Quality Risk Management per sistemi di acqua farmaceutica: hazard, critical control point e control strategy

Durante un'ispezione la domanda difficile non è «avete un risk assessment del sistema acqua?». Quella ha sempre risposta: esiste un file, è firmato, è archiviato. La domanda difficile è la seconda: «mi mostrate una decisione che questo risk assessment ha cambiato?».

Spesso la risposta non arriva. Il documento è stato compilato una volta, in fase di qualifica, quando il layout del loop era già congelato e il piano di campionamento già scritto da qualcun altro. Gli alert level derivano dal default del fornitore. I punti di campionamento sono quelli raggiungibili senza trabattello. Il risk assessment esiste, ma non ha mai deciso nulla: descrive il sistema, non lo governa.

Qui trattiamo il problema al contrario: non «come si compila una matrice», ma come si costruisce una valutazione che produce vincoli di progetto, criteri di accettazione, punti di campionamento e trigger di riesame, e che resta viva per tutto il ciclo di vita. Fa parte del cluster Pharmaceutical Water & WFI Systems.

Il lessico: cosa intendiamo per critical control point

Una precisazione preliminare, perché è fonte ricorrente di equivoci. «Critical control point» non è un termine GMP definito per i sistemi di acqua farmaceutica: non compare come definizione nell'Annex 1 di EudraLex Volume 4 né nell'Annex 15. Nasce nella sicurezza alimentare (HACCP) e in ambito farmaceutico è richiamato come metodologia — ICH Q9(R1) elenca l'HACCP fra gli strumenti di quality risk management in Annex I, senza imporlo e senza definire una soglia di «criticità».

Qui il termine è usato in senso di control strategy di processo: il punto in cui un controllo, se esercitato, previene o intercetta la perdita di un attributo di qualità dell'acqua, e in cui la perdita di controllo non viene recuperata a valle. È un'etichetta di lavoro, non un requisito. Se il vostro sistema qualità usa il termine deve definirlo in procedura e applicarlo in modo coerente, mai presentarlo come adempimento normativo; altrimenti conviene usare il lessico della normativa — controlli basati sul rischio sulle utilities (Annex 1, 6.1-6.5) e contamination control strategy, di cui la qualità dell'acqua è esplicitamente un elemento (Annex 1, 2.5(v)). Un documento che usa termini regolatori inesistenti invita l'ispettore a chiedere dove siano scritti.

Quadro regolatorio: cosa vi viene chiesto davvero

Nessuno di questi testi vi dà i numeri. Vi dicono che dovete stabilirli, giustificarli e riesaminarli.

• ICH Q9(R1), Step 4 il 18 gennaio 2023. Il QRM è un processo — risk assessment, risk control, risk communication, risk review — non un modulo. La revisione R1 ha reso espliciti quattro temi che pesano su un sistema acqua: la soggettività della valutazione e come contenerla; la formalità come spettro, con rigore commisurato a incertezza, importanza e complessità del problema; il risk-based decision-making; il rischio per la disponibilità del prodotto. Q9(R1) precisa che i vincoli di risorse non giustificano una formalità più bassa.
• ICH Q10, Step 4 il 4 giugno 2008: il rischio residuo e il suo andamento sono un input al management review, non un allegato di progetto.
• Annex 1 (C(2022) 5938 final, in operazione dal 25 agosto 2023): la qualità dell'acqua è elemento della CCS (2.5(v)); le utilities vanno controllate con approccio risk-based e quelle a contatto diretto col prodotto sono il rischio più alto (6.1-6.5); l'impianto va progettato, installato, commissionato, qualificato, monitorato e mantenuto per prevenire la contaminazione microbiologica, minimizzando particolato, proliferazione microbica ed endotossine/pirogeni, con pendenza per il drenaggio ed evitando dead leg (6.7); la qualifica deve tenere conto della variazione stagionale (6.8); il flusso deve restare turbolento per limitare adesione microbica e biofilm, con portata stabilita in qualifica e monitorata di routine (6.9); la sanitisation segue uno schedule predeterminato ed è anche azione rimediale (6.12); gli alert level si basano sui dati di qualifica iniziale e vanno riesaminati periodicamente (6.13); le escursioni vanno documentate, riviste e investigate distinguendo evento isolato da trend avverso (6.14); i sistemi WFI includono monitoraggio continuo, come TOC e conducibilità (6.15).
• EMA Q&A EMA/INS/GMP/443117/2017 (in vigore dal 1 agosto 2017), su WFI prodotta con metodi diversi dalla distillazione. Due affermazioni sono input diretti al risk assessment: l'osmosi inversa opera tipicamente a temperatura ambiente e costituisce quindi un ambiente ideale per la formazione di biofilm; e sui limiti, «Increasing of such limits is not good practice and may mask a failing system». Il documento si attende testing esteso, testing giornaliero di tutti i punti critici nella fase iniziale e dati su circa un anno per catturare la variazione stagionale, e chiede come minimo una valutazione annuale dell'efficacia del monitoraggio.
• WHO TRS 1033, Annex 3 (2021): alert e action level stabiliti dai dati storici riportati e, per la bulk purified water, determinati dalla conoscenza del sistema e dal trending dei dati.
• PIC/S Aide-Memoire PI 009-4 «Inspection of Utilities», rev. 4, in vigore dal 1 gennaio 2021: il documento con cui gli ispettori PIC/S si preparano a guardare le utilities.

La EMA Guideline on the quality of water for pharmaceutical use (EMA/CHMP/CVMP/QWP/496873/2018, in vigore dal 1 febbraio 2021) definisce il grado minimo di acqua per uso e via di somministrazione, ma non fissa limiti di alert/action, frequenze di sanitisation o regole di periodic review. Quel vuoto è ciò che il risk assessment deve riempire con una giustificazione documentata.

Scope e boundary: la parte che quasi nessuno scrive

Un risk assessment senza boundary dichiarato viene contestato al primo confronto. Quattro cose vanno messe per iscritto prima degli hazard. A monte: contratto di fornitura dell'acqua potabile, punto di consegna, break tank o accumulo grezzo — per chi esporta negli Stati Uniti, 21 CFR 211.48 richiede acqua potabile sotto pressione positiva continua in un sistema idraulico privo di difetti, unico criterio della Parte 211 sull'acqua e requisito di integrità a monte che spesso resta fuori scope. A valle: valvola del point of use, flessibile dell'utilizzatore, punto di prelievo, trasferimento al processo; il flessibile è quasi sempre il punto più contestato e il meno documentato. Sistemi adiacenti: pure steam, CIP, acqua di laboratorio, condense — dichiarate se sono nello scope o coperti da una valutazione separata, e citate quella valutazione. Processi di supporto: campionamento, laboratorio, manutenzione, calibrazione, automazione e SCADA, change control; sono processi, non tubi, ma è lì che nascono molti failure mode reali.

Scrivete anche cosa avete deliberatamente escluso e perché. Un boundary non scritto è un boundary che verrà discusso in ispezione.

Gli hazard reali di un sistema acqua

Biofilm. È l'hazard strutturale, non un incidente. Le cellule adese producono una matrice che le protegge da sanitizzanti e flusso e rilasciano cellule planctoniche in modo intermittente: conteggi bassi e stabili per settimane, poi un picco senza causa apparente, poi di nuovo valori bassi. In un sistema con biofilm consolidato quel picco non è rumore analitico, è un rilascio. Da qui i due controlli che l'Annex 1 nomina esplicitamente — flusso turbolento (6.9) e geometria drenabile senza dead leg (6.7) — e l'avvertimento dell'EMA Q&A sui sistemi RO a temperatura ambiente. Il tema è approfondito nell'articolo su controllo microbiologico ed endotossine in PW e WFI.

Endotossine. Hazard indipendente dalla conta microbica: sopravvivono alla morte della cellula e non vengono rimosse dalla sanitisation termica, che anzi, lisando le cellule, può liberarne. Un sistema può mostrare conteggi in controllo e carico endotossinico crescente. Vanno trattate come attributo separato, con failure mode e detection propri: l'Annex 1 al punto 6.7 chiede di minimizzare endotossine e pirogeni, non solo la proliferazione microbica.

Hazard chimici. Breakthrough ionico per esaurimento o degrado di membrane e resine, carry-over organico misurato come TOC, residui di sanitizzanti e rigeneranti, corrosione e rouging, rilascio da polimeri e guarnizioni, disinfettanti presenti nell'acqua di alimentazione. Molti non hanno un allarme dedicato: emergono da un trend di conducibilità o TOC, ed è il motivo per cui l'Annex 1 al punto 6.15 chiede monitoraggio continuo di questi due attributi sui sistemi WFI.

Stagnazione. Moltiplica tutti gli hazard microbiologici e non riguarda solo i dead leg geometrici: riguarda i point of use usati raramente, i rami di riserva per espansioni future, gli strumenti su prese laterali, i campionatori, le valvole di drenaggio. Un ramo perfettamente conforme ai criteri geometrici ma aperto una volta al mese si comporta come un dead leg.

Variabilità della source water. Cambia con la stagione, la fonte di prelievo dell'acquedotto, le piogge, i lavori sulla rete, il regime di disinfezione del gestore: cambiano carica microbica, sostanza organica, temperatura, durezza, cloro residuo o cloramine. L'Annex 1 al punto 6.8 chiede che la qualifica tenga conto della variazione stagionale e l'EMA Q&A si attende dati su circa un anno proprio per catturarla. Un sistema qualificato in un'unica stagione ha una lacuna di conoscenza che il risk assessment deve dichiarare, non nascondere.

Failure mode tipiche di generazione, storage e distribuzione

Un elenco di hazard non basta: il risk assessment lavora sui modi in cui il sistema fallisce. La tabella raccoglie failure mode ricorrenti. Non è esaustiva e non sostituisce l'analisi del vostro impianto: è un punto di partenza per la sessione di lavoro.

Dall'hazard al punto di controllo: quattro criteri

La domanda «questo è un punto critico?» produce discussioni infinite se non ha criteri. Quattro criteri, applicati in ordine, ne chiudono la maggior parte.

1. Impatto diretto. La perdita di controllo altera un attributo di qualità dell'acqua consegnata al processo. Se l'effetto è solo su efficienza, consumi o durata dei consumabili, è un punto di controllo di processo, non di qualità.
2. Controllabilità. Esiste un controllo effettivamente esercitabile: un parametro regolabile, una barriera, un ciclo, una procedura. Se non esiste, non è un punto di controllo ma un vincolo di progetto, da risolvere nel design o da accettare come rischio residuo dichiarato.
3. Verificabilità tempestiva. Esiste una verifica che restituisce evidenza in tempo utile a impedire l'uso dell'acqua. Un controllo verificato solo da un'analisi il cui risultato arriva dopo il consumo è debole per detection, per quanto accurato sia il metodo.
4. Non recuperabilità a valle. La perdita di controllo non viene corretta da un passo successivo. È il criterio che separa un punto critico da un semplice punto di monitoraggio, ed è quello che i team dimenticano più spesso.

Applicati insieme riducono la lista dei punti critici da qualche decina a pochi punti decisivi. È l'obiettivo: una control strategy in cui tutto è critico non discrimina nulla.

FMEA applicata a un sistema acqua

La FMEA è uno degli strumenti elencati in Annex I di ICH Q9(R1), insieme a FMECA, FTA, HACCP, HAZOP, preliminary hazard analysis, risk ranking and filtering e ai metodi statistici di supporto. Nessuno è obbligatorio: la guideline chiede che lo strumento sia adeguato al problema e la formalità commisurata a incertezza, importanza e complessità. Su un sistema acqua funziona bene, perché il sistema è fatto di componenti con modi di guasto identificabili; funziona male se la si usa come esercizio aritmetico.

• Scegliete la granularità prima di iniziare. Conducete la FMEA al livello a cui potete prendere una decisione: analizzare ogni valvola produce centinaia di righe e nessuna decisione, analizzare «il loop» come elemento unico non produce alcun controllo specifico. Il sotto-sistema funzionale con i suoi punti di interfaccia è di solito il livello giusto.
• Documentate i controlli esistenti prima dei punteggi. Se valutate il sistema «nudo» ottenete un profilo di rischio che non esiste; se non elencate i controlli, non potete dimostrare perché il rischio è basso.
• Siate onesti sulla detectability. Non misura la qualità del metodo analitico, ma la capacità di intercettare il guasto in tempo utile a impedire l'uso: un metodo eccellente il cui risultato arriva dopo il consumo ha detectability bassa. È la voce in cui la soggettività fa più danni, il tema che ICH Q9(R1) ha reso esplicito.
• Non trasformate l'RPN in una soglia di autorizzazione. Il prodotto di tre scale ordinali non è additivo né lineare, e combinazioni molto diverse danno lo stesso numero. Usatelo per ordinare le priorità, poi applicate una regola esplicita: ogni failure mode con severità massima va valutato singolarmente.
• Team multifunzione e facilitatore. Una FMEA scritta da una sola funzione riflette solo gli hazard che quella funzione conosce; un sistema acqua tocca engineering, produzione, microbiologia, QA, manutenzione e automazione.
• Distinguete design e operativo. La FMEA di design si conduce a decisioni ancora aperte e genera requisiti; quella operativa si conduce sul sistema esistente e genera controlli, monitoraggio e azioni.

Il template seguente si può adottare così com'è. Le colonne di punteggio sono deliberatamente vuote: i valori li assegnate voi, con la scala che il vostro sito ha definito e giustificato.

Serve poi una scala. La tabella che segue è un esempio di struttura, non uno standard e non un riferimento normativo. Non esiste una scala di severity, occurrence e detectability prescritta da ICH Q9(R1) o da EudraLex: ogni sito deve definire la propria, giustificarla, approvarla in procedura e applicarla in modo coerente fra valutazioni diverse, altrimenti i punteggi non sono confrontabili. La colonna dei punteggi è lasciata vuota apposta.

Definite il significato operativo di ciascun livello con esempi presi dal vostro impianto, altrimenti due valutatori attribuiranno numeri diversi allo stesso guasto. E fissate in procedura la regola di decisione — quale combinazione richiede azione, quale solo monitoraggio, chi può accettare — prima di vedere i risultati: definire la soglia dopo aver visto i punteggi è il modo più comune di far dire alla FMEA quello che si era già deciso.

Esempio applicativo: Sito Delta

Sito Delta è un sito fittizio, usato come esempio didattico. Nessun elemento riportato costituisce un criterio di accettazione o un valore di riferimento.

Sito Delta produce forme sterili iniettabili: un loop PW che alimenta anche un generatore WFI a membrana, e un loop WFI. Il risk assessment esisteva da anni ed era stato aggiornato solo con revisioni formali. La riapertura, in team multifunzione con un facilitatore esterno all'area, ha prodotto quattro esiti, nessuno dei quali è un'anomalia esotica.

Un point of use dimenticato. Un locale usato due volte al mese era servito da una derivazione con valvola manuale, e nessun failure mode lo copriva perché l'analisi precedente si era fermata al collettore. Il criterio di non recuperabilità a valle lo qualificava come punto critico. Esito: flush prima dell'uso, inserimento nel piano di campionamento a rotazione, valutazione tecnica sull'eliminazione della derivazione.

Un integrity test incompleto. Il filtro di sfiato del serbatoio WFI era testato dopo l'uso, ma la procedura non prevedeva il test prima dell'installazione, che l'Annex 1 al punto 6.11 chiede insieme alla prevenzione della condensa. La FMEA aveva assegnato al filtro una detectability alta senza verificare cosa la procedura richiedesse davvero. Esito: revisione della procedura, verifica del riscaldamento del filtro e una lezione metodologica — la detectability si verifica sul documento vigente, non sulla convinzione del team.

Una qualifica monostagionale. La PQ era stata condotta interamente in inverno e la lacuna non era dichiarata. Esito: lacuna registrata come rischio residuo con scadenza, monitoraggio esteso a copertura del ciclo annuale, alert level mantenuti provvisori fino alla chiusura del programma.

Una portata registrata ma non allarmata. Un calo lento della portata di ritorno del loop WFI sarebbe stato visibile solo alla review mensile, mentre il punto 6.9 chiede portata stabilita in qualifica e monitorata di routine proprio perché il flusso turbolento è un controllo contro l'adesione microbica. Esito: allarme configurato sotto change control, verifica dell'audit trail sulle modifiche di soglia, ricalcolo della detectability.

Nessuno dei quattro esiti richiedeva un investimento significativo, e tutti e quattro erano invisibili nel documento precedente: quel documento era stato costruito per esistere, non per decidere.

Dalla valutazione alla control strategy

La control strategy non è un documento: è l'insieme dei controlli che tengono il sistema dentro lo stato validato, distribuiti su più livelli. Il risk assessment stabilisce quale livello regge ciascun hazard e segnala quelli che si reggono su un livello troppo debole.

• Eliminazione. Il controllo più robusto è non avere l'hazard: rimuovere una derivazione, sopprimere un ramo di riserva, spostare uno strumento in linea. Costa in fase di progetto e non costa più nulla dopo.
• Controlli di design. Geometria drenabile, assenza di dead leg, pendenza per il drenaggio, materiali e finitura, dimensionamento per il flusso turbolento, regime termico o ozonizzazione (Annex 1, 6.7 e 6.9). Sono gli unici controlli che non dipendono dal comportamento umano quotidiano.
• Controlli operativi. Ricircolo continuo, regime di temperatura, schedule di sanitisation predeterminato e sanitisation come azione rimediale (6.12), gestione dei point of use e dei flessibili.
• Controlli di monitoraggio. Monitoraggio chimico e microbiologico regolare e continuativo (6.13), monitoraggio continuo di TOC e conducibilità sui sistemi WFI (6.15), piano di campionamento costruito sui punti critici identificati.
• Controlli procedurali e di sistema qualità. Deviazioni, trending, investigazioni, change control, periodic review, formazione. Ultimo livello e il più fragile, perché dipende interamente dall'esecuzione.

La regola pratica: un hazard controllato solo dal livello di detection non è un hazard controllato. Se l'unica difesa contro la contaminazione di un point of use è il campionamento periodico, non avete un controllo: avete una speranza con un tracciamento. Il risk assessment deve rendere visibili questi casi e obbligare a una decisione: rafforzare il livello superiore, oppure accettare esplicitamente il rischio residuo. Per i prodotti sterili tutto questo confluisce nella contamination control strategy, di cui la qualità dell'acqua è un elemento (Annex 1, 2.5(v)): una valutazione che non alimenta la CCS e non ne riceve i vincoli è un documento parallelo, e in ispezione si vede.

Il rischio residuo: chi lo accetta e con quale evidenza

ICH Q9(R1) tratta l'accettazione del rischio come decisione informata, non come formalità di chiusura. Tre categorie bastano: rischio ridotto a livello accettabile e monitorato, con controlli in esercizio e trend sotto osservazione; rischio accettato con giustificazione e scadenza, quando il controllo ideale non è applicabile ora, con misura compensativa e data di riesame; rischio non accettabile, che non è rischio residuo ma azione aperta, con responsabile e data.

Due regole evitano la maggior parte dei problemi. L'accettazione è di un ruolo, non di un progetto: un rischio accettato «dal team di progetto» non ha proprietario quando il progetto si chiude. E un rischio residuo che dipende da un controllo non ancora installato non è un rischio residuo, è un'azione aperta mascherata da conclusione.

Come il risk assessment lega URS, design, qualifica, monitoraggio e periodic review

Qui sta la differenza fra un risk assessment vivo e un allegato. La valutazione del rischio non è una fase del progetto: è il filo che attraversa tutte le fasi, e ogni fase deve sia riceverne qualcosa sia restituirle qualcosa. Se il flusso è a senso unico, il documento muore alla prima consegna.

Due connessioni meritano un dettaglio. La prima è con la URS del sistema acqua: ogni requisito che nasce da un hazard dovrebbe essere tracciabile a quell'hazard, così che in design review si sappia quale requisito è negoziabile e quale no. Un requisito senza origine viene tagliato al primo confronto sui costi, perché nessuno sa cosa protegge. L'approccio science- and risk-based di ASTM E2500-25 poggia su questa tracciabilità, e la scelta a monte del grado di acqua necessario all'uso previsto è la prima decisione risk-based del progetto: sovradimensionare la qualità non è cautela, è spostare il rischio sul mantenimento di un sistema più complesso.

La seconda è con il monitoraggio. Il piano di campionamento è il punto in cui la valutazione diventa verificabile ogni settimana: se i punti campionati non sono quelli identificati come critici, avete due documenti che descrivono due sistemi diversi. L'Annex 1 al punto 6.13 chiude il cerchio dal lato dei criteri — gli alert level nascono dai dati di qualifica iniziale e vanno riesaminati periodicamente sulla base di riqualifica, monitoraggio di routine e investigazioni. Non sono un parametro di configurazione: sono un'uscita del ciclo di vita.

Il riesame periodico: quando, non solo ogni quanto

La frequenza fissa è il modo peggiore di gestire il riesame, perché garantisce che il documento sia aggiornato nel momento sbagliato. ICH Q9(R1) imposta il risk review come processo continuo, con rivalutazione innescata da eventi pianificati (product review, ispezioni, audit, change control) e non pianificati (investigazioni, richiami), e con frequenza commisurata al livello di rischio. Tradotti su un sistema acqua, questi sono i trigger da mettere in procedura.

• Modifiche sotto change control su geometria, materiali, regime termico, cicli di sanitisation, strumentazione o logiche di allarme.
• Aggiunta o rimozione di un point of use e ogni variazione significativa del profilo di consumo.
• Un nuovo prodotto o processo che richieda un grado d'acqua diverso o un uso diverso di un punto esistente.
• Deviazioni, OOS e OOT, con la distinzione fra evento isolato e trend avverso richiesta dal punto 6.14.
• Cambiamenti della source water: nuova fonte del gestore, variazione del regime di disinfezione, evento stagionale anomalo, lavori sulla rete.
• Esiti della riqualifica periodica e della revisione degli alert level.
• Retrofit, sostituzione di componenti principali, obsolescenza del sistema di controllo.
• Valutazione dell'efficacia del monitoraggio: l'EMA Q&A sui metodi non distillativi ne chiede come minimo una all'anno.
• Pubblicazione o entrata in vigore di un testo regolatorio applicabile.

Una trappola va nominata. Quando un sistema produce escursioni ripetute, la reazione più rapida è rivedere i limiti verso l'alto: le escursioni spariscono e il trend torna «in controllo». L'EMA Q&A EMA/INS/GMP/443117/2017 lo affronta senza giri di parole: «Increasing of such limits is not good practice and may mask a failing system». Alzare un alert level è legittimo solo come conclusione di un'analisi che dimostri che il livello precedente era inadeguato rispetto ai dati del sistema in stato di controllo, non come rimedio a un sistema che sta cedendo. La stessa logica vale per i livelli citati nel capitolo informativo USP <1231>, che restano livelli d'azione non vincolanti e non sostituiscono specifiche interne costruite sui vostri dati. Il riesame del rischio è anche l'innesco delle decisioni di periodic review e retrofit: è il punto in cui si decide se un rischio residuo accettato tre anni fa sia ancora accettabile, o sia diventato il modo di non affrontare un problema strutturale.

Errori frequenti e red flag in ispezione

• Compilare il risk assessment dopo il congelamento del design: può solo giustificare scelte già fatte.
• Valutare il sistema «nudo», senza elencare i controlli esistenti.
• Attribuire detectability alta a un controllo il cui risultato arriva dopo l'uso dell'acqua.
• Usare una soglia di RPN come autorizzazione automatica, o definire la soglia di accettabilità dopo aver visto i punteggi.
• Non definire la scala in procedura, e ottenere punteggi non confrontabili fra valutazioni successive.
• Fermare l'analisi al collettore, lasciando fuori derivazioni, flessibili e punti d'uso a bassa frequenza.
• Trattare le endotossine come conseguenza automatica del controllo microbiologico.
• Qualificare in una sola stagione e non dichiarare la lacuna.
• Presentare «critical control point» come termine regolatorio senza averlo definito in procedura.

In ispezione, questi sono i segnali che aprono la discussione.

• Una sola data di firma e nessuna revisione dopo anni di esercizio con deviazioni documentate.
• I punti del piano di monitoraggio non coincidono con i punti critici della valutazione.
• Alert level non riconducibili ai dati di qualifica né ai dati storici, oppure innalzati con la riduzione delle escursioni come giustificazione registrata.
• Escursioni ripetute chiuse singolarmente come eventi isolati, senza valutazione di trend.
• Modifiche impiantistiche visibili sul campo assenti dal P&ID aggiornato e dalla valutazione del rischio.
• Rischi residui «accettati» senza responsabile, senza giustificazione tecnica e senza data di riesame.
• Scala di severity, occurrence e detectability non definita in alcuna procedura approvata.
• Portata del loop registrata ma priva di criterio e di allarme, pur essendo un controllo dichiarato contro il biofilm.
• Il risk assessment del sistema acqua non è richiamato dalla contamination control strategy del sito.

Se questi temi vi interessano, in The Pragmatic GMP raccogliamo analisi operative su qualifica, utilities e sistemi acqua. Nessuna promozione, solo materiale utilizzabile al lavoro.

Key takeaway

• Un risk assessment che non ha cambiato una decisione non è un risk assessment: è una descrizione del sistema.
• «Critical control point» non è un termine GMP definito per i sistemi acqua: usatelo come etichetta di control strategy e definitelo in procedura.
• La normativa vi chiede il metodo, non i numeri: ICH Q9(R1) per il processo, Annex 1 per i controlli risk-based sulle utilities, WHO TRS 1033 Annex 3 per la derivazione di alert e action level dai dati storici.
• Biofilm, endotossine, stagnazione e variabilità stagionale della source water sono gli hazard strutturali: trattateli come voci distinte, con failure mode e detection propri.
• Quattro criteri identificano un punto critico: impatto diretto, controllabilità, verificabilità tempestiva, non recuperabilità a valle. Il quarto è quello che si dimentica.
• Nessuna scala di severity, occurrence e detectability è prescritta: il sito la definisce, la giustifica e la approva prima di usarla; l'RPN ordina le priorità, non autorizza.
• Un hazard controllato solo dalla detection non è controllato: la control strategy si costruisce dall'eliminazione verso il basso.
• Il rischio residuo si accetta per ruolo, con giustificazione e scadenza. Se dipende da un controllo non installato, è un'azione aperta.
• Il riesame va innescato dagli eventi, non solo dal calendario, e alzare i limiti per far sparire le escursioni maschera un sistema che sta cedendo.

Riferimenti regolatori e tecnici

• ICH Q9(R1) Quality Risk Management, Step 4 il 18 gennaio 2023; ICH Q10 Pharmaceutical Quality System, Step 4 il 4 giugno 2008 — ich.org
• EudraLex Volume 4, Annex 1, C(2022) 5938 final, in operazione dal 25 agosto 2023 (punti 2.5(v), 6.1-6.5, 6.7, 6.8, 6.9, 6.11, 6.12, 6.13, 6.14, 6.15); Annex 15, in operazione dal 1 ottobre 2015 — un concept paper di revisione EU-PIC/S è stato pubblicato il 9 febbraio 2026 con consultazione chiusa il 9 aprile 2026, ma l'Annex 15 non è stato rivisto — EudraLex Volume 4
• EMA Guideline on the quality of water for pharmaceutical use EMA/CHMP/CVMP/QWP/496873/2018, in vigore dal 1 febbraio 2021 — ema.europa.eu; EMA Q&A EMA/INS/GMP/443117/2017, in vigore dal 1 agosto 2017
• WHO TRS 1033, Annex 3 (2021) — who.int; PIC/S Aide-Memoire PI 009-4 Inspection of Utilities, rev. 4, in vigore dal 1 gennaio 2021 — picscheme.org
• USP <1231> Water for Pharmaceutical Purposes, capitolo informativo (i livelli d'azione riportati non sono vincolanti); USP <643> e <645>
• 21 CFR 211.48 Plumbing — eCFR Part 211; FDA Guide to Inspections of High Purity Water Systems (luglio 1993), non vincolante — fda.gov
• ASTM E2500-25 (approvata il 1 aprile 2025); ISPE Baseline Guide Vol. 4 Water and Steam Systems, 3ª edizione, settembre 2019; PDA Technical Report No. 69 (2015) — guide di settore, non normative