Il PIC/S GMP Annex 11 è l'annesso della GMP Guide PIC/S (PE 009) dedicato ai sistemi computerizzati: definisce che cosa un'azienda farmaceutica deve garantire quando un computer, un software o un sistema automatizzato sostituisce o supporta un'operazione GMP. Il testo è sostanzialmente identico all'Annex 11 di EudraLex Volume 4, ma viene applicato da una platea molto più ampia di autorità ispettive: tutte quelle che partecipano allo schema PIC/S, in Europa e fuori. Capire dove si colloca, cosa richiede e come sta cambiando con la revisione congiunta EU–PIC/S è essenziale per QA, CSV specialist e responsabili IT che devono difendere i propri sistemi in audit.
PIC/S GMP Annex 11: dove si colloca nella GMP Guide PE 009
La GMP Guide PIC/S (documento PE 009) riprende la struttura di EudraLex Volume 4: una Parte I per i medicinali, una Parte II per le sostanze attive (API) e una serie di annessi tematici. L'Annex 11 "Computerised Systems" è uno di questi e si legge insieme al Capitolo 4 (Documentazione), perché i dati elettronici e i record cartacei fanno parte dello stesso sistema documentale. La versione corrente della guida è la PE 009-18, in vigore dal 24 settembre 2026: la revisione ha riguardato l'Annex 19 (campioni di riferimento e conservazione), mentre il testo dell'Annex 11 resta quello della revisione 2011, in vigore dal 30 giugno 2011 sia nell'UE sia nello schema PIC/S.
La differenza pratica rispetto all'annesso europeo non sta nel contenuto ma nella portata: la guida PIC/S è lo standard di riferimento per le autorità partecipanti allo schema (oltre 50 autorità di tutto il mondo, dalla FDA a Swissmedic, da Health Canada alla TGA australiana). Un sito ispezionato da un'autorità PIC/S extra-UE viene quindi valutato, per i sistemi computerizzati, sugli stessi requisiti dell'Annex 11 europeo.
Cosa richiede l'Annex 11: principi e requisiti chiave
Il principio dell'Annex 11 è chiaro: quando un sistema computerizzato sostituisce un'operazione manuale, non devono peggiorare né la qualità del prodotto né il controllo del processo, e non deve aumentare il rischio complessivo. Da qui discendono i requisiti operativi, organizzati in tre blocchi:
- Fase generale: risk management lungo tutto il ciclo di vita (par. 1), personale qualificato con ruoli definiti (par. 2), accordi formali e audit sui fornitori e service provider, inclusi i fornitori cloud (par. 3).
- Fase di progetto: convalida basata sul rischio (par. 4), con inventario aggiornato dei sistemi, User Requirements tracciabili e approccio documentato per sistemi custom e configurati.
- Fase operativa: controlli su dati e interfacce (par. 5–6), conservazione e backup (par. 7), stampe (par. 8), audit trail (par. 9), change e configuration management (par. 10), valutazione periodica (par. 11), sicurezza e controllo degli accessi (par. 12), gestione degli incidenti (par. 13), firma elettronica (par. 14), rilascio dei lotti (par. 15), business continuity (par. 16) e archiviazione (par. 17).
In audit, i paragrafi più contestati sono quasi sempre gli stessi: audit trail non attivati o mai revisionati, utenze condivise che rendono impossibile attribuire le azioni, periodic review mai eseguite e fornitori cloud mai qualificati formalmente.
Se lavori con sistemi GxP e vuoi aggiornamenti pratici su Annex 11, data integrity e ispezioni, iscriviti a The Pragmatic GMP, la newsletter settimanale gratuita di GuideGxP: ogni settimana un tema GMP spiegato in modo operativo, senza fuffa.
Annex 11 PIC/S e Annex 11 EU: le differenze reali
Sul piano tecnico i due testi sono equivalenti: stessa numerazione, stessi requisiti, stessa logica risk-based. Le differenze stanno nel contesto normativo e nell'uso che ne fanno le autorità.
| Aspetto | Annex 11 EU (EudraLex Vol. 4) | Annex 11 PIC/S (PE 009) |
|---|---|---|
| Contenuto tecnico | Revisione 2011, 17 paragrafi + principio | Sostanzialmente identico al testo EU |
| Base di applicazione | Vincolante per i produttori autorizzati nell'UE/SEE | Standard di riferimento per le autorità partecipanti PIC/S |
| Chi lo usa in ispezione | Autorità degli Stati membri UE/SEE | Oltre 50 autorità a livello globale |
| Documento guida per ispettori | Linee guida EMA/GMDP Q&A | PIC/S PI 011-3 (Good Practices for Computerised Systems) |
| Revisione in corso | Congiunta EU–PIC/S: bozza pubblicata il 7 luglio 2025, finalizzazione attesa tra fine 2026 e 2027 | |
Nota una particolarità: non tutti gli annessi EudraLex sono stati adottati da PIC/S (il caso tipico è l'Annex 16 sulla certificazione della QP, legato a un istituto giuridico specificamente europeo). L'Annex 11, invece, è stato recepito integralmente: sui sistemi computerizzati l'armonizzazione è completa.
PI 011-3: la guida PIC/S che usano gli ispettori
Accanto all'annesso, PIC/S pubblica il documento PI 011-3 "Good Practices for Computerised Systems in Regulated GXP Environments" (settembre 2007): non è un requisito aggiuntivo, ma la guida con cui gli ispettori PIC/S interpretano e verificano i sistemi computerizzati. Copre implementazione, convalida, sicurezza, gestione dei dati e tecniche di ispezione, con esempi concreti. Leggerla è il modo più diretto per capire che cosa guarderà un ispettore: se la tua documentazione CSV risponde alle domande del PI 011, l'ispezione sui sistemi parte in discesa. Un gruppo di lavoro PIC/S sta aggiornando anche questo documento, in parallelo alla revisione dell'annesso.
La revisione congiunta EU–PIC/S: cosa aspettarsi
La revisione dell'Annex 11 è un progetto congiunto: il concept paper è stato sottoposto a consultazione PIC/S–EMA dal 16 novembre 2022 al 16 gennaio 2023, con PIC/S rappresentata nel drafting group EMA. La bozza del nuovo Annex 11 è stata pubblicata il 7 luglio 2025 insieme al nuovo Annex 22 sull'intelligenza artificiale, con consultazione pubblica chiusa il 7 ottobre 2025; i testi sono ora in finalizzazione presso il gruppo di lavoro congiunto EMA–PIC/S, con adozione attesa tra fine 2026 e il 2027. Fino ad allora resta in vigore il testo 2011.
Per chi opera in ambito PIC/S il messaggio è rassicurante: essendo la revisione congiunta, il nuovo annesso nascerà già armonizzato tra UE e PIC/S, senza periodi di disallineamento tra le due guide. Le direzioni della bozza — audit trail review sistematica, controlli più stringenti su accessi e fornitori, data governance esplicita — sono già oggi le aree su cui conviene portarsi avanti.
Raccomandazione GuideGxP
Non aspettare il testo finale per sistemare le basi. Tre azioni concrete da fare ora:
- Inventario e criticità: verifica che l'inventario dei sistemi GxP sia completo e che per ogni sistema siano documentate categoria GAMP, impatto GMP e stato di convalida.
- Audit trail e accessi: attiva gli audit trail dove mancano, definisci una procedura di review basata sul rischio ed elimina le utenze condivise.
- Fornitori e cloud: formalizza quality agreement e valutazioni dei fornitori SaaS/cloud, con responsabilità chiare su backup, sicurezza e disponibilità dei dati.
Per impostare tutto questo con metodo, la Guida Operativa alla Computer System Validation (CSV) in Ambito GxP di GuideGxP copre l'intero ciclo di vita dei sistemi computerizzati — dall'inventario alla periodic review — con 12 strumenti Excel e Word pronti all'uso e una sezione dedicata alla readiness al nuovo Annex 11.
