ICH Q9(R1) Quality Risk Management è la revisione della linea guida ICH sulla gestione del rischio di qualità: conserva l'impianto del 2005, ma interviene esattamente dove il QRM falliva nella pratica. Quattro aree nuove — formalità, decisioni basate sul rischio, soggettività e disponibilità del prodotto — e un chiarimento terminologico che sposta il baricentro dall'identificazione del rischio all'identificazione del pericolo. Per QA, QP e responsabili di convalida, capire cosa cambia non è un esercizio accademico: gli ispettori citano sempre più spesso le sezioni nuove, e un risk assessment costruito "alla vecchia maniera" oggi è un finding annunciato.
ICH Q9(R1) Quality Risk Management: cosa cambia rispetto al 2005
La revisione R1, adottata dall'ICH a Step 4 a gennaio 2023 e recepita nell'UE con efficacia dal 26 luglio 2023 (EudraLex Volume 4, Parte III), non riscrive il processo QRM: valutazione, controllo, comunicazione e riesame del rischio restano le quattro attività fondamentali. Le novità sostanziali sono cinque:
- Formalità (nuova sezione 5.1): chiarisce come calibrare impegno, formalità e documentazione in funzione di rischio, incertezza e importanza della decisione. La formalità è uno spettro, non un interruttore on/off.
- Decisioni basate sul rischio (nuova sezione 5.2): introduce il concetto di risk-based decision-making, ancorando le decisioni a conoscenza di prodotto e processo, non al punteggio di uno strumento.
- Soggettività (nuova sezione 5.3): riconosce che percezioni diverse di pericoli, danni e probabilità possono distorcere le valutazioni, e chiede di identificare e controllare bias e fattori comportamentali.
- Disponibilità del prodotto (nuova sezione 6.1): collega il QRM alla continuità della fornitura — variabilità di processo, stato di controllo, impianti, oversight dei fornitori e delle attività esternalizzate.
- Hazard identification: il passaggio prima denominato "risk identification" diventa "hazard identification", per distinguere il pericolo (la fonte potenziale di danno) dal rischio (combinazione di probabilità e gravità).
Il processo QRM: quattro attività, un ciclo di vita
Il processo resta quello noto: la valutazione del rischio (identificazione del pericolo, analisi e valutazione) parte da una domanda sul rischio focalizzata sulla decisione da prendere; il controllo del rischio decide se ridurre, come, e se il rischio residuo è accettabile; la comunicazione del rischio condivide esiti e decisioni con gli stakeholder pertinenti; il riesame del rischio verifica che le conclusioni restino valide quando cambiano conoscenze, processi o contesto.
La R1 insiste su un punto che molti sistemi qualità trascurano: il QRM è un ciclo di vita, non un documento. Una valutazione a supporto della convalida deve essere tracciabile nel Validation Master Plan; una valutazione nata da una deviazione deve alimentare CAPA, change control e riesame periodico. Valutazioni archiviate e mai riesaminate sono il primo segnale, per un ispettore, di un QRM di facciata.
Se lavori ogni giorno tra risk assessment, deviazioni e decisioni da difendere in audit, la newsletter gratuita The Pragmatic GMP ti porta ogni settimana analisi pragmatiche e checklist operative su questi temi: una lettura da cinque minuti, pensata per chi il QRM lo pratica davvero.
Formalità commisurata: come dimensionare il QRM
La sezione 5.1 risolve l'equivoco più diffuso: formalità proporzionata non significa scegliere tra un workshop FMEA interfunzionale e nessuna registrazione. Significa calibrare lo sforzo su tre fattori: incertezza, importanza della decisione e complessità. Una matrice operativa di riferimento:
| Contesto decisionale | Formalità indicativa | Registrazioni attese |
|---|---|---|
| Decisione routinaria, bassa incertezza, controlli consolidati, impatto contenuto | Bassa: valutazione focalizzata | Razionale conciso documentato, approvatore identificato, collegamento alla registrazione qualità pertinente |
| Modifica o evento con impatto plausibile sulla qualità, dipendenze interfunzionali, incertezza sostanziale | Media: valutazione strutturata interfunzionale | Domanda sul rischio, evidenze e assunzioni, controlli identificati, rischio residuo, trigger di riesame |
| Potenziale impatto elevato sul paziente o sulla fornitura, situazione nuova, conoscenza limitata | Alta: strumento formale e governance | Giustificazione scientifica, alternative considerate, valutazione dell'incertezza, escalation, verifica di efficacia |
Questa matrice è una raccomandazione implementativa GuideGxP, non una classificazione ICH: ogni organizzazione deve adattarla al proprio sistema qualità farmaceutico, definendo in procedura chi decide il livello di formalità e come lo giustifica.
Soggettività e incertezza: il cuore della revisione
La sezione 5.3 è la più innovativa. La soggettività entra nel QRM da quattro porte: come viene formulata la domanda, quali informazioni vengono selezionate, come vengono attribuiti i punteggi e come vengono interpretati i risultati. ICH Q9(R1) non pretende di eliminarla — è impossibile — ma chiede di riconoscerla e gestirla. In pratica: separare le evidenze osservate dalle assunzioni e dal giudizio esperto; dichiarare lacune nei dati e limiti di trasferibilità delle conoscenze; coinvolgere competenze pertinenti, con riesame indipendente per le decisioni rilevanti; e quando l'incertezza resta sostanziale, definire dati aggiuntivi, controlli temporanei, monitoraggio o una data di riesame, invece di nasconderla dietro un punteggio.
La FMEA resta utile, ma non è un requisito
ICH Q9(R1) ribadisce che nessuno strumento, o insieme di strumenti, è applicabile a ogni situazione. La FMEA funziona quando i modi di guasto e i loro effetti sono descrivibili in modo significativo; diventa controproducente quando il Risk Priority Number sostituisce la decisione. Moltiplicare punteggi basati su giudizio esperto suggerisce una precisione che le evidenze non supportano, e totali identici possono nascondere profili di rischio molto diversi: una conseguenza grave per il paziente non deve mai essere attenuata dall'aritmetica. Definite le scale prima del workshop, documentate la base dei rating importanti e registrate sempre la decisione narrativa accanto all'output numerico.
Gli errori che gli ispettori trovano più spesso
- Valutazioni guidate dal modulo: il template precompilato trasforma la valutazione in rituale. Prima la domanda decisionale, poi lo strumento.
- Controlli presunti, non verificati: citare una SOP o un allarme non dimostra che il controllo sia efficace per quel rischio. Servono funzione, titolarità ed evidenza di efficacia.
- Accettazione senza razionale: "rischio basso" è una conclusione, non una spiegazione. La registrazione deve mostrare perché il residuo è accettabile e chi ha l'autorità per deciderlo.
- Valutazioni one-shot: senza collegamento a change control, deviazioni, CAPA e riesame periodico, il risk review resta sulla carta.
Raccomandazione GuideGxP
Non riscrivete tutte le valutazioni esistenti: fate un gap assessment della vostra procedura QRM contro le sezioni 5.1, 5.2, 5.3 e 6.1. Nella maggior parte dei casi bastano tre interventi: una regola documentata per scegliere il livello di formalità, un campo "assunzioni e incertezza" obbligatorio nei template di valutazione, e trigger di riesame espliciti collegati a change control e trend. In ispezione, portate un esempio reale di decisione a bassa formalità ben motivata: dimostra maturità più di qualsiasi FMEA da cinquanta righe.
Per un'analisi frase per frase di dove le ICH Q hanno forza regolatoria — Q9(R1) inclusa — e un toolkit Excel/Word pronto all'uso, la guida Quality Guidelines ICH Q: che cosa è davvero applicabile copre l'intera serie, dal Q8 al nuovo Q1.
