Quality Risk Management
Il vero problema nel Quality Risk Management farmaceutico: metodo o punto di vista?
Il problema nel Risk Management non è il metodo, ma è il punto
di vista.
Se si guarda alla normativa, il Risk Management è uno degli elementi più strutturati del sistema qualità farmaceutico. ICH Q9 descrive un processo chiaro, costruito su basi scientifiche e orientato al supporto delle decisioni lungo tutto il ciclo di vita del prodotto.
Quando questo schema viene applicato nelle attività quotidiane, però, la percezione cambia. Le analisi vengono eseguite correttamente, gli strumenti sono quelli previsti e la documentazione segue le aspettative. Il passaggio critico non riguarda tanto come l’analisi viene formalmente costruita, ma quanto riesce davvero a incidere sulle decisioni.
Spesso le conclusioni confermano un’impostazione già esistente più che metterla sotto tensione.
Quando questo schema viene applicato nelle attività quotidiane, però, la percezione cambia. Le analisi vengono eseguite correttamente, gli strumenti sono quelli previsti e la documentazione segue le aspettative. Il passaggio critico non riguarda tanto come l’analisi viene formalmente costruita, ma quanto riesce davvero a incidere sulle decisioni.
Spesso le conclusioni confermano un’impostazione già esistente più che metterla sotto tensione.
Figura 1 - Processo di Quality Risk Management secondo ICH Q9 (fonte: schema del processo QRM nella linea guida ICH Q9)
All’interno di questo scarto tra struttura teorica e applicazione pratica emerge un aspetto meno evidente, ma centrale. Il sistema raramente viene osservato partendo da una condizione neutra. Viene invece interpretato alla luce di ciò che è già conosciuto: le procedure, i controlli implementati, le modalità operative consolidate. In questo modo la valutazione del rischio parte già condizionata.
Nella fase di analisi, il sistema dovrebbe essere considerato per come può comportarsi, non per come è già stato protetto. Solo successivamente si valuta se e quanto i controlli siano in grado di ridurre il rischio. Questa separazione permette di distinguere tra vulnerabilità intrinseca ed efficacia delle mitigazioni.
Nella valutazione reale, la distinzione tra rischio e controlli raramente rimane separata.
Questo modo di procedere modifica il significato stesso dell’analisi. La descrizione del sistema viene progressivamente sostituita da una rappresentazione indiretta della sua robustezza percepita.
Lo stesso effetto si osserva nelle analisi preliminari, come le Preliminary Hazard Analysis (PHA), utilizzate per identificare gli scenari di rischio nelle fasi iniziali. In questa fase è frequente che le misure già in essere vengano utilizzate per qualificare immediatamente lo scenario. Procedure, test periodici e verifiche documentate compaiono nella descrizione iniziale, riducendo lo spazio per una valutazione autonoma del rischio.
A quel punto l’analisi non parte più dal possibile fallimento del sistema, ma dalle condizioni che dovrebbero impedirlo.
Non si cerca più di capire cosa può andare storto, ma perché, date le condizioni esistenti, dovrebbe funzionare. Questo si riflette direttamente nella struttura della PHA, dove scenario di rischio e misure di controllo vengono riportati nello stesso blocco.
Nella fase di analisi, il sistema dovrebbe essere considerato per come può comportarsi, non per come è già stato protetto. Solo successivamente si valuta se e quanto i controlli siano in grado di ridurre il rischio. Questa separazione permette di distinguere tra vulnerabilità intrinseca ed efficacia delle mitigazioni.
Nella valutazione reale, la distinzione tra rischio e controlli raramente rimane separata.
Questo modo di procedere modifica il significato stesso dell’analisi. La descrizione del sistema viene progressivamente sostituita da una rappresentazione indiretta della sua robustezza percepita.
Lo stesso effetto si osserva nelle analisi preliminari, come le Preliminary Hazard Analysis (PHA), utilizzate per identificare gli scenari di rischio nelle fasi iniziali. In questa fase è frequente che le misure già in essere vengano utilizzate per qualificare immediatamente lo scenario. Procedure, test periodici e verifiche documentate compaiono nella descrizione iniziale, riducendo lo spazio per una valutazione autonoma del rischio.
A quel punto l’analisi non parte più dal possibile fallimento del sistema, ma dalle condizioni che dovrebbero impedirlo.
Non si cerca più di capire cosa può andare storto, ma perché, date le condizioni esistenti, dovrebbe funzionare. Questo si riflette direttamente nella struttura della PHA, dove scenario di rischio e misure di controllo vengono riportati nello stesso blocco.
Figura 2 - Estratto di PHA: lo scenario di rischio è descritto insieme alle misure di controllo già esistenti
Nelle analisi più strutturate, come FMEA e FMECA, il problema si manifesta nella fase di valutazione del rischio. Nel caso di scenari come la perdita di dati, la non disponibilità di un sistema o problemi legati alla tracciabilità, la presenza di procedure, verifiche o controlli entra nella valutazione fin dall’inizio. La probabilità viene implicitamente ridotta prima che il comportamento del sistema sia stato osservato nella sua forma più esposta.
Di conseguenza, la probabilità non rappresenta più come il sistema può fallire, ma come si comporta una volta applicate le mitigazioni.
Di conseguenza, la probabilità non rappresenta più come il sistema può fallire, ma come si comporta una volta applicate le mitigazioni.
Figura 3 - Estratto di FMECA: la valutazione del rischio è influenzata dalla presenza di azioni di mitigazione già considerate
In questo caso il rischio non viene valutato partendo dal comportamento del sistema, ma tenendo già conto delle misure di mitigazione. La probabilità riflette quindi un sistema già controllato, non il modo in cui può effettivamente fallire.
Nelle analisi più operative, come le FMEA applicative sui controlli, emerge un ulteriore elemento. Quando si prendono in esame i controlli di un sistema, come accessi, audit trail, backup o formazione, le valutazioni tendono a convergere verso un esito coerente con quanto già implementato.
I controlli sono presenti, sono tracciati, sono stati verificati. Il sistema risulta complessivamente conforme.
In queste condizioni diventa difficile creare una reale differenziazione tra le varie aree analizzate. Se i livelli risultano omogenei, anche la capacità di distinguere ciò che è più rilevante si riduce. La prioritizzazione perde progressivamente significato.
Nelle analisi più operative, come le FMEA applicative sui controlli, emerge un ulteriore elemento. Quando si prendono in esame i controlli di un sistema, come accessi, audit trail, backup o formazione, le valutazioni tendono a convergere verso un esito coerente con quanto già implementato.
I controlli sono presenti, sono tracciati, sono stati verificati. Il sistema risulta complessivamente conforme.
In queste condizioni diventa difficile creare una reale differenziazione tra le varie aree analizzate. Se i livelli risultano omogenei, anche la capacità di distinguere ciò che è più rilevante si riduce. La prioritizzazione perde progressivamente significato.
Figura 4 - Estratto di FMEA applicativa: valutazione dei controlli con esito uniforme, senza reale differenziazione del rischio
In tutti questi passaggi non c’è un errore metodologico. Il processo è applicato correttamente, gli strumenti sono utilizzati in modo coerente e le informazioni sono disponibili.
Quello che manca è un cambio di prospettiva nella fase iniziale.
Fare Risk Management richiede, prima di tutto, di sospendere temporaneamente ciò che si sa del sistema. Non per ignorarlo, ma per evitare che condizioni la costruzione del rischio. Significa osservare il sistema come se i controlli non esistessero ancora, e solo dopo valutare quanto siano in grado di modificarne il comportamento.
Separare il comportamento del sistema dai controlli richiede uno sforzo deliberato, perché nella pratica le due cose vengono sempre analizzate insieme
La stessa ICH Q9 riconosce che la percezione del rischio può variare tra stakeholder diversi e che la soggettività non può essere eliminata completamente, ma deve essere gestita e resa esplicita.
Questo implica che il modo in cui si guarda il sistema diventa parte integrante dell’analisi.
Quando questo passaggio è gestito in modo più consapevole, anche il risultato cambia. La severità torna a riflettere l’impatto reale su paziente, prodotto e dati. La probabilità descrive il comportamento del sistema, non quello dei suoi controlli. La rilevabilità torna a essere una misura effettiva della capacità di intercettare il problema.
Quando questa separazione tra sistema e controlli viene mantenuta, l’analisi cambia forma.
Alcune valutazioni che prima apparivano lineari iniziano a mostrare differenze. Alcuni scenari acquisiscono un peso diverso. In generale, diventa più evidente dove il sistema è realmente esposto e dove invece è semplicemente ben presidiato.
A quel punto anche le decisioni si spostano. Non tanto perché cambiano i numeri, ma perché cambia ciò che quei numeri rappresentano. Questo aspetto è particolarmente evidente nei sistemi computerizzati, dove la separazione tra comportamento del sistema e controlli definiti durante la Computer System Validation risulta spesso critica.
Quello che manca è un cambio di prospettiva nella fase iniziale.
Fare Risk Management richiede, prima di tutto, di sospendere temporaneamente ciò che si sa del sistema. Non per ignorarlo, ma per evitare che condizioni la costruzione del rischio. Significa osservare il sistema come se i controlli non esistessero ancora, e solo dopo valutare quanto siano in grado di modificarne il comportamento.
Separare il comportamento del sistema dai controlli richiede uno sforzo deliberato, perché nella pratica le due cose vengono sempre analizzate insieme
La stessa ICH Q9 riconosce che la percezione del rischio può variare tra stakeholder diversi e che la soggettività non può essere eliminata completamente, ma deve essere gestita e resa esplicita.
Questo implica che il modo in cui si guarda il sistema diventa parte integrante dell’analisi.
Quando questo passaggio è gestito in modo più consapevole, anche il risultato cambia. La severità torna a riflettere l’impatto reale su paziente, prodotto e dati. La probabilità descrive il comportamento del sistema, non quello dei suoi controlli. La rilevabilità torna a essere una misura effettiva della capacità di intercettare il problema.
Quando questa separazione tra sistema e controlli viene mantenuta, l’analisi cambia forma.
Alcune valutazioni che prima apparivano lineari iniziano a mostrare differenze. Alcuni scenari acquisiscono un peso diverso. In generale, diventa più evidente dove il sistema è realmente esposto e dove invece è semplicemente ben presidiato.
A quel punto anche le decisioni si spostano. Non tanto perché cambiano i numeri, ma perché cambia ciò che quei numeri rappresentano. Questo aspetto è particolarmente evidente nei sistemi computerizzati, dove la separazione tra comportamento del sistema e controlli definiti durante la Computer System Validation risulta spesso critica.
Articolo a cura di Andrea Bussi - CSV Business Unit Manager, S.T.B. Valitech S.r.l.
RIFERIMENTI
Riferimenti:
- ICH Q9(R1) - Quality Risk Management (EMA/CHMP/ICH/24235/2006, 2023)
- FDA - Guidance for Industry Q9(R1) Quality Risk Management (May 2023)
Ultime
Novità
