Un audit GMP del fornitore si può fare da remoto?
Che cosa consentono le EU GMP per audit dei fornitori da remoto, in sito e ibridi, e come scegliere con i testi alla mano.
Per i fornitori di sostanze attive la risposta sta in gran parte nel diritto UE, e pende verso il no. L’articolo 46(f) della Direttiva 2001/83/CE obbliga il titolare dell’autorizzazione alla fabbricazione a verificare mediante audit la conformità GMP di fabbricanti e distributori di sostanze attive. Il Capitolo 5 della guida EU GMP precisa che questi audit “should be carried out at the manufacturers and distributors of active substances” (vanno condotti presso fabbricanti e distributori), con durata e perimetro adeguati perché ne esca “a full and clear assessment of GMP” (una valutazione piena e chiara). Un esercizio solo remoto raramente regge quel metro, e i formati remoti nati per le ispezioni delle autorità dichiarano i propri limiti e non sostituiscono l’obbligo di audit. Per fornitori a rischio più basso e per fasi definite del ciclo, il remoto è difendibile con una valutazione del rischio scritta. Per gran parte delle filiere il modello più solido è l’ibrido: documentale a distanza, poi una visita in sito breve e mirata.
Che cosa richiedono le EU GMP per gli audit dei fornitori?
Per le sostanze attive il requisito è un audit presso il fornitore, e un certificato o un questionario non lo assolve. L’articolo 46(f) della Direttiva 2001/83/CE mette la verifica in capo al titolare dell’autorizzazione alla fabbricazione, direttamente o tramite un soggetto sotto contratto per suo conto. EudraLex Volume 4, Capitolo 5 (5.29) fissa il metro dell’esercizio: gli audit “should be carried out at the manufacturers and distributors of active substances” (presso fabbricanti e distributori), con durata e perimetro per una valutazione piena e chiara, e gli audit successivi seguono “at intervals defined by the quality risk management process” (a intervalli definiti dalla gestione del rischio). ICH Q10 (2.7) colloca l’audit in un ciclo: idoneità prima dell’affidamento, prestazione monitorata dopo. Per le attività esternalizzate il Capitolo 7 aggiunge l’aggancio contrattuale: il contratto “should permit the Contract Giver to audit outsourced activities” (7.17: deve permettere al committente l’audit). I testi descrivono un esercizio ricorrente, basato su evidenze, condotto dove il lavoro avviene.
Quando è accettabile un audit da remoto?
Un audit da remoto è difendibile quando la dimensione fisica dell’attività è piccola, il rischio è valutato per iscritto e il formato è dichiarato per quello che è. I riferimenti vengono dalle stesse autorità. La guidance EMA sui distant assessment (versione 4, giugno 2024) li ammette fuori dalle crisi solo per attività limitate e buona storia di conformità, con tre esempi (siti solo documentali, laboratori QC con pochi metodi, verifica CAPA), e dichiara che “is not intended for use or to replace on-site inspections” (non sostituisce le ispezioni in sito). La PIC/S PI 056-1, in vigore da gennaio 2025, ne uniforma il vocabolario: fully interactive, partially interactive, desktop, hybrid. Entrambi parlano delle ispezioni delle autorità e nessuno riscrive l’obbligo di audit del fabbricante. Dentro un programma fornitori sostengono il remoto per la valutazione documentale prima della visita, il follow-up delle CAPA e i fornitori non-API a basso rischio, con il razionale a registro.
Che cosa non vi può mostrare un audit da remoto?
I rilievi che decidono una qualifica sono in gran parte fisici, e una telecamera mostra ciò verso cui la puntano. Il paragrafo 5.29 chiede all’auditor di pesare la cross-contamination “from other materials on site” (da altri materiali nel sito): significa guardare che cos’altro il sito lavora. Lo stesso paragrafo fissa il metro del rapporto:
The report should fully reflect what was done and seen on the audit with any deficiencies clearly identified.
Flussi di materiali e persone, segregazione nei magazzini condivisi, lo stato reale di una stanza di essiccazione, la vestizione quando nessuno annuncia la visita: evidenza che esiste solo in sito. Nella filiera della cannabis medicinale lo scarto pesa più che altrove, perché i fornitori sono spesso aziende giovani in paesi terzi, nel passaggio da GACP a GMP, con documentazione e pratica lontane.
Che cos’è un audit ibrido e quando funziona?
Un audit ibrido combina distanza e presenza in un unico esercizio, e funziona quando la divisione segue il rischio e non il budget di viaggio. La PIC/S PI 056-1 definisce la hybrid inspection come valutazione “using a combination of on-site inspection and remote assessment” (combinazione di ispezione in sito e valutazione a distanza). Applicato agli audit dei fornitori, lo schema che regge ha tre parti:
- preparazione a distanza: documentazione di qualità, site master file, layout e registrazioni, più interviste in video dove utile;
- una visita in sito più corta dove vive il rischio fisico: produzione, stoccaggio, segregazione, utilities, comportamenti;
- follow-up a distanza: evidenze CAPA esaminate man mano, senza aspettare la visita successiva.
L’errore da cui proteggersi è la passeggiata simbolica, l’audit remoto con giro di cortesia attaccato. Il perimetro della parte in sito si scrive prima dell’audit, derivato dalla valutazione del rischio, e nel rapporto ha la sua sezione.
Come scegliete fra in sito, remoto e ibrido?
La scelta è una decisione di quality risk management, e per le sostanze attive il punto di partenza lo fissano i testi. Quattro domande chiudono la maggior parte dei casi. Che materiale è: una sostanza attiva porta al sito del fornitore, un eccipiente si controlla “based on the results of a formalised quality risk assessment” (valutazione formalizzata del rischio, 5.29), un servizio sta nel Capitolo 7. Che storia ha: un fornitore mai auditato in sito merita la visita, e la stessa EMA dà priorità ai siti mai ispezionati. Che processo è: più lo step è critico e fisico, e l’essiccazione in una filiera cannabis è entrambe le cose, più pesa la presenza. Che cosa dice il contratto: il paragrafo 7.17 aiuta solo se la clausola di audit è stata scritta. Qualunque sia l’esito, il formato fa parte del programma di audit e porta il proprio razionale: la prima domanda di chi rileggerà la qualifica è perché quell’audit è stato fatto così.
Scritto da
