Documentazione di convalida e consegna per progetti BSL e di contenimento: URS, FAT, SAT, IQ/OQ/PQ e collaudo finale

I progetti di contenimento che giungono alla fase di revisione dell’occupazione senza un pacchetto di prove strutturato tendono a far emergere lo stesso problema nel momento peggiore possibile: il controllo qualità non è in grado di dimostrare che una specifica funzione di contenimento sia stata testata, accettata e consegnata alle operazioni in condizioni definite. Il percorso di correzione in quella fase raramente consiste semplicemente in una firma mancante: si tratta piuttosto di una riqualificazione, il che significa riprogrammare gli ingegneri addetti alla qualificazione, rieseguire i protocolli di test sui sistemi installati e risolvere le deviazioni che non sono mai state formalmente chiuse. La decisione che permette di evitare tutto ciò consiste nel considerare il pacchetto di documentazione come una catena di prove strutturata con confini di fase ben definiti, non come una raccolta di rapporti assemblati al momento della chiusura del progetto. Comprendere dove inizia e finisce ogni fase, cosa può e non può sostituire la documentazione fornita dal fornitore e quando un pacchetto di consegna è realmente completo determinerà se le vostre approvazioni relative al controllo qualità e alla biosicurezza reggeranno in caso di ispezione.

Definizione dei perimetri del pacchetto di documentazione, dall'URS all'accettazione finale

La funzione più pratica di un pacchetto di documenti strutturato per fasi è la tracciabilità, ovvero la capacità di collegare un requisito di contenimento indicato nell’URS al verbale di prova che dimostra che tale requisito è stato soddisfatto nel sistema installato. Senza tale catena, un ispettore o un revisore della biosicurezza non può determinare se un risultato positivo rifletta le effettive condizioni operative o un’impostazione di fabbrica che non è mai stata verificata nuovamente in loco.

L'Allegato 15 di EudraLex definisce la qualificazione come un processo continuo e basato su prove concrete, piuttosto che come una tappa fondamentale di un progetto; ciò significa che ogni fase deve produrre documentazione su cui la fase successiva possa basarsi, anziché sostituirla. L’URS e le basi di progettazione definiscono la linea di base funzionale. La documentazione del fornitore relativa al FAT conferma la qualità costruttiva e la logica di controllo. La documentazione relativa al SAT conferma le prestazioni del sistema installato nelle condizioni del sito. I protocolli IQ/OQ/PQ trasformano tali risultati, ottenuti nelle condizioni del sito, in una documentazione formale a sostegno della validazione. Le approvazioni finali di accettazione confermano che il pacchetto di prove è completo e che il sistema è pronto per il trasferimento operativo.

Un errore strutturale comune consiste nel considerare le fasi come caselle di controllo sequenziali anziché come confini interdipendenti. Quando l’URS è vago riguardo alle soglie di prestazione di contenimento, i criteri di prova FAT ereditano tale vaghezza e i criteri di accettazione OQ diventano difficili da definire in modo univoco. Questa lacuna emerge raramente fino alla fase PQ, quando i risultati non possono essere confrontati con una linea di riferimento concordata.

Ciascun criterio riportato nella seguente suddivisione riflette gli elementi tipici che ci si aspetta in quella fase a sostegno dell’integrità di IQ/OQ/PQ — non si tratta di una checklist normativa esaustiva, bensì della struttura minima sostenibile per un progetto di contenimento.

Una conseguenza pratica di questa struttura è che l’approvazione finale non può colmare le lacune emerse nelle fasi precedenti. Se mancano i verbali del FAT relativi a una funzione di controllo critica e tale funzione non è stata sottoposta a un nuovo test durante il SAT, la fase di PQ non può convalidarla retroattivamente. Il confine tra una fase e l’altra coincide anche con il confine di responsabilità.

Documentazione del fornitore a sostegno della qualificazione del sito

La documentazione fornita dal fornitore può supportare la qualificazione del sito, ma non può sostituirla. La distinzione è importante perché i team sottoposti a pressioni temporali spesso considerano un pacchetto completo di manuali di funzionamento e manutenzione come prova della prontezza operativa del sistema, quando in realtà tali documenti descrivono ciò per cui il sistema è stato progettato — non ciò che il sistema installato effettivamente fa nelle condizioni specifiche del sito.

La fase di verifica consiste nel controllo incrociato. Prima di procedere con l’IQ/OQ, è necessario verificare la corrispondenza tra la documentazione fornita dal fornitore e lo stato effettivo dell’impianto: i codici dei componenti riportati nel manuale di O&M devono corrispondere alle targhette identificative delle apparecchiature installate; le versioni approvate della documentazione devono corrispondere alla configurazione effettiva in loco; lo stato di revisione dei disegni as-built deve corrispondere al registro delle richieste di modifica in corso; e le date di inizio della garanzia devono corrispondere alla data effettiva di completamento sostanziale. Nessuna di queste verifiche è obbligatoria a livello normativo prescrittivo per ogni progetto, ma ciascuna di esse affronta un rischio di non conformità che, se non individuato, può compromettere l’intera qualificazione del sito.

Vale la pena sottolineare in modo specifico il disallineamento delle date di garanzia, poiché crea una lacuna nascosta in termini di responsabilità. Se la data di inizio della garanzia è legata alla spedizione dalla fabbrica anziché alla messa in servizio in loco, i guasti operativi che si verificano nelle prime fasi potrebbero non rientrare nella copertura, anche se l’impianto non ha ancora raggiunto la piena operatività. Questo problema emerge raramente finché non si verifica un guasto.

La tabella che segue mette in relazione i tipi tipici di documentazione fornita dai fornitori con gli indicatori di discrepanza che dovrebbero comportare la sospensione dell'iter di qualificazione.

Una versione presentata che non corrisponde alla configurazione installata non costituisce necessariamente un motivo di esclusione, ma crea un’incertezza in merito alla qualificazione che deve essere risolta prima di procedere con l’IQ/OQ. Lo stato installato o corrisponde al progetto approvato oppure no; e se non corrisponde, la deviazione deve essere risolta prima dell’inizio dell’esecuzione dei test, non dopo.

Registrazioni di fabbrica rispetto alle registrazioni del sistema installato

Il divario tra ciò che è stato spedito dalla fabbrica e ciò che è stato effettivamente installato in cantiere è la causa più comune di problemi di chiusura dei lavori che richiedono un intenso lavoro di ritocco nei progetti di contenimento. È anche quella che i team tendono a sottovalutare perché si accumula gradualmente — un componente sostituito qui, una modifica non documentata là — fino al punto che i disegni as-built non possono essere finalizzati perché sono ancora in sospeso ordini di modifica non evasi.

Il rischio principale è che i manuali di funzionamento e manutenzione e i documenti di garanzia, redatti in base alle specifiche originali delle apparecchiature, perdano di affidabilità nel momento in cui vengono effettuate sostituzioni non documentate. Gli intervalli di manutenzione, i codici dei pezzi di ricambio e i requisiti di taratura potrebbero non essere più applicabili all’hardware effettivamente installato. Nei sistemi di contenimento, dove l’integrità del programma di manutenzione è un requisito di biosicurezza e non solo una questione di affidabilità, questo aspetto assume un’importanza maggiore rispetto a quanto avviene nelle apparecchiature di processo standard.

Il controllo pratico di riconciliazione avviene a livello di numero di serie. Prima del blocco della qualificazione, è necessario confrontare i codici articolo manuali con le targhette identificative delle apparecchiature installate e i registri di acquisto, verificare il registro degli ordini di modifica rispetto allo stato di revisione dei disegni e riconciliare la distinta dei componenti forniti dal produttore con l’inventario fisico in loco. Questi controlli sono raccomandazioni derivanti dai principi di tracciabilità della qualificazione, non da obblighi normativi; tuttavia, tralasciarli genera incongruenze nella pianificazione della manutenzione e compromette la difendibilità normativa della documentazione di qualificazione stessa.

Per gli isolatori e i sistemi pass-through che richiedono una riqualificazione periodica, un manuale di funzionamento e manutenzione inaffidabile non rappresenta un problema isolato. Esso genera un’incertezza crescente in ogni ciclo di manutenzione e in ogni evento di riqualificazione per tutta la durata di vita del sistema. Il Isolatore OEB4/OEB5 e VHP Pass Box sono esempi di dispositivi di contenimento in cui la tracciabilità a livello di numero di serie tra i registri di fabbrica e la configurazione installata influisce direttamente sulla possibilità di eseguire in modo affidabile i protocolli di riqualificazione periodica rispetto a una linea di riferimento nota.

Il FAT crea in questo caso un compromesso reale ma facilmente fraintendibile. Un registro FAT in regola conferma che l’unità è stata costruita correttamente e che la logica di controllo è stata verificata prima della spedizione. Non conferma però che l’unità installata abbia la stessa configurazione di quella uscita dalla fabbrica, né verifica le utenze in loco, le interfacce di pressione ambiente o le integrazioni degli allarmi. Considerare il FAT come un prerequisito per il SAT — piuttosto che come un suo sostituto — è l’interpretazione corretta. Il verbale relativo al sistema installato deve essere indipendente dal verbale di fabbrica.

Chiusura della deviazione prima dell'approvazione da parte del controllo qualità e della biosicurezza

Una deviazione aperta al momento del passaggio di consegne non costituisce una lacuna amministrativa, bensì una questione irrisolta relativa alla capacità del sistema di svolgere una funzione documentata in condizioni definite. Le approvazioni relative al controllo qualità e alla biosicurezza basate su registrazioni incomplete delle deviazioni creano un rischio di audit che non diminuisce col passare del tempo, ma si aggrava, poiché ogni ispezione successiva può rimettere in discussione i criteri di accettazione originari.

Il controllo di processo che impedisce l’approvazione prematura consiste nel monitoraggio in tempo reale della completezza del pacchetto di consegna, con una rivalutazione automatica attivata ogni volta che un’appendice o un ordine di modifica altera l’ambito della documentazione. Quando le modifiche all’ambito vengono integrate senza rivalutare il pacchetto di documentazione, il risultato è un pacchetto che appare completo rispetto ai requisiti originali ma presenta lacune rispetto alle attuali basi di progettazione. Tale discrepanza emerge in genere durante la revisione del controllo qualità, non durante l’esecuzione del progetto — a quel punto richiede un intervento correttivo anziché una misura preventiva.

Il criterio per considerare completo un pacchetto di consegna è chiaro e semplice dal punto di vista del controllo del progetto: ogni limitazione residua deve essere documentata indicando un responsabile e una data di revisione. Non si tratta di una definizione normativa universale, ma è la struttura minima di responsabilità tracciabile necessaria per impedire che lacune irrisolte raggiungano l’approvazione finale. Una deviazione senza un responsabile è una deviazione che non verrà risolta.

Un meccanismo specifico che vale la pena implementare: ogni volta che viene emesso un ordine di modifica durante la costruzione o la messa in servizio, dovrebbe innescare un confronto automatico tra il nuovo ambito di applicazione e l’elenco dei requisiti documentali esistente. Se l’ordine di modifica riguarda una funzione di contenimento — logica di controllo HVAC, sequenze di interblocco, setpoint della cascata di pressione — i registri di collaudo e i disegni as-built interessati dovrebbero essere contrassegnati per una nuova verifica prima che il registro delle deviazioni venga aggiornato. Senza questo collegamento, gli ordini di modifica vengono chiusi dal punto di vista finanziario mentre le lacune nella documentazione rimangono aperte.

Per i progetti che prevedono infrastrutture di contenimento complesse, il Messa in funzione del laboratorio BSL-3: Guida passo-passo illustra come il monitoraggio delle deviazioni si integri con la sequenza di messa in servizio prima del passaggio di consegne al controllo qualità.

Indice delle consegne per sistema, stanza e numero di serie

La fase più lenta nella chiusura della maggior parte dei progetti di contenimento non è la produzione dei documenti, bensì la loro corrispondenza con le apparecchiature giuste. Disegni, certificati di taratura, rapporti di collaudo e note sulle deviazioni rispetto alle specifiche originali diventano inaffidabili nel momento in cui, in cantiere, viene effettuata una sostituzione senza un corrispondente aggiornamento dell’indice dei documenti. Il risultato è un fascicolo in cui i singoli documenti esistono, ma non possono essere attribuiti in modo affidabile all’hardware specifico installato in una determinata sala.

Il numero di serie è il perno centrale. È l’identificatore unico che dovrebbe collegare ogni disegno, registro di calibrazione, rapporto di prova e chiusura di scostamento all’unità fisica presente in laboratorio. Un indice di consegna organizzato per sistema, sala e numero di serie rende tale collegamento esplicito e verificabile. Senza di esso, un revisore della biosicurezza o un auditor della garanzia della qualità deve ricostruire manualmente la catena di attribuzione — un processo lento, soggetto a errori e spesso incompleto.

La struttura dell’indice qui descritta è una raccomandazione pratica derivata dai principi di tracciabilità alla base della documentazione di qualificazione dell’Allegato 15 — non un formato prescritto da una singola autorità. Il suo valore risiede nel fatto che crea una traccia di audit su un’unica riga che va dal requisito all’installazione fino alla qualificazione per ciascuna unità installata, indicizzata in modo da rispecchiare il modo in cui gli ingegneri e i responsabili della biosicurezza conducono effettivamente le verifiche sul campo: per sede e attrezzatura, non per tipo di documento.

Un indice di consegna risulta particolarmente utile quando viene considerato un documento in continua evoluzione durante la fase di costruzione, anziché essere redatto solo al momento della chiusura dei lavori. Se l’indice viene compilato in modo prospettico — ovvero aggiornato durante la messa in servizio man mano che ogni unità viene installata e ogni documento viene prodotto — la verifica dei numeri di serie diventa un controllo di routine anziché un problema da risolvere in extremis. Se invece viene redatto a posteriori, gli ordini di modifica in sospeso e le sostituzioni non documentate avranno già creato delle lacune che richiedono un’indagine per essere risolte.

Condizione di accettazione per le funzioni di contenimento non risolte

Una funzione di contenimento con un verbale di prova irrisolto, una deviazione senza responsabile o una base di accettazione ambigua dovrebbe essere trattata come un fascicolo incompleto — non come una questione amministrativa minore in attesa di risoluzione. La distinzione è importante perché l’approvazione in materia di biosicurezza e l’approvazione QA non sono conferme del fatto che il sistema sia pressoché pronto; sono invece affermazioni formali che il fascicolo probatorio dimostra che il sistema svolge la sua funzione di contenimento nelle condizioni definite. Un fascicolo incompleto in quella fase crea un documento normativo con una lacuna.

Il criterio di accettazione per il trasferimento di una funzione di contenimento alle operazioni è costituito da una serie di condizioni che, nel loro insieme, confermano che il sistema si trovi in uno stato stabile e documentato — condizioni che non sono sufficienti singolarmente, ma necessarie collettivamente. Sia le linee guida del Manuale di biosicurezza di laboratorio dell’OMS sia i principi di qualificazione e prontezza contenuti nell’Allegato 15 sostengono il concetto di fondo: la prontezza documentata deve essere confermata prima del trasferimento operativo e tale conferma deve essere tracciabile. Le cinque condizioni riportate di seguito definiscono come si presenta, nella pratica, tale stato stabile.

Due aspetti di questo insieme meritano un’attenzione particolare. Il comportamento in caso di dati mancanti — ovvero come il sistema reagisce quando un sensore si guasta o si interrompe un flusso di dati — è spesso poco documentato nei progetti di contenimento, poiché richiede scenari di test mirati che vanno oltre la normale verifica dei limiti operativi. Se la risposta del sistema al guasto di un sensore di pressione o alla mancata ricezione di un segnale di interblocco non è definita e testata, tale lacuna non è un problema di calibrazione, ma un caso di sicurezza non verificato. Allo stesso modo, l’accettazione da parte del gestore operativo non è una formalità. Il team responsabile del funzionamento di routine dovrebbe confermare formalmente la propria prontezza, poiché è proprio quel team che gestirà il sistema quando si verificherà un evento imprevisto. Un passaggio di consegne senza tale conferma comporta il trasferimento del rischio senza il trasferimento di una responsabilità consapevole.

Per le funzioni di contenimento che prevedono cicli di decontaminazione con VHP, il Protocollo di convalida VHP: IQ, OQ, PQ per i sistemi a perossido di idrogeno illustra in dettaglio come debbano essere gestiti gli scenari relativi ai dati mancanti e i criteri di completamento del ciclo nell'ambito del quadro IQ/OQ/PQ prima dell'approvazione finale.

La solidità del pacchetto documentale di un progetto di contenimento dipende dal suo anello più debole e irrisolto — e tale anello viene quasi sempre individuato troppo tardi. L’implicazione pratica è che la qualità del fascicolo dovrebbe essere valutata continuamente sulla base di un indice strutturato, anziché essere assemblata e revisionata in blocco solo al momento della chiusura. I confini tra le fasi, la riconciliazione dei numeri di serie, l’attribuzione delle responsabilità per le deviazioni e le condizioni di accettazione qui descritte non sono formalità procedurali; sono i meccanismi che rendono le approvazioni relative al controllo qualità e alla biosicurezza difendibili in caso di ispezione e che fanno sì che il passaggio di consegne operativo sia un vero e proprio trasferimento di responsabilità piuttosto che il semplice ritiro del team di progetto.

Prima di approvare qualsiasi pacchetto di consegna, verificare in modo indipendente tre aspetti: che ogni funzione critica di contenimento disponga di un verbale di collaudo approvato e riconducibile al numero di serie dell’impianto, che ogni deviazione aperta abbia un responsabile designato e una data di revisione, e che il team operativo abbia formalmente confermato la propria prontezza. Se una qualsiasi di queste tre condizioni non è soddisfatta, il pacchetto è da considerarsi incompleto, indipendentemente da quanto previsto dal programma di progetto.

Domande frequenti

D: Il pacchetto di prove strutturato per fasi è applicabile nel caso in cui il progetto ricorra a un appaltatore che si occupa sia della progettazione che della realizzazione, anziché al tradizionale modello “fornitore più integratore”?
A: Sì, ma il confine tra la documentazione del fornitore e quella relativa alla qualificazione in loco diventa più difficile da far rispettare, non più facile da ignorare. In un accordo di progettazione-costruzione, lo stesso soggetto produce sia la documentazione di fabbrica che quella relativa alla messa in servizio in loco, il che crea la tentazione di considerare tali documenti come intercambiabili. Ma non lo sono: la documentazione relativa al FAT (Factory Acceptance Test) continua a documentare le condizioni di fabbrica, mentre la documentazione relativa al SAT (Site Acceptance Test) e alle procedure IQ/OQ/PQ (Qualificazione di Installazione, Operatività e Prestazioni) deve comunque documentare le prestazioni del sistema installato in presenza di utenze, interfacce ambientali e integrazioni di allarme specifiche del sito. I confini tra le fasi esistono perché le condizioni differiscono, non perché le parti differiscono.

D: Una volta che i reparti di controllo qualità e biosicurezza hanno approvato il pacchetto di consegna, quali sono le procedure da seguire prima che il team operativo ne assuma formalmente il controllo?
R: Il team operativo deve compilare una dichiarazione formale di prontezza collegata allo stesso pacchetto indicizzato che ha ricevuto l’approvazione in materia di controllo qualità e biosicurezza — non una conferma verbale separata. Tale dichiarazione deve confermare che il team ha esaminato i registri di prova approvati, comprende le disposizioni relative alle deviazioni ed eventuali limitazioni residue e si assume la responsabilità delle funzioni di contenimento oggetto del trasferimento. Senza questo passaggio, il passaggio di consegne comporta il trasferimento della documentazione normativa senza il trasferimento della responsabilità operativa consapevole, il che crea una lacuna che verrà evidenziata dalla successiva ispezione o indagine su un incidente.

D: A che punto una non conformità diventa così grave da impedire l'accettazione definitiva, anziché essere rinviata con l'indicazione di un responsabile e di una data di revisione?
A: Qualsiasi scostamento che influisca su una funzione critica di contenimento — setpoint della cascata di pressione, sequenza degli interblocchi, logica di controllo dell’HVAC o criteri di completamento del ciclo di decontaminazione — dovrebbe impedire l’accettazione fino a quando non sia stato formalmente risolto, e non essere semplicemente rinviato. Il meccanismo «titolare e data di revisione» è appropriato per lacune amministrative e discrepanze non critiche nella documentazione, non per casi di sicurezza non verificati. Se la risposta del sistema a una modalità di guasto non è stata testata o il risultato del test era al di fuori dei criteri di accettazione, la funzione di contenimento non è qualificata, e l’approvazione di una funzione non qualificata crea un documento normativo con una lacuna strutturale anziché un rischio gestito.

D: In che modo cambia l’obbligo di riconciliazione dei numeri di serie quando si utilizzano sistemi di laboratorio modulari o prefabbricati anziché strutture realizzate in loco?
R: Il requisito di riconciliazione diventa ancora più critico, non meno, poiché i sistemi prefabbricati spesso arrivano in cantiere con componenti integrati — unità HVAC, interblocchi, pannelli di controllo — i cui numeri di serie individuali potrebbero non essere riportati nella documentazione complessiva del sistema. Ogni componente integrato che abbia un proprio intervallo di taratura, un proprio programma di manutenzione o un proprio requisito di riqualificazione deve figurare nell’indice di consegna con il proprio identificativo, non solo sotto il numero di serie del sistema principale. In caso contrario, al primo evento di riqualificazione gli investigatori dovranno ricostruire quali componenti siano fisicamente installati, e a quel punto l’indice avrà già fallito nella sua funzione principale.

D: È sempre necessaria una qualificazione completa (IQ/OQ/PQ), oppure esistono tipologie di progetti di contenimento in cui è giustificabile un approccio che preveda solo la messa in servizio?
R: Un approccio basato esclusivamente sulla messa in servizio non è giustificabile per alcun sistema di contenimento in cui l’esecuzione di una funzione specifica costituisca una condizione di biosicurezza o un requisito GMP — il che, nei contesti di contenimento BSL-3/4 e farmaceutico, include il mantenimento della cascata di pressione, il funzionamento degli interblocchi, il completamento del ciclo di decontaminazione e l’integrazione degli allarmi. La messa in servizio conferma che i sistemi sono installati e funzionanti; le procedure IQ/OQ/PQ trasformano tale conferma in una documentazione formale e verificabile che attesti che una funzione specifica opera entro limiti definiti in condizioni documentate. Sia l’Allegato 15 che le linee guida del Manuale di biosicurezza dei laboratori dell’OMS considerano tale conferma documentata come un prerequisito per l’uso operativo, non come un miglioramento facoltativo.