ICH Q9 Kvalitetsrisikostyring

Dette emne er en del af SG Systems Global risiko, ICH-retningslinje og ordliste over livscykluskvalitet.

Opdateret december 2025 • ICH Q8/Q9/Q10/Q11, ICH Q9(R1), EU GMP, 21 CFR 210/211/820, ISO 9001/13485 • Farmaceutiske lægemidler, biologiske lægemidler, ATMP'er, udstyr, fødevarer, kosttilskud, kosmetik

ICH Q9 Quality Risk Management er den globale håndbog for, hvordan tilsynsmyndigheder forventer, at du tænker på og handler på kvalitetsrisici. Det er retningslinjen, der tog "udfør risikovurderinger" fra en god idé til en formel forventning – og derefter, med Q9(R1), forsøgte at løse rodet med overkomplekse FMEA'er, afkrydsning af bokse og "alt er medium"-scoring, som mange virksomheder faldt i. Udført korrekt forvandler ICH Q9 risiko til et praktisk sprog, der forbinder udvikling, validering, produktion, leverandører og ændringskontrol. Udført dårligt bliver det et bindemiddel af farverige matricer, der aldrig ændrer et sætpunkt, en prøveudtagningsplan eller en leverandørbeslutning.

"Hvis det at aktivere ICH Q9 aldrig ændrer, hvordan du designer kontroller eller træffer beslutninger om frigivelse og ændringer, bruger du ikke retningslinjen – du citerer den."

1) Hvad er ICH Q9 kvalitetsrisikostyring?

ICH Q9 er en retningslinje fra Det Internationale Råd for Harmonisering (ICH), der definerer principper og eksempler på kvalitetsrisikostyring for den farmaceutiske livscyklus. Den blev oprindeligt vedtaget i 2005 og revideret som ICH Q9(R1) for at præcisere, hvordan man håndterer subjektivitet, formalitet, produkttilgængelighedsrisiko og risikobaseret beslutningstagning.

Kort sagt fortæller ICH Q9 dig, hvordan tilsynsmyndighederne forventer, at du:

• Identificer kvalitetsrisici (for patienter, produkt og compliance)
• analysere og evaluere disse risici (sandsynlighed og alvorlighed)
• beslutte og implementere kontrolforanstaltninger (forebyggende, afhjælpende, afbødende)
• kommunikere og gennemgå risici i løbet af livscyklussen

Det gælder på tværs af udvikling, teknologioverførsel, kommerciel fremstilling og afvikling – og er beregnet til at blive brugt med ICH Q8/QbD og ICH Q10 som en trio: designkvalitet, risikostyring, drift af et livscyklus-QMS.

2) Hvad ICH Q9 forsøger at gøre (og ikke forsøger at gøre)

ICH Q9 forsøger at presse industrien og regulatorer til at:

• Fokuser kontrol og indsats der, hvor risiciene for patienter og produktkvalitet er højest
• brug videnskab og data, ikke bare vane eller "vi har altid gjort det på denne måde"
• træffe risikobaserede beslutninger transparente og gennemgåelige
• Behandl QRM som en livscyklusaktivitet, ikke en engangsøvelse for indberetninger

Den forsøger ikke at tvinge dig ind i ét specifikt værktøj (som FMEA) eller at kræve maksimal formalitet for enhver triviel ændring. Teksten tillader eksplicit proportional formalitet: simple, kvalitative vurderinger for emner med lav risiko; mere struktureret, kvantitativ analyse for situationer med høj risiko eller komplekse situationer.

Regulatorer bruger ICH Q9 som et eksempel: Når de ser en kontrol, en specifikation, et valideringsområde eller en afvigelsesbeslutning, spørger de sig selv: "Hvilken risikotænkning har produceret dette?". Hvis svaret er "ingen – vi gjorde lige, hvad vi gjorde for 20 år siden", er man ude af trit med retningslinjen, selvom man nævner den i standardoperationsprocedurerne.

3) ICH Q9(R1) – Hvad har ændret sig?

Revisionen fra 2020, ICH Q9(R1) , omskrev ikke hele retningslinjen, men den skærpede fire smertepunkter, der blev ved med at dukke op i inspektioner og feedback fra branchen:

• Subjektivitet: Q9(R1) anerkender, at QRM ikke er udelukkende objektivt og giver mere eksplicit vejledning i håndtering af subjektivitet – ved hjælp af tværfaglige teams, klare kriterier, dokumenterede begrundelser og data til at forankre scoringen.
• Formalitet: Det præciserer, at grad af formalitet (for eksempel skabeloner, kvantificering, dokumentationsdybde) bør afhænge af risiko. Tunge FMEA'er for alt frarådes; det samme gælder "bagsidekonvolutten"-tænkning for beslutninger med høj risiko.
• Risiko for produkttilgængelighed: Det fremhæver, at risici for produkttilgængelighed (mangel) skal overvejes sammen med kvalitet og overholdelse af regler – især for medicinsk nødvendige produkter.
• Risikobaseret beslutningstagning: Det styrker forbindelsen mellem QRM-output og faktiske beslutninger og fremmer dokumenterede begrundelser, når du vælger at acceptere, reducere eller overføre risiko.

Q9(R1) er dybest set en retningslinje, der indrømmer, at industrien har forvandlet QRM til enten et bureaukratisk monster eller et gummistempel, og siger: vær klogere, vær proportionelle, vær gennemsigtige – og husk, at "intet produkt" også kan være en patientrisiko.

4) ICH Q9 QRM-processen i praksis

Retningslinjen beskriver QRM ved hjælp af fire overordnede aktiviteter:

• Risikovurdering – risikoidentifikation, -analyse og -evaluering.
• Risikokontrol – beslutningstagning, implementering af risikoreduktion eller -accept og verifikation af effektivitet.
• Risikokommunikation – deling af information om risici og beslutninger med relevante interessenter.
• Risikogennemgang – overvågning af risici og kontroller over tid som en del af livscyklusstyring.

I virkeligheden kortlægges disse fint til typiske QMS-processer:

• Ændringskontrol og projektbeslutninger → risikovurdering og -kontrol.
• Afvigelses-/NC-triage og CAPA → risikovurdering og -kontrol med feedback.
• Leverandør/CMO-kvalificering → risikovurdering, kontrol, kommunikation, gennemgang.
• Ledelsens gennemgang, PQR/ÅOP → risikovurdering.

Hvis dine processer for ændringskontrol, afvigelser og leverandørarbejde ikke eksplicit refererer til risiko, opererer du ikke reelt i en ICH Q9-verden – du udfører mekanikken uden hjernen tilknyttet.

5) ICH Q9-style værktøjer – De største hits

Bilagene til ICH Q9 oplister mange værktøjer; en håndfuld klarer det meste af det tunge arbejde:

• Risikorangering og risikomatricer: God til overordnet prioritering af problemer, projekter, leverandører og ændringer.
• FMEA/FMECA: Arbejdshestværktøj til processer og design – struktureret kortlægning af fejltilstande, effekter, årsager og kontroller, med scoring for alvorlighed-forekomst-detektion, hvor det er nyttigt.
• HACCP / fareanalyse: Særligt relevant inden for fødevarer og visse bioteknologiske områder – identifikation af kritiske kontrolpunkter (CCP'er) og forebyggende kontroller.
• Fejltræanalyse (FTA): Til sjældne hændelser med stor indflydelse, hvor du har brug for at forstå, hvordan flere fejl kombineres.
• Støtteværktøjer: Ishikawa (fiskebens) diagrammer, 5-Hvorfor, PHA/Hvad-Hvis-analyser – bruges ofte som lettere QRM til emner med mindre omfang.

ICH Q9 undgår bevidst at foreskrive ét værktøj. Regulatorer er mere optaget af, at du valgte en passende metode til spørgsmålet, gjorde det grundigt nok og rent faktisk brugte resultaterne, end hvilken skabelon du brugte.

6) Hvor inspektører forventer at "se" ICH Q9

Regulatorer spørger sjældent "vis mig din ICH Q9-binder". De leder efter dens fingeraftryk i:

• Kontrolstrategier: Logisk valg af CPP'er, CQA'er, IPC'er og frigivelsestests med en synlig forbindelse til risiko og videnskab.
• Validering og CPV: Risikobaseret udvælgelse af worst-case-forhold, overvågningsplaner og udløsere for rekvalificering.
• Skift kontrol: Konsekvens- og risikovurderinger, der styrer omfanget af test, dokumentation og godkendelser.
• Håndtering af afvigelse/OOS: Risikobaseret triage (mindre vs. større vs. kritisk), eskaleringsveje, CAPA-beslutninger.
• Leverandør- og CMO-tilsyn: Risikobaseret revisionsfrekvens, dybde af kvalitetsaftaler, SCAR-tærskler og forventninger til datadeling.
• Dataintegritet og IT: Risikobaserede kontroller omkring kritiske systemer, registre og integrationer.

Når de hører "vi gør dette, fordi ICH Q9 siger det", forventer de at se, hvordan den udtalelse afspejles i reelle beslutninger, ikke kun i et politisk afsnit.

7) ICH Q9, QbD og ICH Q10 – Hvordan de passer sammen

ICH Q9 lever ikke alene; det er "risikobenet" på en trebenet skammel:

• ICH Q8 / QbD: Videnskabs- og risikobaseret udvikling til at definere CQA'er, CPP'er og designrum.
• ICH Q9: Den generelle metode til risikotænkning på tværs af livscyklussen – både i udvikling og efter godkendelse.
• ICH Q10: Farmaceutisk kvalitetssystem – det livscyklus-QMS, der bruger QRM som et af sine vejledende principper.

I en god implementering kan du tegne en linje: QbD → QRM → PQS. For eksempel identificerer QbD opløsning som en CQA og pan-spray-betingelser som CPP'er; Q9-metoder prioriterer, hvilke CPP'er der er mest kritiske, og hvor sensorer og alarmer skal placeres; Q10 sikrer, at disse kontroller overlever ændringer, afvigelser og overførsler til nye steder og CMO'er.

8) Almindelige misbrug af ICH Q9

Du kan få øje på "vi citerer Q9, men lever det ikke"-operationer ved hjælp af disse tegn:

• Monster FMEA'er, som ingen læser: Hundredvis af linjer, nul forbindelse til rigtige kontroller, grænser eller prøveudtagningsplaner.
• Alt scorede medium: Ingen differentiering, så ingen prioritering – modbeviser pointen med QRM.
• Retroaktiv retfærdiggørelse: Risikovurderinger udarbejdes efter valg, der udelukkende er truffet for at forsvare dem.
• Frosne risikovurderinger: Dokumenter opdateres aldrig, når teknologi, leverandører, mængder eller fejlmønstre ændrer sig.
• Ingen feedback-loop: Afvigelser, klager og CPV-data påvirker aldrig risikoregistre, kontroller eller klassifikationer.
• QRM ejet kun af QA: Drift, teknik, forsyningskæde og regulatoriske afdelinger behandler QRM som "QA-papirarbejde", ikke et fælles beslutningsværktøj.

ICH Q9 var ment til at reducere travlt arbejde og øge relevansen. Når man ser det modsatte, bruges retningslinjen som en betegnelse, ikke som en tankegang.

9) Hvad ICH Q9 kvalitetsrisikostyring betyder for V5

I V5 kan et ICH Q9-lignende QRM-framework omdannes fra dokumenter til adfærd. I stedet for at QRM ligger i en delt mappe, kodes dets resultater direkte ind i den måde, produktions-, lager- og kvalitetssystemer kører på.

• Oversigt over V5-løsningen
  • Giver en samlet objektmodel for produkter, materialer, ruter, batches, leverandører, udstyr, test, afvigelser og CAPA'er, så QRM-poster kan knyttes direkte til virkelige processer og aktiver.
  • Gør det muligt at linke risikoregistre og QRM-output til specifikke trin (f.eks. "granulering på linje 2"), ikke kun generiske procesnavne.
• V5 MES – Produktionsudførelsessystem
  • Implementerer QRM-beslutninger som kontroller: CPP-grænser og alarmer i recepter, obligatoriske kontroller og underskrifter i digitale arbejdsinstruktioner, håndhævede sekvenser for højrisikooperationer.
  • Registrerer afvigelser, OOS-udløsere og uoverensstemmelser på arbejdsstedet med fuld kontekst (batch, linje, udstyr, operatør, leverandør) og bruger reel dokumentation til QRM- og ICH Q9-lignende gennemgange.
  • Understøtter CPV-dashboards (Continued Process Verification) til kritiske trin, så du kan se, om højrisikoområder rent faktisk er under kontrol eller afviger.
• V5 WMS – Lagerstyringssystem
  • Anvender risikobaserede lagerregler: strengere statusser, ventelister og prøveudtagningsordninger for leverandører, materialer, baner eller temperaturfølsomme SKU'er med høj risiko.
  • Leverer genealogiske og lokaliseringsdata, der gør risikovurderinger (til tilbagekaldelser, leverandørproblemer eller CPP-udsving) hurtige og konkrete i stedet for arkæologi i regneark.
• V5 QMS – Kvalitetsstyringssystem
  • Holder ICH Q9-tilpassede QRM-procedurer, skabeloner og risikoregistre under revision og ændringskontrol.
  • Forbinder QRM-output direkte til arbejdsgange for ændringskontrol, afvigelse, CAPA, leverandørkvalifikation og ledelsesgennemgang, så risikoen er synlig, hver gang en beslutning træffes.
  • Understøtter dashboards til risikorelaterede metrikker (f.eks. højrisikoprocesser vs. afvigelsesrate, CAPA-effektivitet efter risikoklasse) for at understøtte ledelsesgennemgang i ICH Q10-stil.
• V5 Connect API
  • Integrerer eksterne systemer (LIMS, ERP, PLM, CRM, leverandørportaler), så risikorelevante signaler – OOS-tendenser, stigninger i klager, leveringsproblemer – automatisk indgår i QRM-gennemgangen.
  • Sender risikobaserede regler (f.eks. stikprøveplaner, leverandørrisikoniveauer) tilbage til partner- og virksomhedssystemer for at holde udførelsen i overensstemmelse med ICH Q9-logikken.

Kort sagt: Med V5 holder ICH Q9 op med at være en retningslinje, man citerer, og bliver DNA'et bag, hvordan kontroller, arbejdsgange og analyser konfigureres – og hvordan de udvikler sig i takt med at risiko og viden ændrer sig.

10) Implementeringsplan og praktiske tips

At tage ICH Q9 seriøst betyder ikke at koge havet. Det betyder at vælge et par gearingpunkter og integrere dem i dine systemer og vaner.

• 1. Vælg ét flagskibs use case. For eksempel: en problematisk proces, et kritisk produkt eller en problematisk leverandør/CMO. Kør en fokuseret ICH Q9-lignende risikovurdering med de rigtige personer.
• 2. Hold det første værktøj simpelt. Brug en ren FMEA eller risikomatrix. Fokuser mere på diskussioner og evidens af høj kvalitet, mindre på scoringsgymnastik.
• 3. Sørg for, at output ændrer noget reelt. Mindst et par kontroller, grænser, tests, prøveudtagningsplaner, arbejdsgange eller leverandørforventninger bør ændres som et direkte resultat af den pågældende QRM-øvelse – og implementeres i V5 MES/QMS/WMS.
• 4. Gem og forbind begrundelsen. Registrer ICH Q9-vurderingen i V5 QMS, og link den til relevante ændringskontroller, produktfiler, procesbeskrivelser og risikoregistre.
• 5. Brug data til at udfordre historien. Efter flere måneder, udtag afvigelser, manglende overensstemmelser, OOS, klager og CPV-data fra V5 og sammenlign med forventningen i QRM. Juster risikovurderinger og kontroller, hvis virkeligheden ikke stemmer overens.
• 6. Bag QRM ind i skabeloner. Sørg for, at ændringskontrol, afvigelses- og leverandørformularer og arbejdsgange i V5 eksplicit stiller ICH Q9-spørgsmålene og registrerer svarene.
• 7. Træn folk i at tale risikosprog. Få drift, teknik og kvalitetssikring til at føle sig fortrolige med at tænke på alvorligheds-/forekomstniveau, og ikke bare "dette er vores procedure".
• 8. Gør QRM til en del af ledelsens evaluering. Brug risikoregistre, procesmålinger for højrisiko og CAPA-effektivitet efter risikokategori i dine ledelses- og PQR/APR-gennemgange.
• 9. Skalér iterativt. Tag det mønster, der fungerede for én use case, og udvid det til andre produkter, processer og leverandører ved hjælp af de samme V5-strukturer og QRM-playbook.

Sluttilstanden er enkel at beskrive: Når folk spørger "hvorfor kontrollerer vi det på denne måde?" eller "hvorfor er denne ændring så tung/let?", starter svaret med "fordi vi vurderede risikoen på denne måde under ICH Q9, og her er de data, vi brugte" – ikke "fordi det var, hvad den sidste validering sagde i 2009".

Ofte stillede spørgsmål

Q1. Hvordan adskiller ICH Q9 sig fra generisk 'risikostyring'?
Generisk risikostyring kan betyde alt fra finansiel afdækning til sundhed og sikkerhed. ICH Q9 fokuserer specifikt på risici for produktkvalitet, patient-/forbrugersikkerhed og overholdelse af lovgivningen på tværs af den farmaceutiske livscyklus. Den definerer en struktureret proces, foreslår værktøjer og forbinder eksplicit risikobeslutninger med QMS-elementer såsom ændringskontrol, afvigelsesstyring og validering.

Q2. Gælder ICH Q9 uden for klassisk farmaceutisk industri?
Ja, i praksis. Selvom ICH Q9-principperne er skrevet til lægemidler, anvendes de i vid udstrækning inden for biologiske lægemidler, ATMP'er, medicinsk udstyr (sammen med ISO 14971) og endda højrisikosegmenter inden for fødevarer, kosmetik og kemikalier. Mange tilsynsmyndigheder og kunder forventer en ICH Q9-lignende tankegang, selvom de ikke udtrykkeligt nævner retningslinjen.

Q3. Hvor formelle skal vores QRM-aktiviteter være for at opfylde ICH Q9(R1)?
Det afhænger af risikoen. ICH Q9(R1) tillader eksplicit grad af formalitet at skalere med effekt og kompleksitet. Emner med høj risiko (f.eks. sterile processer, større formelændringer, kritiske leverandører) kræver strukturerede værktøjer, tværfaglige teams og grundig dokumentation. Emner med lav risiko kan håndteres med enklere, kvalitative vurderinger – så længe begrundelsen er klar og konsekvent.

Q4. Hvad ændrede ICH Q9(R1), som vi rent faktisk skal reagere på?
Revisionen skærpede forventningerne omkring håndtering af subjektivitet, anvendelse af passende formalitet, hensyntagen til produkttilgængelighedsrisiko og dokumentation af risikobaserede beslutninger. Rent praktisk betyder det, at du skal: være eksplicit omkring antagelser og usikkerheder i din QRM; undgå overdreven engineering af emner med lav risiko; indregne mangelrisiko i dine beslutninger; og sørge for, at væsentlige beslutninger har en synlig QRM-begrundelse, ikke blot "QA-vurdering".

Q5. Hvordan hjælper systemer som V5 os med at tilpasse os ICH Q9?
Med V5 kan du integrere QRM-logik i den måde, du driver anlægget på. Risikovurderinger i V5 QMS informerer om grænser og kontroller i V5 MES, statusser og holdinger i V5 WMS samt leverandørklassifikationer og SCAR-arbejdsgange via V5 Connect-integrationer. Afvigelser, OOS, klager og CPV-data flyder derefter tilbage til QRM som live bevis. Det tætte, datadrevne loop er præcis, hvad ICH Q9 og Q9(R1) skubber branchen hen imod.

Beslægtet læsning
• Risiko og livscyklus: Kvalitetsrisikostyring (QRM), risikoregistre og -kontroller | Kvalitet ved design (QbD) | ICH Q10 – Farmaceutisk kvalitetssystem
• Begivenheder og handlinger: Afvigelse og manglende overensstemmelse | Afvigelse | Grundårsagsanalyse (RCA) | Anmodning om korrigerende handling (CAR) | KASKET
• Systemer og V5-platform: Kvalitetsstyringssystem (QMS) | Oversigt over V5-løsningen | V5 MES – Produktionsudførelsessystem | V5 QMS – Kvalitetsstyringssystem | V5 WMS – Lagerstyringssystem | V5 Connect API