Un workflow di rilascio dei lotti farmaceutici dovrebbe rendere visibili e tracciabili quattro decisioni correlate ma distinte: il completamento dei test applicabili e della revisione da parte del QC, il completamento della revisione del dossier di lotto da parte del QA, la certificazione della QP quando si applica EU GMP Annex 16 e la decisione operativa di rendere disponibili le scorte in un sistema ERP o di magazzino. Etichette software quali “Pronto”, “Certificato” o “Rilasciato” non sono termini regolatori prescritti. Sono scelte di implementazione controllate, che devono supportare i requisiti GMP applicabili, preservare il giudizio indipendente della QP e impedire che un lotto diventi operativamente disponibile a seguito di un cambio di stato ambiguo o non autorizzato.
Questo articolo riguarda la progettazione del workflow digitale, non il più ampio processo di rilascio descritto in Annex 16. Per il ciclo di vita sottostante del rilascio del lotto e il contesto di Annex 16, consulta la guida pratica GuideGxP al rilascio dei lotti ai sensi di EU GMP Annex 16.
Partire dalle decisioni, non dai nomi degli stati
EU GMP Annex 16 definisce le aspettative per la certificazione da parte di una Qualified Person e il rilascio dei lotti. EU GMP Chapter 1 descrive il Pharmaceutical Quality System, inclusa la necessità di gestione della conoscenza, quality risk management e un sistema efficace di supervisione della qualità. Negli Stati Uniti, la 21 CFR 211.192 tratta la revisione dei record di produzione e l’indagine sulle discrepanze e sui fallimenti non spiegati prima del rilascio del lotto. Si tratta di requisiti regolatori o aspettative GMP emesse dalle autorità nei rispettivi contesti; non prescrivono un catalogo di stati ERP.
Raccomandazione di implementazione GuideGxP: configurare la progettazione digitale attorno a decisioni esplicite di business e qualità. Un segnale di “QC completato” non dovrebbe significare implicitamente “QA approvato”. Una revisione QA completata non dovrebbe essere considerata una certificazione QP. Non si dovrebbe presumere che la certificazione QP implichi automaticamente la rimozione di ogni vincolo fisico, commerciale o distributivo. Qualora le procedure locali colleghino queste attività, il sistema dovrebbe rendere visibile il collegamento senza fondere decisioni con responsabilità distinte in un’unica azione generica di “rilascio”.
- Completamento QC: documenta che i risultati dei test applicabili e la revisione di laboratorio sono completi secondo il processo approvato. È un’evidenza per il dossier, non necessariamente la disposizione finale.
- Revisione del dossier da parte del QA: conferma che le evidenze richieste relative a produzione, confezionamento, QC ed eventi di qualità sono state valutate nell’ambito del pharmaceutical quality system del sito.
- Certificazione QP: è la decisione di certificazione distinta richiesta da Annex 16, quando applicabile. Il workflow deve consentire, non sostituire, il giudizio della QP.
- Disposizione operativa delle scorte: è un controllo ERP, di magazzino o di distribuzione che determina se le scorte possono essere allocate, prelevate, spedite o altrimenti utilizzate. Deve essere riconciliato con le decisioni di qualità, ma rimane un controllo operativo.
Un modello illustrativo di stati controllati
Le seguenti etichette sono solo esempi GuideGxP. Le organizzazioni possono adottare denominazioni diverse, purché significato previsto, criteri di ingresso, transizioni consentite e ruoli responsabili siano definiti in procedure controllate e specifiche di sistema.
| Stato illustrativo | Criteri di ingresso e finalità di sistema | Autorità autorizzata all’uscita o alla transizione | Controllo chiave |
|---|---|---|---|
| Bozza | Il pacchetto di record del lotto è creato; la raccolta dati o le interfacce possono essere ancora incomplete. | Un account di servizio del workflow configurato o un ruolo operativo autorizzato può spostarlo in In revisione quando sono presenti i record richiesti. | Non idoneo alla certificazione né al rilascio operativo. |
| In revisione | Il pacchetto di evidenze è assemblato per la revisione, con gli elementi in sospeso chiaramente identificati. | Il revisore QA può far progredire, restituire o bloccare il lotto entro l’autorità assegnata. | Le attività di revisione non devono nascondere evidenze mancanti o non conformi. |
| Bloccato | Una condizione definita di qualità, materiale, dati, sistema o supply chain impedisce l’avanzamento. | Un ruolo QA autorizzato gestisce il blocco; la rimozione richiede una giustificazione documentata e le approvazioni necessarie. | La disponibilità in ERP resta limitata. |
| In attesa di indagine | Una deviazione, un risultato atipico, una discrepanza, un segnale da reclamo o altro evento di qualità richiede una valutazione. | Il QA può riportare il lotto in revisione solo quando l’esito dell’evento di qualità collegato lo supporta. | Usare un collegamento persistente al record eQMS, non affermazioni in testo libero sulla chiusura. |
| Pronto per la decisione QP | Il dossier definito è completo per la valutazione della QP; ciò non predetermina la decisione. | Solo la QP adeguatamente autorizzata può certificare o respingere. | Dovrebbero essere disponibili un’istantanea del dossier in sola lettura e lo stato corrente delle eccezioni. |
| Certificato | La QP ha adottato e registrato la decisione di certificazione, ove applicabile. | Un’integrazione controllata o un ruolo operativo autorizzato può richiedere la disposizione delle scorte secondo regole definite. | Identità della QP, data/ora e ambito certificato sono eventi immutabili nell’audit trail. |
| Respinto | La QP o un altro decisore qualità autorizzato ha respinto il lotto secondo il processo applicabile. | Nessuna transizione di rilascio successiva senza un percorso formalmente governato e consentito proceduralmente. | Le scorte restano non disponibili e i record qualità collegati rimangono visibili. |
| Rilasciato operativamente | La certificazione applicabile e i controlli operativi definiti sono completati, e le scorte ERP sono disponibili come autorizzato. | Un successivo hold, richiamo o correzione utilizza transizioni eccezionali controllate. | Riconciliare questo stato con Certificato; le differenze richiedono un’indagine. |
Un workflow può richiedere stati aggiuntivi per accordi specifici di prodotto, ma occorre evitare una proliferazione incontrollata degli stati. Ogni stato dovrebbe avere un solo significato non ambiguo, un data owner, condizioni di transizione, un insieme di autorizzazioni basate sul ruolo e un evento di audit trail. “Pronto per la decisione QP” è particolarmente utile perché separa la preparazione delle evidenze dalla decisione della QP.
Autorizzazioni e segregazione dei compiti
Annex 11 fa parte di EudraLex Volume 4 e dovrebbe essere considerato quando sistemi computerizzati regolamentati supportano attività GMP. La pagina EudraLex Volume 4 della Commissione europea è il punto di accesso ufficiale ad Annex 11 e alle linee guida GMP correlate. Una configurazione difendibile utilizza identità univoche, accessi basati sui ruoli, record elettronici attribuibili, modifiche controllate e audit trail riesaminabili. La progettazione tecnica dettagliata dei controlli dovrebbe essere basata sul rischio e documentata nel ciclo di vita dei sistemi computerizzati dell’organizzazione.
| Attività | Produzione/QC | QA | QP | System owner/IT | ERP/Magazzino |
|---|---|---|---|---|---|
| Creare evidenze o record di interfaccia | Responsabile | Informato | Informato | Supporto | Informato |
| Riesaminare completezza del dossier ed eccezioni | Contribuisce | Responsabile | Consultato | Supporto in sola lettura | Informato |
| Certificare o respingere ai sensi di Annex 16 | Non consentito | Non consentito, salvo sia separatamente qualificato e autorizzato come QP | Responsabile e accountable | Non consentito | Informato |
| Rendere le scorte operativamente disponibili | Non consentito | Approva l’eccezione definita, quando la procedura lo richiede | Decisione di origine, ove applicabile | Non può bypassare il workflow | Responsabile dell’esecuzione controllata |
| Modificare configurazione del workflow o mappatura dei ruoli | Consultato | Approva l’impatto qualità | Consultato | Responsabile dell’implementazione controllata | Consultato |
Questa matrice è un modello di implementazione, non una RACI universale. In particolare, gli amministratori di sistema non dovrebbero disporre di autorizzazioni operative ordinarie per certificare, respingere o rilasciare le scorte solo perché amministrano la piattaforma. L’accesso di emergenza, se utilizzato, richiede un processo controllato, una limitazione temporale e una revisione successiva all’evento. La revisione periodica degli accessi dovrebbe valutare account attivi, appropriatezza dei ruoli, accessi privilegiati, cessati e conflitti tra decisioni di qualità ed esecuzione operativa.
Costruire un grafo delle evidenze, non un deposito di documenti
Lo spazio di lavoro per il rilascio dovrebbe collegarsi al record sorgente controllato o a un riferimento immutabile, indicando chiaramente versione e stato del record. Evitare di copiare fogli di calcolo modificabili o di basarsi su un’asserzione via e-mail che un evento sia chiuso. Il revisore e la QP devono poter accedere efficacemente alle evidenze pertinenti alla propria decisione, mentre il sistema conserva la tracciabilità fino all’applicazione di origine.
Collegamenti minimi alle evidenze
- Record di lotto e di confezionamento, inclusi identità del record approvato e riferimento del record completato.
- Risultati QC applicabili, stato di revisione ed eccezioni di laboratorio rilevanti da LIMS o dalla fonte controllata.
- Riferimenti a deviazioni, indagini, change control e CAPA che influenzano il lotto, con il relativo stato controllato corrente.
- Informazioni su materiali, componenti e riconciliazione, quando richieste dal processo di rilascio approvato.
- Evidenze rilevanti sullo stato di produzione, utility, apparecchiature o convalida quando una decisione sul lotto ne dipende.
- Record di certificazione QP, inclusi firmatario autenticato, ora della firma, decisione e ambito dichiarato.
- Transazione di disposizione ERP, stato di magazzino ed evidenza delle restrizioni alla distribuzione.
Le firme elettroniche dovrebbero essere attribuibili al singolo firmatario e associate alla specifica decisione o record. L’audit trail dovrebbe acquisire creazione, modifica, transizione di stato, firma, motivazione e pertinenti valori prima e dopo la modifica. Utilizzare reason code controllati per eventi significativi quali hold, ritorno in revisione, lotti respinti, correzione manuale dell’interfaccia e annullamento del rilascio operativo. Il testo libero può fornire contesto, ma non dovrebbe sostituire una categoria di motivazione controllata quando sono necessari trend e riesame.
Controllare eccezioni, interfacce e messaggi non riusciti
Le interfacce tra MES, LIMS, eQMS ed ERP sono una fonte frequente di falsa fiducia. Un evento di certificazione riuscito nell’eQMS non dimostra che l’aggiornamento delle scorte ERP sia andato a buon fine; viceversa, un messaggio ERP non deve diventare una via per aggirare il workflow qualità. Definire la fonte di verità per ciascun elemento dati: identità del lotto, stato qualità, decisione di certificazione, stato dell’inventario e idoneità alla spedizione.
Raccomandazione di implementazione GuideGxP: utilizzare conferme esplicite dell’interfaccia, identificativi di transazione, code di errore e riconciliazione. Un messaggio non riuscito o ritardato dovrebbe porre il lotto in una condizione di eccezione visibile, anziché consentire agli utenti di dedurne la disponibilità. Il ritrattamento o la correzione manuale devono essere autorizzati, attribuibili e associati a reason code. I guasti ricorrenti dovrebbero alimentare il processo del sistema qualità per la valutazione, anziché essere risolti esclusivamente come ticket IT.
Progettare i percorsi eccezionali prima del go-live. Un hold dovrebbe limitare le appropriate azioni a valle. Un lotto respinto non dovrebbe seguire lo stesso percorso di transizione di un normale ritorno in revisione. La rilavorazione, ove consentita dal processo qualità approvato, richiede una relazione chiaramente definita con il record del lotto originale e con le evidenze successive. Un richiamo o una restrizione della distribuzione richiedono un rapido allineamento tra stato qualità e capacità operativa di allocare o distribuire le scorte. Il sistema dovrebbe rendere visibile tale allineamento; non dovrebbe decidere autonomamente l’esito qualità.
Convalidare il workflow e monitorare la riconciliazione
La configurazione del workflow non è un’impostazione IT una tantum. Significati degli stati, regole decisionali, autorizzazioni, integrazioni, report e comportamento delle firme elettroniche sono controlli di processo regolamentato quando supportano decisioni GMP. Le modifiche dovrebbero essere valutate tramite change control e ciclo di vita dei sistemi computerizzati dell’organizzazione, con test basati sul rischio che dimostrino il funzionamento previsto e proteggano l’integrità dei dati. Ciò è coerente con l’aspettativa di gestire il pharmaceutical quality system e i sistemi computerizzati controllati; non equivale ad affermare che le autorità prescrivano un unico script di test o metodo di convalida.
Misure utili di riconciliazione includono il numero di lotti Certificati non ancora Rilasciati operativamente, lotti Rilasciati operativamente privi del collegamento di certificazione atteso, lotti bloccati con messaggi di interfaccia non riusciti, lotti con indagini collegate da lungo tempo e correzioni manuali dello stato. Le metriche dovrebbero attivare il riesame dei dati, della progettazione del workflow e della titolarità del processo; non sono limiti di accettazione forniti da Annex 16 o Annex 11.
Checklist pronta per l’ispezione
- Il team sa spiegare la distinzione tra completamento QC, revisione QA, certificazione QP e disposizione ERP mediante gli stati configurati?
- Ogni transizione ha criteri definiti, ruoli autorizzati e un record attribuibile nell’audit trail?
- Una QP può visualizzare dossier corrente, eccezioni collegate e provenienza delle evidenze senza ricorrere a copie non controllate?
- La certificazione QP e il rilascio operativo sono eventi separati, con una relazione chiaramente riconciliata?
- I percorsi di hold, respingimento, indagine, rilavorazione, richiamo o restrizione impediscono un’indebita disponibilità delle scorte?
- I fallimenti delle interfacce sono visibili, indagati quando appropriato e riconciliati tra sistemi sorgente e ricevente?
- Accessi privilegiati, ruoli in conflitto e revisioni periodiche degli accessi sono controllati?
- Le modifiche a workflow e interfacce sono state valutate, approvate e testate nel ciclo di vita del sistema computerizzato?
FAQ
Annex 16 richiede uno stato denominato “Certificato”?
Nessuna etichetta software è prescritta dall’esempio di workflow. “Certificato” è un’utile etichetta di implementazione per registrare la decisione distinta della QP, ma le organizzazioni dovrebbero definire la propria terminologia controllata.
Il QA può certificare un lotto per conto della QP?
Il workflow digitale non dovrebbe confondere la revisione QA con la certificazione QP. Quando si applica Annex 16, la certificazione è una responsabilità distinta della QP. L’assegnazione locale dei ruoli deve riflettere gli accordi legali e di sistema qualità applicabili.
La certificazione QP dovrebbe rilasciare automaticamente le scorte ERP?
Non necessariamente. L’automazione può essere appropriata quando è specificata, controllata e convalidata, ma la progettazione deve comunque distinguere la certificazione dalla disposizione operativa e gestire fallimenti delle interfacce e restrizioni operative.
Qual è il controllo più importante per gli aggiornamenti manuali dell’ERP?
Impedire che un aggiornamento manuale aggiri la decisione qualità definita. Richiedere autorità appropriata, reason code, evidenza attribuibile nell’audit trail e riconciliazione con il record di certificazione o di eccezione di origine.
Trasforma il metodo in un sistema audit-ready
Qualified Person (QP) Operational Guide - Annex 16 / Batch Release è una risorsa operativa opzionale di GuideGxP per approfondire metodi, checklist e strumenti pronti da adattare. Non è approvata dalle autorità regolatorie e non sostituisce le procedure approvate, il giudizio della QP o i requisiti applicabili.
