ICH Q9 Gestione del rischio di qualità

Questo argomento fa parte del SG Systems Global rischio, linee guida ICH e glossario della qualità del ciclo di vita.

Aggiornato a dicembre 2025 • ICH Q8/Q9/Q10/Q11, ICH Q9(R1), EU GMP, 21 CFR 210/211/820, ISO 9001/13485 • Farmaceutica, Biologica, ATMP, Dispositivi, Alimenti, Integratori, Cosmetici

La norma ICH Q9 sulla gestione del rischio per la qualità è il manuale globale che definisce come gli enti regolatori si aspettano che le aziende considerino e agiscano in relazione al rischio per la qualità. È la linea guida che ha trasformato l'idea di "effettuare valutazioni del rischio" da un semplice obbligo formale e che, con la versione Q9(R1), ha cercato di porre rimedio alla confusione generata da FMEA eccessivamente complesse, procedure burocratiche e valutazioni "tutto nella media" in cui molte aziende si trovavano intrappolate. Se applicata correttamente, la norma ICH Q9 trasforma il rischio in un linguaggio pratico che collega sviluppo, validazione, produzione, fornitori e gestione delle modifiche. Se applicata male, si riduce a un insieme di matrici colorate che non modificano mai un setpoint, un piano di campionamento o una decisione relativa ai fornitori.

"Se il ricorso all'ICH Q9 non cambia mai il modo in cui si progettano i controlli o si prendono decisioni in materia di rilascio e modifica, non si sta utilizzando la linea guida, ma la si sta citando."

1) Che cosa è la gestione del rischio di qualità ICH Q9?

La ICH Q9 è una linea guida dell'International Council for Harmonisation (ICH) che definisce i principi e gli esempi di gestione del rischio per la qualità nell'intero ciclo di vita dei prodotti farmaceutici. È stata originariamente adottata nel 2005 e successivamente rivista come ICH Q9(R1) per chiarire come gestire la soggettività, la formalità, il rischio di disponibilità del prodotto e il processo decisionale basato sul rischio.

In parole povere, l'ICH Q9 spiega come gli enti regolatori si aspettano che tu:

• identificare i rischi di qualità (per i pazienti, il prodotto e la conformità)
• analizzare e valutare tali rischi (probabilità e gravità)
• decidere e attuare misure di controllo (preventive, investigative, mitigative)
• comunicare e rivedere i rischi durante il ciclo di vita

Si applica in tutte le fasi: sviluppo, trasferimento tecnologico, produzione commerciale e cessazione della produzione, ed è pensato per essere utilizzato insieme a ICH Q8/QbD e ICH Q10 come un trio: qualità della progettazione, gestione del rischio, gestione di un sistema di gestione della qualità per l'intero ciclo di vita.

2) Cosa cerca (e cosa non cerca) di fare l'ICH Q9

L'ICH Q9 sta cercando di spingere l'industria e gli enti regolatori a:

• concentrare i controlli e gli sforzi laddove i rischi per i pazienti e la qualità del prodotto sono maggiori
• usare la scienza e i dati, non solo l'abitudine o il "abbiamo sempre fatto così"
• rendere trasparenti e verificabili le decisioni basate sul rischio
• considerare il QRM come un'attività del ciclo di vita, non un esercizio una tantum per le archiviazioni

Non si tratta di imporre l'utilizzo di uno strumento specifico (come l'FMEA) o di richiedere la massima formalità per ogni minima modifica. Il testo ammette esplicitamente una formalità proporzionale: valutazioni semplici e qualitative per argomenti a basso rischio; analisi più strutturate e quantitative per situazioni complesse o ad alto rischio.

Gli enti regolatori usano l'ICH Q9 come una lente: quando vedono un controllo, una specifica, un ambito di convalida o una decisione di deviazione, si chiedono "quale ragionamento sul rischio ha prodotto questo?". Se la risposta è "nessuno, abbiamo semplicemente fatto quello che abbiamo fatto 20 anni fa", non sei in linea con la linea guida, anche se la citi nelle procedure operative standard.

3) ICH Q9(R1) – Cosa è cambiato?

La revisione del 2020, ICH Q9(R1) , non ha riscritto l'intera linea guida, ma ha messo in evidenza quattro punti critici che continuavano a emergere dalle ispezioni e dai feedback del settore:

• Soggettività: Q9(R1) riconosce che il QRM non è puramente oggettivo e fornisce indicazioni più esplicite sulla gestione della soggettività, utilizzando team interfunzionali, criteri chiari, motivazioni documentate e dati per ancorare il punteggio.
• Formalità: Si chiarisce che il grado di formalità (ad esempio, modelli, quantificazione, profondità della documentazione) dovrebbero essere basati sul rischio. Le FMEA più complesse sono sconsigliate per qualsiasi aspetto, così come il ragionamento "a spanne" per le decisioni ad alto rischio.
• Rischio di disponibilità del prodotto: Sottolinea che, oltre alla qualità e alla conformità, è necessario considerare anche i rischi per la disponibilità dei prodotti (carenze), in particolare per i prodotti medicalmente necessari.
• Processo decisionale basato sul rischio: Rafforza il collegamento tra i risultati del QRM e le decisioni effettive, incoraggiando motivazioni documentate quando si sceglie di accettare, ridurre o trasferire il rischio.

Q9(R1) è fondamentalmente la linea guida che ammette che l'industria ha trasformato il QRM in un mostro burocratico o in un timbro di gomma, e dice: siate più intelligenti, siate proporzionati, siate trasparenti e ricordate che "nessun prodotto" può rappresentare un rischio per il paziente.

4) Il processo ICH Q9 QRM nella pratica

La linea guida descrive il QRM utilizzando quattro attività di alto livello:

• Valutazione del rischio – identificazione, analisi e valutazione dei rischi.
• Controllo del rischio – processo decisionale, attuazione della riduzione o accettazione del rischio e verifica dell’efficacia.
• Comunicazione del rischio – condividere informazioni sui rischi e sulle decisioni con le parti interessate.
• Revisione del rischio – monitoraggio dei rischi e dei controlli nel tempo come parte della gestione del ciclo di vita.

In realtà, questi si adattano perfettamente ai tipici processi QMS:

• Controllo delle modifiche e decisioni di progetto → valutazione e controllo dei rischi.
• Triage deviazione/NC e CAPA → valutazione e controllo del rischio con feedback.
• Qualifica del fornitore/CMO → valutazione del rischio, controllo, comunicazione, revisione.
• Revisione della direzione, PQR/APR → revisione del rischio.

Se i processi di controllo delle modifiche, deviazioni e fornitura non fanno esplicito riferimento al rischio, non si opera realmente in un mondo ICH Q9: si sta eseguendo la meccanica senza il cervello.

5) Strumenti in stile ICH Q9: i più grandi successi

Gli allegati all'ICH Q9 elencano molti strumenti; solo una manciata di essi svolge la maggior parte del lavoro pesante:

• Classificazione del rischio e matrici di rischio: Ideale per stabilire priorità di alto livello per problemi, progetti, fornitori e cambiamenti.
• FMEA/FMECA: Strumento di lavoro fondamentale per processi e progetti: mappatura strutturata delle modalità di guasto, degli effetti, delle cause e dei controlli, con punteggio di gravità-occorrenza-rilevamento ove utile.
• HACCP / analisi dei pericoli: Particolarmente rilevante nel settore alimentare e in alcune biotecnologie: identificazione dei punti critici di controllo (CCP) e controlli preventivi.
• Analisi dell'albero dei guasti (FTA): Per eventi rari e di grande impatto in cui è necessario comprendere come si combinano più guasti.
• Strumenti di supporto: Diagrammi di Ishikawa (a spina di pesce), analisi dei 5 perché, analisi PHA/What-If: spesso utilizzati come QRM più leggeri per argomenti di portata più limitata.

L'ICH Q9 evita deliberatamente di prescrivere un solo strumento. Gli enti regolatori sono più interessati a che tu abbia scelto un metodo appropriato per la domanda, che l'abbia applicata con sufficiente rigore e che abbia effettivamente utilizzato i risultati, piuttosto che al modello utilizzato.

6) Dove gli ispettori si aspettano di "vedere" ICH Q9

Gli enti regolatori raramente chiedono "mostrami il tuo raccoglitore ICH Q9". Cercano le sue impronte digitali in:

• Strategie di controllo: Selezione logica di CPP, CQA, IPC e test di rilascio, con un collegamento visibile al rischio e alla scienza.
• Validazione e CPV: Selezione basata sul rischio delle condizioni peggiori, piani di monitoraggio e fattori scatenanti di riqualificazione.
• Controllo delle modifiche: Valutazioni di impatto e rischio che determinano l'ambito dei test, della documentazione e delle approvazioni.
• Gestione deviazioni/OOS: Triage basato sul rischio (minore vs maggiore vs critico), percorsi di escalation, decisioni CAPA.
• Supervisione dei fornitori e del CMO: Frequenza di audit basata sul rischio, profondità dell'accordo sulla qualità, soglie SCAR e aspettative di condivisione dei dati.
• Integrità dei dati e IT: Controlli basati sul rischio relativi a sistemi, registrazioni e integrazioni critici.

Quando sentono dire "lo facciamo perché lo dice l'ICH Q9", si aspettano di vedere come questa affermazione si traduca in decisioni concrete, non solo in un paragrafo di politica aziendale.

7) ICH Q9, QbD e ICH Q10 – Come si integrano tra loro

L'ICH Q9 non vive da solo; è la gamba "a rischio" di uno sgabello a tre gambe:

• ICH Q8 / QbD: Sviluppo basato sulla scienza e sul rischio per definire CQA, CPP e spazio di progettazione.
• ICH Q9: Il metodo generale per la valutazione del rischio durante l'intero ciclo di vita, sia in fase di sviluppo che in fase di post-approvazione.
• ICH Q10: Sistema di qualità farmaceutico: il sistema di gestione della qualità del ciclo di vita che utilizza il QRM come uno dei suoi principi guida.

In una buona implementazione, è possibile tracciare una linea: QbD → QRM → PQS. Ad esempio, QbD identifica la dissoluzione come CQA e le condizioni di pan-spray come CPP; i metodi Q9 stabiliscono la priorità dei CPP più critici e dove posizionare sensori e allarmi; Q10 garantisce che tali controlli sopravvivano a modifiche, deviazioni e trasferimenti a nuovi siti e CMO.

8) Usi impropri comuni dell'ICH Q9

È possibile individuare le operazioni "citiamo Q9 ma non lo viviamo" tramite questi segnali:

• FMEA mostruose che nessuno legge: Centinaia di linee, nessuna connessione con controlli reali, limiti o piani di campionamento.
• Tutto valutato medio: Nessuna differenziazione, quindi nessuna priorità: vanifica lo scopo del QRM.
• Retrogiustificazione: Le valutazioni del rischio vengono create dopo che le scelte sono state fatte, esclusivamente per difenderle.
• Valutazioni del rischio congelate: I documenti non vengono mai aggiornati quando cambiano la tecnologia, i fornitori, i volumi o i modelli di guasto.
• Nessun ciclo di feedback: Le deviazioni, i reclami e i dati CPV non influenzano mai i registri dei rischi, i controlli o le classificazioni.
• QRM di proprietà esclusiva di QA: Le operazioni, l'ingegneria, la catena di fornitura e la regolamentazione trattano il QRM come una "documentazione QA", non come uno strumento decisionale congiunto.

L'ICH Q9 è stato concepito per ridurre il lavoro superfluo e aumentare la rilevanza. Quando si verifica il contrario, la linea guida viene utilizzata come un'etichetta, non come un modo di pensare.

9) Cosa significa la gestione del rischio di qualità ICH Q9 per V5

La versione 5 è quella in cui un framework QRM in stile ICH Q9 può essere trasformato da documento a comportamento. Invece di risiedere in una cartella condivisa, il QRM viene codificato direttamente nel funzionamento dei sistemi di produzione, inventario e qualità.

• Panoramica della soluzione V5
  • Fornisce un modello di oggetti unificato per prodotti, materiali, percorsi, lotti, fornitori, attrezzature, test, deviazioni e CAPA, in modo che i record QRM possano essere collegati direttamente a processi e risorse reali.
  • Consente di collegare i registri dei rischi e gli output QRM a fasi specifiche (ad esempio, "granulazione sulla linea 2"), non solo a nomi di processi generici.
• V5 MES – Sistema di esecuzione della produzione
  • Implementa le decisioni QRM come controlli: limiti e allarmi CPP nelle ricette, controlli obbligatori e firme in istruzioni di lavoro digitali, sequenze forzate per operazioni ad alto rischio.
  • Rileva deviazioni, trigger OOS e non conformità nel punto di lavoro, con contesto completo (lotto, linea, attrezzatura, operatore, fornitore), restituendo prove reali alle revisioni QRM e ICH in stile Q9.
  • Supporta i dashboard di verifica continua dei processi (CPV) per i passaggi critici, in modo da poter verificare se le aree ad alto rischio sono effettivamente sotto controllo o se stanno deviando.
• V5 WMS – Sistema di gestione del magazzino
  • Applica regole di inventario basate sul rischio: stati più rigorosi, sospensioni e regimi di campionamento per fornitori, materiali, corsie o SKU sensibili alla temperatura ad alto rischio.
  • Fornisce dati genealogici e di localizzazione che rendono le valutazioni dell'impatto del rischio (per richiami, problemi con i fornitori o escursioni del CPP) rapide e concrete, anziché ricorrere all'archeologia dei fogli di calcolo.
• V5 QMS – Sistema di gestione della qualità
  • Mantiene sotto controllo la revisione e le modifiche delle procedure QRM, dei modelli e dei registri dei rischi conformi allo standard ICH Q9.
  • Collega gli output QRM direttamente ai flussi di lavoro di controllo delle modifiche, deviazioni, CAPA, qualificazione dei fornitori e revisione della gestione, in modo che il rischio sia visibile ogni volta che viene presa una decisione.
  • Supporta dashboard per metriche correlate al rischio (ad esempio, processi ad alto rischio rispetto al tasso di deviazione, efficacia CAPA per classe di rischio) per alimentare la revisione della gestione in stile ICH Q10.
• API di connessione V5
  • Integra sistemi esterni (LIMS, ERP, PLM, CRM, portali dei fornitori) in modo che i segnali rilevanti per il rischio (tendenze OOS, picchi di reclami, problemi di fornitura) vengano automaticamente inseriti nella revisione QRM.
  • Ritrasmette le regole basate sul rischio (ad esempio, piani di campionamento, livelli di rischio dei fornitori) ai sistemi dei partner e delle aziende per mantenere l'esecuzione allineata con la logica ICH Q9.

In breve: con la V5, l'ICH Q9 non è più una semplice linea guida da citare, ma diventa il DNA alla base della configurazione dei controlli, dei flussi di lavoro e delle analisi, nonché della loro evoluzione in base al cambiamento dei rischi e delle conoscenze.

10) Roadmap di implementazione e suggerimenti pratici

Prendere sul serio l'ICH Q9 non significa bollire l'oceano. Significa individuare alcuni punti di leva e integrarli nei propri sistemi e nelle proprie abitudini.

• 1. Scegli un caso d'uso di punta. Ad esempio: un processo problematico, un prodotto critico o un fornitore/CMO problematico. Esegui una valutazione dei rischi mirata in stile ICH Q9 con le persone giuste.
• 2. Mantieni semplice il primo strumento. Utilizzate un'analisi FMEA o una matrice di rischio pulita. Concentratevi maggiormente su discussioni e prove di alta qualità, meno su punteggi artificiosi.
• 3. Assicurarsi che gli output cambino qualcosa di reale. Come risultato diretto di tale esercizio QRM, almeno alcuni controlli, limiti, test, piani di campionamento, flussi di lavoro o aspettative dei fornitori dovrebbero cambiare e dovrebbero essere implementati in V5 MES/QMS/WMS.
• 4. Memorizzare e collegare la motivazione. Acquisire la valutazione ICH Q9 nel QMS V5 e collegarla ai controlli delle modifiche, ai file di prodotto, alle descrizioni dei processi e ai registri dei rischi pertinenti.
• 5. Utilizzare i dati per mettere in discussione la storia. Dopo diversi mesi, estrarre deviazioni, non conformità, OOS, reclami e dati CPV da V5 e confrontarli con le aspettative nel QRM. Adeguare le valutazioni del rischio e i controlli se la realtà non è d'accordo.
• 6. Incorporare il QRM nei modelli. Assicurarsi che i moduli e i flussi di lavoro per il controllo delle modifiche, le deviazioni e i fornitori nella versione V5 richiedano esplicitamente le domande ICH Q9 e registrino le risposte.
• 7. Formare le persone a parlare il linguaggio del rischio. Fate in modo che i reparti operativi, ingegneristici e di controllo qualità si sentano a loro agio con il concetto di gravità/occorrenza, non semplicemente "questa è la nostra procedura".
• 8. Rendere il QRM parte della revisione della direzione. Utilizzare registri dei rischi, metriche di processo ad alto rischio ed efficacia CAPA per categoria di rischio nelle revisioni di gestione e PQR/APR.
• 9. Scalare in modo iterativo. Prendi il modello che ha funzionato per un caso d'uso ed estendilo ad altri prodotti, processi e fornitori, utilizzando le stesse strutture V5 e lo stesso playbook QRM.

Lo stato finale è semplice da descrivere: quando le persone chiedono "perché lo controlliamo in questo modo?" o "perché questo cambiamento è così pesante/leggero?", la risposta inizia con "perché abbiamo valutato il rischio in questo modo secondo l'ICH Q9, ed ecco i dati che abbiamo utilizzato" e non "perché è quello che diceva l'ultima convalida nel 2009".

FAQ

D1. In che modo l'ICH Q9 si differenzia dalla generica "gestione del rischio"?
La gestione generica del rischio può avere molteplici significati, dalla copertura finanziaria alla salute e sicurezza. L'ICH Q9 si concentra specificamente sui rischi per la qualità del prodotto, la sicurezza di pazienti/consumatori e la conformità normativa lungo l'intero ciclo di vita del prodotto farmaceutico. Definisce un processo strutturato, suggerisce strumenti e collega esplicitamente le decisioni sui rischi agli elementi del QMS come il controllo delle modifiche, la gestione delle deviazioni e la convalida.

D2. L'ICH Q9 si applica anche al di fuori del settore farmaceutico classico?
Sì, nella pratica. Sebbene siano stati redatti per il settore farmaceutico, i principi dell'ICH Q9 sono ampiamente applicati ai prodotti biologici, agli ATMP, ai dispositivi medici (insieme alla ISO 14971) e persino ai segmenti ad alto rischio di alimenti, cosmetici e prodotti chimici. Molti enti regolatori e clienti si aspettano un approccio in stile ICH Q9, anche se non menzionano esplicitamente la linea guida.

D3. Quanto formali devono essere le nostre attività QRM per soddisfare la domanda ICH Q9(R1)?
Dipende dal rischio. L'ICH Q9(R1) consente esplicitamente l' grado di formalità per adattarsi a impatti e complessità. Gli argomenti ad alto rischio (ad esempio, processi sterili, importanti modifiche alle formule, fornitori critici) richiedono strumenti strutturati, team interfunzionali e una documentazione completa. Gli argomenti a basso rischio possono essere gestiti con valutazioni qualitative più semplici, a condizione che la logica sia chiara e coerente.

D4. Quali modifiche ha apportato l'ICH Q9(R1) a cui dobbiamo effettivamente reagire?
La revisione ha acuito le aspettative in merito alla gestione della soggettività, all'uso di un'adeguata formalità, alla considerazione del rischio di disponibilità del prodotto e alla documentazione delle decisioni basate sul rischio. In pratica, significa che è necessario: essere espliciti riguardo a ipotesi e incertezze nel QRM; evitare di sovradimensionare argomenti a basso rischio; considerare il rischio di carenza nelle decisioni; e assicurarsi che le decisioni significative abbiano una giustificazione QRM visibile, non solo un "giudizio QA".

D5. In che modo sistemi come V5 ci aiutano ad allinearci con ICH Q9?
La versione V5 consente di integrare la logica QRM nella gestione dell'impianto. Le valutazioni del rischio in V5 QMS informano sui limiti e sui controlli in V5 MES, sugli stati e sulle sospensioni in V5 WMS, e sulle classificazioni dei fornitori e sui flussi di lavoro SCAR tramite le integrazioni di V5 Connect. Deviazioni, OOS, reclami e dati CPV confluiscono quindi in QRM come evidenza in tempo reale. Questo stretto ciclo basato sui dati è esattamente ciò verso cui ICH Q9 e Q9(R1) stanno spingendo il settore.

Lettura correlata
• Rischio e ciclo di vita: Gestione del rischio di qualità (QRM), registri dei rischi e controlli | Qualità in base alla progettazione (QbD) | ICH Q10 – Sistema di qualità farmaceutica
• Eventi e azioni: Deviazione e non conformità | Non conformità | Analisi della causa principale (RCA) | Richiesta di azione correttiva (CAR) | CAPA
• Sistemi e piattaforma V5: Sistema di gestione della qualità (SGQ) | Panoramica della soluzione V5 | V5 MES – Sistema di esecuzione della produzione | V5 QMS – Sistema di gestione della qualità | V5 WMS – Sistema di gestione del magazzino | API di connessione V5