Out of Tolerance: come gestire l'impatto sui lotti già rilasciati

Perché un OOT è il momento di verità del sistema

Nella gestione metrologica di un sito GMP, l'evento Out of Tolerance è quello che mette alla prova ogni componente del sistema: la robustezza delle procedure, la disciplina dell'inventario, la qualità dei record storici, la capacità di tracciare retroattivamente i lotti, la maturità del processo di deviazione e change control. Un sito che gestisce bene gli OOT ha tipicamente un sistema metrologico solido. Un sito che li gestisce come "evento amministrativo da chiudere" ha quasi sempre carenze sostanziali a monte.

La ragione è semplice: l'OOT è retroattivo per definizione. Lo strumento è oggi fuori tolleranza, ma quando lo è diventato? Ieri? Un mese fa? Sei mesi fa? Tutti i dati generati nel frattempo sono in discussione, e con essi i lotti che su quei dati sono stati rilasciati.

Cosa è (e cosa non è) un Out of Tolerance

Un Out of Tolerance è il risultato di una calibrazione As Found che mostra lo strumento fuori dai limiti di accuratezza richiesti dalla sua funzione GMP. È un dato grezzo, ottenuto prima di qualsiasi regolazione, ed è questo che lo rende rilevante: rappresenta lo stato dello strumento durante il periodo di utilizzo precedente.

Non sono Out of Tolerance:

• una regolazione di routine che riporta lo strumento al centro della

scala (se l'As Found era ancora dentro tolleranza);

• una non conformità di sistema non legata all'accuratezza (es. cavo

danneggiato, problema di alimentazione);

• una calibrazione con esito accettabile sulla tolleranza GMP anche se

fuori dalla tolleranza più stretta del costruttore.

La distinzione è importante perché il flusso di gestione cambia. Solo l'OOT vero, As Found, fuori dalla tolleranza GMP, attiva la procedura di impatto retroattivo.

Il flusso di gestione formale

Un sistema GMP maturo gestisce ogni OOT con una sequenza definita:

1. Registrazione immediata

L'OOT viene registrato contestualmente alla calibrazione, con tutti i dati grezzi: valori As Found per ogni punto di taratura, deviazioni rispetto al riferimento, condizioni ambientali, identificativo dello strumento, identificativo del tecnico, riferimento del campione utilizzato.

Niente "lo apriamo domani". Il record contemporaneo è uno dei requisiti ALCOA+ e una compilazione differita è già di per sé un problema.

2. Notifica al quality

L'OOT è una potenziale deviazione di qualità. Le procedure del sito devono prevedere una notifica formale al reparto quality entro tempi definiti (tipicamente 24-48 ore). Il quality manager apre la pratica formale (event record, deviation, secondo la nomenclatura del sito).

3. Analisi della deviazione

Si caratterizza l'evento:

• entità: di quanto è fuori tolleranza, in valore assoluto e percentuale;
• direzione: lo strumento misurava più alto o più basso del vero;
• persistenza: l'OOT si ripete su più punti di taratura o è isolato;
• plausibile causa: deriva naturale, urto, problema elettronico, uso

fuori specifica, condizioni ambientali anomale.

Questa caratterizzazione orienta tutto ciò che segue. Un OOT di +0,1°C su una sonda con tolleranza ±0,5°C è un'osservazione; un OOT di +3°C sulla stessa sonda è un problema serio.

4. Valutazione di impatto retroattivo

È il cuore della gestione GMP. Bisogna rispondere a:

• quali processi hanno utilizzato lo strumento dall'ultima calibrazione

in tolleranza?

• quali lotti sono stati prodotti, processati o testati con dati

generati dallo strumento?

• quali specifiche dei lotti possono essere state influenzate dalla

deviazione?

• la deviazione, applicata ai dati reali registrati, **avrebbe portato fuori

specifica** parametri critici di processo o di prodotto?

• esistono dati ridondanti (altri strumenti, controlli analitici, dati

ambientali) che possono confermare o smentire la validità dei lotti?

La valutazione produce una conclusione formale: i lotti restano validi, sono da rivalutare, vanno respinti, vanno richiamati dal mercato.

5. Decisione e azioni

In base alla conclusione:

• lotti validi: caso chiuso formalmente con giustificazione documentata;
• lotti da rivalutare: si attivano test integrativi, analisi documentale,

eventuale OOS (Out of Specification) di prodotto;

• lotti non rilasciati: si blocca il rilascio in attesa di

approfondimenti;

• lotti già rilasciati con impatto sospetto: si valuta il richiamo,

notifica all'autorità regolatoria competente, procedura di recall.

Ognuno di questi percorsi è un processo GMP a sé stante con tempistiche e responsabilità definite.

6. Azioni sullo strumento e sul sistema

Lo strumento viene:

• regolato (As Left in tolleranza) se possibile e appropriato;
• riparato se il problema è strutturale;
• sostituito se non riparabile o non più adatto;
• riclassificato se l'uso effettivo non corrisponde alla classificazione

GMP attribuita.

L'intervallo di calibrazione viene riesaminato: se l'OOT suggerisce una deriva più rapida del previsto, l'intervallo va accorciato. Questo è un punto spesso trascurato: la lezione appresa da un OOT deve modificare il sistema, non solo chiudere il caso.

7. Chiusura e documentazione

Il caso viene chiuso con un record completo che riporta tutti i passaggi sopra, le decisioni prese, le evidenze a supporto, le firme di chi ha analizzato e approvato. È il documento che resterà disponibile per gli audit futuri.

Gli errori ricorrenti

In sede di audit GMP gli ispettori incontrano alcune mancanze tipiche nella gestione OOT:

Manca il dato As Found. Lo strumento è stato "regolato e ricalibrato" senza registrare il valore grezzo prima della regolazione. La valutazione retroattiva è impossibile.

Manca la valutazione di impatto. L'OOT è registrato, lo strumento è ricalibrato, ma non c'è traccia di analisi sui lotti generati nel periodo di deriva. Il sistema non è chiuso.

Valutazione di impatto generica. "Si ritiene che la deviazione non abbia impatto significativo" senza riferimento a lotti specifici, dati specifici, test specifici. È una firma, non un'analisi.

Non riesame dell'intervallo. Un OOT non porta a nessuna modifica dell'intervallo di calibrazione. Lo stesso evento si ripresenterà.

Tempi lunghi di chiusura. L'OOT resta aperto per mesi, magari oltre la calibrazione successiva. Il sistema è fuori controllo.

L'esperienza Eurosystem

Nei siti dove gestiamo la calibrazione, l'OOT è il punto in cui un sistema metrologico maturo si distingue da uno formalmente conforme ma operativamente fragile. Dimacs è progettato perché ogni OOT attivi automaticamente il flusso completo: la registrazione del dato As Found è impossibile da saltare, la notifica al quality è automatica, la lista dei lotti potenzialmente impattati è generata dal sistema sulla base dei dati di utilizzo dello strumento, ogni passaggio resta tracciato fino alla chiusura. È il modo in cui abbiamo tradotto la disciplina di gestione OOT — quella che vorremmo che ogni sito avesse — in vincoli software che la rendono inevitabile.