Analisi delle cause radice per deviazioni e CAPA che resistono agli audit
Quando usare i 5 perché, un diagramma a lisca di pesce, un albero dei guasti o una cronologia; come andare oltre l’«errore umano» e come formulare una dichiarazione della causa radice che un ispettore possa accettare.
La deviazione è contenuta, il lotto è in attesa e il campo dell’indagine sul modulo è ancora vuoto. Qualcuno deve stabilire perché è successo e ciò che verrà scritto in quel campo guiderà la CAPA, la decisione sul lotto e, prima o poi, il giudizio di un ispettore sul vostro sistema qualità. Questo articolo offre un metodo pratico per scegliere l’approccio di analisi delle cause radice più adatto al problema, una serie di domande per andare oltre l’«errore umano», un formato per la dichiarazione della causa radice e un breve esempio pratico tratto da una linea di confezionamento immaginaria.
Cosa si aspettano le autorità di regolamentazione dall’analisi delle cause radice in GMP
La Guida GMP dell’UE è specifica al riguardo. Il capitolo 1 di EudraLex Volume 4, paragrafo 1.4(xiv), afferma che durante l’indagine sulle deviazioni, sui sospetti difetti dei prodotti e su altri problemi deve essere applicato un livello appropriato di analisi delle cause radice, definibile secondo i principi della gestione del rischio per la qualità. Quando non è possibile determinare la vera causa radice, occorre identificare e affrontare la causa radice più probabile. Se si sospetta o si individua l’errore umano come causa, tale conclusione deve essere giustificata, dopo aver verificato che non siano stati trascurati errori di processo, procedurali o di sistema. Il paragrafo 1.8(vii) aggiunge che le deviazioni significative vengono indagate con l’obiettivo di determinarne la causa radice e di attuare adeguate azioni correttive e preventive.
I fabbricanti di dispositivi medici si confrontano con lo stesso principio nella clausola 8.5.2 della norma ISO 13485:2016, che richiede di determinare le cause delle non conformità nell’ambito delle azioni correttive.
Due espressioni del paragrafo 1.4(xiv) meritano attenzione. «Livello appropriato» consente di calibrare l’impegno: un campione etichettato in modo errato non richiede un’indagine pari a quella necessaria per una mancata garanzia di sterilità. «Causa radice più probabile» significa che un’indagine inconcludente è accettabile quando si documenta il lavoro svolto, si classificano le cause candidate e si interviene su quella più probabile. Gli ispettori contestano le indagini interrotte troppo presto: è una cosa diversa.
Il post del blog dell’ispettorato MHRA sulle indagini nell’ambiente GMDP elenca le carenze che gli ispettori continuano a riscontrare, tra cui cause radice basate su supposizioni anziché su prove e analisi delle cause radice rinviate a una CAPA per poter chiudere la deviazione nei tempi previsti. Afferma inoltre che l’errore umano dovrebbe essere indicato come causa radice solo dopo aver escluso le variabili di sistema e di processo.
Iniziate ogni indagine con una cronologia
Prima di scegliere uno strumento di analisi, annotate in ordine ciò che è accaduto. La cronologia è il metodo meno appariscente e quello che viene più spesso trascurato. Elencate ogni evento con un orario e una fonte: la registrazione nel batch record, l’audit trail dell’apparecchiatura, il registro degli allarmi, la nota di passaggio di consegne del turno, il lettore di badge, l’intervista. Indicate dove manca una fonte o dove due fonti sono in disaccordo.
La cronologia separa i fatti osservati dalla ricostruzione, così potete capire quali parti del racconto si basano sulla memoria. Fa emergere le tempistiche rilevanti: un riavvio dieci minuti dopo il cambio turno, una calibrazione scaduta il giorno prima, un rotolo di etichette sostituito a metà lotto. Inoltre, fornisce una base solida a tutti gli strumenti utilizzati in seguito. Se i vostri 5 perché contraddicono la cronologia, sono i 5 perché a essere sbagliati. Conservate la cronologia nel record dell’indagine.
Scegliere un metodo di analisi delle cause radice: 5 perché, lisca di pesce o albero dei guasti
Nessun metodo singolo è adatto a ogni deviazione. Scegliete in base alla natura del problema.
| Metodo | Usatelo quando | Attenzione a |
|---|---|---|
| Cronologia | Sempre, soprattutto quando sono coinvolte più persone, turni o sistemi | Colmare le lacune con la memoria senza dichiararlo |
| 5 perché | C’è un singolo guasto con una catena di cause abbastanza lineare | Seguire un solo percorso e non rilevare cause parallele; fermarsi al limite delle conoscenze del team |
| Lisca di pesce (Ishikawa) | Esistono diverse cause plausibili e nessuna è chiaramente la più probabile | Trattare il diagramma come la risposta, anziché come un elenco di ipotesi da verificare |
| Albero dei guasti | Si tratta di guasti complessi in cui più cause si combinano, come guasti dei dispositivi e reclami ricorrenti | L’impegno richiesto; servono persone con una conoscenza approfondita del processo |
5 perché
I 5 perché sono adatti a un problema circoscritto e con un unico filo logico, come un passaggio mancato nella verifica di linea. Continuate a chiedervi perché finché non raggiungete un elemento che l’organizzazione può controllare e modificare. Cinque è una convenzione: alcune catene si concludono dopo tre passaggi, altre ne richiedono sette.
Il limite di questo metodo è che produce un’unica catena, mentre i guasti reali spesso hanno due o tre cause che agiscono insieme. Per evitarlo, richiedete prove per ogni risposta (un record, un’osservazione, un risultato di test) e chiedetevi a ogni passaggio se vi sia qualcos’altro che potrebbe spiegare lo stesso evento. Se la risposta è sì, serve un diagramma a lisca di pesce o un albero dei guasti.
Diagramma a lisca di pesce per le indagini sulla qualità
Il diagramma a lisca di pesce, o diagramma di Ishikawa, è una struttura per il brainstorming. L’effetto viene collocato alla testa; le lische rappresentano le categorie di cause. La maggior parte dei team GMP utilizza una variante delle 6M: persone, metodi, macchine, materiali, misurazioni e ambiente. Il suo valore consiste nell’ampiezza dell’analisi: spinge il team a considerare materiali e misurazioni anche quando tutti sono già convinti che l’operatore abbia commesso un errore.
Il risultato è un elenco di possibili cause, ognuna delle quali deve essere confermata o esclusa con prove, documentando il modo in cui è stata verificata. Un diagramma a lisca di pesce con venti note adesive e nessun test di approfondimento dice soltanto all’ispettore che il team ha fatto brainstorming.
Analisi dell’albero dei guasti
Un albero dei guasti parte dal guasto in cima e procede verso il basso, attraverso le combinazioni di eventi che potrebbero averlo causato, collegate da operatori logici AND e OR. L’ICH Q9(R1), allegato I.4, descrive l’analisi dell’albero dei guasti e osserva che può essere usata per indagare reclami o deviazioni, comprenderne pienamente la causa radice e verificare che il miglioramento previsto risolva il problema senza crearne un altro. Lo stesso allegato include i diagrammi causa-effetto (Ishikawa) tra i metodi fondamentali di facilitazione.
Usate un albero dei guasti quando un’unica causa non è sufficiente a spiegare l’evento, ad esempio nel caso di un dispositivo che si guasta solo quando uno specifico lotto di componenti viene sottoposto a un particolare carico di sterilizzazione. Le porte AND mostrano quale combinazione di condizioni deve essere interrotta.
Andare oltre l’«errore umano» in un’indagine sulle deviazioni
L’errore umano descrive ciò che è accaduto nell’ultimo passaggio. Quasi mai spiega perché sia stato possibile. Quando un’indagine individua un operatore, continuate a porre domande sul sistema che lo circonda:
- La procedura era chiara, aggiornata e disponibile nel luogo di utilizzo? Corrisponde al modo in cui l’attività viene effettivamente svolta?
- La persona era stata formata su questa revisione e la formazione includeva il passaggio in cui si è verificato l’errore?
- La progettazione dell’attività rendeva facile sbagliare: etichette simili, trascrizione manuale, calcolo a mano, due schermate in disaccordo?
- Era previsto un controllo che avrebbe dovuto rilevare l’errore? Perché non l’ha fatto?
- Quali erano le condizioni: organico, pressione sui tempi, interruzioni, durata del turno, modifiche introdotte quella settimana?
- Lo stesso errore, o uno simile, si è già verificato in precedenza, in un’altra area del sito o con altre persone?
Quest’ultima domanda è la più importante. Se più persone hanno commesso lo stesso errore, la causa risiede nel processo. Se una persona lo ha commesso una sola volta, in condizioni che nessun altro ha affrontato, può essere giustificata un’azione incentrata sulla persona, purché il record spieghi perché. La sola ripetizione della formazione raramente è una CAPA efficace, e una verifica dell’efficacia di solito lo dimostra; consultate come verificare l’efficacia della CAPA.
È utile anche identificare il tipo di errore. Una svista o una dimenticanza (un’azione errata nonostante l’intenzione di agire correttamente, oppure un passaggio dimenticato) si affronta con modifiche di progettazione, come interblocchi, promemoria e doppi controlli. Un errore di valutazione (l’intenzione stessa era sbagliata) indirizza verso la formazione, le procedure o le informazioni disponibili. Una deviazione deliberata dalla procedura indirizza verso la cultura, la supervisione o una procedura impossibile da seguire così come è scritta.
Come formulare la dichiarazione della causa radice
La dichiarazione della causa radice è la frase che l’ispettore legge per prima e a cui la CAPA deve rispondere. Una struttura utile comprende l’evento, il meccanismo che lo ha prodotto e la condizione del sistema che lo ha consentito, seguiti dalle prove.
Formulatela in modo che sia specifica per l’evento, indichi un elemento sotto il vostro controllo e conduca direttamente a un’azione. «Errore dell’operatore durante la preparazione» non soddisfa nessuno dei tre criteri. «La data di scadenza è stata inserita in modo errato perché la procedura richiede all’operatore di calcolarla manualmente e digitarla come testo libero, senza verificarla rispetto a un valore approvato prima della stampa» li soddisfa. Se chi è responsabile della CAPA non riesce a capire dalla dichiarazione cosa deve cambiare, la dichiarazione non è completa.
Distinguete la causa radice dai fattori contribuenti, che hanno reso l’evento più probabile o più difficile da rilevare (un nuovo assunto in turno, un banco di ispezione scarsamente illuminato), ma la cui sola rimozione non lo avrebbe impedito. Registrateli, ma non includeteli nella frase che descrive la causa radice. Per sapere dove si inserisce nel report completo, consultate come redigere un report di deviazione.
Esempio pratico: data di scadenza stampata in modo errato
Questo esempio è fittizio.
Durante il confezionamento di routine di un prodotto in compresse sulla Linea 3, il controllo di fine lotto da parte di QA rileva che le confezioni delle prime due ore riportano una data di scadenza posticipata di un anno rispetto alla data approvata. La linea viene fermata e le confezioni interessate vengono messe in quarantena.
La cronologia indica che la stampante sovrastampatrice è stata configurata alle 06:10. Il batch record riporta la data di produzione e una durata di conservazione di 24 mesi; l’operatore ha calcolato la data di scadenza e l’ha digitata. Il controllo di una seconda persona alle 06:25 ha confermato che la stampa fosse leggibile e nella posizione corretta, firmando la checklist alla voce «Codifica verificata». L’errore è stato rilevato alle 08:30.
I 5 perché: le confezioni riportavano la data sbagliata perché era stata inserita una data errata. La data era stata inserita in modo errato perché l’operatore aveva aggiunto 36 mesi invece di 24, dopo aver confezionato il giorno prima un prodotto con durata di conservazione di 36 mesi sulla stessa linea. Ciò è stato possibile perché la procedura richiede un calcolo manuale e l’inserimento di testo libero. L’errore non è stato rilevato perché la voce «Codifica verificata» non specifica rispetto a quale dato effettuare la verifica e, nella pratica, chi esegue il controllo si limita a confermare la qualità della stampa.
Un’analisi con diagramma a lisca di pesce ha escluso la stampante (il suo audit trail mostrava il valore così come era stato digitato), il materiale delle confezioni e il batch record. I record delle deviazioni mostravano due errori di codifica precedenti su altre linee nell’ultimo anno, commessi da operatori diversi.
Dichiarazione della causa radice: la data di scadenza errata è stata stampata perché la procedura di codifica richiede agli operatori di calcolare la data di scadenza e inserirla come testo libero, mentre il controllo di una seconda persona non specifica che la data stampata debba essere verificata rispetto al valore approvato nel batch record. Prove: audit trail della stampante, batch record, testo della checklist, due deviazioni simili precedenti. Fattore contribuente: il passaggio, il giorno precedente, a un prodotto con una durata di conservazione diversa.
La CAPA ne consegue direttamente: inserire la data di scadenza nel batch record, così che nessuno debba calcolarla; modificare la checklist per richiedere un confronto carattere per carattere con quel valore; e valutare se la stampante possa ricevere il valore in formato elettronico.
In sintesi
Iniziate dalla cronologia, scegliete lo strumento in base alla natura del problema, verificate ogni causa candidata rispetto alle prove e considerate l’«errore umano» come l’inizio di una domanda. Formulate poi una dichiarazione della causa radice su cui il responsabile della CAPA possa intervenire senza dover chiedere spiegazioni. Per il processo più ampio che include l’indagine, consultate la guida alla gestione delle deviazioni.
Se desiderate registrare insieme indagini, cause radice e azioni collegate, con un audit trail append-only, scoprite come InnoQualis gestisce le deviazioni.
