Software di gestione LOTO: cosa deve fare e i requisiti GMP

Cosa fa un software di gestione LOTO

Un software di gestione LOTO ha un obiettivo semplice da enunciare e complesso da realizzare bene: rendere il registro degli isolamenti affidabile, tracciabile e difendibile in audit. Non sostituisce i dispositivi fisici (lucchetti, hasp, cartellini) né le procedure: gestisce l'informazione che li accompagna. Le funzioni che contano davvero sono poche e precise.

Registro dei punti di isolamento

È la base. Il software mantiene l'anagrafica di ogni punto di isolamento dell'impianto — quale energia (elettrica, meccanica, pneumatica, idraulica, termica, chimica), quale dispositivo, quale procedura associata. Senza un registro strutturato dei punti, tutto il resto è approssimazione.

Sequenze parent/child

Su un impianto reale, isolare una sola fonte di energia raramente basta. Quando gli isolamenti sono interdipendenti — un "padre" controlla diversi "figli" — il software deve gestire la gerarchia con regole di rilascio sequenziale, impedendo che si rimuova un lockout prima di quelli che ne dipendono. È qui che il cartaceo mostra i suoi limiti su impianti complessi.

Rilascio selettivo

Quando più squadre lavorano in parallelo sulla stessa zona, ogni operatore deve poter rimuovere solo i propri lockout, senza toccare quelli altrui. Il rilascio selettivo, vincolato dall'identità dell'operatore, previene la classe di errori più pericolosa: la riattivazione mentre qualcuno lavora ancora.

Audit trail non disabilitabile

Ogni applicazione e ogni rimozione di lockout viene registrata con timestamp automatico e identità dell'operatore. Nessun utente — incluso l'amministratore — deve poter spegnere la registrazione o cancellare voci. È il requisito che trasforma il registro da "documento" a "evidenza".

Linkage con change control e work order

Il LOTO eseguito deve collegarsi all'autorizzazione che lo ha reso possibile, al work order e al verbale di chiusura. È il linkage che permette di ricostruire in audit la catena deviazione → manutenzione → LOTO → record senza sforzo.

Reportistica

Report sullo stato degli isolamenti attivi, sullo storico degli interventi, sulle anomalie. Utili per la gestione quotidiana e indispensabili per l'audit.

I requisiti GMP: perché non è un software qualsiasi

In un sito farmaceutico il registro LOTO è un record di qualità. Di conseguenza, il software che lo gestisce è a tutti gli effetti un sistema computerizzato GxP e va trattato come tale. I requisiti sono espliciti:

• conformità all'Annex 11 delle EU GMP (sistemi computerizzati in ambiente regolamentato): audit trail, gestione degli accessi, backup, controllo delle modifiche
• conformità al 21 CFR Part 11 dove applicabile, cioè se il sito esporta verso gli USA o produce per clienti soggetti alla FDA (firme elettroniche, controlli sui record)
• qualifica secondo il GAMP5: URS, FS, DS, IQ, OQ, PQ proporzionati alla categoria del software e al rischio; spesso ricade in categoria 4 (software configurato)
• gestione degli account con identificazione univoca, password policy, revoca al termine del rapporto
• audit trail completo, non disabilitabile, conservato per la durata richiesta dal sito
• backup e disaster recovery documentati

Questi requisiti sono la ragione per cui un software LOTO generico, pensato per un contesto non regolamentato, spesso non è utilizzabile in GMP: manca la qualificabilità, l'audit trail è disabilitabile o la gestione degli account è insufficiente. Il tema è approfondito nell'articolo su LOTO cartaceo o digitale in un audit GMP.

Software standalone o sistema integrato hardware+software

Esistono due filosofie. Il software standalone gestisce l'informazione e lascia i dispositivi fisici scollegati dal sistema: l'operatore applica il lucchetto e poi registra l'operazione a mano nel software. Funziona, ma reintroduce un anello debole — la registrazione manuale può essere dimenticata, posticipata o dissociata dall'azione fisica, con lo stesso problema di contemporaneità del cartaceo.

Un sistema integrato hardware+software, come un armadio LOTO intelligente, lega l'azione fisica alla registrazione: il rilascio del lucchetto avviene attraverso il sistema, quindi la registrazione è automatica e contemporanea per costruzione. Il vincolo procedurale sulle sequenze parent/child e sul Try-Out è imposto dall'hardware, non affidato alla disciplina dell'operatore. È un livello di robustezza superiore, giustificato quando la complessità e il regime regolatorio lo richiedono.

Nessuna delle due è "giusta" in assoluto. Lo standalone è più leggero da introdurre; l'integrato è più difficile da aggirare. La scelta dipende dai criteri del paragrafo seguente.

Quando l'investimento paga davvero

È onesto dirlo: un software di gestione LOTO non è sempre giustificato. Come per il passaggio dal cartaceo al digitale, il ritorno diventa sostanziale — non solo formale — quando si verificano almeno due di queste condizioni:

• l'impianto ha decine di punti di isolamento con dipendenze parent/child
• squadre multiple lavorano in parallelo su zone collegate
• il sito è audit-ready (FDA, EMA, AIFA, MHRA) e ogni anomalia formale ha un costo
• il change control è già digitale e si vuole linkare i record di manutenzione
• gli interventi sono frequenti (più di alcuni a settimana per zona)

Su impianti semplici, con pochi punti di isolamento e interventi rari, un registro cartaceo ben gestito con controllo periodico resta una scelta legittima. Il software risolve un problema di scala e di tracciabilità; se il problema non c'è, aggiunge costo e onere di qualifica senza beneficio proporzionato. E vale sempre il principio di fondo: il software rende il record migliore, non l'organizzazione migliore. La valutazione del rischio, le procedure scritte e la formazione restano responsabilità del sito. Per orientarsi tra fornitori e soluzioni complete, è utile la guida su come scegliere un fornitore di soluzioni LOTO in Italia.

L'esperienza Eurosystem

Eurosystem opera dal 1990 in siti farmaceutici regolamentati, dove gestisce oltre 11.000 strumenti critici tramite il sistema Dimacs. Da questa esperienza è nato SmartLOTO, che non è un software standalone ma un sistema integrato: armadio LOTO intelligente con rilascio selettivo dei lucchetti e audit trail digitale, progettato sui requisiti della UNI EN 17975:2025 e dell'Annex 11. Le scelte di progettazione rispondono a domande poste da ispettori reali, non immaginate a tavolino. Non lo proponiamo come la soluzione a ogni esigenza: dove un software più leggero o un cartaceo disciplinato bastano, lo diciamo apertamente. Puoi scoprire SmartLOTO per vedere come funziona l'integrazione tra hardware, software e audit trail.