Scegliere un eQMS per ISO 13485: checklist per i produttori di dispositivi
Cosa testare durante una prova, quali evidenze di convalida chiedere al fornitore e come proteggere i dati in importazione e in esportazione quando si sceglie un eQMS per ISO 13485.
Siete un produttore di dispositivi con un organico compreso tra dieci e duecento persone, una certificazione ISO 13485 e un sistema qualità che risiede in un’unità condivisa, in alcuni fogli di calcolo e in una buona dose di buona volontà. L’ultima verifica di sorveglianza è andata bene, ma sono servite due persone per una settimana per raccogliere le evidenze e, al momento della stampa, la matrice della formazione era già obsoleta. Avete deciso di valutare un sistema elettronico di gestione della qualità. Questo articolo offre una checklist per chi acquista un eQMS in conformità alla ISO 13485: cosa testare durante una prova, quanta convalida richiede effettivamente la norma, quale documentazione chiedere al fornitore, come proteggere i dati in importazione e in esportazione e come abbandonare la carta senza portarvi dietro il disordine.
Cosa richiede la ISO 13485 al software
Prima di esaminare qualsiasi prodotto, è importante chiarire cosa richiede la norma allo strumento, perché questo condiziona tutto il resto.
La clausola 4.1.6 della ISO 13485:2016 richiede procedure documentate per convalidare le applicazioni software utilizzate nel sistema di gestione della qualità. La convalida avviene prima del primo utilizzo e, secondo necessità, dopo modifiche al software o alla sua applicazione; l’approccio deve essere proporzionato al rischio associato all’uso del software. È necessario conservare le registrazioni di tale attività. Un eQMS rientra pienamente in questa clausola: conterrà i documenti controllati, le registrazioni CAPA e le evidenze della formazione.
Le clausole 4.2.4 (controllo dei documenti) e 4.2.5 (controllo delle registrazioni) definiscono i requisiti funzionali minimi. I documenti devono essere riesaminati e approvati prima dell’emissione, le modifiche devono essere identificate, le revisioni correnti devono essere disponibili nel punto di utilizzo e occorre impedire l’uso involontario dei documenti obsoleti. Le registrazioni devono rimanere leggibili, identificabili e reperibili, ed essere conservate almeno per la durata di vita del dispositivo, secondo la definizione adottata, e comunque per almeno due anni dal rilascio. Se vendete nell’UE, l’articolo 10(8) del regolamento MDR dell’UE (Regolamento 2017/745) aggiunge che la documentazione tecnica e la dichiarazione di conformità devono essere disponibili per almeno 10 anni dopo l’immissione sul mercato dell’ultimo dispositivo, e per 15 anni nel caso dei dispositivi impiantabili. Il contratto con il fornitore dell’eQMS e il piano di uscita devono coprire questi periodi, che quasi certamente supereranno la durata del contratto stesso.
Infine, un eQMS in cloud è un servizio acquistato, quindi la clausola 7.4 (acquisti) si applica al fornitore proprio come si applicherebbe a un’azienda di stampaggio. Occorrono criteri documentati per valutarlo e selezionarlo, e i controlli applicati devono essere proporzionati al rischio.
Provate il sistema con i vostri processi
La maggior parte delle demo mostra il flusso ideale con dati di esempio. Una prova è utile solo se eseguite i vostri scenari, con le vostre persone, e provate a mettere il sistema in difficoltà. Scegliete tre o quattro eventi reali dell’ultimo anno e riproduceteli. La tabella seguente è un punto di partenza.
| Area | Cosa provare | Come si presenta un buon risultato |
|---|---|---|
| Controllo dei documenti (4.2.4) | Rivedere una SOP esistente: bozza, riesame da parte di due persone, approvazione e impostazione di una data futura di entrata in vigore | La versione precedente rimane in vigore fino alla nuova data, poi viene ritirata automaticamente dall’uso; la motivazione della modifica e gli approvatori sono visibili nella registrazione |
| Controllo dei documenti | Chiedere a qualcuno di aprire una revisione obsoleta da un collegamento salvato nei preferiti | Non è possibile, oppure la revisione è chiaramente contrassegnata come superata |
| Formazione (6.2) | Rendere effettiva la revisione della SOP indicata sopra | Tutti coloro il cui ruolo richiede quella SOP ricevono un’attività di formazione; la matrice mostra chi è in ritardo senza necessità di aggiornamenti manuali |
| CAPA (8.5.2) | Avviare una CAPA a seguito di una non conformità del fornitore, registrare la causa principale, aggiungere azioni con responsabili e scadenze, quindi registrare una verifica di efficacia | È possibile mostrare l’intera catena in un unico luogo: evento scatenante, indagine, azioni, verifica che le azioni non abbiano influito negativamente sulla capacità del dispositivo di soddisfare i requisiti e chiusura |
| Audit trail | Modificare una data di scadenza e un campo relativo alla causa principale, quindi consultare la cronologia | È possibile vedere chi ha modificato cosa, quando, i valori precedenti e quelli nuovi, nonché la motivazione, senza chiedere a un amministratore |
| Firme elettroniche | Approvare un documento, quindi provare a modificarlo | La firma mostra il nome del firmatario, la data e l’ora, nonché il significato della firma («approvato», «riesaminato»); una modifica successiva alla firma richiede una nuova revisione o invalida la firma |
| Reportistica | Generare l’elenco delle CAPA aperte da oltre 90 giorni e il completamento della formazione per un reparto | L’operazione richiede pochi minuti e non necessita di un’esportazione in foglio di calcolo per essere completata |
Due test individuano i sistemi più carenti meglio di qualsiasi altro. Il primo riguarda il passaggio alla data di entrata in vigore: molti strumenti approvano correttamente un documento, ma poi lasciano entrambe le versioni attive. Il secondo riguarda l’audit trail di una registrazione modificata più volte. Se la cronologia mostra solo «registrazione aggiornata», senza dettagli a livello di campo, anche il vostro auditor vedrà la stessa cosa.
Coinvolgete un autore di documenti, un responsabile CAPA in reparto e chi gestisce gli audit interni. Se le persone che useranno il sistema ogni giorno lo trovano lento, cercheranno soluzioni alternative, e saranno proprio queste soluzioni a emergere durante l’audit.
Quanta convalida è sufficiente?
La clausola 4.1.6 richiede un approccio proporzionato al rischio: è l’espressione più utile del testo. Un eQMS commerciale configurato è molto diverso da un software sviluppato su misura, e trattarlo come tale produce raccoglitori pieni di schermate che nessuno legge.
L’approccio GAMP 5 di ISPE è un metodo valido per strutturare la valutazione, anche se è stato elaborato per i sistemi GxP farmaceutici. Classifica la maggior parte dei prodotti eQMS come software configurabile (categoria 4) e la seconda edizione (2022) pone l’accento sul pensiero critico e sull’utilizzo dei test del fornitore, anziché sulla loro ripetizione. In pratica, il pacchetto di convalida può comprendere:
- Una dichiarazione sull’uso previsto: quali processi ISO 13485 sono supportati dal sistema e quali no.
- Un breve insieme di requisiti utente, redatti in relazione ai vostri processi.
- Una valutazione dei rischi che identifichi i requisiti che, in caso di malfunzionamento, potrebbero influire sulla qualità del prodotto, sulla conformità normativa o sull’integrità delle registrazioni.
- Test interni per le parti configurate ad alto rischio: flussi di lavoro dei documenti, percorsi di approvazione, stati CAPA e autorizzazioni dei ruoli.
- Una dichiarazione di affidamento per gli altri aspetti, supportata da evidenze del fornitore che avete effettivamente riesaminato.
- Un rapporto riepilogativo di convalida e una procedura per valutare ogni nuova versione.
Quest’ultimo punto è più importante che in passato. Un eQMS in cloud viene aggiornato più volte all’anno. Stabilite subito come ricevere le comunicazioni sulle nuove versioni, come valutarne l’impatto e quando una modifica richiede nuovi test. Una versione che modifica il flusso di approvazione deve essere testata; una nuova combinazione di colori no.
Cosa chiedere al fornitore
La valutazione del fornitore ai sensi della clausola 7.4 richiede evidenze, e le risposte del fornitore sono anche il materiale di base per la vostra dichiarazione di affidamento. Chiedete quanto segue per iscritto:
- Una descrizione del ciclo di vita dello sviluppo del software e del sistema qualità in base al quale viene gestito, insieme a eventuali certificazioni e al relativo ambito.
- Le note di rilascio delle ultime versioni e la politica di notifica delle modifiche, compreso il preavviso fornito.
- Un riepilogo dei test interni per le funzioni fondamentali, come audit trail, firme elettroniche e controllo degli accessi.
- Una descrizione di ciò che viene registrato nell’audit trail e l’indicazione se qualcuno, compresi gli amministratori del fornitore, può modificarlo.
- La localizzazione dell’hosting, l’elenco dei sub-responsabili del trattamento e le modalità di gestione dei backup e dei test di ripristino.
- Un riepilogo recente di una valutazione indipendente della sicurezza.
- La disponibilità a firmare un accordo qualità e ad accettare un audit del fornitore, da remoto o in loco.
- La procedura di uscita documentata e i formati di esportazione supportati.
Valutate le risposte in base alla loro specificità. Un fornitore che risponde in due righe al punto 4 probabilmente non ci ha riflettuto a fondo. Un fornitore che invia un documento in cui descrive esattamente quali eventi vengono registrati, con esempi di output, invece sì.
Localizzazione, conservazione ed esportazione dei dati
Chiedete dove risiedono i vostri dati, inclusi i backup e gli accessi per l’assistenza. Per i produttori del Regno Unito e dell’UE, conservare le registrazioni qualità nell’UE o nel Regno Unito semplifica la conformità al GDPR ed evita domande scomode da parte dei clienti che a loro volta vi sottopongono ad audit.
La questione più complessa è l’uscita. Le vostre registrazioni devono essere conservate per anni oltre la scadenza del contratto e dovete poterle produrre per un organismo notificato o un’autorità competente molto tempo dopo aver smesso di pagare. Durante la prova, eseguite un’esportazione e aprite i file. Verificate che includano:
- Tutte le revisioni dei documenti, comprese quelle superate, in un formato leggibile.
- Gli allegati nel loro formato file originale.
- Le voci dell’audit trail e i dettagli delle firme (chi ha firmato, quando e con quale significato) insieme alle registrazioni cui si riferiscono.
- Le registrazioni della formazione con le date e la revisione del documento su cui ciascuna persona è stata formata.
Se l’esportazione consiste in un insieme di tabelle di database che solo il fornitore può interpretare, le vostre registrazioni sono reperibili soltanto finché il fornitore esiste e collabora. Inserite nel contratto il formato di esportazione, i tempi previsti per un’esportazione completa al termine del rapporto e la data in cui i vostri dati saranno cancellati.
Abbandonare la carta e i fogli di calcolo
La tentazione è migrare tutto. Evitatelo. Trasferire in un nuovo sistema quindici anni di procedure superate e CAPA chiuse richiede molto tempo, aggiunge il lavoro di convalida della migrazione stessa e non offre agli auditor nulla che non possano già trovare nell’archivio esistente.
Per la maggior parte dei produttori piccoli e di medie dimensioni, è preferibile fissare una data di passaggio e gestirla come qualsiasi altra modifica controllata. Importate i documenti attualmente in vigore, ciascuno con un riferimento alla cronologia delle revisioni precedenti nell’archivio storico. Lasciate che le CAPA e le deviazioni aperte vengano chiuse nel sistema in cui sono state avviate, a meno che non siano di lunga durata; in tal caso, migratele aggiungendo una nota sulla cronologia fino a quel momento. Caricate la matrice di formazione corrente e lo stato della formazione rispetto alle revisioni attualmente in vigore, mantenendo nell’archivio le registrazioni storiche della formazione. Confrontate un campione delle registrazioni migrate con gli originali, documentate il controllo e confermate che i valori e il significato non siano stati alterati durante il trasferimento.
Proteggete poi l’archivio. I documenti cartacei e la vecchia unità condivisa restano registrazioni qualità ai sensi della clausola 4.2.5, soggette allo stesso periodo di conservazione. Impostateli in sola lettura, registrate dove si trovano e inseriteli nella procedura per il controllo delle registrazioni.
Pianificate un breve periodo ibrido e mantenetelo breve. Tenere in parallelo due sistemi documentali per mesi è il modo migliore per far arrivare in linea la revisione sbagliata.
In sintesi
L’eQMS che vale la pena acquistare è quello che supera i vostri scenari; il numero di funzionalità elencate dice ben poco. Testate il passaggio alla data di entrata in vigore, l’audit trail a livello di campo e l’esportazione prima di firmare; chiedete evidenze che vi consentano di fare affidamento sui test del fornitore; e definite nel contratto le condizioni di uscita finché avete ancora potere negoziale. Un sistema scelto in questo modo richiederà meno attività di convalida e reggerà meglio al prossimo audit.
Se desiderate provare questi scenari con un sistema progettato per i produttori di dispositivi, l’approccio InnoQualis per i dispositivi medici copre il controllo dei documenti, la formazione, le CAPA, le deviazioni e gli audit interni, con un audit trail in sola aggiunta e hosting nell’UE.
