Le decisioni relative alla qualificazione dei fornitori prese esclusivamente sulla base della documentazione commerciale costituiscono una fonte ricorrente di ritardi nella messa in servizio e di esposizione a rischi normativi nei progetti di camere bianche conformi alle GMP. Un fornitore che presenti un opuscolo in cui dichiara la capacità di produrre prodotti sterili, la conformità all’Allegato 1 o la presenza di ambienti di produzione classificati secondo le norme ISO potrebbe rivelarsi del tutto incapace di fornire, su richiesta, i rapporti di validazione a sostegno, i registri di monitoraggio ambientale o la documentazione relativa alla tracciabilità dei lotti. A quel punto, la lacuna emerge in genere durante la messa in servizio o un’ispezione normativa — non durante la fase di approvvigionamento — il che scarica l’onere sul team di progetto proprio nel momento meno opportuno. La valutazione che conta è capire quali domande, applicate a quali famiglie di prodotti, creino prove difendibili piuttosto che una mera apparenza documentata di due diligence.

Domande per l'audit dei fornitori per famiglia di prodotti

Il punto di partenza di qualsiasi audit di fornitore è confermare che il sistema di gestione della qualità che disciplina la famiglia di prodotti oggetto di revisione copra effettivamente tale famiglia. Un certificato SGQ con un ambito di applicazione della norma ISO 9001 che escluda gli alloggiamenti HEPA, le unità di filtraggio con ventola o le apparecchiature di trasferimento di biosicurezza non costituisce prova del controllo di qualità per tali prodotti, ma è prova di una lacuna nell’ambito di applicazione. Verificare questo aspetto prima della visita in loco evita che l’audit sia ostacolato da controversie relative alle credenziali.

I dati relativi al monitoraggio ambientale costituiscono il secondo controllo strutturale. Richiedere sei mesi di dati sulle particelle vitali e non vitali costringe a distinguere tra un fornitore che gestisce effettivamente un ambiente classificato e uno che si limita a dichiararlo. I superamenti dei limiti senza registrazioni relative alle indagini condotte rappresentano il segnale critico: l’assenza di un’indagine sulle deviazioni non è una semplice lacuna nella documentazione, ma è la prova che il programma di monitoraggio funziona come un semplice esercizio di registrazione dei dati piuttosto che come uno strumento di controllo della qualità.

Per gli audit delle attrezzature farmaceutiche, il requisito relativo al grado di controllo (Grado A e Grado B) previsto dall’Allegato 1 di EudraLex non è una raccomandazione a cui si possa derogare sulla base di una valutazione interna del rischio senza documentazione. Un fornitore che gestisce aree di riempimento asettico di Grado A in un contesto di Grado C senza una giustificazione documentata del rischio costituisce un grave non conformità, non una lacuna da annotare e riesaminare. Gli auditor dovrebbero considerare l’assenza di tale giustificazione come un punto da segnalare immediatamente ai livelli superiori, piuttosto che come un argomento da trattare nel rapporto finale.

Il controllo del posizionamento delle sonde durante un sopralluogo in impianto spesso rivela più dei dati di monitoraggio stessi. I sensori di monitoraggio ambientale posizionati al di sopra dell’altezza di lavoro anziché all’altezza di lavoro stessa producono dati che non rappresentano l’effettiva zona di esposizione. Si tratta di un errore di configurazione comune, che invalida la rappresentatività dei dati di monitoraggio senza che vi sia alcuna falsificazione intenzionale.

Ciascuno di questi controlli presenta requisiti di importanza variabile a seconda della famiglia di prodotti. Un filtro terminale HEPA per un’applicazione non sterile è soggetto a requisiti di approfondimento diversi rispetto a un pass-through in acciaio inossidabile utilizzato in una linea di riempimento asettico. La tabella sottostante mette in relazione i controlli principali con i relativi criteri di verifica e le conseguenze in caso di esito negativo.

La conseguenza del mancato controllo dell'ambito di applicazione del sistema di gestione della qualità (QMS) è che un fornitore può soddisfare tutti gli altri criteri di audit pur rimanendo al di fuori di qualsiasi sistema di qualità regolamentato per il prodotto specifico oggetto dell'acquisto. Tale risultato non risulta visibile nel riepilogo dell'audit a meno che la verifica dell'ambito di applicazione non sia stata esplicitamente completata.

Tracciabilità di materiali, componenti, disegni e prove in fabbrica

Unadtt unr’teaerrocàrn isd ipeplaavialpiiiaolicl ar rionia itfapoilcrnrrrrv nlntmpodi nra iiiirer e.iizbuzitlf ect,van g—tznneias sgoeausetaiiao’enrtvod anpidiilIfnoo apaoie sardiascoiatreinotiidpeileoneoircosr r mrienseln epztd nn ruetez do eetelfiiaore meonoaei sru deiaooadeuaedufaere t .ar vehes,in ilucortipmscg as efasutpdadaoà oilt nr tre i oosnc’oseov aiioelu betl u— vau ozot iita àieeriotdiaid tIeiiaai crttiro n cer iim,itmiotimie tnSd plindàdtetrtairs h elsobfhooiiz raùi mopntdgt f ldilisaèulriasia r. igsorp tadetnacsianoit nainàan nsoefc bcvtrqrri toosooir iociletn egose cae laioeerg h tet oimorsenftzi id’ eulvloreme in p ièe feasretndroi,d d rzt eip s eag noidoec dgeenmeiamsloi nmer roototteeu r leeun lvtetvclzit.

La verifica della struttura del numero di lotto rappresenta un criterio pratico di pianificazione piuttosto che un formato obbligatorio, ma le sue implicazioni sono concrete. Un numero di lotto sequenziale identifica quale lotto sia in questione; non aiuta però il team addetto alla qualità a determinare rapidamente quale linea di produzione, quale tipo di prodotto o quale intervallo di date mettere in quarantena in caso di deviazione sul campo. Una numerazione strutturata che codifichi la data di produzione, il tipo di prodotto e la linea riduce la finestra di contenimento durante un richiamo. Ciò è importante per attrezzature per camera bianca approvvigionamento, poiché le attrezzature spedite in uno stabilimento GMP trasferiscono tale tracciabilità — o la sua assenza — nei registri della catena di approvvigionamento dello stesso stabilimento.

È proprio nell’ispezione dei materiali in entrata che si concentra il rischio a monte. Un fornitore che non sia in grado di dimostrare l’adozione di procedure di quarantena fino al rilascio, criteri di accettazione definiti e una gestione documentata delle non conformità relative ai materiali in entrata presenta una lacuna che incide su ogni registrazione di lotto a valle. La revisione delle registrazioni di lotto rileva le prove a valle; il controllo di ispezione in entrata, invece, verifica se il punto di controllo a monte esista effettivamente.

I registri di lotto incompleti o non firmati costituiscono un'irregolarità relativa al controllo della documentazione, indipendentemente dalla qualità fisica del prodotto. I due aspetti non sono intercambiabili. Un prodotto ben realizzato ma con registri incompleti crea esattamente lo stesso problema di qualificazione di un processo scarsamente documentato: il team di qualità incaricato di accettare l'attrezzatura non è in grado di stabilire con quali materiali sia stato realizzato, in quali condizioni, né chi lo abbia verificato in ciascuna fase.

La e oet dl irbleheuni setinre a sreila oa ulordrsirhcaitslue zclotiac icsccmcsaitdeie,eeblhia cis ii aaio i eoi sdaen s iarlnzita ivecv i àenanggl uedtactifoin qlsi.

L'incapacità di dimostrare la tracciabilità in tempo reale non è solo un'osservazione emersa dall'audit, ma è un segnale indicativo di come quel fornitore si comporterebbe in caso di deviazione sul campo. Un fornitore che non è in grado di ricondurre un lotto finito ai relativi lotti di materie prime in condizioni di audit si troverà ad affrontare lo stesso ostacolo in caso di richiamo del prodotto, e il team di progetto che ha accettato il rapporto di qualificazione di quel fornitore dovrà gestirne le conseguenze.

Compromessi in termini di profondità delle prove per le apparecchiature critiche e non critiche

Applicare lo stesso livello di approfondimento di verifica a ogni prodotto rientrante nell’ambito di approvvigionamento per le camere bianche è sia inefficiente che poco mirato. A unità di filtraggio del ventilatore Un'installazione in una camera bianca per l'elettronica non sterile e una camera di trasferimento dinamica in acciaio inossidabile utilizzata in un'area asettica di Grado A/B non presentano profili di rischio equivalenti. Adeguare l'approfondimento dell'audit al rischio del prodotto — basandosi sulla logica di classificazione dei rischi prevista dalla linea guida ICH Q9(R1) — impedisce che le risorse destinate all'audit vengano disperse su elementi a basso rischio, mentre le apparecchiature sterili critiche non ricevono un controllo adeguato.

Per le apparecchiature non sterili e a basso rischio, i dati relativi ai test sulle particelle e le schede tecniche dei materiali costituiscono un requisito probatorio proporzionato. Accettare le affermazioni riportate nelle brochure senza dati di prova o specifiche sui materiali è l’errore da evitare, ma richiedere rapporti di convalida della sterilizzazione per un componente a flusso d’aria senza contatto comporta uno spreco di tempo durante l’audit e segnala al fornitore una valutazione del rischio inadeguata. La condizione determinante è se l’apparecchiatura entri in contatto con il prodotto o con l’ambiente di processo direttamente, oppure se funzioni come elemento infrastrutturale indiretto. Tale distinzione determina quali elementi di prova diventino obbligatori e quali invece abbiano solo valore di supporto.

Per le apparecchiature critiche sterili, i requisiti minimi in materia di documentazione subiscono una modifica sostanziale. I rapporti di convalida della sterilizzazione, compresi i risultati degli indicatori biologici e il livello di garanzia di sterilità raggiunto, non sono documenti di supporto facoltativi, ma costituiscono la prova primaria che il fornitore è in grado di garantire quanto dichiarato per la famiglia di prodotti. Un fornitore che non sia in grado di presentare tali rapporti prima o durante l’audit non ha dimostrato la capacità di fornire prodotti sterili, ma ha semplicemente dimostrato l’esistenza di una dichiarazione relativa al confezionamento o alla commercializzazione.

La distinzione tra prove dinamiche e statiche è rilevante a tutti i livelli di classificazione ed è definita nella norma ISO 14644-4:2022 come un elemento da considerare nel quadro di riferimento delle prove. I dati di classificazione basati esclusivamente su prove statiche non rivelano le prestazioni di una struttura in condizioni operative — quando è occupata, con le apparecchiature in funzione e durante la produzione. Le prestazioni relative al differenziale di pressione, la conta batterica vitale, il tasso di pulizia e il volume d’aria in condizioni dinamiche sono i dati che supportano la difendibilità della qualificazione. Accettare dati di prova esclusivamente statici come unica prova della classificazione della struttura costituisce una lacuna probatoria; pur non essendo di per sé una violazione normativa, indebolisce la difendibilità di qualsiasi qualificazione che si basi su di essi.

Il compromesso nascosto nella calibrazione dell’approfondimento dell’audit è che un audit superficiale è accettabile solo quando l’attribuzione del rischio è esplicitamente documentata. Se la decisione di accettare i dati dei test sulle particelle e le schede tecniche dei materiali per una determinata famiglia di prodotti non viene registrata come una scelta deliberata di classificazione del rischio, a posteriori essa appare come un audit incompleto piuttosto che proporzionato.

Esanmuiosdti iztv dacn lneipaigtemaa eoo eaiuecl cdnihntisaist et roii na loiidie cn iuriscadr n tlobpeone

L'intoppo più prevedibile durante un audit è presentarsi in sede senza aver esaminato preventivamente i documenti. Quando i documenti chiave — rapporti di convalida della sterilizzazione, strategie di controllo della contaminazione, procedure operative standard (SOP), registri di pulizia — vengono richiesti all’inizio della visita in loco anziché con due o tre settimane di anticipo, il revisore trascorre la prima metà della giornata a recuperare i documenti anziché a verificare i contenuti. Si tratta di un errore di pianificazione, non di un errore del fornitore, e sottrae costantemente tempo all’audit che dovrebbe essere dedicato alle attività di verifica che richiedono la presenza fisica.

La richiesta anticipata dei documenti influisce anche sulla qualità delle domande poste in loco. Un auditor che ha già esaminato un rapporto di convalida della sterilizzazione si presenta sapendo quali sezioni sono incomplete o quali cicli degli indicatori biologici non rientrano nei parametri dichiarati. Un auditor che riceve il rapporto al suo arrivo lo legge per la prima volta in presenza del rappresentante del fornitore, il che riduce l’approfondimento con cui il documento viene effettivamente esaminato.

Le quattro incongruenze più comuni tra affermazioni e prove seguono uno schema ricorrente: l’affermazione è presente nei materiali di marketing o durante una visita di vendita; il documento di supporto invece non esiste, esiste solo in bozza o non è stato rivisto dopo la qualificazione iniziale. Un fornitore che dichiara la conformità all’Allegato 1 senza una strategia di controllo della contaminazione e senza dati di test dinamici ha descritto una posizione di conformità non supportata da prove. Segnalare immediatamente questo aspetto — anziché trattarlo come una questione da affrontare nel rapporto di chiusura — è la risposta appropriata, poiché la discrepanza non è una semplice lacuna documentale che possa essere colmata con una procedura rivista.

La conseguenza del rilevamento di tali lacune in loco anziché durante la revisione documentale preliminare all’audit non è solo uno spreco di tempo dedicato all’audit. Trasforma infatti l’audit da un esercizio di verifica sostanziale a un’operazione di recupero documentale, e tale cambiamento raramente produce risultati sufficientemente approfonditi per poter prendere una decisione informata sulla qualificazione del fornitore. I colli di bottiglia che emergono durante la messa in servizio o l’ispezione — anziché durante l’audit — comportano costi di correzione significativamente più elevati.

Per i team che stanno valutando apparecchiature di trasferimento per camere bianche, quali ad esempio un casella di passaggio dinamica Qualora l’utilizzo sia previsto in corrispondenza di un limite di grado GMP, la revisione documentale preliminare all’audit dei dati di qualificazione del differenziale di pressione e dei registri di controllo delle modifiche del fornitore costituisce una fase preparatoria minima. L’alternativa è scoprire in loco che la qualificazione è stata eseguita in condizioni statiche sulla base di uno standard che non riflette l’ambiente di installazione.

Punto di chiusura dopo l'assegnazione delle lacune riscontrate durante l'audit

Un audit che individua dei riscontri ma non stabilisce una fase di completamento strutturata offre una protezione limitata. L’apparente chiusura dell’audit — rapporto presentato, riscontri elencati, risposte ricevute — non equivale a una conformità confermata. Il punto di chiusura è la fase in cui ogni famiglia di prodotti critica è in grado di fornire prove relative al controllo dei materiali, alle prove in fabbrica, al controllo delle modifiche e ai registri di spedizione. Finché tale dimostrazione non è completa, l’audit rimane aperto, indipendentemente dalla data indicata nel rapporto.

La documentazione CAPA relativa a ciascun riscontro dovrebbe includere l’analisi delle cause profonde, le azioni correttive, una verifica dell’efficacia e un termine definito per la chiusura. Questi elementi sono coerenti con l’approccio di gestione della qualità basato sul rischio descritto nella linea guida ICH Q9(R1), sebbene i campi specifici rappresentino un criterio di pianificazione per i team di audit piuttosto che un formato obbligatorio imposto da un’unica autorità regolatoria. La funzione che svolgono è chiara: un riscontro che viene riconosciuto ma di cui non è stata individuata la causa profonda non è stato risolto, ma solo registrato. La distinzione è importante perché le non conformità irrisolte si ripetono e un audit del fornitore che si conclude senza una risoluzione confermata lascia il team di progetto esposto al rischio.

Per le apparecchiature sterili, un certificato di sterilità per lotto rappresenta il documento concreto che trasforma un riscontro relativo alle prove di sterilizzazione in una prova conclusiva di conformità per ciascuna spedizione. Non è universalmente sufficiente in tutti i contesti normativi — la sua adeguatezza dipende dal prodotto, dalla giurisdizione e dai requisiti di qualità specifici della struttura — ma chiude il ciclo probatorio in un modo che una SOP rivista o un impegno generico a garantire la sterilità non riescono a fare.

La notifica relativa al controllo delle modifiche è l’elemento di chiusura che più facilmente viene considerato completo quando in realtà non lo è. Verificare che il registro di controllo delle modifiche del fornitore includa una notifica proattiva agli acquirenti in caso di modifiche ai materiali o ai processi trasforma un audit puntuale in un rapporto di conformità continuativo. Un fornitore che abbia fornito tutte le dichiarazioni corrette durante l’audit, ma che successivamente abbia modificato il materiale di una guarnizione, la qualità del mezzo filtrante o una procedura di saldatura senza darne notifica, non ha mantenuto lo stato di conformità confermato dall’audit. La verifica del registro di controllo delle modifiche al momento della chiusura è il meccanismo che rende il risultato dell’audit duraturo anziché superato.

Il rischio di considerare la chiusura di un audit come una semplice procedura amministrativa è che il momento del completamento diventi una mera formalità. Per ogni famiglia di prodotti critica, prima dell’approvazione finale, occorre verificare esplicitamente la conformità rispetto alle quattro categorie di prove: controllo dei materiali, registrazioni dei test di fabbrica, controllo delle modifiche con notifica proattiva e tracciabilità delle spedizioni. Un audit che viene chiuso prima che tali elementi siano stati verificati offre un’apparente garanzia, lasciando però inalterato il rischio di non conformità a valle.

L'implicazione pratica di un audit dei fornitori ben strutturato è che riduce l'ambito di incertezza nella fase di qualificazione a valle. I team che iniziano le fasi di IQ/OQ con registrazioni dei lotti tracciabili, dati di collaudo di fabbrica confermati e un registro di controllo delle modifiche dei fornitori già in atto gestiscono un insieme definito di prove. I team che iniziano la stessa fase di qualificazione con un rapporto di audit archiviato e lacune irrisolte nelle prove gestiscono invece una responsabilità con una data di origine nota.

Prima di utilizzare questo quadro di riferimento per l’audit in relazione a una specifica procedura di appalto, verificare quali famiglie di prodotti siano contrassegnate come a rischio critico, quali categorie di prove siano richieste per ciascuna famiglia e se eventuali non conformità aperte abbiano tempi di chiusura che rientrino nella tempistica del progetto. Una non conformità individuata ma non risolta prima della spedizione delle apparecchiature non si risolve automaticamente durante l’installazione.

Domande frequenti

D: Cosa succede se il certificato del sistema di gestione della qualità (SGQ) del fornitore copre la famiglia di prodotti corretta, ma è stato rilasciato nell'ambito di uno schema di certificazione di terze parti che non richiede controlli specifici per le camere bianche?
R: L’ambito di applicazione del certificato deve comunque essere verificato rispetto ai controlli specifici per le camere bianche — la norma ISO 9001 da sola non richiede la documentazione relativa alle particelle, i programmi di monitoraggio ambientale o le prove di garanzia della sterilità. Un certificato che indichi la famiglia di prodotti corretta ma che sia stato rilasciato nell’ambito di un campo di applicazione generale della produzione, senza criteri di audit specifici per le camere bianche, presenta la stessa lacuna probatoria di un’esclusione dal campo di applicazione. È necessario verificare che i criteri di audit dell’ente certificatore abbiano effettivamente verificato i controlli relativi alle camere bianche per quella linea di prodotti, e non solo i requisiti generici di processo e di documentazione.

D: A che punto una verifica sommaria diventa insostenibile, anche per le apparecchiature che il team di progetto ha classificato come a basso rischio?
R: Un audit sommario diventa indifendibile quando la classificazione del rischio non è esplicitamente registrata. Accettare i dati dei test sulle particelle e le schede tecniche dei materiali per un prodotto che il team ha valutato come a basso rischio è proporzionato solo quando tale valutazione è documentata come una decisione deliberata nell’ambito di un quadro di classificazione dei rischi come l’ICH Q9(R1). Se la classificazione è implicita — il team ha semplicemente posto meno domande — allora l’audit sommario risulta, a posteriori, incompleto e non calibrato. È la documentazione della decisione sul rischio a rendere giustificabile la profondità dell’audit, non la profondità in sé.

D: Una volta che un fornitore è stato sottoposto a audit e i risultati sono stati assegnati a un CAPA, cosa dovrebbe fare il team di progetto se i tempi di risoluzione da parte del fornitore si protraggono oltre la data di spedizione delle attrezzature?
A: Non considerare la spedizione come un evento di chiusura di fatto. Una CAPA con causa principale confermata, azione correttiva e verifica di efficacia ancora in corso al momento della spedizione significa che l’apparecchiatura sta lasciando il fornitore prima che la non conformità sia stata risolta. Le opzioni pratiche consistono nel ritardare la spedizione fino alla conferma della chiusura della CAPA, stabilire un protocollo di accettazione condizionata con una scadenza definita per la chiusura post-spedizione e sospendere l’approvazione delle procedure IQ/OQ, oppure elevare il riscontro a livello critico, bloccando così il proseguimento del processo di qualificazione. Considerare la spedizione come il naturale punto finale di una CAPA ancora aperta trasforma un meccanismo di controllo della qualità in una semplice comodità di pianificazione.

D: Esiste una differenza significativa tra la verifica di un fornitore che produce apparecchiature per camere bianche e quella di un fornitore che le assembla utilizzando componenti acquistati?
R: Sì, e la differenza risiede principalmente nel controllo dei materiali in entrata e nei controlli di tracciabilità dei componenti. Un assemblatore che acquista materiali filtranti HEPA, alloggiamenti o componenti di controllo da subfornitori introduce dipendenze in termini di tracciabilità che il proprio sistema di gestione della qualità (QMS) potrebbe non disciplinare. L’audit dovrebbe verificare se il programma di controllo in entrata dell’assemblatore copra la qualificazione dei subfornitori, la tracciabilità dei lotti dei componenti acquistati e la notifica delle modifiche da parte dei subfornitori — non solo le fasi di produzione dell’assemblatore stesso. Una dimostrazione di tracciabilità a ritroso che si interrompe al numero di lotto di un componente acquistato, senza documentazione di tracciabilità del subfornitore, identifica il punto in cui termina la catena probatoria.

D: Se un fornitore supera l'audit ma in seguito apporta una modifica non comunicata a un materiale o a un processo, il risultato originale dell'audit mantiene ancora un valore ai fini della conformità?
R: Solo se il registro di controllo delle modifiche del fornitore prevede la notifica proattiva all’acquirente e il team di progetto ha verificato tale requisito al momento della chiusura. Un audit conferma lo stato di conformità in un determinato momento; la sua durata dipende interamente dal fatto che il sistema di controllo delle modifiche del fornitore sia strutturato in modo da informare gli acquirenti prima che le modifiche ai materiali o ai processi influenzino il prodotto spedito. Un audit che non abbia confermato questo aspetto al momento della chiusura non offre alcuna protezione contro modifiche non comunicate successive all’audit. La conseguenza pratica è che la struttura che riceve l’apparecchiatura potrebbe scoprire, durante una revisione di routine del fornitore — o nel corso di un’ispezione normativa — che i criteri di qualificazione non corrispondono più al prodotto consegnato.