// metodo
Quattro fasi, nessuna sorpresa in audit
Seguiamo il sistema per tutta la sua vita, non solo nel momento della convalida. Ogni fase produce documenti concordati con la Quality Unit prima di procedere alla successiva, così non si scopre a fine progetto che serviva altro. L’integrità dei dati si verifica in ciascuna, non alla fine.
-
FASE 01
Assessment & classification
Si parte guardando cosa c’è. Inventario dei sistemi, classificazione GAMP, impatto GxP, rischio associato e stato dei dati rispetto ad ALCOA+.
// attività
- Censimento dei sistemi computerizzati
- Classificazione per categoria GAMP
- Determinazione dell’impatto GxP
- Analisi del rischio per funzione critica
- Verifica preliminare dei nove attributi ALCOA+
- Valutazione dei fornitori coinvolti
// output
- → system inventory
- → risk assessment
- → validation plan
- → gap analysis
È la fase che determina quanto costerà tutto il resto. Sbagliare qui significa sovra-documentare sistemi banali e trascurare quelli critici.
-
FASE 02
Specification
Si scrive cosa deve fare il sistema, prima di configurarlo. I requisiti vengono approvati dalla Quality Unit: è il momento in cui si evitano i malintesi che altrimenti emergono in collaudo.
// attività
- Raccolta dei requisiti utente
- Stesura delle specifiche funzionali
- Specifiche di configurazione e design
- Costruzione della matrice di tracciabilità
- Revisione e approvazione formale
// output
- → URS
- → functional specification
- → design specification
- → traceability matrix
Un requisito non testabile non è un requisito. Ogni voce della URS deve poter diventare un test verificabile.
-
FASE 03
Testing & qualification
Si esegue e si registra. Installazione, funzionamento, prestazioni: ogni protocollo viene eseguito e le deviazioni gestite formalmente, non aggiustate a posteriori.
// attività
- Installation qualification (IQ)
- Operational qualification (OQ)
- Performance qualification (PQ)
- Gestione e chiusura delle deviazioni
- Verifica della copertura dei requisiti
// output
- → protocolli eseguiti
- → deviation log
- → validation summary report
- → rilascio all’uso
Una deviazione documentata e risolta è un segno di controllo. Una deviazione non registrata è un rilievo.
-
FASE 04
Operation & review
La fase più lunga e quella più trascurata. Il sistema cambia, gli utenti cambiano, i fornitori rilasciano aggiornamenti: senza presidio la conformità si erode senza che nessuno se ne accorga.
// attività
- Change control con valutazione d’impatto
- Gestione di incidenti e problemi
- Revisione periodica del sistema
- Revisione dell’audit trail
- Gestione della dismissione e dei dati storici
// output
- → change control record
- → periodic review report
- → audit trail review
- → piano di dismissione
Alla dismissione i dati devono restare leggibili per tutto il periodo di conservazione previsto. Si pianifica prima, non quando si spegne il server.
Tre regole che non deroghiamo
// proporzione
Lo sforzo documentale segue il rischio. Un foglio di calcolo di categoria 1 non riceve lo stesso trattamento di un batch record elettronico, e viceversa.
// tracciabilità
Ogni requisito porta a un test, ogni test a un esito, ogni scostamento a una decisione registrata. Se non è tracciabile, in audit non è successo.
// approvazione anticipata
Niente si costruisce prima che i requisiti siano approvati. Rifare un collaudo costa molto più che concordare una specifica.
A che punto sei del ciclo?
Che tu debba partire da zero, recuperare un sistema ereditato o rispondere a un rilievo, il primo passo è sempre capire cosa c’è già. Raccontaci la situazione.