza irrisolta durante la messa in servizio.

La soglia che determina un cambiamento nella raccomandazione in questo caso è la dipendenza dal contenimento. Per qualsiasi allacciamento di servizio in cui una modalità di guasto influisca direttamente sull’integrità del contenimento — cascata di pressione negativa, flusso d’aria di scarico verso un modulo BSL-3, collegamento dello scarico degli effluenti a un EDS — la matrice dovrebbe assegnare la responsabilità della verifica attiva a un soggetto specificatamente indicato, anziché la responsabilità passiva dell’installazione. La differenza è rilevante per il team addetto alla messa in servizio e, successivamente, per l’autorità ispettiva incaricata di esaminare il fascicolo di qualificazione.

Attsgplàenoia rroeufncr ronzepeeo ocndura ernemdttz d izoaedtitie are

L’insieme dei prodotti da fornire da parte del fornitore di apparecchiature va ben oltre il sistema fisico. Per le apparecchiature ad alto contenimento e quelle critiche ai fini delle GMP, il pacchetto di documentazione costituisce un elemento fondamentale per la qualificazione, e eventuali lacune in tale pacchetto ritardano l’esecuzione della qualificazione a installazione (IQ) con la stessa certezza dei difetti hardware. Ciò che il fornitore deve garantire — e che deve essere indicato esplicitamente nella matrice — comprende il pacchetto di qualificazione del progetto, i protocolli dei test di accettazione in fabbrica e i relativi rapporti firmati, la documentazione di supporto alla qualificazione dell’installazione, nonché i manuali operativi e di manutenzione in un formato compatibile con i requisiti di gestione documentale dell’acquirente.

Il punto in cui solitamente si verifica un’insufficienza non è l’omissione, bensì l’ambiguità tra la responsabilità della redazione e quella dell’approvazione. La matrice deve specificare non solo l’esistenza del protocollo IQ, ma anche chi lo redige, chi lo revisiona e chi lo approva prima dell’inizio dell’esecuzione. L’Allegato 15 del Volume 4 di EudraLex considera il ciclo di vita della qualificazione come una sequenza strutturata di attività documentate, ma non prescrive che sia il fornitore a redigere il protocollo di qualificazione. Tale incarico è una decisione a livello di progetto e, se non viene assegnato in modo esplicito, sia il fornitore che il team di validazione dell’acquirente potrebbero redigere versioni separate e poi dedicare tempo a riconciliarle in un periodo in cui le risorse per la messa in servizio sono già al limite.

Per i progetti che riguardano sistemi complessi—Sistemi di laboratorio modulari BSL-3/BSL-4 oppure isolatori di contenimento con logica di controllo integrata: l’ambito della documentazione è talmente ampio che vale la pena definire, come allegato contrattuale, un calendario delle consegne della documentazione, a cui si fa riferimento all’interno della matrice. Senza di esso, la riga della matrice relativa alla “documentazione del fornitore” finisce per rientrare proprio in quella categoria di obblighi vaghi che la matrice era stata concepita per evitare.

Punti di errore ricorrenti durante i test di accettazione

Le responsabilità condivise rappresentano le righe a più alto rischio in qualsiasi matrice di un progetto di contenimento, e lo schema di fallimento è sempre lo stesso: quando una responsabilità viene descritta come condivisa senza specificarne i meccanismi, ciascuna parte presume che sia l’altra a occuparsi della parte attiva. La conseguenza durante i test di accettazione non è una discussione, bensì un ritardo, poiché i test si bloccano quando qualcuno si presenta per verificare un protocollo che non è stato ancora finalizzato, oppure quando viene registrata una deviazione senza un responsabile assegnato, che rimane in sospeso fino alla fine del periodo previsto per i test FAT.

Le tre attività condivise in cui questo modello emerge in modo più affidabile nei progetti ad alto contenimento sono la partecipazione ai test FAT e SAT, il supporto al protocollo e la chiusura delle deviazioni. Per quanto riguarda la partecipazione ai test FAT sulle apparecchiature in contenimento, la questione di chi si rechi presso la sede del fornitore per assistere ai test, chi fornisca l’approvazione formale e cosa costituisca un risultato positivo deve essere risolta prima che venga fissata la data del test FAT. Per quanto riguarda il supporto al protocollo, la questione di chi rediga, esamini e approvi il protocollo di prova — e chi fornisca gli agenti di prova, gli standard di riferimento o i campioni di controllo — non è implicita nel termine “condiviso”.”

La chiusura delle deviazioni è il punto in cui il costo a valle di una condivisione poco chiara è più evidente. Una deviazione registrata durante il FAT a cui non sia stato assegnato un responsabile e per la quale non sia stata definita una catena di approvazione per la chiusura tende a seguire uno dei due percorsi seguenti: viene chiusa senza un’adeguata documentazione delle cause alla radice e successivamente contestata durante l’ispezione normativa, oppure rimane aperta e blocca il programma del SAT mentre le parti negoziano la responsabilità. La matrice deve assegnare un unico soggetto responsabile della registrazione, un unico soggetto incaricato di indagare sulla causa principale e un unico soggetto incaricato di approvare la chiusura, e deve indicare la procedura di comunicazione che informa tutte le parti quando la chiusura è stata completata.

Per ulteriori approfondimenti su come le sequenze di messa in servizio interagiscano con queste decisioni di passaggio di consegne, il Guida dettagliata alla messa in servizio di un laboratorio BSL-3 illustra come le fasi dei test di accettazione si inseriscano nel più ampio ciclo di vita della qualificazione.

Regola di responsabilità per ogni requisito critico

La matrice acquista significato operativo quando, prima della firma dell’approvazione dell’appalto, ogni requisito critico — integrità del contenimento, prestazioni della cascata di pressione, convalida del ciclo di decontaminazione, trattamento degli effluenti — ha esattamente un responsabile principale e un responsabile di supporto designato. Non si tratta di una preferenza strutturale per una documentazione in ordine. È una soglia pratica che impone un confronto sulle lacune nell’ambito di applicazione e sulla prontezza del sito in una fase del progetto in cui è ancora possibile risolverle senza dover ricorrere a rielaborazioni.

Il compromesso è reale: una maggiore precisione dei dettagli di confine nella matrice fa emergere prima le domande scomode. Un EPC che non abbia confermato la prontezza strutturale per un sistema di contenimento pesante, o un acquirente il cui team di controllo qualità non abbia stanziato risorse per la fase di revisione del protocollo, vedrà quelle lacune venire alla luce quando la matrice sarà in fase di completamento, anziché quando il sistema arriverà in cantiere. Le organizzazioni spesso rimandano tale specificità perché la ritengono prematura — e proprio questo rinvio è ciò che trasforma una questione di ambito gestibile in un ritardo nella messa in servizio.

Una matrice firmata o convalidata è lo strumento che trasforma tali attribuzioni, frutto dell’interpretazione di una delle parti, in un impegno vincolante nell’ambito del progetto. Una matrice non firmata — anche se ben strutturata — non è applicabile in caso di controversia. La norma ICH Q9(R1) sostiene il principio secondo cui la gestione dei rischi di qualità richiede una chiara attribuzione dei controlli sui rischi, ma una matrice firmata è un meccanismo di governance del progetto, non un requisito normativo. Il suo valore è pratico: colma il divario tra ciò di cui ciascuna parte riteneva di essere responsabile e ciò che si è effettivamente impegnata a fornire.

La verifica da effettuare prima dell’approvazione dell’appalto è semplice: esaminare ogni riga della matrice alla ricerca di un unico nome responsabile, confermare che sia indicato un titolare di supporto e verificare che nessuna riga riporti la dicitura “condiviso” senza una colonna specifica che ne chiarisca le modalità. Qualsiasi riga che non superi questa verifica rappresenta una potenziale controversia in fase embrionale.

La matrice delle responsabilità si guadagna il proprio posto in un progetto ad alto contenimento non come semplice strumento di conformità, ma come documento che trasforma le ipotesi di progetto in impegni concreti prima che tali ipotesi possano generare rilavorazioni. Le domande a cui dovrebbe rispondere prima dell’approvazione dell’appalto sono specifiche: quale parte redige ciascun protocollo di qualificazione, chi lo approva, chi partecipa a ciascuna procedura di accettazione, chi registra e chiude le non conformità e quali interfacce con i servizi di utenza richiedono una verifica attiva anziché un’installazione passiva. Per i progetti che coinvolgono sistemi in cui le prestazioni di contenimento dipendono sia dalle apparecchiature fornite sia dall’infrastruttura edilizia installata — cascata di pressione, continuità dello scarico, connettività del trattamento degli effluenti — il confine tra l’ambito di competenza del fornitore e quello dell’EPC rappresenta la linea di massimo rischio nella matrice e merita il trattamento più esplicito.

Prima che un progetto passi dalla fase di selezione del fornitore a quella dell’ordine di acquisto, la matrice deve essere sottoposta a tre verifiche: ogni requisito critico deve avere un unico responsabile; ogni riga condivisa deve contenere indicazioni precise su chi individua, indaga e chiude il caso; e ogni parte deve aver firmato o formalmente preso atto del documento. Se tali condizioni non sono soddisfatte, la matrice rimane solo un modello e il progetto si espone ai rischi che ne derivano.

Domande frequenti

D: E se il nostro progetto non prevedesse un EPC? L'articolo ipotizza una struttura a tre parti, ma noi gestiamo direttamente l'installazione.
R: La matrice delle responsabilità continua a funzionare, ma occorre integrare la colonna EPC nell’ambito di competenza dell’acquirente e rendere ancora più espliciti i punti di passaggio di consegne tra il proprio team di installazione interno e il fornitore delle apparecchiature. Si verifica lo stesso tipo di problema: ipotesi non documentate relative alla verifica dei servizi, alla paternità dei protocolli e alla partecipazione ai test di accettazione emergeranno in seguito, solo che ora la controversia è tra il proprio gruppo e il fornitore anziché tra l’EPC e il fornitore. La logica a quattro colonne della matrice non richiede un EPC; richiede invece che nessuna interfaccia sia lasciata alle supposizioni, indipendentemente dal numero di parti coinvolte.

D: Una volta messa in atto la matrice delle responsabilità firmata, qual è la prima azione da intraprendere prima di emettere l'ordine di acquisto?
A: Allineare il calendario di consegna della documentazione alla matrice e allegarlo al contratto. La matrice assegna le responsabilità relative alla redazione, alla revisione e all’approvazione dei documenti di qualificazione; senza un calendario con date precise che elenchi esattamente quali documenti debbano essere consegnati entro quale milestone, la riga “documentazione del fornitore” rimane un obbligo vago. Questo è il passaggio in cui la matrice passa dall’essere un documento di governance del progetto a un allegato operativo relativo all’ambito di applicazione che l’ufficio acquisti può far rispettare.

D: A partire da quale dimensione del progetto o livello di rischio una matrice dettagliata delle responsabilità dei fornitori diventa eccessiva?
A: Quando l’apparecchiatura opera al di fuori dei confini critici per le GMP o per il contenimento — ad esempio, uno skid di utilità standard per uso generico che non influisce sulla qualità del prodotto o sulla biosicurezza. Se un guasto all’interfaccia non comporta un’osservazione normativa, un’indagine sull’impatto sul prodotto o una violazione del contenimento, spesso è sufficiente una suddivisione semplificata dei compiti nel contratto. La soglia è rappresentata dalla dipendenza dal contenimento: non appena un collegamento di servizio influisce direttamente sulla pressione negativa, sul trattamento degli effluenti o sull’integrità dei confini asettici, il livello di dettaglio della matrice smette di essere una semplice formalità e diventa un elemento di controllo del rischio.

D: Qual è la differenza tra l'utilizzo di una matrice formale delle responsabilità e il fatto di affidarsi esclusivamente a una formulazione ben redatta dell'ambito di applicazione del contratto?
R: Un contratto ripartisce gli obblighi; una matrice delle responsabilità firmata non solo assegna ciò che ciascuna parte dovrà fare, ma anche chi avvia, chi conclude e cosa si intende per “completato” per ogni attività che supera un confine. Il testo contrattuale in genere impone all’EPC di “fornire il collegamento di scarico all’isolatore”, ma non indica la parte incaricata di verificare che la pressione statica fornita soddisfi le specifiche di progetto. La matrice converte gli obblighi a livello contrattuale in azioni esecutive attribuibili a un unico responsabile — ed è proprio questa differenza che impedisce che l’approvazione di un protocollo subisca ritardi mentre le parti attendono che qualcun altro faccia la prima mossa.

D: Il tempo necessario per definire e compilare una matrice dettagliata è giustificato nel caso di un singolo dispositivo di contenimento, come ad esempio un isolatore, oppure è conveniente solo per sistemi integrati di grandi dimensioni?
A: eissaeuhpnio oahcon mcpelncne a gcAl orc oid un Isolatore OEB4/OEB5, la matrice apporta valore aggiunto perché i punti di interfaccia — allineamento dei condotti di scarico, cablaggio degli interblocchi del BMS, collegamenti di scarico, titolarità dei protocolli di qualificazione — non scompaiono quando il numero di sistemi diminuisce. Un singolo isolatore continua a collegarsi alle utenze dell’edificio, richiede comunque decisioni relative alla partecipazione ai test FAT/SAT e genera comunque pacchetti di documentazione che qualcuno deve esaminare e approvare. L’impegno si riduce con il diminuire del numero di sistemi, ma il rischio che una riga “condivisa” non firmata provochi un ritardo nella messa in servizio non diminuisce solo perché l’elenco delle apparecchiature è breve.