Sampling plan per Pharmaceutical Water: come selezionare e giustificare i punti di campionamento

L'ispettore non chiede quasi mai perché un campione è andato fuori limite. Chiede perché quel punto è nel piano e quell'altro no. È la domanda che smonta la maggior parte dei sampling plan, perché la risposta onesta, in troppi siti, è che il piano è stato ereditato: nato in qualifica come elenco dei punti fisicamente disponibili, congelato in una SOP, esteso per analogia a ogni nuova derivazione e mai più rimesso in discussione. Nessun documento spiega quale domanda ciascun punto serva a rispondere.

Il problema non è formale: un piano costruito così produce due modi opposti di sbagliare. Nel primo i campioni escono tutti buoni perché la tecnica di prelievo rimuove sistematicamente il contributo del punto d'uso, mentre l'acqua che arriva al processo passa da un flessibile che nessuno campiona. Nel secondo i dati derivano verso l'alto per una tecnica scadente, e il sito investiga un sistema che è sotto controllo finché qualcuno propone di allargare i limiti.

Un sampling plan difendibile nasce da una scelta esplicita, non da una lista: quali domande il piano deve rispondere, come si giustifica ogni punto, come la tecnica di prelievo determina il significato del dato, su quali basi si stabilisce e si riesamina la frequenza.

Le due domande che un piano deve separare

Un campione di acqua farmaceutica può rispondere a due domande diverse, e la confusione fra le due è l'errore strutturale più comune.

Domanda 1 — il sistema è sotto controllo? Il campione rappresenta l'acqua contenuta nel sistema di generazione, stoccaggio e distribuzione. Serve al trending su cui poggiano gli alert level, a rilevare deterioramenti progressivi, a verificare l'efficacia della sanitizzazione. La tecnica è progettata per eliminare il contributo del punto di prelievo: valvola dedicata e sanitizzata, flussaggio definito, tecnica asettica standardizzata. Un valore alto qui indica il sistema.

Domanda 2 — quale acqua sta usando il processo? Il campione rappresenta l'acqua che arriva al prodotto attraverso la stessa catena fisica che la produzione usa realmente: stesso attacco, stesso flessibile, stessa procedura di apertura, stesso flussaggio prescritto in produzione — né più né meno. La tecnica è progettata per includere tutto ciò che sta fra il loop e il prodotto. Un valore alto qui può indicare il sistema, ma anche il flessibile, la connessione o la pratica dell'operatore.

Sono due piani diversi, con punti, tecniche, frequenze e criteri di investigazione diversi. Un campione «di sistema» non dice nulla sull'acqua che il processo riceve; un campione «di processo» è un cattivo indicatore dello stato del loop, perché il rumore del dispositivo di trasferimento può dominare il segnale. Nessuna delle due domande è opzionale: la qualità dell'acqua è un elemento della contamination control strategy secondo l'Annex 1 al punto 2.5(v), e una CCS che dimostra il controllo del loop senza dimostrare il controllo del trasferimento all'utenza ha un buco al centro. Ne discende una regola di scrittura: il piano deve dichiarare, per ogni punto, a quale delle due domande risponde e con quale tecnica. Un elenco di punti senza la domanda associata non è giustificabile, perché manca il criterio per decidere se il set è sufficiente.

Sample point e point of use non sono sinonimi

Point of use indica una funzione di processo: dove l'acqua lascia il sistema per entrare in un'operazione. Sample point indica una funzione di controllo: un punto attrezzato per prelevare un campione rappresentativo di qualcosa. Coincidono spesso, ma per convenienza fisica, non per equivalenza logica.

Tre casi rendono la distinzione operativa. Molte utenze sono servite da una valvola di campionamento dedicata a monte dell'attacco di processo: è un sample point che risponde alla domanda 1, non un point of use. Alcune utenze hanno un filtro al punto d'uso: campionare a valle risponde alla domanda 2 ma maschera lo stato del loop, e usare quel dato per il trending di sistema significa costruire un trend cieco. Altri punti non sono utenze e non lo saranno mai — uscita della generazione, ritorno del loop — e servono solo alla domanda 1. Il numero di sample point non è quindi derivabile dal numero di point of use in nessuna delle due direzioni: va costruito da un razionale.

Il quadro regolatorio applicabile

Nessun testo vigente pubblica una lista di punti obbligatori né una tabella di frequenze universali: i testi definiscono obiettivi e lasciano al sito la costruzione del razionale.

L'Annex 1 di EudraLex Volume 4 (C(2022) 5938 final, in operazione dal 25 agosto 2023) al punto 6.13 richiede un monitoraggio chimico e microbiologico regolare e continuativo, con alert level basati sui dati della qualifica iniziale, riesaminati periodicamente sulla base di riqualifica, monitoraggio di routine e investigazioni. Il punto 6.14 richiede che le escursioni di alert siano documentate, riviste e investigate, distinguendo l'evento isolato dal trend avverso o dal deterioramento del sistema. Il punto 6.8 richiede che i sistemi acqua siano qualificati e validati per il controllo fisico, chimico e microbiologico tenendo conto della variazione stagionale. Il punto 6.15 richiede che i sistemi WFI includano un monitoraggio continuo, come TOC e conducibilità.

Letti insieme descrivono l'architettura di un sampling plan senza dettarne il contenuto: i livelli si derivano dai dati del sistema, non da una tabella esterna; il piano deve produrre dati sufficienti a distinguere un evento isolato da un trend; la finestra di raccolta deve coprire la variabilità stagionale; e per il WFI una parte del monitoraggio non è campionamento, ma misura continua in linea.

Il Q&A EMA/INS/GMP/443117/2017 sulla produzione di WFI con metodi non distillativi (in vigore dal 1° agosto 2017) è l'unico testo di questo insieme che indichi una frequenza: per quei sistemi si attende testing esteso, testing giornaliero di tutti i punti critici nella fase iniziale e dati su circa un anno per catturare la variazione stagionale, e fissa come minimo una valutazione annuale dell'efficacia del monitoraggio. Due precisazioni per non estrapolare: l'aspettativa di testing giornaliero è formulata per i sistemi WFI non distillativi e riguarda la fase iniziale, non il regime; applicare lo stesso modello ad altri sistemi è una scelta di sito, ragionevole ma non un requisito, e va documentata come tale. Lo stesso documento afferma esplicitamente che innalzare i limiti non è buona pratica e può mascherare un sistema che sta cedendo.

Il WHO TRS 1033, Annex 3 (2021) chiude il cerchio sul metodo: al §12.8 stabilisce che alert e action level siano determinati dai dati storici riportati, e al §4.3.8 che alert e action limit per il bulk purified water derivino dalla conoscenza del sistema e dal trending dei dati. Il capitolo informativo USP <1231> (ufficiale dal 1° dicembre 2021) tratta esplicitamente sia il campionamento online sia quello offline e ricorda che gli utilizzatori stabiliscono specifiche interne o livelli microbici di idoneità all'uso; i livelli d'azione che riporta non sono vincolanti. Anche USP <643> dà un'indicazione di metodo per sottrazione: dichiara di non dire nulla su quanto spesso vada eseguito il system suitability test, lasciando la frequenza al risk assessment dell'utilizzatore. È la stessa logica che governa il sampling plan.

Il razionale di rischio si costruisce con lo strumento previsto, ICH Q9(R1) (Step 4, 18 gennaio 2023), applicato secondo il metodo del quality risk management sui sistemi acqua; il riferimento di settore dedicato è la ISPE Good Practice Guide Sampling for Pharmaceutical Water, Steam, and Process Gases, guida industriale e non testo normativo.

La mappa dei punti: cosa risponde ciascuna posizione

Ogni posizione risponde a una domanda specifica e ne lascia aperte altre. Le posizioni effettivamente incluse dipendono dall'architettura del sistema.

Ritorno del loop e utenze non sono alternative: il primo dà sensibilità, le seconde danno localizzazione e rilevanza per il prodotto. E le utenze usate raramente meritano attenzione superiore alla loro frequenza d'uso, perché la stagnazione fra un utilizzo e l'altro è proprio la condizione che il monitoraggio deve intercettare. La geometria che rende critico un ramo — lunghezza, portata, terminale — è materia di progettazione del distribution loop, e il piano deve leggerla, non ignorarla.

Costruire il razionale di rischio

La giustificazione di un punto non è una frase nella SOP: è un'assegnazione tracciabile che lo collega a fattori di rischio identificati — impatto sul prodotto dell'operazione servita, posizione idraulica rispetto al regime di flusso stabilito in qualifica, copertura effettiva del ciclo di sanitizzazione, modalità d'uso, dati storici del punto e osservabilità alternativa, cioè se il punto sia già coperto da misura continua in linea o se il campione sia l'unica finestra disponibile. La matrice va compilata dal sito. La colonna dei pesi è volutamente vuota: i pesi dipendono da contesto, tipo di prodotto e architettura, e vanno verbalizzati e approvati prima di assegnare i punteggi.

L'esito non è un numero ma una classificazione — punti a monitoraggio esteso, di routine, periodico o su evento — da cui discendono frequenza, parametri analizzati e criteri di escalation. Il documento deve mostrare la catena, non solo l'esito.

Tecnica di prelievo: la variabile che decide il significato del dato

Il campione più difendibile, prelevato con una tecnica non definita, produce un dato senza significato: sul piano microbiologico la variabilità introdotta dalla tecnica può superare quella del sistema che si vuole misurare. Le variabili vanno definite, validate e addestrate; nessuna ha un valore universale da copiare.

Flussaggio. È la variabile che cambia la domanda a cui il campione risponde. Un flussaggio prolungato scarta il contenuto della zona terminale e restituisce l'acqua del loop: domanda 1. Nessun flussaggio, o quello prescritto in produzione, restituisce l'acqua che il processo riceve: domanda 2. Non esistono durata o volume corretti in assoluto; esiste l'obbligo di dichiarare la scelta, giustificarla rispetto alla domanda, renderla riproducibile fra operatori e turni e mantenerla stabile — perché un cambio silenzioso della pratica genera un cambio di livello nel trend che verrà letto come un evento del sistema.

Preparazione del punto e asepsi. Sanitizzazione o disinfezione della valvola prima del prelievo, gestione del residuo di agente, tecnica asettica dell'operatore e protezione del punto fra un prelievo e l'altro sono fattori che il metodo deve fissare. Quando il sistema è sanitizzato chimicamente o ozonizzato, il campione microbiologico richiede un neutralizzante appropriato, verificato per non interferire con il metodo analitico; senza neutralizzazione si conta l'effetto residuo dell'agente, non la popolazione del sistema.

Contenitori, volumi, hold time e trasporto. Materiale del contenitore, sterilità, presenza del neutralizzante e assenza di interferenze con il parametro misurato — il TOC è particolarmente sensibile alla contaminazione da contenitore e da manipolazione — sono attributi da specificare e verificare, non da assumere. Il volume discende dal metodo e dal livello che si deve poter rilevare: per il WFI il livello d'azione non vincolante riportato da USP <1231> è espresso su 100 mL, con conseguenze dirette sul volume e sulla tecnica di filtrazione.

L'hold time fra prelievo e inizio analisi non ha un valore normativo: va stabilito dal sito e supportato da dati che dimostrino che il risultato non cambia in modo significativo entro l'intervallo dichiarato, nelle condizioni di conservazione e trasporto realmente usate. Le variabili che contano sono tipo di acqua, popolazione attesa, materiale del contenitore, temperatura e sua stabilità lungo il tragitto; il trasporto va a sua volta definito, monitorato e documentato. La catena dal rubinetto all'incubatore è parte del metodo analitico, non logistica di supporto: ogni anello non controllato diventa una spiegazione alternativa disponibile in investigazione, e quindi un indebolimento del dato anche quando il dato è conforme.

Qualifica di chi campiona. L'operatore è una variabile del metodo: addestramento documentato, verifica pratica dell'esecuzione e osservazione periodica sul campo sono controlli sul dato, non adempimenti formali. Un piano eccellente eseguito da personale non qualificato produce un rumore che nessuna analisi statistica recupera.

Online e offline non sono intercambiabili

USP <1231> tratta entrambi. La differenza decisiva è temporale: la misura chimica in linea — TOC e conducibilità, richieste come monitoraggio continuo per i sistemi WFI dall'Annex 1 al punto 6.15 — dà un segnale in tempo reale, mentre il risultato microbiologico arriva giorni dopo il prelievo, quando l'acqua è già stata usata. Il piano deve rendere esplicita l'asimmetria e costruirci sopra la strategia: il controllo microbiologico è prevalentemente preventivo — progetto, regime termico, sanitizzazione, flusso — e il campionamento ne verifica la tenuta a posteriori. Chi si aspetta che il campionamento microbiologico protegga il singolo lotto chiede al metodo ciò che non può dare. L'architettura della parte in linea è trattata nell'articolo su monitoraggio TOC e conducibilità, quella microbiologica nell'articolo su controllo microbiologico ed endotossine.

Frequenza: cosa è verificabile e cosa va giustificato

«Ogni quanto si campiona» non ha una risposta compendiale: i testi vigenti forniscono un metodo per costruirla e due riferimenti temporali verificati. Il metodo è quello dell'Annex 1 6.13 e del WHO TRS 1033 §12.8 e §4.3.8: livelli e struttura del monitoraggio si derivano dai dati della qualifica iniziale e dal trending, e si riesaminano periodicamente. I riferimenti temporali verificati sono quelli del Q&A EMA 443117/2017: nella fase iniziale, per i sistemi WFI non distillativi, testing giornaliero di tutti i punti critici e dati su circa un anno per coprire la variazione stagionale — coerente con l'Annex 1 6.8 — e, come minimo, una valutazione annuale dell'efficacia del monitoraggio.

Tutto il resto va giustificato per sito. Non esiste un requisito che imponga una frequenza settimanale, mensile o rotativa: sono schemi diffusi nella prassi industriale, non prescrizioni, e chi li adotta deve poter mostrare perché quella cadenza è sufficiente a rilevare l'evento che teme, dato il tempo di risposta del metodo e la dinamica attesa del sistema.

1. Fase iniziale: frequenza elevata su tutti i punti per caratterizzare il sistema e generare la base dati da cui derivano gli alert level, su una finestra che copra la variabilità stagionale.
2. Transizione: riduzione solo dopo che i dati la sostengono, con criteri definiti a priori e razionale punto per punto. È una modifica del sistema di controllo e passa da change control.
3. Regime: frequenza e pannello analitico differenziati per classe di rischio, con criteri di escalation che riportano un punto a frequenza elevata al verificarsi di trigger definiti.
4. Riesame: verifica periodica che la frequenza stia ancora rispondendo alla domanda, con ritorno alla fase iniziale quando il sistema cambia in modo sostanziale.

Un criterio di sanità: se la frequenza scelta non permetterebbe di distinguere un evento isolato da un trend avverso — la distinzione richiesta dall'Annex 1 6.14 — allora è troppo bassa per lo scopo dichiarato, indipendentemente da quanto sia diffusa nel settore.

Esempio applicativo: Sito Delta

Sito Delta è un sito fittizio, usato qui solo come esempio. Ha un loop WFI caldo per un reparto sterile e un loop PW freddo sanitizzato chimicamente per produzione non sterile e lavaggio attrezzature. Il piano in vigore elenca ventidue punti, tutti campionati con lo stesso metodo e la stessa frequenza, e la SOP prescrive un flussaggio prima di ogni prelievo.

Il riesame parte dalla domanda, non dai punti: tutti e ventidue i campioni rispondono alla domanda 1, e nessuno rappresenta l'acqua che il processo riceve, benché quattro utenze siano servite tramite flessibili collegati e scollegati a ogni utilizzo. Ne seguono tre esiti. Viene introdotta una seconda categoria di campioni, prelevati alle utenze con la catena fisica e la tecnica di produzione, con criteri di investigazione propri: un fuori limite in questa categoria parte dal dispositivo di trasferimento, non dal loop. La classificazione di rischio ridistribuisce le frequenze, aumentandole sui rami a utilizzo intermittente e sui terminali e riducendole dove ritorno del loop e misura in linea forniscono già copertura, con ogni riduzione documentata e gestita in change control. E la prescrizione di flussaggio viene riscritta separando i due casi, perché applicata indistintamente rendeva impossibile per costruzione rispondere alla domanda 2. Il numero finale di punti cambia poco; cambia il fatto che per ciascuno esiste una riga che dice a quale domanda risponde e perché è lì.

Riesame del piano

L'Annex 1 6.13 rende esplicito il riesame periodico degli alert level sulla base di riqualifica, monitoraggio di routine e investigazioni; lo stesso vale per la struttura del piano. I trigger da codificare in procedura sono ricorrenti: modifiche fisiche al sistema (nuova derivazione, nuova utenza, rimozione di un ramo, sostituzioni che cambiano il profilo idraulico); cambio d'uso di un punto, che sposta la classe di rischio anche se il tubo non è stato toccato; modifica del regime di sanitizzazione o termico, che cambia la copertura del ciclo; trend avversi, escursioni ripetute ed esiti di investigazione che indichino punti ciechi; variazioni della source water rispetto alla caratterizzazione di qualifica; riqualifica periodica e valutazione dell'efficacia del monitoraggio, con il minimo annuale indicato dal Q&A EMA per i sistemi in scopo.

Il riesame deve poter concludere anche in senso restrittivo: un piano che si riduce a ogni ciclo e non aumenta mai sta ottimizzando il carico analitico, non il controllo. Quando i dati derivano, la risposta corretta è indagare il sistema e rivedere il piano, non spostare i limiti. La lettura degli esiti anomali è trattata nell'articolo su biofilm, rouging e investigazione; l'insieme degli argomenti è raccolto nell'hub Pharmaceutical Water & WFI Systems.

Errori frequenti e red flag

• Piano ereditato dalla qualifica e mai riesaminato, con punti la cui giustificazione originaria non è più recuperabile; nessuna distinzione fra campione di sistema e campione di processo, con il sito convinto di avere due coperture.
• Flussaggio prescritto in modo uniforme, che rende strutturalmente impossibile valutare l'acqua realmente usata dal processo.
• Punti aggiunti per analogia a ogni nuova utenza, senza rivalutare la classificazione di rischio dell'insieme; campionamento a valle di un filtro al punto d'uso usato per il trending di sistema.
• Hold time e condizioni di trasporto non definiti o non supportati da dati: offrono una spiegazione alternativa a ogni risultato anomalo.
• Frequenze presentate come requisito normativo quando sono prassi industriale, oppure ridotte senza change control e senza razionale sui dati.
• Utenze usate raramente escluse dal piano proprio perché usate raramente; discussione sui limiti avviata prima di quella sul piano dopo una serie di risultati sfavorevoli.

Tre domande da porre in audit: per un punto qualsiasi, a quale domanda risponde e su quale evidenza è entrato nel piano; chi ha eseguito l'ultimo prelievo e con quale tecnica; quando il piano è stato riesaminato e cosa è cambiato. Se le risposte non arrivano rapidamente e coerentemente, il problema non è il piano: è che non ne esiste uno.

Se lavori su decisioni di questo tipo, The Pragmatic GMP raccoglie analisi tecniche e regolatorie sui sistemi GMP con lo stesso taglio.

Key takeaway

• Un campione può rappresentare il sistema oppure l'acqua usata dal processo: due domande diverse, tecniche diverse, piani diversi. Il piano deve dichiarare per ogni punto a quale delle due risponde.
• Sample point e point of use non sono sinonimi: il numero dei punti non si deriva dal numero delle utenze, ma da un razionale di rischio costruito con ICH Q9(R1) e riesaminato a ogni modifica del sistema.
• L'Annex 1 chiede alert level derivati dalla qualifica iniziale e riesaminati periodicamente (6.13), investigazione delle escursioni distinguendo evento isolato e trend (6.14), qualifica che tenga conto della variazione stagionale (6.8) e monitoraggio continuo come TOC e conducibilità per i sistemi WFI (6.15).
• Le uniche frequenze verificate sono quelle del Q&A EMA 443117/2017 per i sistemi WFI non distillativi: testing giornaliero dei punti critici nella fase iniziale, dati su circa un anno, e come minimo una valutazione annuale dell'efficacia del monitoraggio. Ogni altra cadenza va giustificata per sito.
• Flussaggio, preparazione del punto, contenitore, volume, hold time e trasporto non hanno valori universali: vanno definiti, validati e mantenuti stabili, perché un cambio silenzioso della tecnica si legge nel trend come un evento del sistema.
• Il risultato microbiologico è retrospettivo: il controllo è preventivo e il campionamento ne verifica la tenuta. Quando i dati derivano si rivedono sistema e piano, non i limiti — il Q&A EMA definisce l'innalzamento dei limiti una pratica che può mascherare un sistema che sta cedendo.

Riferimenti regolatori e tecnici

• EudraLex Volume 4, Annex 1 (C(2022) 5938 final), in operazione dal 25 agosto 2023 — punti 2.5(v), 6.8, 6.13, 6.14, 6.15. health.ec.europa.eu
• EMA/INS/GMP/443117/2017 Q&A Production of WFI by non-distillation methods – reverse osmosis, biofilms and control strategies, dal 1° agosto 2017; EMA/CHMP/CVMP/QWP/496873/2018 Guideline on the quality of water for pharmaceutical use, dal 1° febbraio 2021. ema.europa.eu
• WHO TRS 1033, Annex 3 (2021) Good manufacturing practices: water for pharmaceutical use — §4.3.8 e §12.8. who.int
• USP <1231> Water for Pharmaceutical Purposes (ufficiale dal 1° dicembre 2021), capitolo informativo; USP <643> Total Organic Carbon; USP <645> Water Conductivity.
• ICH Q9(R1) Quality Risk Management (Step 4, 18 gennaio 2023); ICH Q10 Pharmaceutical Quality System. ich.org
• PIC/S PI 009-4 Inspection of Utilities, rev. 4, dal 1° gennaio 2021. picscheme.org
• ISPE Good Practice Guide Sampling for Pharmaceutical Water, Steam, and Process Gases; ISPE Baseline Guide Vol. 4 Water and Steam Systems, 3ª ed. (2019) — guide di settore, non testi normativi.