Periodic Review e retrofit dei sistemi di acqua farmaceutica

Un ispettore chiede il trend a lungo termine della conta microbica del loop WFI. I dati ci sono, nessun punto ha mai superato l'action level, nessuna OOS nel periodo. Poi fa due domande che quel grafico non contiene: quante sanitizzazioni sono state eseguite in quell'intervallo e quante ne prevedeva lo schedule. Le prime sono molte di più delle seconde, perché il team ha aggiunto cicli non pianificati ogni volta che un risultato si avvicinava all'alert level. Il sistema è dentro specifica. È dentro specifica perché qualcuno ce lo tiene, non perché sia sotto controllo.

È la situazione che il periodic review esiste per intercettare e che nessun cruscotto mostra da solo. Un impianto raramente passa dalla conformità al fallimento in un giorno: perde margine per mesi, compensa con manutenzione reattiva e sanitizzazioni supplementari, e continua a produrre risultati accettabili finché una variazione stagionale, una fermata prolungata o un aumento di domanda consumano l'ultimo margine. Qui trattiamo due decisioni collegate: come si costruisce una review che dimostri lo stato di controllo invece di ricapitolare la conformità, e come da quella review nasce, con un razionale difendibile, la decisione di eseguire un retrofit.

Conformità non è stato di controllo

La conformità è un giudizio sul singolo risultato: il valore misurato sta dentro il limite. Lo stato di controllo è un giudizio sul comportamento nel tempo: la distribuzione dei risultati è stabile e coerente con quella osservata in qualifica, e le azioni necessarie a mantenerla sono quelle pianificate, non quelle improvvisate. Un sistema può essere pienamente conforme e simultaneamente fuori controllo: quando la mediana della conta microbica sale pur restando sotto action level, quando il recupero dopo sanitizzazione si accorcia, quando l'intervallo reale fra due cicli è più breve dello schedule approvato, quando gli interventi correttivi non pianificati crescono mentre i preventivi restano formalmente eseguiti. Nessuno di questi segnali genera una deviazione; insieme descrivono un sistema che sta consumando il proprio margine.

L'Annex 1 di EudraLex Volume 4 chiede monitoraggio chimico e microbiologico regolare e continuativo, con alert level basati sui dati della qualifica iniziale e riesaminati periodicamente sulla base di riqualifica, monitoraggio di routine e investigazioni (6.13), e chiede che le escursioni di alert siano documentate, riviste e investigate distinguendo l'evento isolato dal trend avverso o dal deterioramento del sistema (6.14). Quella distinzione è la domanda centrale del periodic review, e non è rispondibile su un singolo risultato: richiede una finestra temporale, una popolazione di dati e un metodo di lettura dichiarato in anticipo.

Dove sta davvero l'obbligo di periodic review

Va detto esplicitamente, perché è un equivoco frequente nei gap assessment: la Guideline on the quality of water for pharmaceutical use EMA/CHMP/CVMP/QWP/496873/2018, in vigore dal 1 febbraio 2021, non contiene una clausola di periodic review né di rivalidazione periodica. Definisce il grado minimo di acqua in funzione dell'uso previsto, riconosce la produzione di WFI con processi equivalenti alla distillazione e richiede la notifica preventiva all'autorità GMP di sorveglianza prima di introdurre la reverse osmosis; non fissa limiti di alert e action, non prescrive frequenze di sanitizzazione, non impone cadenze di riesame. Citarla come base normativa della propria SOP di periodic review è un errore documentale che un ispettore preparato rileva subito. L'obbligo esiste, ma è distribuito su più documenti con ambiti diversi.

• Annex 1 — il riesame periodico degli alert level (6.13) e la lettura delle escursioni in chiave di trend avverso (6.14) sono in pratica un mandato di review continua. Chiede inoltre qualifica che tenga conto della variazione stagionale (6.8), flusso turbolento con portata stabilita in qualifica e monitorata di routine (6.9), sanitizzazione secondo schedule predeterminato e come azione rimediale dopo risultati fuori limite (6.12), monitoraggio continuo come TOC e conducibilità sui sistemi WFI (6.15): parametri che la review deve ri-verificare, non ereditare dalla qualifica.
• Annex 15 (revisione 2015, in operazione dal 1 ottobre 2015) — framework di qualifica, change control e riqualifica: è qui che vive l'obbligo di valutare se una modifica richieda riqualifica e in quale estensione. Un concept paper sulla revisione EU-PIC/S è stato pubblicato il 9 febbraio 2026, con corrigendum il 16 luglio 2026 e consultazione chiusa il 9 aprile 2026: l'Annex 15 non è stato modificato e il concept paper va citato come tale, mai come requisito.
• EMA/INS/GMP/443117/2017, Q&A sulla produzione di WFI con metodi non distillativi, in vigore dal 1 agosto 2017 — nel proprio ambito chiede il riesame di routine degli alert level e, come minimo, una valutazione annuale dell'efficacia del monitoraggio. Contiene anche l'affermazione da tenere a mente quando un trend peggiora: aumentare i limiti non è buona pratica e può mascherare un sistema che sta cedendo.
• Annex 11 — la versione in vigore è quella di gennaio 2011 (operativa dal 30 giugno 2011) e prevede la valutazione periodica dei sistemi computerizzati per confermare che restino in stato validato e conformi alle GMP: PLC, SCADA e storico dati rientrano nel perimetro. La bozza di revisione in consultazione dal 7 luglio al 7 ottobre 2025 non è adottata, non ha data di applicazione pubblicata e non va usata come base di requisiti.
• ICH Q10 per il miglioramento continuo e la revisione della direzione: giustifica di portare l'esito della review fino al livello di management review, con risorse assegnate. ICH Q9(R1) per la valutazione del rischio con cui si stabiliscono ambito, profondità e frequenza.
• WHO TRS 1033, Annex 3 — tratta la review del sistema e ribadisce che alert e action level derivano dai dati storici e dalla conoscenza del sistema (§4.3.8, §12.8). PIC/S PI 009-4, aide-memoire Inspection of Utilities in vigore dal 1 gennaio 2021, descrive come gli ispettori guardano le utilities.

Il quadro completo delle interdipendenze è raccolto nell'hub Pharmaceutical Water & WFI Systems.

Frequenza e ambito: l'unica cadenza citabile

Nessun testo vigente fissa una periodicità generale del periodic review dei sistemi acqua. L'unica cadenza citabile è quella della Q&A EMA/INS/GMP/443117/2017 — come minimo una valutazione annuale dell'efficacia del monitoraggio — con l'ambito proprio di quel documento, cioè la produzione di WFI con metodi non distillativi. Scrivere in SOP che "le GMP richiedono un periodic review annuale del sistema acqua" è un'estensione non supportata di quella frase.

La frequenza va definita su base di rischio e giustificata per iscritto, con elementi specifici del sito: criticità dell'acqua rispetto ai prodotti serviti; tecnologia di generazione e temperatura di esercizio, perché un sistema freddo a membrana e un loop caldo hanno profili di rischio microbiologico diversi; maturità del set di dati, con cadenza più fitta nei primi cicli dopo la qualifica o dopo un intervento maggiore; storico di deviazioni e CAPA aperte; età dell'impianto e obsolescenza dei componenti critici. La regola difendibile è che sia dichiarata, motivata e riesaminata quando le condizioni cambiano. Sull'ambito vale un principio simmetrico: la review copre l'intero sistema, anche quando il segnale che l'ha innescata riguarda un solo ramo.

Il dossier di input: che cosa entra nella review

Il valore non sta nei singoli dataset, che il sito già possiede, ma nel metterli sullo stesso asse temporale e cercare le correlazioni che nessuna funzione vede da sola.

Trend chimici e microbiologici

Conducibilità e TOC danno il segnale più rapido sulla deriva chimica; conta microbica ed endotossine quello più lento e più significativo sulla salute del sistema. Vanno letti come distribuzioni: posizione centrale, dispersione, andamento nel tempo, comportamento per punto di prelievo, stagionalità. Un aumento della dispersione a mediana invariata è spesso il primo segnale utile e passa inosservato in qualunque report che riporti solo il massimo del mese. La gestione della strumentazione online è trattata nell'articolo su monitoraggio TOC e conducibilità.

Deviazioni, investigazioni, sanitizzazioni

Delle deviazioni contano la ricorrenza dello stesso modo di guasto, il tempo di chiusura, l'efficacia verificata delle CAPA e la quota di investigazioni chiuse come "causa non determinata": un sistema con molte investigazioni senza root cause non è fortunato, è un sistema di cui non si conosce il comportamento. Sulle sanitizzazioni vanno confrontate tre grandezze — schedule predeterminato, cicli eseguiti, cicli eseguiti come azione rimediale dopo un risultato fuori limite — perché il rapporto fra le ultime due è fra gli indicatori più onesti dello stato del sistema. Conta anche il profilo di recupero: un ritorno al basale sempre più rapido indica un ciclo che agisce sulla popolazione planctonica ma non sulla frazione adesa. Qualifica e riqualifica dei cicli sono sviluppate nell'articolo sui cicli di sanitizzazione.

Manutenzione, ricambi, obsolescenza

Il rapporto fra preventiva eseguita nei tempi e correttiva non pianificata dice più del conteggio dei guasti. Sull'obsolescenza servono informazioni che quasi nessuno raccoglie in modo sistematico: componenti fuori produzione o con fine supporto annunciato, tempi di approvvigionamento dei ricambi critici, ricambi a magazzino contro ricambi solo su ordine, disponibilità di competenze di servizio sul modello installato. Un componente critico senza ricambio è un rischio di continuità che diventa rischio qualità quando la pressione a far ripartire l'impianto supera il rigore del ripristino.

Calibrazione, strumentazione, software e allarmi

Sulla strumentazione interessano gli esiti fuori tolleranza con la valutazione retrospettiva sui dati già rilasciati, la deriva sistematica dello stesso strumento fra due calibrazioni, le sostituzioni ripetute di sonde nello stesso punto e la coerenza fra misura online e verifica offline: una sonda che va fuori tolleranza sempre nella stessa direzione non è un problema di calibrazione, è un'informazione sull'installazione o sul processo. La valutazione periodica prevista dall'Annex 11 vigente va condotta davvero, non dichiarata: supporto di sistema operativo e applicativo, patch, accessi e profili, revisione dell'audit trail e sua praticabilità, backup e ripristino verificato, parametri critici confrontati con la baseline approvata. Sugli allarmi conta la statistica — quanti al mese, quanti ricorrenti, quanti tacitati senza azione, quanti disabilitati e con quale autorizzazione: un impianto che genera più allarmi di quanti l'operatore possa valutarne non è monitorato, è rumoroso. Il tema è trattato nell'articolo su automation, SCADA e data integrity.

Capacità contro domanda reale

È la sezione più spesso assente e quella che più frequentemente genera un retrofit. Il sistema è stato dimensionato su una domanda ipotizzata anni prima; da allora sono cambiati portafoglio, formati, cicli di lavaggio e turni. Le domande sono concrete: consumo di picco reale rispetto a capacità di generazione e volume di stoccaggio; contemporaneità effettiva dei prelievi; tempo di ripristino del serbatoio; comportamento del loop in massima erogazione, dove la portata di ritorno deve comunque garantire il regime turbolento stabilito in qualifica; margine residuo prima che il sistema non riesca più a sanitizzarsi nella finestra disponibile. L'ultimo punto è decisivo: un sistema può perdere lo stato di controllo solo perché la produzione non gli lascia più il tempo di essere sanitizzato.

Riconoscere la perdita di margine

Il caso reale più frequente non è l'impianto fuori specifica: è l'impianto ancora conforme che ha smesso di avere margine. Riconoscerlo richiede un metodo di lettura dichiarato prima di guardare i dati, altrimenti la valutazione diventa una discussione di opinioni su un grafico.

Documentarli richiede due cautele. La prima: il confronto fra periodi deve usare lo stesso metodo analitico, lo stesso piano di campionamento e la stessa regola per i risultati non quantificabili, altrimenti un cambio non dichiarato produce trend fittizi in entrambe le direzioni. La seconda: se il trend peggiora, la risposta non è rivedere i limiti verso l'alto. Un alert level si ricalcola quando i dati mostrano che il sistema si è stabilizzato meglio del previsto, o quando la base dati cambia dopo un intervento migliorativo; non quando serve a far rientrare risultati scomodi. Ogni ricalcolo va documentato con dataset, metodo statistico, razionale e approvazione della Quality Unit.

I trigger del retrofit: domande, non soglie

Non esiste una soglia normativa che dica quando un sistema acqua va modificato, e ogni criterio numerico generico in circolazione è una convenzione di qualcuno. Il modo difendibile di costruire i trigger è formularli come domande, associare a ciascuna l'evidenza necessaria e definire in anticipo che cosa si fa quando la risposta è negativa.

L'ultima riga è il trigger che i siti scoprono in ritardo. Nella Ph. Eur. il test del TOC ha sostituito quello delle sostanze ossidabili nella sterilised water for injections: monografie 0169 e 0008 e capitolo 2.2.44 aggiornati nella Issue 12.3, applicabile dal 1 luglio 2026, con 0169 e 0008 ulteriormente riviste nella Issue 13.1 (implementazione 1 gennaio 2027). Sono cambiamenti che non toccano l'impianto ma toccano metodi, strumentazione e specifiche: devono emergere nel periodic review, non in audit. Lo stesso vale per gli standard richiamati in URS e capitolati: ISO 22519:2019 è stata ritirata il 4 aprile 2023 e sostituita dalla seconda edizione ISO 22519:2023, mentre ISO/DIS 25413 è ancora in sviluppo e va citata solo come progetto.

Il retrofit è un change control, non un intervento

Il modo più rapido per trasformare un miglioramento in un'osservazione ispettiva è gestirlo come lavoro di manutenzione. Un retrofit su un sistema acqua qualificato tocca quasi sempre superfici a contatto, condizioni idrauliche, strategia di controllo e dati. Va gestito nel framework dell'Annex 15, con una sequenza visibile nei documenti.

1. Perimetro reale della modifica: non solo il componente sostituito, ma tutto ciò che ne dipende — strumentazione, logiche, allarmi, ricette di sanitizzazione, punti di campionamento, documentazione as-built.
2. Valutazione del rischio secondo ICH Q9(R1), che stabilisce quali attributi possono essere impattati e con quale severità, e guida la profondità della verifica.
3. Impatto sulla qualifica esistente: quali documenti di DQ, IQ, OQ e PQ restano validi, quali vanno integrati, quali rieseguiti. Argomentato attributo per attributo, non dichiarato in blocco.
4. Piano di riqualifica proporzionato: l'estensione deriva dal rischio valutato — la sostituzione di una sonda con modello equivalente e il rifacimento del ramo di generazione non generano lo stesso piano. Struttura delle fasi e logica FAT/SAT/IQ/OQ/PQ nell'articolo su qualifica dei sistemi acqua.
5. Periodo di transizione: come viene servita la produzione durante i lavori, quale acqua è utilizzabile e con quali controlli aggiuntivi, come si separano le sezioni in intervento da quelle in esercizio.
6. Ripristino delle superfici: tagli, saldature e smontaggi richiedono di ripianificare pulizia e passivazione secondo pratiche riconosciute — ASTM A380/A380M-25, ASTM A967/A967M-25 — documentandone esecuzione e verifica. Trascurarlo è una causa comune di rouging comparso subito dopo un retrofit; il tema è approfondito nell'articolo su biofilm e rouging.
7. Ricostruzione della base dati: dopo un intervento significativo gli alert level derivati dai dati precedenti possono non descrivere più il sistema. Va deciso in anticipo se restano applicabili in via cautelativa e quando saranno ricalcolati, con quanti dati e su quale finestra. L'Annex 1 chiede che la qualifica tenga conto della variazione stagionale e la Q&A EMA, per i sistemi a membrana, richiama dati raccolti su circa un anno proprio per catturarla: chiudere la riqualifica microbiologica in una finestra breve va motivato esplicitamente.
8. Aggiornamento del sistema computerizzato: modifiche a logiche, setpoint, soglie di allarme o architettura dei dati richiedono la corrispondente CSV e l'aggiornamento della valutazione periodica Annex 11.
9. Notifica preventiva quando dovuta: se il retrofit introduce la reverse osmosis per la produzione di WFI, la guideline EMA richiede la notifica preventiva all'autorità GMP di sorveglianza prima dell'introduzione. Va messa a piano fin dall'inizio, perché condiziona il cronoprogramma.

Un approccio basato su scienza e rischio come quello descritto da ASTM E2500-25 aiuta a concentrare la verifica su ciò che impatta davvero la qualità del prodotto, purché resti chiaro che è uno standard volontario: l'obbligo GMP resta quello dell'Annex 15.

Esempio applicativo: Sito Delta

Sito Delta è un esempio didattico, non un impianto reale: forme sterili e non sterili, loop WFI caldo e loop PW freddo alimentati da un pretrattamento comune. Alla review il team porta tre osservazioni. Sul loop PW, due punti di utilizzo terminali mostrano una mediana microbica in crescita da diversi cicli di monitoraggio, sempre sotto action level, con isolati ricorrenti dello stesso tipo, e ricevono cicli di sanitizzazione aggiuntivi non programmati. Sul pretrattamento il rapporto correttiva/preventiva è cresciuto e due componenti sono stati dichiarati fine supporto, con ricambi reperibili solo sul mercato secondario. Infine, dopo l'avvio di una nuova linea di lavaggio, il serbatoio PW non recupera più completamente fra due prelievi di picco e la finestra per la sanitizzazione termica si è ridotta ai fine settimana.

Singolarmente nessuno dei tre è una non conformità. Letti insieme descrivono un sistema che ha esaurito il margine: la capacità insufficiente riduce il tempo di sanitizzazione, la minore sanitizzazione favorisce la colonizzazione terminale, la manutenzione reattiva aumenta gli interventi invasivi. La review non chiude con "sistema conforme", ma con una valutazione di rischio, una raccomandazione di retrofit in due fasi — prima capacità e finestra di sanitizzazione, poi rifacimento del ramo terminale con eliminazione di due tratti resi poco drenabili da modifiche precedenti — e una data di riesame anticipata. Tutto in change control, con impatto sulla qualifica valutato per attributo e riqualifica che per il ramo rifatto prevede monitoraggio intensificato prima del ricalcolo degli alert level.

Matrice decisionale per l'opzione di intervento

Le opzioni sono quasi sempre più di due. La matrice rende esplicito il ragionamento, non produce un numero. I pesi vanno assegnati dal sito in funzione del proprio contesto: sono lasciati volutamente vuoti.

Checklist del periodic review

• Ambito, periodo coperto e frequenza dichiarati, con il razionale di risk assessment che li giustifica.
• Confronto fra sanitizzazioni programmate, eseguite e rimediali, con profili di recupero.
• Deviazioni, OOS/OOT, investigazioni chiuse senza root cause, verifica di efficacia delle CAPA.
• Stato di manutenzione preventiva e correttiva, componenti critici e loro stato di ciclo di vita.
• Esito della valutazione periodica del sistema computerizzato e statistica degli allarmi.
• Confronto documentato fra capacità installata e domanda reale, incluse le finestre di sanitizzazione.
• Riesame degli alert level con razionale, dataset e approvazione, oppure conferma esplicita che restano invariati.
• Giudizio esplicito sullo stato di controllo, azioni con responsabile e data, data del prossimo riesame.

Errori frequenti e red flag

• La review come raccolta di allegati: cento pagine di grafici senza una conclusione firmata sullo stato di controllo non dimostrano nulla.
• Limiti rivisti verso l'alto in risposta a un peggioramento, con giustificazione statistica costruita a posteriori: il red flag più grave, esplicitamente citato come cattiva pratica dalla Q&A EMA.
• Review del sistema acqua e valutazione periodica Annex 11 condotte separatamente, con conclusioni che non si incrociano mai.
• Assenza della sezione capacità: senza confronto fra domanda reale e base di dimensionamento la review non intercetta il trigger di retrofit più comune.
• Retrofit gestito come manutenzione, senza change control, valutazione di impatto sulla qualifica e riqualifica proporzionata.
• Ripartenza dopo intervento senza ripristino documentato di pulizia e passivazione delle superfici lavorate.
• Frequenza del periodic review citata come requisito normativo generale: non esiste, va definita e giustificata dal sito.

Se lavori su questi temi, puoi ricevere analisi pratiche di GMP engineering iscrivendoti a The Pragmatic GMP.

Key takeaway

• La guideline EMA/CHMP/CVMP/QWP/496873/2018 non contiene una clausola di periodic review o rivalidazione: l'obbligo nasce da Annex 1 (6.13, 6.14), Annex 15 per change control e riqualifica, Annex 11 di gennaio 2011 per i sistemi computerizzati e ICH Q10 per il miglioramento continuo.
• L'unica cadenza citabile è la valutazione almeno annuale dell'efficacia del monitoraggio della Q&A EMA/INS/GMP/443117/2017, nell'ambito della produzione di WFI con metodi non distillativi. Ogni altra frequenza va definita su base di rischio e giustificata.
• Il caso più frequente è il sistema ancora conforme che ha perso margine: si riconosce dalla distribuzione dei dati, dal rapporto fra sanitizzazioni rimediali e programmate e dal profilo di recupero, non dal conteggio dei superamenti.
• Alzare i limiti in risposta a un trend in peggioramento non è buona pratica e può mascherare un sistema che sta cedendo.
• I trigger di retrofit non sono soglie numeriche: sono domande con l'evidenza associata e una decisione predefinita per la risposta negativa.
• Il retrofit richiede change control, impatto sulla qualifica valutato attributo per attributo, riqualifica proporzionata al rischio e, se introduce la reverse osmosis per WFI, notifica preventiva all'autorità GMP di sorveglianza.

Riferimenti

• EMA, Guideline on the quality of water for pharmaceutical use, EMA/CHMP/CVMP/QWP/496873/2018, in vigore dal 1 febbraio 2021 — ema.europa.eu; EMA, Q&A Production of WFI by non-distillation methods, EMA/INS/GMP/443117/2017, in vigore dal 1 agosto 2017.
• EudraLex Volume 4: Annex 1, in operazione dal 25 agosto 2023; Annex 15, revisione 2015 in operazione dal 1 ottobre 2015; Annex 11, versione gennaio 2011 operativa dal 30 giugno 2011 — health.ec.europa.eu
• PIC/S PI 009-4, aide-memoire Inspection of Utilities, in vigore dal 1 gennaio 2021 — picscheme.org; WHO TRS 1033 Annex 3 (2021) — who.int
• ICH Q9(R1) (Step 4, 18 gennaio 2023) e ICH Q10 (Step 4, 4 giugno 2008) — ich.org
• Ph. Eur., monografie 0169 e 0008, capitoli 2.2.38 e 2.2.44. ASTM E2500-25, A380/A380M-25, A967/A967M-25. ISO 22519:2023 — iso.org; ISO/DIS 25413 (in sviluppo). FDA, Guide to Inspections of High Purity Water Systems (1993), non vincolante — fda.gov