Data integrity nei record di calibrazione: ALCOA+ e Annex 11 in pratica

Perché la data integrity sui record di calibrazione è centrale

Negli ultimi anni la data integrity è diventata una delle prime aree ispezionate in audit FDA, EMA, MHRA. Il motivo è semplice: se i dati non sono affidabili, nessuna delle conclusioni che si traggono dai dati lo è. E i record di calibrazione sono dati di seconda fila solo all'apparenza: in realtà sostengono la validità di tutti i dati di processo generati dagli strumenti calibrati.

Una violazione di data integrity sui record metrologici non è solo un'osservazione amministrativa. Mette in discussione la qualifica della strumentazione, e a cascata la qualifica dei processi e la validità dei lotti rilasciati. È, in proporzione, uno dei rischi peggiori per un sito GMP.

I principi ALCOA+ applicati alla calibrazione

I principi di data integrity nascono come ALCOA e si sono evoluti in ALCOA+ con quattro requisiti aggiuntivi. Tradotti sui record di calibrazione, prendono questa forma concreta:

Attribuibile

Ogni operazione registrata deve essere associabile a una persona univocamente identificabile. Su carta significa firma leggibile o sigla con corrispondenza registrata; in digitale significa account personale, non condiviso, con identificazione robusta.

Errori tipici: sigle illeggibili, account "tecnico" usato da più persone, firme post-eventum.

Leggibile

Il record deve restare leggibile per tutta la durata di conservazione. Su carta significa inchiostro permanente, supporto resistente nel tempo, fotocopie sostitutive non opache. In digitale significa formati standard, non proprietari, e politiche di migrazione quando i formati invecchiano.

Errori tipici: scritte a matita, foto sbiadite, file in formati obsoleti senza piano di migrazione.

Contemporaneo

Il record deve essere creato nel momento in cui avviene l'evento. La compilazione a fine giornata di operazioni distribuite nel tempo è tecnicamente possibile ma sostanzialmente in violazione di questo principio.

Errori tipici: tutte le firme della giornata con lo stesso orario, report "riallineati a posteriori", calibrazioni registrate giorni dopo l'esecuzione.

Originale

Va conservato il dato primario, non solo la sua trascrizione. Se la calibrazione produce uno scontrino dello strumento di riferimento, va conservato lo scontrino; se è un file generato dal software di taratura, va conservato il file. La trascrizione manuale in un altro registro non sostituisce l'originale.

Errori tipici: stampini perduti, file originali sostituiti da PDF di "copia", ricalcoli manuali al posto del dato grezzo.

Accurato

Il dato registrato deve corrispondere a quanto effettivamente misurato. Non è una formalità: implica processi di verifica (es. doppia lettura, revisione indipendente) e controlli di plausibilità.

Errori tipici: trascrizione errata di numeri, unità di misura sbagliate, arrotondamenti non documentati.

Completo

Tutto ciò che è stato fatto deve essere registrato, anche quando il risultato non è quello atteso. Soprattutto quando il risultato non è quello atteso. Il dato As Found Out of Tolerance va registrato anche se inopportuno; le calibrazioni interrotte vanno tracciate; gli errori vanno documentati.

Errori tipici: prove ripetute fino a "ottenere il risultato giusto", As Found "non riportato perché lo strumento è stato regolato", calibrazioni fallite cancellate.

Consistente

L'ordine delle operazioni e la cronologia devono essere coerenti. I timestamp devono essere reali e crescenti. I record correlati devono essere allineati. Un record di calibrazione di domani in un sistema che mostra oggi è un problema serio.

Duraturo

Il record deve essere disponibile per tutto il periodo di conservazione richiesto dalla normativa applicabile e dalle procedure interne (per i record GMP, almeno la vita del prodotto + un margine).

Disponibile

Il record deve essere reperibile prontamente in caso di necessità (audit, indagine, valutazione di impatto). Un dato che esiste ma è introvabile, operativamente, è come se non esistesse.

Le ricadute pratiche su carta

Su un sistema di calibrazione gestito su carta, ALCOA+ si traduce in regole operative spesso poco amate ma necessarie:

• moduli prestampati, numerati progressivamente, gestiti in registro

controllato;

• inchiostro permanente, divieto di matita o cancellini;
• correzioni con barratura singola, valore corretto a fianco, firma e data,

motivo della correzione;

• spazi vuoti sbarrati con N/A o linea, mai lasciati in bianco;
• firma e data per ogni operazione, con orario quando rilevante;
• conservazione fisica protetta, accesso registrato.

Su poche decine di strumenti, una disciplina cartacea solida può essere sostenibile. Cresce diventando faticosa.

Le ricadute pratiche in digitale

Se i record di calibrazione sono gestiti su sistema computerizzato, si attivano i requisiti dell'`Annex 11` delle EU GMP e — se il sito esporta verso USA o lavora per clienti FDA — del `21 CFR Part 11`:

• qualifica del software secondo GAMP5 (URS, FS, IQ, OQ, PQ

proporzionati alla categoria del software);

• gestione degli account: identificazione univoca, password policy,

revoca al termine del rapporto, no account condivisi;

• firma elettronica con doppio fattore (utente + password, o

equivalente), con significato della firma esplicito (chi ha eseguito, chi ha verificato, chi ha approvato);

• audit trail completo, non disabilitabile dall'utente, che registra ogni

creazione, modifica o eliminazione di record, con timestamp, autore, valore vecchio e nuovo, motivazione della modifica;

• backup e disaster recovery documentati, testati;
• conservazione per la durata richiesta in formato accessibile;
• change control sul sistema (ogni modifica al software, alla

configurazione, ai master data segue il processo di change control).

Un sistema che non rispetta integralmente questi punti non è "meglio del cartaceo": è non conforme.

I tranelli specifici sui record di calibrazione

Tre punti dove i sistemi (anche digitali) incespicano più frequentemente:

As Found vs As Left

Il sistema deve costringere a registrare entrambi: il valore grezzo prima della regolazione (As Found) e il valore dopo (As Left). Sistemi che registrano solo il risultato "buono" hanno cancellato il dato più importante per la valutazione di impatto retroattiva.

Edit history dei master data

I parametri di calibrazione (range, tolleranza GMP, intervallo, riferimento usato) sono master data che cambiano nel tempo. L'audit trail deve coprire anche le modifiche a questi parametri, non solo le calibrazioni eseguite. Sistemi che modificano il master data senza traccia rendono inverificabili i calcoli storici.

Doppia firma e separazione dei ruoli

Per i record critici, la firma di chi esegue va separata dalla firma di chi revisiona/approva. Il sistema deve impedire che la stessa persona compia entrambe le azioni. È un controllo di separazione delle responsabilità che le procedure prevedono ma che senza vincolo software spesso si erode.

L'esperienza Eurosystem

Dimacs è qualificato come sistema GxP secondo GAMP5 e il suo audit trail rispetta integralmente i requisiti di Annex 11 e 21 CFR Part 11. Ma il punto che ci tiene a sottolineare l'esperienza nei siti dove operiamo è un altro: la data integrity non è una caratteristica del software, è una caratteristica del sistema — che include le procedure, la formazione, la disciplina degli operatori. Un sistema digitale ben fatto rende molte violazioni materialmente impossibili (l'audit trail che non si può spegnere, la firma con identificazione univoca), ma non sostituisce la cultura di qualità del sito. Lo diciamo sempre: il software è la condizione necessaria, non sufficiente.