GAMP 5 semplificato: un approccio pratico e basato sul rischio ai sistemi computerizzati

Nelle industrie farmaceutica, biotecnologica e dei dispositivi medici, il termine “GAMP 5” ricorre spesso nelle discussioni su conformità e sistemi computerizzati. Ma cosa significa veramente? Perché è importante? E come può essere applicato nelle operazioni quotidiane? Questa guida spiega tutto in modo chiaro e diretto — senza gergo e senza complessità inutili!

Che cos'è GAMP 5?

GAMP 5 sta per Good Automated Manufacturing Practices, Issue 5. È una linea guida pubblicata dall'ISPE, International Society For Pharmaceutical Engineering, ed è specificamente progettata per aiutare le industrie regolamentate a gestire correttamente i sistemi computerizzati.

Ecco un punto cruciale sin da subito: GAMP 5 non è una legge. Non comporta obblighi legali. Ma non lasciate che questo vi induca a sottovalutarla. Viene citata e rispettata dagli enti regolatori di tutto il mondo, compresa la US FDA, rendendola l'approssimazione più vicina a uno standard universale per la conformità dei sistemi computerizzati. Pensatela come un manuale di best practice molto affidabile piuttosto che come un insieme di regole vincolanti.

GAMP 5 si applica ai sistemi computerizzati utilizzati in ambienti regolamentati ed è destinato all'uso da parte di aziende regolamentate, autorità regolatorie, fornitori e altri stakeholder. Il suo scopo principale è fornire un approccio basato sul rischio per garantire che questi sistemi siano convalidati e funzionino come previsto.

Perché conta davvero?

GAMP 5 è progettato per funzionare insieme ad altre linee guida, standard e regolamenti GxP del settore come Buone pratiche di fabbricazione (GMP), Good Clinical Practice (GCP), Good Laboratory Practice (GLP), Good Distribution Practice (GDP), Good Pharmacovigilance Practices (GVP), Medical Device Regulations, 21 CFR Part 11 (regole per registrazioni elettroniche e firme elettroniche), EU GMP Annex 11, e vari standard ISO.

È un quadro comunemente accettato per la progettazione, lo sviluppo e la manutenzione dei sistemi computerizzati negli ambienti regolamentati GxP. L'importanza di GAMP 5 nei contesti GxP può essere compresa attraverso cinque risultati principali:

1. Proteggere la sicurezza del paziente, la qualità del prodotto e l'integrità dei dati
2. Garantire che i sistemi siano idonei all'uso previsto e rimangano conformi
3. Offrire un approccio pratico e conveniente in termini di costi
4. Agevolare la comprensione regolatoria e incoraggiare pratiche industriali coerenti
5. Favorire l'innovazione e adattarsi alle tecnologie in evoluzione

Breve storia di come siamo arrivati fin qui

Capire GAMP 5 è più facile quando si conosce la storia che lo ha generato. Non è apparso dal nulla — si è evoluto in decenni in risposta a problematiche reali del settore.

GAMP è stato fondato nel 1991 nel Regno Unito, creato specificamente per affrontare le crescenti aspettative della US FDA riguardo alla gestione e al controllo dei sistemi automatizzati necessari per la conformità GMP.

Pochi anni dopo, nel 1994, un gruppo di esperti farmaceutici del Regno Unito redasse e condivise la prima linea guida GAMP all'interno dei circoli industriali. Nel 1995 la prima versione formale fu pubblicata ufficialmente sotto gli auspici dell'ISPE — segnando l'inizio di una duratura collaborazione tra GAMP e ISPE.

Seguirono numerose revisioni nel corso degli anni. Le più rilevanti furono GAMP 4 nel 2001 e poi GAMP 5 nel 2008, che fu concettualmente basata su una strategia di gestione del rischio fondata sulla scienza, in linea con i regolamenti GxP del XXI secolo e le linee guida ICH Q8, Q9 e Q10.

Fu inoltre progettata per essere compatibile con gli standard IEEE, ISO 9000, ISO 12207 e l'IT Infrastructure Library (ITIL). Nel 2017, la leadership della community of practice di GAMP avviò una revisione formale per determinare se la linea guida rispondesse ancora ai suoi obiettivi e dove fossero necessari aggiornamenti.

Quel processo culminò nella seconda edizione, pubblicata nel 2022, l'aggiornamento più significativo in 14 anni. Questa edizione allineò la linea guida con la nuova Computer Software Assurance guidance della FDA (settembre 2022) e con ISO 14971 per dispositivi medici.

Cosa è cambiato nella seconda edizione del 2022?

La versione originale del 2008 era in gran parte focalizzata sulla conformità — spuntare caselle, seguire processi, evitare rilievi ispettivi. L'edizione 2022 cambia fondamentalmente questo approccio. La sicurezza del paziente, la qualità del prodotto e l'integrità dei dati ora assumono il ruolo centrale rispetto alla documentazione e alle formalità di conformità.

Praticamente, la seconda edizione ha introdotto indicazioni aggiornate su cybersecurity, integrità dei dati e cloud computing. Ha inoltre introdotto supporto per metodologie di sviluppo agile e approcci di convalida basati sul rischio più in linea con il modo in cui il software viene effettivamente sviluppato e mantenuto oggi.

Per affrontare queste aree, sono stati aggiunti diversi nuovi appendici nella seconda edizione, che trattano argomenti come:

• Gestione dell'infrastruttura IT
• Pensiero critico nella convalida
• Specificare i requisiti in modo efficace
• Sviluppo software agile
• Strumenti software
• Sistemi a registro distribuito (Blockchain)
• Intelligenza Artificiale (AI) e Machine Learning (ML)

Il modello a V — e perché l'agile ha cambiato le regole del gioco

Per molti anni, l'approccio di GAMP 5 alla convalida è stato illustrato mediante il modello a V. L'idea è semplice: le specifiche di sistema create durante lo sviluppo vengono abbinate ai corrispondenti test durante la verifica. Il lato sinistro della V rappresenta ciò che si progetta; il lato destro rappresenta come lo si testa.

Ad esempio, un prodotto configurabile verrebbe testato per verificare i requisiti, la funzionalità e le specifiche di configurazione. Un software commerciale off-the-shelf, invece, potrebbe non richiedere specifiche funzionali e di configurazione, quindi l'ambito dei test sarebbe ridotto.

Il modello a V funziona bene in ambienti di sviluppo strutturati e lineari. Ma non è sempre pratico. Gli approcci tradizionali "lineari" come il modello a V o il metodo waterfall faticano negli ambienti di sviluppo agile, dove il software è costruito in modo iterativo e aggiornato continuamente.

Questo è particolarmente vero per i sistemi moderni come piattaforme SaaS, modelli di AI e strumenti di Machine Learning, che richiedono rilasci rapidi e cicli di miglioramento costanti.

È esattamente per questo che la seconda edizione del 2022 di GAMP 5 ha formalmente introdotto il supporto per il modello agile. Ciò offre ai team la flessibilità necessaria per valutare la conformità GxP in ambienti in cui lo sviluppo è rapido e adattivo — senza sacrificare il rigore richiesto dalle industrie regolamentate.

GAMP 5 e la convalida dei sistemi computerizzati (CSV)

La convalida dei sistemi computerizzati, comunemente chiamata CSV, è il processo documentato che dimostra che un sistema computerizzato esegue coerentemente come previsto e soddisfa i requisiti GxP applicabili. Nelle aziende farmaceutiche, biotecnologiche e di dispositivi medici, la CSV non è opzionale. È un'aspettativa fondamentale da parte di enti regolatori come FDA ed EMA.

GAMP 5 non sostituisce i requisiti regolatori per la CSV. Fornisce invece un quadro pratico e basato sul rischio per eseguire la CSV in modo strutturato ed efficiente. È ampiamente riconosciuto come l'approccio standard del settore per farlo correttamente.

Secondo GAMP 5, la convalida dei sistemi computerizzati include tipicamente:

• Definire l'uso previsto e i requisiti tramite le specifiche dei requisiti utente (URS) e le specifiche funzionali
• Eseguire valutazioni del rischio per determinare il livello appropriato di sforzo di convalida
• Valutare i fornitori e sfruttare la loro documentazione quando è opportuno farlo
• Eseguire attività di verifica e test tarate sulla categoria e sul livello di rischio del sistema
• Mantenere lo stato convalidato tramite il controllo delle modifiche e le revisioni periodiche

Uno dei principali vantaggi pratici dell'applicazione di GAMP 5 alla CSV è la scalabilità. Un sistema confezionato altamente configurabile non richiede la stessa profondità di documentazione e test di un'applicazione completamente personalizzata. Concentrando l'attenzione sulle funzionalità critiche e sull'integrità dei dati, GAMP 5 aiuta le organizzazioni a evitare la sovra-convalida pur rimanendo conformi e pronte per l'audit.

I 5 principi chiave di GAMP 5

GAMP 5 si basa su cinque principi guida. Non sono idee astratte — plasmano il modo in cui il lavoro di convalida viene effettivamente svolto giorno per giorno!

Principio 1 — Conoscenza del prodotto e del processo

GAMP 5 promuove il pensiero critico nell'applicazione di test e convalide basati sul rischio. Piuttosto che applicare lo stesso livello di approfondimento a tutto in modo uniforme, i team sono incoraggiati a fare leva sulla conoscenza del prodotto e dei suoi processi per concentrare l'attenzione dove conta di più — sugli aspetti che influenzano genuinamente la sicurezza del paziente, la qualità del prodotto e l'integrità dei dati.

Principio 2 — Ciclo di vita della convalida

GAMP 5 delinea un ciclo di vita in quattro fasi che tutti i sistemi computerizzati dovrebbero seguire. Secondo la linea guida, tutte le fasi del ciclo di vita devono essere definite all'interno del Sistema di Gestione della Qualità (QMS) dell'azienda:

Concetto: A questo stadio, che ricade al di fuori dell'ambito del fornitore, i produttori identificano opportunità di automazione, elencano i requisiti iniziali e iniziano la ricerca di fornitori idonei.

Progetto: Una volta identificato un fornitore, il sistema viene progettato, sviluppato, distribuito e valutato per la conformità GxP conformità. L'edizione 2022 ora supporta approcci di sviluppo agile in questa fase, rendendo questa fase più flessibile rispetto alla versione del 2008.

Operazioni: Questa è tipicamente la fase più lunga. Il sistema è utilizzato nelle operazioni quotidiane e l'attenzione è sul mantenerlo in uno stato convalidato tramite solidi processi di controllo delle modifiche e di disaster recovery.

Ritiro: Quando il sistema deve essere sostituito, viene ritirato, dismesso o migrato. Pur non essendo formalmente definita come una fase a sé stante in GAMP, le disposizioni necessarie come la gestione dei dati e la pianificazione della migrazione vengono descritte durante la fase delle operazioni.

Principio 3 — Scalabilità

GAMP 5 incoraggia approcci scalabili alla convalida. Non esiste un modello unico che si adatti a ogni situazione. A seconda dell'ambito e della complessità del sistema, un modello Waterfall, V-model, Agile o anche una variante ridotta o ampliata di questi approcci può essere appropriato. L'inclusione del modello agile nella seconda edizione supporta direttamente questo principio.

Principio 4 — Gestione del rischio per la qualità

La sicurezza del paziente, la qualità del prodotto e l'integrità dei dati devono guidare tutte le decisioni di convalida. Ciò significa dare priorità ai test in base al rischio associato agli attributi del sistema, dedicando più tempo e sforzo alle aree critiche e meno a quelle non critiche.

L'edizione 2022 adotta qui un approccio pratico. Supporta la reportistica basata su eccezioni, dove un semplice "Pass" è sufficiente quando un sistema funziona come previsto. Non sono necessari screenshot per ogni passaggio del test. 

Solo i test ad alto rischio o critici potrebbero richiedere prove aggiuntive. La linea guida riconosce inoltre che errori minori di documentazione hanno scarso valore e basso rischio, quindi l'attenzione dovrebbe concentrarsi su problemi che influenzano realmente le prestazioni del sistema e la conformità.

Principio 5: Sfruttare l'attività del fornitore

GAMP 5 incoraggia le aziende a fare pieno uso dell'esperienza del fornitore durante la fase di progetto del ciclo di vita di un sistema. I pacchetti di convalida forniti dal fornitore possono aiutare a soddisfare i requisiti di verifica GxP, ridurre la duplicazione degli sforzi e fungere da ulteriore livello di garanzia. L'obiettivo è un'adozione più rapida ed efficace, senza ripartire da zero ogni volta.

Categorie software di GAMP 5

GAMP 5 classifica il software in categorie basate sull'impatto GxP e sul rischio. Vale la pena notare che la Categoria 2, che era associata al firmware in GAMP 4, è stata rimossa in GAMP 5. Il rischio aumenta spostandosi dalla Categoria 1 alla Categoria 5, così come aumenta la profondità della convalida richiesta. Ecco come si suddividono le categorie:

Categoria 1 — Software di infrastruttura (sistemi operativi, database, middleware, ecc.): questo tipo di software non è soggetto a una verifica funzionale specifica di per sè. Le sue funzionalità vengono testate indirettamente quando l'applicazione che vi gira sopra viene validata. Ciò che è richiesto qui è semplicemente documentare e verificare l'identità e i numeri di versione durante l'installazione.

Categoria 3 — Software non configurabile: questo software viene utilizzato così com'è, senza alcuna configurazione. La validazione comporta la verifica dell'installazione, l'esecuzione di test di accettazione e la conferma che il software sia idoneo all'uso previsto, il tutto supportato da una valutazione del rischio e da una valutazione del fornitore.

Categoria 4 — Software configurabile: si tratta di software che può essere configurato ma non modificato in modo fondamentale. La validazione copre la corretta installazione e configurazione, i test funzionali guidati dall'analisi del rischio e dalla valutazione del fornitore, e i test di accettazione rispetto ai requisiti dichiarati.

Categoria 5 — Software personalizzabile: questa è la categoria a rischio più elevato, che comprende applicazioni su misura o fortemente personalizzate. La validazione è più rigorosa qui e include la corretta installazione, le specifiche funzionali e di progettazione, i test funzionali basati sul rischio, la valutazione del fornitore e i test di accettazione completi rispetto ai requisiti.

Più alta è la categoria, maggior lavoro è necessario nelle fasi di specifica e validazione del ciclo di vita del progetto. Questo approccio a livelli permette ai produttori di prendere decisioni razionali e proporzionate su quanto sforzo di validazione investire in ciascun sistema.

Errori comuni che portano a una cattiva implementazione di GAMP

Gli esperti del settore hanno identificato gli errori più comuni e costosi che le aziende commettono nell'implementare GAMP. Vale la pena conoscerli bene — e evitarli a tutti i costi:

• Nessun requisito documentato

• Nessuna registrazione della versione del software in uso

• Mancata archiviazione di tutte le versioni delle specifiche di progettazione

• Mancanza di registrazioni per gli input e gli output dei test

• Mancanza di tracciamento avanti e indietro — in altre parole, nessuna matrice di tracciabilità

• Nessun tracciamento dei difetti durante il processo di test

• No Assicurazione della qualità Un'unità che verifichi indipendentemente l'affidabilità del software

• Nessuna rivalutazione o ritest quando vengono aggiunti o modificati hardware

• Mancanza di qualificazione dell'hardware, compresa l'infrastruttura e il software correlato alle applicazioni

• Controlli di sicurezza inadeguati

Una lezione dal mondo reale: perché un'unica SOP è meglio di due?

I praticanti esperti di GAMP spesso formulano una raccomandazione apparentemente piccola ma di cruciale importanza: usare la stessa Standard Operating Procedure (SOP) sia per i sistemi GxP sia per quelli non-GxP. Sembra un dettaglio, ma le conseguenze di ignorarlo possono essere gravi.

La validazione è fondamentalmente "buona ingegneria del software con documentazione potenziata." Lo scopo è rallentare deliberatamente le cose perché questi sistemi possono essere responsabili di funzioni critiche come mantenere il battito cardiaco di una persona o aiutare un neonato a respirare.

La ragione per una SOP unificata è semplice: quando si hanno SOP diverse per sistemi GxP e non-GxP, le persone possono e sbagliano ad applicare quella sbagliata. Un esempio reale illustra questo perfettamente. Una grande azienda aveva 150 strumenti HPLC e 150 sistemi Agilent.

Durante un aggiornamento IT, il team applicò una patch ma seguì erroneamente la SOP non-GxP. Metà dei sistemi andò in crash di conseguenza. L'organizzazione dovette quindi avviare CAPAs, implementare change control e affrontare più cicli di test e ritest per ripristinare conformità e funzionalità. Tutto ciò avrebbe potuto essere evitato con una singola SOP unificata.

Considerazioni finali

GAMP 5 potrebbe non essere legalmente vincolante, ma nelle industrie regolamentate funziona come lo standard de facto per la validazione dei sistemi computerizzati. Le sue raccomandazioni sono strettamente allineate ai requisiti GxP stabiliti sia dalle autorità regolatorie UE sia da quelle statunitensi, rendendolo il quadro più completo e ampiamente affidabile disponibile.

Quando applicato correttamente, GAMP 5 aiuta i produttori a lavorare in modo più efficiente con i loro fornitori, riduce l'onere dei test e della documentazione, taglia i costi di validazione e mantenimento della conformità e lascia le aziende ben preparate per audit e ispezioni governative.

E con la seconda edizione del 2022 che ora affronta realtà moderne come cloud computing, AI, blockchain e sviluppo agile, GAMP 5 sta tenendo il passo con il modo in cui il software viene effettivamente creato e utilizzato oggi — rendendolo tanto rilevante quanto lo è sempre stato.

Domande frequenti

1. Che cos'è GAMP 5 e perché è importante nelle industrie regolamentate?

GAMP 5, o Good Automated Manufacturing Practice (GAMP 5), è una linea guida ampiamente accettata che aiuta le organizzazioni a gestire e validare i sistemi computerizzati in ambienti regolamentati. Fornisce un approccio strutturato e basato sul rischio per assicurare che i sistemi siano idonei all'uso previsto. Sebbene non sia un requisito legale, è fortemente riconosciuto da regolatori come la U.S. Food and Drug Administration. Questo lo rende un quadro di riferimento affidabile per mantenere conformità, integrità dei dati e qualità del prodotto. La sua importanza risiede nell'aiutare le aziende a bilanciare conformità ed efficienza e una implementazione pratica.

2. In che modo GAMP 5 supporta la validazione dei sistemi informatici (CSV)?

GAMP 5 supporta la Validazione dei Sistemi Computerizzati offrendo un quadro chiaro e scalabile per convalidare i sistemi in base al loro rischio e alla loro complessità. Aiuta le organizzazioni a definire i requisiti, effettuare valutazioni del rischio e svolgere le attività di test appropriate. Invece di applicare lo stesso livello di validazione a ogni sistema, incoraggia a concentrarsi sulle funzioni critiche che incidono sulla qualità e sulla sicurezza. Questo approccio riduce il lavoro non necessario pur mantenendo la conformità. Di conseguenza, le aziende possono eseguire la validazione in modo più efficiente senza compromettere le aspettative regolatorie.

3. Quali Sono I Principi Chiave Di GAMP 5 Che Le Organizzazioni Dovrebbero Seguire?

GAMP 5 si basa su cinque principi chiave che guidano come affrontare la validazione e la gestione dei sistemi. Questi includono la comprensione del prodotto e del processo, la gestione del ciclo di vita, la scalabilità, la gestione del rischio di qualità e il coinvolgimento delle attività del fornitore. Insieme, questi principi garantiscono che gli sforzi di validazione siano pratici, mirati e allineati alle reali esigenze aziendali. Incoraggiano inoltre il pensiero critico invece di seguire cieco processi eccessivamente documentali. Applicando questi principi, le organizzazioni possono costruire sistemi computerizzati più solidi, affidabili e conformi.