Quality Risk Management: la svolta operativa di ICH Q9(R1)

A cura di Roberto Tognella - giornalista

Nel Pharma, il Quality Risk Management (QRM) è da quasi vent’anni uno dei pilastri del sistema GMP. Con ICH Q9, pubblicata nel 2005, la gestione del rischio qualità ha trovato un quadro armonizzato per valutare, controllare, comunicare e riesaminare i rischi lungo il ciclo di vita del medicinale.^[1] La revisione ICH Q9(R1), adottata nel 2023, non modifica questa architettura, ma interviene sui punti nella pratica più critici: soggettività delle valutazioni, formalità proporzionata, risk-based decision making, product availability risks e integrazione del QRM nel Pharmaceutical Quality System (PQS).^{[2; 3; 4]} Il tema, quindi, non è produrre risk assessment più lunghi, ma usare il QRM per sostenere decisioni più solide, tracciabili e proporzionate. Ne parlano Luisa Stoppa, dirigente dell’Ufficio Ispezioni e autorizzazioni GMP materie prime di AIFA, e Damiano Dragone senior pharmaceutical quality leader con esperienza in Quality Systems, GMP compliance ed External Supply, con focus sulla governance dei processi decisionali nei sistemi qualità regolati.

Il perché della revisione

La revisione R1 nasce da un dato di esperienza: il QRM è entrato stabilmente nei sistemi qualità farmaceutici, ma non sempre ha espresso il proprio potenziale. Matrici, strumenti di valutazione e approccio risk-based sono ormai parte del lessico GMP; proprio l’uso quotidiano del QRM, però, ha fatto emergere limiti applicativi ricorrenti: valutazioni troppo soggettive, formalità non sempre proporzionata, decisioni non chiaramente riconducibili al razionale del risk assessment, difficoltà nel collegare rischio qualità, disponibilità del prodotto e continuità della fornitura.^[4]È su questi nodi che interviene ICH Q9(R1), chiarendo il passaggio da risk identification a hazard identification, la gestione della soggettività, la formalità come spettro graduato e il ruolo del risk-based decision making nel PQS.^{[2; 3]} «ICH Q9(R1) può essere letta anche come una guida sulla qualità del processo decisionale nei sistemi qualità regolati – osserva Dragone – Il valore non è nella matrice compilata o nella lunghezza del documento, ma nella capacità di rendere più solida, proporzionata, tracciabile e difendibile una decisione che può avere impatto su qualità del prodotto, sicurezza del paziente, compliance o stato di controllo del processo». La revisione, quindi, chiede alle aziende di usare il QRM come disciplina di governo dell’incertezza, collegando dati, conoscenza, responsabilità e azioni operative.Il primo banco di prova è il risk assessment. In un sistema GMP, una deviazione ricorrente, una modifica di processo, la qualifica di un fornitore critico o una valutazione di convalida non richiedono solo di “attribuire un punteggio” al rischio, ma di rendere espliciti problema, fonti di pericolo, incertezze residue e razionale della scelta. Una delle novità terminologiche della revisione va nella stessa direzione: il passaggio da risk identification a hazard identification. Prima di stimare probabilità e severità, l’organizzazione deve chiarire la fonte potenziale del danno, le condizioni che possono renderla rilevante e l’impatto sul paziente, sul prodotto o sullo stato di controllo del processo.^{[2; 3]}«Un risk assessment formalmente corretto dimostra che un processo è stato seguito; un risk assessment realmente utile dimostra che una decisione è stata pensata bene – afferma Dragone – Un buon risk assessment parte dalla domanda: quale decisione dobbiamo prendere? Chiarisce dati, assunzioni, incertezze, alternative considerate e responsabilità finale. In GMP non basta arrivare a una conclusione corretta; bisogna poter spiegare come ci si è arrivati». Il QRM non elimina l’incertezza, ma la rende visibile, discutibile e governabile.

La formalità proporzionata

Uno dei chiarimenti più rilevanti introdotti da ICH Q9(R1) riguarda il concetto di formalità. La revisione non chiede di applicare sempre strumenti complessi, né autorizza valutazioni sommarie quando la decisione è critica: il livello di metodo, documentazione, coinvolgimento funzionale e profondità dell’analisi deve essere commisurato alla complessità del problema, al livello di incertezza e al possibile impatto sul paziente o sullo stato di controllo.^{[2; 3; 5]} Una FMEA completa non è quindi sinonimo automatico di qualità decisionale, così come una valutazione snella non è necessariamente meno robusta. La proporzionalità, inoltre, non può essere confusa con una riduzione della formalità dettata da vincoli di tempo o risorse: se criticità, incertezza o impatto potenziale aumentano, anche il livello di analisi deve restare adeguato.«La formalità proporzionata non significa semplicemente “fare meno documentazione” – chiarisce Dragone – Significa scegliere un livello di analisi coerente con impatto, incertezza e complessità della decisione. Non partirei dalla domanda: serve una FMEA? Partirei da domande precedenti: quanto conosciamo il processo? I dati sono solidi? La decisione è reversibile? Coinvolge un elemento critico di processo, un attributo critico di qualità, un fornitore strategico o un sistema GMP rilevante?». Dal punto di vista ispettivo, il principio serve anche a evitare due derive opposte richiamate da Stoppa: modelli complessi applicati indistintamente a casi semplici e, al contrario, gestione informale di problemi complessi senza evidenze, criteri definiti o decisioni documentate. Non conta la quantità di pagine prodotte, ma la capacità di dimostrare che il livello di analisi scelto era adeguato alla decisione da assumere.

Soggettività e bias

Il tema della formalità proporzionata si lega alla gestione della soggettività. Ogni valutazione del rischio contiene una componente di giudizio, soprattutto quando i dati sono incompleti, l’esperienza è distribuita tra funzioni diverse o la decisione deve essere presa in condizioni di incertezza. ICH Q9(R1) richiama quindi la necessità di ridurre e controllare la soggettività nelle diverse fasi del QRM, dall’identificazione degli hazard alla stima di probabilità, severità e rilevabilità, fino alla valutazione dell’efficacia delle misure di controllo e all’accettazione del rischio residuo.^[2]«La soggettività nel QRM non può essere eliminata, perché ogni valutazione di rischio contiene giudizio: nella scelta dei dati rilevanti, nella stima della severità, nella probabilità, nella detectability e nell’interpretazione dei trend – osserva Dragone – Il punto non è negarla, ma governarla. Una matrice di rischio può dare una sensazione di oggettività, ma se i punteggi sono assegnati in modo automatico o non calibrato, il risultato rischia di essere una soggettività tradotta in numero. Servono criteri calibrati, esempi concreti, confronto cross-functional e challenge critico». Bias di ancoraggio, eccesso di ottimismo o dinamiche di groupthink possono infatti condizionare la lettura dei segnali deboli e la stima della probabilità o della severità, soprattutto quando il team si affida a precedenti, consuetudini operative o scoring non adeguatamente discussi.^{[6; 7]}La stessa esigenza emerge dal punto di vista regolatorio. «ICH Q9(R1) riconosce la presenza di una componente di soggettività nelle diverse fasi del processo di gestione del rischio, quali l’identificazione dei pericoli, la stima della probabilità, la valutazione della severità, la verifica dell’efficacia delle misure adottate e l’accettazione del rischio residuo – osserva Stoppa – Tale soggettività può derivare da differenti percezioni, formulazione non adeguata delle domande, utilizzo di scale non appropriate, disponibilità limitata di dati o ricorso eccessivo a esperienza non adeguatamente documentata». Ne deriva che la qualità del QRM dipende anche dalla qualità del confronto tra competenze: QA, Produzione, QC, Engineering, Validation, Regulatory e Supply Chain osservano il rischio da prospettive diverse; questa pluralità, se ben governata, protegge da automatismi, bias e valutazioni troppo dipendenti dall’esperienza del singolo team. La revisione ICH Q9(R1) rafforza anche un altro passaggio: il QRM non dovrebbe vivere come processo separato, attivato solo quando una procedura lo richiede o quando occorre giustificare una scelta già presa. Il suo valore emerge quando entra nei flussi decisionali del PQS: deviazioni, CAPA, change control, audit, qualifica dei fornitori, convalide, APR/PQR e management review. In questa prospettiva, il QRM diventa un’infrastruttura decisionale che aiuta l’organizzazione a stabilire priorità, allocare risorse, definire controlli, riesaminare rischi residui e mantenere lo stato di controllo del processo.^{[2; 8; 5]}Il collegamento con ICH Q10 è centrale. QRM e Knowledge Management (KM) sono due enablers complementari del PQS: il rischio può essere valutato in modo più solido solo se l’organizzazione sa raccogliere, aggiornare e utilizzare la conoscenza disponibile su prodotto, processo, fornitori, deviazioni, trend e decisioni precedenti.^{[8; 9; 10]} Il KM, quindi, non coincide con l’archiviazione documentale: serve a evitare che ogni risk assessment riparta da zero, usando trend APR/PQR, storico delle deviazioni, esiti di audit e precedenti decisioni come input formali del processo valutativo.Dal punto di vista ispettivo, l’integrazione si misura nella coerenza tra analisi del rischio, decisioni adottate, priorità, controlli, tempistiche, monitoraggio e riesame continuo.

L’integrazione che fa la differenza

«Il QRM può considerarsi pienamente integrato nel PQS quando orienta i processi decisionali e coinvolge in modo trasversale le diverse funzioni aziendali, evitando che sia attribuito solo alla Quality Unit o alla QA e che si traduca unicamente in un adempimento documentale – osserva Stoppa – L’integrazione può essere valutata sulla base della coerenza tra l’analisi del rischio, le decisioni adottate, le priorità definite, le azioni di controllo intraprese, le relative tempistiche e le attività di monitoraggio, nonché attraverso il riesame continuo delle decisioni stesse mediante input ricevuti da APR, audit, change control ed eventi inattesi». Al contrario, risk assessment redatti a posteriori, template standardizzati, punteggi non sostenuti da dati, mancato collegamento con CAPA e change control o assenza di verifiche di efficacia indicano un QRM formalmente presente, ma non realmente integrato nel sistema.

I product availability risks

Tra i passaggi più significativi della revisione ICH Q9(R1) c’è il richiamo ai product availability risks, cioè ai rischi che possono compromettere la disponibilità del medicinale quando derivano da criticità di qualità, produzione, controllo del processo o supply chain. Già ICH Q9 includeva nella definizione di harm anche il danno derivante dalla perdita di disponibilità del prodotto. La revisione R1, però, lo rende più esplicito e operativo attraverso la sezione 6.1, chiarendo che i problemi di qualità e manufacturing capaci di incidere sulla disponibilità del medicinale devono essere letti come rischi per il paziente e governati lungo il ciclo di vita. ICH Q9(R1) non diventa quindi una linea guida di supply chain management, ma amplia il modo in cui il QRM collega qualità, continuità produttiva e responsabilità verso il paziente.^{[2; 11]}Ciò significa collegare in modo più stretto stato di controllo, affidabilità produttiva e continuità della fornitura. I rischi possono nascere da process drift, equipment critici, manutenzione non adeguata, vulnerabilità delle facilities, variabilità dei materiali, dipendenza da fornitori strategici o gestione di CMO. «La linea guida ICH Q9(R1) include espressamente, tra i rischi per la qualità, anche quelli che impattano la disponibilità del prodotto, con danno sul paziente» – osserva Stoppa – Vi rientrano i casi di indisponibilità di materie prime, problematiche legate alla supply chain oppure eventi connessi a qualità e/o produzione, quali respingimento continuo di lotti, perdita di controllo del processo con basse rese e scarsa qualità, deviazioni/OOS ricorrenti, inadeguata manutenzione e obsolescenza degli impianti».La product availability non può quindi essere ridotta alla gestione emergenziale della carenza, né alla sola presenza di scorte. Diversificare fornitori o siti produttivi può contribuire alla continuità della fornitura, ma introduce a sua volta nuovi flussi di controllo e nuovi rischi da gestire. Il QRM deve allora identificare elementi critici, KPI e indicatori di allerta, definire misure di prevenzione e mitigazione e riesaminarne periodicamente l’efficacia. La responsabilità si allarga: non solo assicurare che il farmaco prodotto sia conforme, ma contribuire a garantire che resti disponibile per i pazienti che ne hanno bisogno.

La governance delle decisioni

ICH Q9(R1) non introduce soltanto chiarimenti tecnici sul modo di condurre un risk assessment. Spinge le aziende farmaceutiche a interrogarsi sulla qualità del proprio processo decisionale.Il tema diventa ancora più attuale con l’ingresso di strumenti digitali avanzati, analisi predittive e applicazioni di AI nei processi qualità. La tecnologia può aiutare a intercettare trend, organizzare informazioni e riconoscere segnali deboli, ma non sostituisce il giudizio che governa la decisione. «La Generative AI può certamente supportare alcune attività di QRM, per esempio, nella raccolta di informazioni, nella preparazione di scenari, nella revisione di trend o nella generazione di ipotesi da discutere – osserva Dragone – Ma non può sostituire la responsabilità decisionale. Servono intended use chiaro, supervisione umana, tracciabilità delle fonti, verifica degli output e decision ownership esplicita. In caso contrario, il rischio è sostituire una soggettività non governata con un’automazione non governata».In un sistema farmaceutico sempre più complesso, interconnesso e data-driven, il QRM non può limitarsi a essere una tecnica di valutazione. Deve diventare una pratica di governo del rischio, della conoscenza, della tecnologia e delle responsabilità decisionali. La maturità di un’organizzazione non si misurerà dal numero di risk assessment prodotti, ma dalla capacità di usare il QRM per prendere decisioni proporzionate, tempestive, tracciabili e orientate alla protezione del paziente.

Bibliografia

1. International Council for Harmonisation of Technical Requirements for Pharmaceuticals for Human Use. ICH Harmonised Tripartite Guideline Q9: Quality Risk Management. Step 4 version, 9 November 2005.
2. International Council for Harmonisation of Technical Requirements for Pharmaceuticals for Human Use. ICH Harmonised Guideline Q9(R1): Quality Risk Management. Final version, 2023.
3. Mahoney S. Overview of Changes: ICH Q9(R1) Quality Risk Management. SBIA Joint US FDA–Health Canada ICH Public Meeting, 22 February 2024.
4. International Council for Harmonisation of Technical Requirements for Pharmaceuticals for Human Use. Final Concept Paper: ICH Q9(R1) – Quality Risk Management. Endorsed by the ICH Management Committee,
   13 November 2020.
5. Pharmaceutical Inspection Convention and Pharmaceutical Inspection Co-operation Scheme. PI 038-2: Aide-Memoire: Assessment of Quality Risk Management Implementation. PIC/S, 1 January 2021.
6. Thekdi S, Aven T. Characterization of biases and their impact on the integrity of a risk study. Safety Science. 2024;170:106376. doi:10.1016/j.ssci.2023.106376.
7. Claycamp HG. Controlling subjectivity in risk-based decision-making: the benefits of multi-criteria decision analysis. In: An Audience with International Regulators in the Manufacture of Medicines – QRM & KM. DIT Academic Press; 2018.
8. International Council for Harmonisation of Technical Requirements for Pharmaceuticals for Human Use. ICH Harmonised Tripartite Guideline Q10: Pharmaceutical Quality System. Step 4 version, 4 June 2008.
9. Lipa MJ, O’Donnell K, Greene A. Managing Knowledge and Risk: A Literature Review on the Interdependency of QRM and KM as ICH Q10 Enablers. Level 3. 2020;15(2):Article 3. doi:10.21427/2jdq-jq09.
10. Lipa M, O’Donnell K, Greene A. A Survey Report on the Current State of Quality Risk Management (QRM) and Knowledge Management (KM) Integration. Level 3. 2021;15(3):Article 5. doi:10.21427/rpc7-sp95.
11. International Council for Harmonisation of Technical Requirements for Pharmaceuticals for Human Use. Quality Risk Management as Part of Supply Chain Control. ICH Q9(R1) Training Slides. Annex II.9, 2026.