Computer System Validation (CSV) in Ambienti GxP

Cos’è la Computer System Validation e perché è obbligatoria

La Computer System Validation (CSV) è il processo documentato con il quale un’organizzazione dimostra che un sistema informatizzato — software, hardware o infrastruttura IT — produce risultati consistenti, corretti e tracciabili in conformità con i requisiti normativi applicabili. In ambito GxP, la CSV non è un’opzione: è un obbligo regolatorio sancito da EudraLex Volume 4, Annex 11, dal documento FDA 21 CFR Part 11, e dalle linee guida ISPE GAMP 5 Second Edition (2022), che definiscono il framework metodologico di riferimento a livello mondiale.

L’ingegnerizzazione rigorosa dei processi di validazione è la ragione d’essere di Dalia IA. Con oltre 20 anni di esperienza operativa in ambienti farmaceutici, biotecnologici, biomedicali, cosmetici e alimentari, e con 900+ sistemi validati nel corso della nostra storia professionale, il nostro studio offre un servizio CSV che non si limita alla produzione documentale: disegna e governa l’intero ciclo di vita del sistema, dalla raccolta dei requisiti utente fino alla revisione periodica post-deployment.

Il quadro normativo di riferimento

La CSV in ambienti GxP è disciplinata da un insieme coerente di norme e linee guida che il nostro studio applica in modo integrato:

• EudraLex Annex 11 (2011): definisce i requisiti per i sistemi computerizzati in produzione farmaceutica UE
• FDA 21 CFR Part 11: disciplina i record elettronici e le firme elettroniche nel mercato USA
• ISPE GAMP 5 Second Edition (2022): fornisce il framework metodologico per la categorizzazione del software e il ciclo di vita della validazione
• ICH Q9(R1): gestione del rischio di qualità applicata ai sistemi informatizzati
• ICH Q10: sistema di qualità farmaceutica e continual improvement
• ISO 9001:2015: sistema di gestione della qualità applicabile alla filiera dei fornitori software

Il rispetto simultaneo di questi framework non è una formalità burocratica: è la garanzia che i dati prodotti dal sistema siano integralmente affidabili, difendibili in sede di ispezione regolatoria e sostenibili nel tempo.

Il Nostro Approccio: GAMP 5 Second Edition e il V-Model

Il nostro approccio alla CSV segue il V-Model definito da GAMP 5, che struttura il ciclo di vita della validazione in una sequenza logica di fasi discendenti (specifica e progettazione) e ascendenti (verifica e qualifica), con una corrispondenza precisa tra ogni livello di requisito e il corrispondente test di verifica.

Le fasi operative del ciclo di vita gestito da Dalia IA sono:

• 1. Concept e pianificazione della validazione: Definizione dello scope del sistema, identificazione dei processi GxP impattati, redazione del Validation Plan (VP) e del rischio iniziale di sistema.
• 2. User Requirements Specification (URS): Documento cardine della CSV: descrive ciò che il sistema deve fare dal punto di vista dell’utente e del processo GxP.
• 3. Design Qualification (DQ): Verifica che il design del sistema sia conforme ai requisiti URS.
• 4. Installation Qualification (IQ): Verifica che il sistema sia installato correttamente nell’ambiente di produzione.
• 5. Operational Qualification (OQ): Verifica che il sistema operi secondo le specifiche funzionali nell’ambiente installato.
• 6. Performance Qualification (PQ): Verifica che il sistema produca risultati corretti e consistenti nelle condizioni operative reali.
• 7. Validation Summary Report (VSR): Documento conclusivo che consolida i risultati di tutte le fasi.

La categorizzazione del software GAMP 5

GAMP 5 Second Edition introduce una tassonomia del software in cinque categorie, ciascuna con livello di rischio e profondità di testing differenziata:

• Cat. 1 — Infrastructure software: OS, database engine, middleware — Documentazione vendor, minimal testing
• Cat. 2 — Non-configured products: Strumenti di lettura, viewer — Verifica installazione
• Cat. 3 — Non-configured products (GxP direct): Strumenti di acquisizione dati — Verifica funzionale
• Cat. 4 — Configured software: ERP, LIMS, MES, DMS, QMS — Full V-Model, configurazione documentata
• Cat. 5 — Custom/bespoke software: Software sviluppato su misura — Full lifecycle, SDLC completo

La corretta categorizzazione è il primo atto critico della CSV: un errore di categoria porta a sotto-validazione (rischio normativo) o sovra-validazione (spreco di risorse). Dalia IA esegue la categorizzazione come attività formale, documentata e approvata.

Risk-Based Approach e Supplier Assessment

Il risk-based approach alla CSV, introdotto da GAMP 5 e consolidato dalla FDA con il documento Computer Software Assurance (CSA, 2022), orienta l’intensità delle attività di verifica in proporzione al rischio che il sistema pone sulla qualità del prodotto, sulla sicurezza del paziente e sull’integrità dei dati.

Il Supplier Assessment è parte integrante del nostro servizio CSV. Prima di procedere con la validazione di qualsiasi sistema commerciale (categoria 3 e 4), valutiamo il fornitore secondo le linee guida GAMP 5 Good Practice Guide per la gestione dei fornitori: audit documentale, questionari di qualificazione, revisione del Software Development Life Cycle (SDLC) e della gestione delle patch/release.

Change Control, Periodic Review e CAPA

Un sistema validato è un sistema vivente. Ogni modifica deve essere gestita attraverso un processo formale di Change Control che valuti l’impatto sulla compliance e definisca le attività di rivalidazione necessarie.

Dalia IA supporta le organizzazioni nella progettazione e nell’operatività del change control per sistemi validati, inclusa: redazione delle Change Request e Impact Assessment, classificazione del cambiamento (minor/major/emergency), pianificazione e esecuzione dei test di regressione, aggiornamento della documentazione di validazione, chiusura formale della change con firma autorizzata.

La Periodic Review è l’attività con cui un’organizzazione verifica, a intervalli regolari (tipicamente annuali), che un sistema validato sia ancora idoneo all’uso. Dalia IA offre un servizio strutturato di periodic review, con checklist specifiche per categoria di sistema e settore regolatorio.

Sistemi Supportati: ERP, LIMS, MES, DMS, QMS

Il nostro team ha esperienza diretta con i principali sistemi GxP utilizzati nel settore farmaceutico e life sciences, tra cui:

• ERP (Enterprise Resource Planning): SAP S/4HANA, SAP ECC, Oracle, Microsoft Dynamics
• LIMS (Laboratory Information Management System): validazione dei sistemi di gestione laboratorio
• MES (Manufacturing Execution System): validazione dei sistemi di controllo produzione
• DMS (Document Management System): Veeva Vault, OpenText, Documentum
• QMS (Quality Management System): validazione di piattaforme per la gestione di CAPA, deviazioni, change control, audit

Per ogni tipologia di sistema, Dalia IA dispone di template documentali collaudati, strategie di testing ottimizzate e know-how specifico sui requisiti normativi applicabili.

Perché Scegliere Dalia IA per la Tua CSV

• 20+ anni di esperienza in ambienti GxP farmaceutici, biotecnologici e medicali
• 900+ sistemi validati in tutto il ciclo di vita, dalla URS alla periodic review
• Competenza normativa integrata: GAMP 5, Annex 11, 21 CFR Part 11, ICH Q9(R1), FDA CSA
• Approccio risk-based nativo: nessuna validazione “a taglia unica”, ogni progetto è calibrato sul rischio reale
• Team di ingegneri con background regolatorio, non consulenti generalisti
• Documentazione ispettiva: tutti i deliverable sono strutturati per resistere a ispezioni FDA, EMA, ANSM, AIFA