ICH Q9 Kwaliteitsrisicobeheer

Dit onderwerp is onderdeel van de SG Systems Global risico, ICH-richtlijn en levenscycluskwaliteitswoordenlijst.

Bijgewerkt december 2025 • ICH Q8/Q9/Q10/Q11, ICH Q9(R1), EU GMP, 21 CFR 210/211/820, ISO 9001/13485 • Farmaceutica, biologische producten, ATMP's, apparaten, voeding, supplementen, cosmetica

ICH Q9 Quality Risk Management is de wereldwijde handleiding voor hoe toezichthouders verwachten dat u nadenkt over en handelt naar kwaliteitsrisico's. Het is de richtlijn die van "risicobeoordelingen uitvoeren" een formeel vereiste maakte – en vervolgens, met Q9(R1), probeerde de chaos van te complexe FMEA's, afvinklijstjes en "alles is gemiddeld"-scores op te lossen waar veel bedrijven in verzeild raakten. Goed toegepast, maakt ICH Q9 van risico's een praktische taal die ontwikkeling, validatie, productie, leveranciers en wijzigingsbeheer met elkaar verbindt. Slecht toegepast, wordt het een map vol kleurrijke matrices die nooit een setpoint, bemonsteringsplan of leveranciersbeslissing wijzigen.

"Als het inroepen van ICH Q9 nooit invloed heeft op de manier waarop u controles ontwerpt of beslissingen neemt over vrijgave en wijziging, gebruikt u de richtlijn niet – u citeert hem."

1) Wat is ICH Q9 Kwaliteitsrisicomanagement?

ICH Q9 is een richtlijn van de International Council for Harmonisation (ICH) die principes en voorbeelden van kwaliteitsrisicomanagement voor de farmaceutische levenscyclus definieert. De richtlijn werd oorspronkelijk aangenomen in 2005 en herzien als ICH Q9(R1) om te verduidelijken hoe subjectiviteit, formaliteit, risico's met betrekking tot productbeschikbaarheid en risicogebaseerde besluitvorming beheerd moeten worden.

Simpel gezegd vertelt ICH Q9 u hoe toezichthouders van u verwachten dat u:

• kwaliteitsrisico's identificeren (voor patiënten, product en naleving)
• deze risico's analyseren en evalueren (waarschijnlijkheid en ernst)
• Beslissen en implementeren van controlemaatregelen (preventief, detecterend, mitigerend)
• communiceren en beoordelen van risico's gedurende de levenscyclus

Het is van toepassing op de gehele levenscyclus, van ontwikkeling en technologieoverdracht tot commerciële productie en uitfasering, en is bedoeld om samen met ICH Q8/QbD en ICH Q10 te worden gebruikt als een drietal: ontwerpkwaliteit, risicobeheer en een kwaliteitsmanagementsysteem voor de gehele levenscyclus.

2) Wat ICH Q9 wel (en niet) probeert te doen

ICH Q9 probeert de industrie en toezichthouders ertoe aan te zetten:

• focus controles en inspanningen waar de risico's voor patiënten en productkwaliteit het hoogst zijn
• Gebruik wetenschap en data, niet alleen gewoonte of “we hebben het altijd zo gedaan”
• maak risicogebaseerde beslissingen transparant en controleerbaar
• behandel QRM als een levenscyclusactiviteit, niet als een eenmalige oefening voor het indienen van dossiers

Het is niet de bedoeling u te dwingen één specifiek instrument te gebruiken (zoals FMEA) of maximale formaliteit te eisen voor elke triviale wijziging. De tekst staat expliciet proportionele formaliteit toe: eenvoudige, kwalitatieve beoordelingen voor onderwerpen met een laag risico; meer gestructureerde, kwantitatieve analyses voor situaties met een hoog risico of complexe situaties.

Toezichthouders gebruiken ICH Q9 als lens: wanneer ze een controle, een specificatie, een validatiescope of een afwijkingsbesluit zien, vragen ze zich af: "welk risicodenken heeft hiertoe geleid?" Als het antwoord is: "geen – we deden gewoon wat we 20 jaar geleden deden", dan bent u niet in lijn met de richtlijn, zelfs als u hem met naam en toenaam in de standaardwerkwijzen vermeldt.

3) ICH Q9(R1) – Wat is er veranderd?

De herziening uit de jaren 2020, ICH Q9(R1) , herschreef niet de hele richtlijn, maar verscherpte wel vier pijnpunten die steeds weer naar voren kwamen bij inspecties en in feedback vanuit de sector:

• Subjectiviteit: Q9(R1) erkent dat QRM niet puur objectief is en biedt explicietere richtlijnen voor het beheersen van subjectiviteit – door gebruik te maken van cross-functionele teams, duidelijke criteria, gedocumenteerde onderbouwingen en gegevens om de score te verankeren.
• Formaliteit: Het verduidelijkt dat de mate van formaliteit (bijvoorbeeld sjablonen, kwantificering, documentatiediepte) moeten afhankelijk zijn van het risico. Zware FMEA's voor alles worden afgeraden; hetzelfde geldt voor risicovolle beslissingen met een "achterkant van een envelop"-benadering.
• Productbeschikbaarheidsrisico: Er wordt benadrukt dat naast kwaliteit en naleving ook de risico's voor de beschikbaarheid van producten (tekorten) in overweging moeten worden genomen, vooral bij medisch noodzakelijke producten.
• Risicogebaseerde besluitvorming: Het versterkt de koppeling tussen QRM-resultaten en daadwerkelijke beslissingen en stimuleert het vastleggen van argumenten wanneer u besluit risico's te accepteren, te verminderen of over te dragen.

Q9(R1) is in feite de richtlijn die erkent dat de industrie QRM heeft veranderd in een bureaucratisch monster of een stempelautomaat, en die zegt: wees slimmer, wees proportioneel, wees transparant – en onthoud dat “geen enkel product” ook een risico voor de patiënt kan vormen.

4) Het ICH Q9 QRM-proces in de praktijk

De richtlijn beschrijft QRM aan de hand van vier activiteiten op hoog niveau:

• Risicobeoordeling – risico-identificatie, -analyse en -evaluatie.
• Risico controle – besluitvorming, implementatie van risicovermindering of -acceptatie en verificatie van de effectiviteit.
• Risico communicatie – het delen van informatie over risico’s en beslissingen met relevante belanghebbenden.
• Risicobeoordeling – het monitoren van risico’s en controles in de loop van de tijd als onderdeel van levenscyclusbeheer.

In werkelijkheid komen deze goed overeen met typische QMS-processen:

• Wijzigingsbeheer en projectbeslissingen → risicobeoordeling en -beheersing.
• Afwijking/NC-triage en CAPA → risicobeoordeling en -beheersing met feedback.
• Leveranciers-/CMO-kwalificatie → risicobeoordeling, controle, communicatie, evaluatie.
• Managementbeoordeling, PQR/APR → risicobeoordeling.

Als uw wijzigingscontrole-, afwijkings- en leveranciersprocessen niet expliciet verwijzen naar risico, dan werkt u niet echt in een ICH Q9-wereld: u voert de mechanica uit zonder dat u erbij nadenkt.

5) ICH Q9-stijltools – De grootste hits

In de bijlagen bij ICH Q9 worden veel hulpmiddelen vermeld; een handvol voert het zwaarste werk uit:

• Risicoclassificatie en risicomatrices: Geschikt voor het prioriteren van problemen, projecten, leveranciers en wijzigingen op hoog niveau.
• FMEA/FMECA: Werkpaardtool voor processen en ontwerpen: gestructureerde toewijzing van faalwijzen, effecten, oorzaken en controles, met ernst-voorkomen-detectiescores waar nuttig.
• HACCP / gevarenanalyse: Vooral relevant in de voedings- en biotechnologiesector: identificatie van kritische controlepunten (CCP's) en preventieve controles.
• Foutenboomanalyse (FTA): Voor zeldzame gebeurtenissen met een grote impact, waarbij u inzicht moet hebben in de samenhang van meerdere storingen.
• Ondersteunende tools: Ishikawa (visgraat) diagrammen, 5-Why, PHA/What-If analyses – vaak gebruikt als lichtere QRM voor onderwerpen met een kleinere reikwijdte.

ICH Q9 vermijdt bewust het voorschrijven van één instrument. Toezichthouders hechten meer waarde aan de keuze van een geschikte methode voor de vraag, de rigoureuze aanpak en het daadwerkelijk gebruiken van de resultaten dan aan de template die u gebruikte.

6) Waar inspecteurs verwachten ICH Q9 te “zien”

Toezichthouders vragen zelden: "Laat me uw ICH Q9-map zien". Ze zoeken naar vingerafdrukken in:

• Controlestrategieën: Logische selectie van CPP's, CQA's, IPC's en vrijgavetesten, met een zichtbare link naar risico en wetenschap.
• Validatie en CPV: Risicogebaseerde selectie van de slechtste omstandigheden, monitoringsplannen en herkwalificatietriggers.
• Wijzigingscontrole: Impact- en risicobeoordelingen die de reikwijdte van testen, documentatie en goedkeuringen bepalen.
• Afwijking/OOS-afhandeling: Risicogebaseerde triage (klein versus groot versus kritiek), escalatiemogelijkheden, CAPA-beslissingen.
• Toezicht op leveranciers en CMO's: Risicogebaseerde auditfrequentie, diepgang van de kwaliteitsafspraken, SCAR-drempels en verwachtingen ten aanzien van gegevensuitwisseling.
• Gegevensintegriteit en IT: Risicogebaseerde controles rondom kritische systemen, registraties en integraties.

Als ze horen “we doen dit omdat ICH Q9 dat zegt”, verwachten ze te zien hoe die uitspraak tot uiting komt in echte beslissingen, en niet alleen in een beleidsparagraaf.

7) ICH Q9, QbD en ICH Q10 – Hoe ze bij elkaar passen

ICH Q9 staat niet op zichzelf; het is de ‘risico’-poot van een kruk met drie poten:

• ICH Q8 / QbD: Wetenschappelijk- en risicogebaseerde ontwikkeling om CQA's, CPP's en ontwerpruimte te definiëren.
• ICH-vraag 9: De algemene methode voor risicodenken gedurende de hele levenscyclus, zowel tijdens de ontwikkeling als na goedkeuring.
• ICH Q10: Farmaceutisch kwaliteitssysteem – het levenscyclus-QMS dat QRM als een van de leidende principes gebruikt.

Bij een goede implementatie kunt u een lijn trekken: QbD → QRM → PQS. QbD identificeert bijvoorbeeld ontbinding als een CQA en pan-spraycondities als CPP's; Q9-methoden prioriteren welke CPP's het meest kritisch zijn en waar sensoren en alarmen moeten worden geplaatst; Q10 zorgt ervoor dat deze controles veranderingen, afwijkingen en overdrachten naar nieuwe locaties en CMO's overleven.

8) Veelvoorkomend misbruik van ICH Q9

U kunt de 'we citeren vraag 9, maar leven er niet naar'-operaties herkennen aan de volgende signalen:

• Monsterlijke FMEA's die niemand leest: Honderden lijnen, geen enkele verbinding met echte controles, limieten of bemonsteringsplannen.
• Alles scoorde gemiddeld: Geen onderscheid, dus geen prioritering – dat ondermijnt het doel van QRM.
• Retro-rechtvaardiging: Risicobeoordelingen die worden opgesteld nadat keuzes zijn gemaakt, puur ter verdediging van de desbetreffende keuzes.
• Bevroren risicobeoordelingen: Documenten worden nooit bijgewerkt als de technologie, leveranciers, volumes of storingspatronen veranderen.
• Geen feedbacklus: Afwijkingen, klachten en CPV-gegevens hebben nooit invloed op risicoregisters, controles of classificaties.
• QRM is uitsluitend eigendom van QA: Operations, engineering, supply chain en regelgeving beschouwen QRM als “QA-documentatie” en niet als een gezamenlijk besluitvormingsinstrument.

ICH Q9 was bedoeld om de drukte te verminderen en de relevantie te vergroten. Wanneer je het tegenovergestelde ziet, wordt de richtlijn gebruikt als een label, niet als een manier van denken.

9) Wat ICH Q9 Kwaliteitsrisicomanagement betekent voor V5

V5 is waar een ICH Q9-stijl QRM-framework van documenten naar gedrag kan worden omgezet. In plaats van dat QRM in een gedeelde map blijft, worden de resultaten ervan direct gecodeerd in de manier waarop productie-, voorraad- en kwaliteitssystemen werken.

• V5 Oplossingsoverzicht
  • Biedt een uniform objectmodel voor producten, materialen, routes, batches, leveranciers, apparatuur, testen, afwijkingen en CAPA's, zodat QRM-records rechtstreeks aan echte processen en activa kunnen worden gekoppeld.
  • Maakt het mogelijk om risico-registers en QRM-uitvoer te koppelen aan specifieke stappen (bijvoorbeeld 'granulatie op lijn 2') en niet alleen aan generieke procesnamen.
• V5 MES – Productie-uitvoeringssysteem
  • Implementeert QRM-beslissingen als controles: CPP-limieten en alarmen in recepten, verplichte controles en handtekeningen in digitale werkinstructies, afgedwongen volgordes voor operaties met een hoog risico.
  • Registreert afwijkingen, OOS-triggers en non-conformiteiten op de werkplek, met de volledige context (batch, lijn, apparatuur, operator, leverancier), en voert echt bewijs terug in QRM- en ICH Q9-stijlbeoordelingen.
  • Ondersteunt Continued Process Verification (CPV)-dashboards voor kritieke stappen, zodat u kunt zien of risicogebieden daadwerkelijk onder controle zijn of afwijken.
• V5 WMS – Magazijnbeheersysteem
  • Past risicogebaseerde voorraadregels toe: strengere statussen, bewaartermijnen en bemonsteringsregimes voor leveranciers, materialen, routes of temperatuurgevoelige SKU's met een hoog risico.
  • Biedt genealogische en locatiegegevens waarmee u sneller en concreter risico-impactbeoordelingen kunt uitvoeren (voor terugroepacties, problemen met leveranciers of CPP-afwijkingen) in plaats van spreadsheet-archeologie.
• V5 QMS – Kwaliteitsmanagementsysteem
  • Houdt ICH Q9-afgestemde QRM-procedures, sjablonen en risico-registers onder controle en beheert wijzigingen.
  • Koppelt QRM-uitvoer direct aan workflows voor wijzigingscontrole, afwijkingen, CAPA, leverancierskwalificatie en managementbeoordeling, zodat risico's zichtbaar zijn telkens wanneer een beslissing wordt genomen.
  • Ondersteunt dashboards voor risicogerelateerde statistieken (bijvoorbeeld processen met een hoog risico versus afwijkingspercentage, CAPA-effectiviteit per risicoklasse) ter ondersteuning van de ICH Q10-stijl managementbeoordeling.
• V5 Connect API
  • Integreert externe systemen (LIMS, ERP, PLM, CRM, leveranciersportalen) zodat risicorelevante signalen – OOS-trends, klachtenpieken, leveringsproblemen – automatisch in de QRM-beoordeling worden opgenomen.
  • Duwt op risico gebaseerde regels (bijvoorbeeld bemonsteringsplannen, risiconiveaus voor leveranciers) terug naar partner- en bedrijfssystemen om de uitvoering in lijn te houden met de ICH Q9-logica.

Kortom: met V5 is ICH Q9 niet langer een richtlijn die u aanhaalt, maar vormt het de basis voor de manier waarop controles, workflows en analyses worden geconfigureerd – en hoe deze evolueren naarmate risico's en kennis veranderen.

10) Implementatie-routekaart en praktijktips

Serieus aan de slag gaan met ICH Q9 betekent niet dat je de oceaan overkookt. Het betekent dat je een paar aandachtspunten kiest en deze in je systemen en gewoonten verwerkt.

• 1. Kies één belangrijk use case. Bijvoorbeeld: een problematisch proces, een kritisch product of een lastige leverancier/CMO. Voer een gerichte ICH Q9-risicobeoordeling uit met de juiste mensen.
• 2. Houd het eerste gereedschap eenvoudig. Gebruik een overzichtelijke FMEA of risicomatrix. Richt je meer op hoogwaardige discussies en bewijs, minder op score-gymnastiek.
• 3. Zorg ervoor dat de uitkomsten daadwerkelijk iets veranderen. Er zouden ten minste een aantal controles, limieten, testen, bemonsteringsplannen, workflows of verwachtingen van leveranciers moeten veranderen als een direct gevolg van die QRM-oefening. Deze zouden moeten worden geïmplementeerd in V5 MES/QMS/WMS.
• 4. Sla de onderbouwing op en koppel deze aan elkaar. Leg de ICH Q9-beoordeling vast in V5 QMS en koppel deze aan de relevante wijzigingscontroles, productbestanden, procesbeschrijvingen en risicoregisters.
• 5. Gebruik data om het verhaal in twijfel te trekken. Haal na enkele maanden de gegevens over afwijkingen, non-conformiteiten, buiten gebruik gestelde waarden, klachten en CPV uit V5 en vergelijk deze met de verwachting in het QRM. Pas de risicobeoordelingen en -maatregelen aan als de realiteit dit niet toelaat.
• 6. Integreer QRM in sjablonen. Zorg ervoor dat in wijzigingscontrole-, afwijkings- en leveranciersformulieren en -workflows in V5 expliciet de ICH Q9-vragen worden gesteld en de antwoorden worden vastgelegd.
• 7. Train mensen in het spreken van risicotaal. Zorg dat de operationele, technische en kwaliteitszorgprofessionals vertrouwd raken met het denken in termen van ernst en incidentie, en niet alleen met ‘dit is onze procedure’.
• 8. Maak QRM onderdeel van de managementbeoordeling. Gebruik risicoregisters, procesmetrieken met een hoog risico en CAPA-effectiviteit per risicocategorie in uw management- en PQR/APR-beoordelingen.
• 9. Schaal iteratief. Neem het patroon dat werkte voor één use case en breid het uit naar andere producten, processen en leveranciers, waarbij u dezelfde V5-structuren en QRM-handleiding gebruikt.

De eindtoestand is eenvoudig te beschrijven: wanneer mensen vragen “waarom beheersen we het op deze manier?” of “waarom is deze verandering zo zwaar/licht?”, dan begint het antwoord met “omdat we het risico zo hebben ingeschat onder ICH Q9, en dit zijn de gegevens die we hebben gebruikt” – niet “omdat dat is wat de laatste validatie in 2009 zei”.

FAQ

V1. Hoe verschilt ICH V9 van generiek 'risicomanagement'?
Generiek risicomanagement kan van alles omvatten, van financiële hedging tot gezondheid en veiligheid. ICH Q9 richt zich specifiek op risico's voor productkwaliteit, patiënt-/consumentenveiligheid en naleving van regelgeving gedurende de farmaceutische levenscyclus. Het definieert een gestructureerd proces, suggereert tools en koppelt risicobeslissingen expliciet aan QMS-elementen zoals wijzigingsbeheer, afwijkingsbeheer en validatie.

V2. Is ICH V9 ook van toepassing buiten de klassieke farmacie?
Ja, in de praktijk. Hoewel de principes van ICH Q9 geschreven zijn voor de farmaceutische industrie, worden ze breed toegepast in biologische producten, ATMP's, medische hulpmiddelen (naast ISO 14971) en zelfs in risicovolle segmenten van voedingsmiddelen, cosmetica en chemicaliën. Veel toezichthouders en klanten verwachten een ICH Q9-stijl, zelfs als ze de richtlijn niet expliciet noemen.

Vraag 3. Hoe formeel moeten onze QRM-activiteiten zijn om te voldoen aan ICH Vraag 9(R1)?
Het hangt af van het risico. ICH Q9(R1) staat expliciet toe dat mate van formaliteit Schaalbaar met impact en complexiteit. Onderwerpen met een hoog risico (bijvoorbeeld steriele processen, grote formulewijzigingen, kritische leveranciers) vereisen gestructureerde tools, cross-functionele teams en grondige documentatie. Onderwerpen met een laag risico kunnen worden afgehandeld met eenvoudigere, kwalitatieve beoordelingen – zolang de onderbouwing helder en consistent is.

Vraag 4. Wat heeft ICH Vraag 9(R1) veranderd waarop we daadwerkelijk moeten reageren?
De herziening heeft de verwachtingen aangescherpt ten aanzien van het beheersen van subjectiviteit, het hanteren van passende formaliteiten, het in acht nemen van productbeschikbaarheidsrisico's en het documenteren van risicogebaseerde beslissingen. In de praktijk betekent dit dat u: expliciet moet zijn over aannames en onzekerheden in uw QRM; moet voorkomen dat onderwerpen met een laag risico te complex worden gemaakt; rekening moet houden met het risico op tekorten in uw beslissingen; en ervoor moet zorgen dat belangrijke beslissingen een zichtbare QRM-rechtvaardiging hebben, niet alleen een "QA-oordeel".

V5. Hoe helpen systemen zoals V5 ons bij het afstemmen op ICH V9?
Met V5 kunt u QRM-logica integreren in de manier waarop u uw fabriek runt. Risicobeoordelingen in V5 QMS vormen de basis voor limieten en controles in V5 MES, statussen en blokkeringen in V5 WMS, en leveranciersclassificaties en SCAR-workflows via V5 Connect-integraties. Afwijkingen, OOS, klachten en CPV-gegevens stromen vervolgens terug naar QRM als live bewijs. Die strakke, datagestuurde lus is precies waar ICH Q9 en Q9(R1) de industrie naartoe willen sturen.

Gerelateerd lezen
• Risico en levenscyclus: Kwaliteitsrisicomanagement (QRM), risicoregisters en controles | Kwaliteit door ontwerp (QbD) | ICH Q10 – Farmaceutisch kwaliteitssysteem
• Evenementen en acties: Afwijking en non-conformiteit | non-conformiteit | Root Cause Analyse (RCA) | Verzoek om corrigerende maatregelen (CAR) | CAPA
• Systemen en V5-platform: Kwaliteitsmanagementsysteem (QMS) | V5 Oplossingsoverzicht | V5 MES – Productie-uitvoeringssysteem | V5 QMS – Kwaliteitsmanagementsysteem | V5 WMS – Magazijnbeheersysteem | V5 Connect API