Риск-ориентированный подход

Риск-ориентированный подход является важным инструментом валидационных мероприятий, и реализуется в форме анализов рисков (оценки рисков), проводимых на первых этапах квалификации / валидации, а анализы рисков, в свою очередь, закладывают основу для всех дальнейших этапов валидационных мероприятий.

Правила GMP, с самого момента их появления, представляют собой набор регуляций общего характера, т.е. предписания в части политики и подходов к фармацевтическому производству. При этом, в фокусе этих регуляций всегда находился пациент и его безопасность. Таким образом, в GMP уже изначально были заложены основы риск-ориентированного подхода.

В правилах GMP по большей части отсутствуют конкретные требования в части дизайна систем и оборудования, а также параметров процессов производства и контроля качества лекарственных средств. Другими словами, декларируются, в основном, общие требования, но отсутствует описание конкретных способов реализации этих требований. Таким образом, GMP задает некие общие рамки, в пределах которых регулируемая компания должна самостоятельно принимать решения в части конкретных способов реализации требований GMP. Очевидно, что такие решения имеют критическое значение для безопасности пациента, качества продукта и целостности регулируемых записей и данных. Такие решения иногда также называют регулируемыми решениями, или GxP-решениями. При принятии таких решений регулируемая компания должна основываться на оценке рисков, т.е. применять риск-ориентированный подход.

Если рассмотреть эволюцию нормативной документации по GMP, то можно заметить, что в новых версиях документов даже те немногочисленные, относительно конкретные требования постепенно заменяются требованием принятия решения на основе оценки рисков. В ходе гармонизации международных требований GMP риск-ориентированный подход играет все более значимую роль, что в частности иллюстрируется принятием Европейским Медицинским Агентством руководства ICH Q9 по Управлению Рисками Качества в качестве нормативного документа.

ICH Q9 определяет два основных принципа управления рисками качества:

«…Оценка риска для качества должна основываться на научных знаниях и, в конечном счете, увязываться с защитой пациента; а также
Уровень усилий, формальности и документирования процесса управления рисками качества должен быть соразмерен уровню риска…».

Другими словами, оценка рисков должна быть основана на полноценном знании системы / понимании процесса, и должна быть сбалансированной, чтобы ресурсы регулируемой компании тратились оптимально, и в большем объеме именно там, где выше уровень риска. Необоснованно высокий расход ресурсов там, где это не оправдано уровнем риска, может лишать ресурсов другие места, где эти ресурсы критически важны для обеспечения безопасности пациента, качества продукта и целостности данных.

Еще один критически важный аспект риск-ориентированного подхода – это его целостность. Целостность риск-ориентированного подхода предполагает, что меры по снижению / устранению рисков должны применяться:

во-первых, ко всем элементам системы или процесса, где эти риски могут возникать, и,
во-вторых, ко всем этапам жизненного цикла системы или процесса, где возможно возникновение рисков.

Практика проведения оценки рисков и история инцидентов в фармацевтической отрасли показывает, что риски могут возникать во всех элементах системы или процесса, каким-либо образом соприкасающихся с продуктом, или имеющих к нему даже косвенное отношение, а также на всех этапах жизненного цикла таких систем и процессов. Поэтому риск-ориентированный подход должен заведомо охватывать все элементы и этапы жизненного цикла таких систем и процессов, что применительно к фармацевтическому производству, также включает в себя и этапы его проектирования, строительства, монтажа и пуско-наладки оборудования.

Кроме того, целостный риск-ориентированный подход должен обеспечивать полную прослеживаемость, от регуляторных требований и параметров качества продукта, до требований к производственному процессу, параметрам производственной среды и соответствующим проектным решениям.

Ярким примером нецелостного, несбалансированного риск-ориентированного подхода была бы ситуация, если бы поросёнок Ниф-Ниф из известной сказки, построивший себе соломенный дом, решил поставить себе железную дверь, чтобы защититься от волка.

Анализы рисков (оценка рисков)

Анализ рисков проводится, когда планируется модификация существующей или внедрение новой системы или процесса. При этом объектом анализа рисков является соответствующая система или процесс, а также цели и задачи, связанные с их модификацией или внедрением. Если исходить из регуляторных требований фармотрасли и требований GMP в части необходимости четкого документирования любых процессов, регулируемых GMP, можно утверждать, что и в случае анализа рисков речь всегда идет о наборе документированных описаний систем и/или процессов, т.е. спецификациях, или, другими словами, о некоем документированном проекте, который подвергается анализу рисков.

Результатом анализа рисков является список идентифицированных и подвергнутых оценке (классифицированных) рисков, рекомендации / меры по снижению или устранению рисков, и ссылки на
валидационные мероприятия, в ходе которых проверяется реализация предложенных в ходе анализа рисков мер по их снижению / устранению.

В зависимости от целей, рассматриваемых систем/процессов и ожидаемых результатов / формата оформляемой документации, существует огромное многообразие различных видов анализов рисков. Можно классифицировать анализы рисков по нескольким критериям, таким как охват / детальность, метод оценки (классификации) и типы рассматриваемых рисков.

В зависимости от охвата и детальности рассмотрения систем и процессов анализы рисков бывают базовыми (общими) и детальными.

В зависимости от метода оценки (классификации) идентифицированного риска анализы рисков могут быть с качественной оценкой, подразумевающей только два варианта ответа на вопрос, является данный риск критичным в рамках рассматриваемых регуляторных требований: да или нет (либо три варианта ответа, если добавить «н/п –неприменимо»), либо с количественной оценкой, подразумевающей оценку степени критичности, выраженную числовым параметром.

В зависимости от типа рассматриваемых рисков (опасностей), анализы рисков могут быть GMP/GxP, EHS (Environment, Health, Safety – окружающая среда, здоровье, безопасность – иногда используется другой порядок компонентов, например, HSE или HES), коммерческими и т.п. Также в ходе анализа рисков может одновременно рассматриваться несколько видов рисков (опасностей), например, GMP и EHS.

Следует помнить, что терминология, связанная с риск-ориентированным подходом, используемая в упомянутом ранее руководстве ICH Q9 по Управлению Рисками Качества, отличается от традиционно сложившейся терминологии, связанной с валидационными мероприятиями. В традиционной валидации в качестве соответствующего этапа валидационных мероприятий используется термин анализ рисков. В терминологии валидации компьютеризированных систем (CSV), а также в различных мероприятиях по управлению рисками вместо термина анализ рисков используется термин оценка рисков.

В Руководстве ICH Q9 по Управлению Рисками Качества, в значении эквивалентном традиционному анализу рисков, используется сочетание процессов, обозначаемых терминами общая оценка риска и контроль риска, а термин анализ риска используется совсем в другом значении: как один из подпроцессов, составляющих общую оценку риска, наряду с идентификацией риска и оценкой риска.

Стоит отметить, что упомянутая выше схема управления рисками качества, является не регуляторным требованием, а только рекомендацией. Ряд руководств ISPE предлагает собственные, несколько отличающиеся модели управления рисками (например, серия руководств GAMP). Кроме того, существуют специализированные стандарты ISO, регламентирующие процессы управления рисками (например, ISO 31000 Управление рисками, ISO 14971 Применение менеджмента риска к медицинским изделиям и т.д.), а также множество других моделей управления рисками используется в различных отраслях. Регулируемая компания может самостоятельно выбрать подходящую модель управления рисками.

Так как предметом рассмотрения данного раздела являются валидационные мероприятия, и во избежание путаницы, мы будем здесь и далее использовать традиционный для валидационных мероприятий термин анализ рисков, включающий в себя следующие процессы:

Идентификация риска
Оценка (классификация) риска
Выработка мер / рекомендаций
Назначение этапов валидационных мероприятий, на которых будет проверяться реализация предложенных мер / рекомендаций.

ICH Q9 также предлагает ряд инструментов управления рисками:

Анализ режимов и последствий отказов (Failure Mode Effects Analysis - FMEA)
Анализ режимов, последствий и критичности отказов (Failure Mode, Effects and Criticality Analysis - FMECA)
Анализ древа ошибок (Fault Tree Analysis - FTA)
Анализ опасностей и критические контрольные точки (Hazard Analysis and Critical Control Points - HACCP)
Анализ опасностей и работоспособности (Hazard Operability Analysis - HAZOP)
Предварительный анализ опасности (Preliminary Hazard Analysis - PHA)

Инструменты FMEA и FMECA могут рассматриваться в качества методов анализа рисков в рамках валидационных мероприятий, и, соответственно также будут освещаться ниже. Остальные инструменты нетипичны для фарминдустрии, особенно в части проведения валидационных работ.

Базовый анализ рисков

Базовый анализ рисков является первым этапом валидационных мероприятий. Это первичная оценка рисков, в ходе которой производство, или отдельный производственный участок, где планируется изменения в рамках некоего проекта, рассматриваются как единое целое, и идентифицируются индивидуальные системы и процессы, которые могут оказывать влияние на безопасность пациента, качество продукта и/или целостность данных. Такие системы в дальнейшем подлежат в индивидуальном порядке проведению детальных анализов рисков, а также последующих применимых этапов квалификации и валидации.

Можно сказать, что в ходе проведения базового анализа рисков определяется область действия требований GMP (GxP) применительно к отдельным системам и процессам, или, другими словами, определяется «GxP-покрытие» проекта.

Важно понимать, что при оценке влияния систем и процессов в рамках базового анализа рисков должны рассматриваться не столько характеристики самих этих систем и процессов (что будет в последствии рассмотрено в ходе детальных анализов рисков), сколько цели и способы их использования на фармпредприятии, например:

задействованы ли данные системы / процессы в каких-либо производственных процессах, и если да, то в каких
обрабатывают ли / соприкасаются ли данные системы с открытым продуктом, первичными упаковочными материалами, чистыми технологическими средами и т.д.
могут ли данные системы и процессы косвенно влиять на безопасность продукта, например, вызывать/допускать перепутывание (сырья, полупродуктов, продуктов и т.д.), нарушение целостности записей и данных, повышать риски ошибки персонала и т.д.

Одна и та же система / процесс могут быть как критичными с точки зрения GMP / GxP, так и не иметь отношения к этим регуляторным требованиям, т.е. не требовать проведения валидации – в зависимости от целей и способов использования этих систем / процессов на предприятии.

К примеру, система вентиляции, HVAC (в составе: вентустановок, комплекса воздуховодов, приточных/вытяжных решеток и анемостатов, электронной системы управления):

является GMP/GxP-критичной, если она обслуживает производственные помещения (в особенности, чистые помещения)
не является GMP/GxP-критичной, если она обслуживает офисные помещения / административный корпус предприятия, где нет производственных помещений

Другой пример – система генерации и распределения сжатого воздуха (CA – Compressed Air):

является GMP/GxP-критичной, если сжатый воздух используется в качестве технологической среды, т.е. соприкасается с продуктом (сырьем, полупродуктом), материалами первичной упаковки, чистым оборудованием или чистыми технологическими средами
является GMP/GxP-критичной, если сжатый воздух используется только для пневматических систем автоматики в оборудовании, но при этом отработанный сжатый воздух сбрасывается из оборудования в чистых помещениях (косвенное воздействие)
не является GMP/GxP-критичной, если сжатый воздух используется только для пневматических систем автоматики в оборудовании, и отработанный сжатый воздух сбрасывается в технических зонах / неклассифицированных помещениях

Точно также процессы очистки (уборки) помещений являются GMP/GxP-критичными, если они применяются к производственным помещениям, и не являются критичными, если они применяются к административным помещениям.

Базовое руководство по фармацевтической инженерии ISPE, Том 5 «Ввод в эксплуатацию и квалификация», предлагает следующую классификацию систем / процессов на основе их влияния на продукт:

Системы с прямым воздействием на качество продукции
Системы с косвенным воздействием на качество продукции
Системы, не оказывающие воздействия на качество продукции

Системы / процессы с прямым и косвенным воздействием считаются GMP/GxP-критичными и должны подвергаться квалификации / валидации.

Как правило, к GMP/GxP-критичным системам / процессам относят:

планировочные решения производственной зоны, включая:
- взаимное расположение помещений
- потоки персонала и материалов
- концепция гигиенических зон
- наличие переходных шлюзов, разделяющих различные гигиенические зоны
чистые (классифицированные) помещения и примыкающие к ним зоны класса КНК (контролируемые неклассифицированные, CNC – controlled not classified)
системы вентиляции (HVAC), обслуживающие чистые помещения и зону КНК
системы генерации и распределения чистого сжатого воздуха (CA – compressed air) и технологических газов (азот и т.п.)
системы генерации, хранения и распределения фармацевтической воды, в том числе:
- вода очищенная – ВО (PW – purified water)
- вода для инъекций – ВДИ (WFI – water for injections)
- чистый [технологический] пар (PS – pure steam)
оборудование для обработки сырья и изготовления продукта
оборудование для наполнения / фасовки
оборудование для первичной / вторичной упаковки, маркировки, сериализации и агрегации
процессы, составляющие технологическую цепочку по производству лекарственных средств
процессы очистки технологического оборудования
аналитические методики, используемые для контроля качества и испытания стабильности лекарственных средств

Как правило, не относятся к GMP/GxP-критичным системам / процессам:

системы генерации и распределения технических сред:
- технический пар (plant steam)
- холодная / горячая (питьевая или техническая) вода
- оборотная захоложенная вода
- оборотная горячая вода (отопление, нагрев для технологии и т.д.)
- хладоагенты (системы холодоснабжения)
- прочие оборотные теплоносители (гликоль)
канализация
электроснабжение
системы пожаротушения и пожарной сигнализации
системы видеонаблюдения

Иногда решение о том, является ли система GMP/GxP-критичной, не настолько очевидно и может вызывать дискуссии. Например, система генерации технического пара снабжает техническим паром системы генерации воды для инъекций (WFI) и автоклав (например, работающий по принципу полива перегретой водой). Очевидно, обе последних системы являются GMP/GxP-критичными, но для их функционирования также обязательно наличие технического пара. Поломка системы генерации технического пара означает остановку технологического процесса. Обычно такой риск рассматривается в качестве экономического, а не GMP/GxP-риска. Однако, если речь идет о производстве уникального препарата, когда остановка производства может привести к его недоступности на рынке и, как следствие, угрозе здоровью пациентов, для которых этот препарат является жизненно необходимым, рассмотрение этого риска в качестве GMP/GxP-критичного может быть оправданным. При этом, скорее всего, речь не будет идти о полноценной квалификации / валидации системы генерации технического пара, однако могут потребоваться определенные технические и организационные меры. Примером таких мер могут служить:

использование надежного бойлера со встроенной системой мониторинга
уменьшенный интервал периодического технического обслуживания
хранение дополнительного запаса комплектующих, необходимых для ремонта системы

Главным результатом базового анализа рисков является перечень систем / процессов, определенных как GMP/GxP-критичные и требующие квалификации / валидации. Таким образом, базовый анализ рисков закладывает основу для всех дальнейших валидационных мероприятий. В отдельных случаях, также возможно, что в результате изменений, внесенных в проект на более поздних этапах валидации, в том числе с целью устранения отклонений, обнаруженных в ходе квалификации проекта (DQ), требуется переоценка GMP/GxP-критичности отдельных систем, и базовый анализ рисков может быть проведен снова (или актуализирован, если говорить о его документальном представлении).

Детальный анализ рисков

В ходе детального анализа рисков (который чаще называют просто анализ рисков) каждая система / процесс, подлежащие квалификации / валидации, рассматривается в индивидуальном порядке.

При этом:

последовательно рассматриваются отдельные компоненты, операции / этапы движения продукта, аспекты, относящиеся к этой системе / процессу;
идентифицируются связанные с ними возможные риски;
даётся, в зависимости от вида анализа рисков, качественная или количественная оценка каждого идентифицированного риска и/или его категоризация в качестве критичного / некритичного (соответственно, неприемлемого или приемлемого);
предлагаются меры по снижению / устранению риска или увеличению обнаруживаемости наступления событий, соответствующих этому риску;
и определяется, на каких дальнейших этапах квалификации / валидации будет проверяться реализация предложенных мер.

Детальный анализ рисков – это самый важный и ёмкий, с точки зрения профессиональных знаний, элемент валидационных мероприятий, который является источником контрольных пунктов и критериев приемлемости для этапов квалификации и валидации, выполняемых впоследствии. Меры по снижению / устранению рисков, идентифицированные в ходе детального анализа рисков, в дальнейшем трансформируются в критерии приемлемости в контрольных пунктах протоколов квалификации проекта (DQ), квалификации монтажа (IQ), квалификации функционирования (OQ), квалификации эксплуатации (PQ), и различных протоколов валидации.

Как было упомянуто выше, анализы рисков, помимо критерия детальности, можно классифицировать в зависимости от вида оценки: качественной или количественной, а также по характеру рассматриваемых рисков. Наиболее типичными для фарминдустрии являются три вида (детальных) анализов рисков:

GMP-Анализ рисков (GMP RA) – анализ рисков, который обычно учитывает только аспекты GMP/GxP и использует качественную оценку уровня риска, т.е. является ли риск критичным, и два варианта ответа: «да» или «нет».
FMEA (Анализ режимов и последствий отказов – Failure Mode and Effects Analysis) / FMECA (Анализ режимов, последствий и критичности отказов – Failure Mode, Effects and Criticality Analysis) – анализ рисков, который использует количественную (численную) оценку уровня риска, а также может содержать финальную качественную категоризацию риска (критичный / некритичный), определяемую на основе совокупной количественной оценки риска.
EHS (Environment / Health / Safety) — анализ рисков, который в основном рассматривает вопросы безопасности персонала и окружающей среды, обычно проводится на предприятиях по производству потенциально опасных, токсичных и сильнодействующих лекарственных средств. При этом может использоваться как качественная (как в GMP RA), так и количественная (как в FMEA / FMECA) оценка уровня риска.

Рассмотрим эти виды анализов рисков более подробно.

GMP-Анализ рисков (GMP RA)

В ходе GMP-Анализа рисков обычно рассматриваются риски, связанные с потенциальным нарушением требований GMP/GxP. Иногда, помимо GMP/GxP-рисков в область рассмотрения также могут включаться и другие виды рисков, если они немногочисленны, и нет смысла проводить для них отдельный анализ рисков. Такими дополнительными рисками могут быть экономические риски, риски безопасности, EHS-риски, риски несоответствия требованиям пользователя и т.д.

Анализ рисков документируется в табличной форме. Обычно в такой таблице 7 колонок, имеющих следующее назначение:

A – Порядковый номер / идентификатор риска.

Здесь указывается обычный порядковый номер или некий идентификатор риска в другом формате. Как правило, используется сквозная нумерация всех строк таблицы с рисками, и каждая строка получает уникальный порядковый номер (например, 01, 02, 03… и т.д.). В отдельных случаях могут также использоваться идентификаторы, состоящие из нескольких численных компонентов с разделителем, содержащие буквенные символы и т.д. (например, 1.01, 1.02, 2.01… или A01, A02… и т.д.). Формат номеров/идентификаторов рисков выбирается регулируемой компанией по своему усмотрению, и фиксируется в Валидационном Мастер-Плане (ВМП). Единственным требованием здесь является, чтобы выбранная система обеспечивала полную прослеживаемость, и каждая строка таблицы имела уникальный номер или идентификатор.

B – Шаг процесса / компонент системы

Эта колонка таблицы отвечает на вопрос, где, в каком элементе, на каком шаге процесса или в связи с каким аспектом / характеристикой системы или процесса может возникать риск (который, который в свою очередь указан в следующей колонке таблицы). Это может быть, например:

мембраны обратного осмоса, мешалка, дыхательный фильтр, вентили, датчики, система управления и т.п. (компоненты системы)
запайка ампул, таблетирование, фаза выдержки (при стерилизации), обеспыливание, очистка и т.п. (технологические этапы / процессы)
маркировка компонентов системы, температура, скорость вращения мешалки и т.п. (различные характеристики и аспекты, связанные с системой или процессом)

Фактически колонка B является частью определения риска, так как содержит информацию о месте возникновения или принадлежности риска к компоненту системы, этапу процесса и т.д.

C – Возможное отклонение

В этой колонке таблице указывается собственно то, что может произойти, т.е. потенциальное отклонение, ассоциируемое с рассматриваемым риском. Обычно это сформулированное в краткой лаконичной форме повествовательное утверждение, чаще в форме неполного предложения:

слишком высокая температура
температура вне допустимых пределов
попадание посторонних предметов
расположена в недоступных местах (маркировка)
работа «в сухую» (насос)

D – Риск GMP

В этой колонке указывается качественная категория обнаруженного риска, т.е. является ли отклонение GMP-риском («да»), или не является («нет»). Для выяснения этого можно выделить два вопроса:

Вопрос 1: «Является ли шаг процесса или параметр процесса критическим, может ли он повлиять на качество / безопасность продукта?»

Вопрос 2: «Существует ли риск, что информация, имеющая отношение к GMP, отсутствует или неправильная (например, документация)?»

В случае положительного ответа хотя бы на один из этих вопросов риск рассматривается как GMP-критичный.

В определенных случаях, когда в отношении указанной системы или процесса формулировка отклонения/риска неприменима, или не имеет физического смысла, некоторые компании могут использовать и третий варианта ответа – «н/п» (неприменимо), при условии, что это допускается форматом протоколов и описано в процедурах / ВМП. Тем не менее, такая практика не имеет особого смысла, так как неприменимые риски можно вообще не рассматривать, а если они все же попали в таблицу рисков, вариант ответа «нет» будет в данном случае также правильным.

E – Пояснение

В этой колонке приводятся пояснения / обоснования, почему указанный риск был признан некритичным с точки зрения GMP. В случае, если риск был признан GMP-критичным, в этой колонке также приводятся соответствующие пояснения и обоснования. В качестве достаточного обоснования обычно рассматриваются прямые последствия отклонения, для которых критичность очевидна, или которые являются прямым нарушением требований GMP, например, «риск контаминации», «риск для качества продукта», «нарушение целостности регулируемых данных» и т.п. Если изначальная формулировка риска является прямым нарушением требований GMP, то в пояснении может быть так и указано: «Прямое нарушение требований GMP».

Также имеет место практика, когда в качестве обоснования в колонке E указываются ссылки на пункты требований нормативной документации (текста руководства по GMP), по аналогии с протоколами аудитов и инспекций. Исходя из того, что в случае анализа рисков необходимо предоставить такие ссылки для многократно большего числа пунктов (при аудитах/инспекциях это нужно только для обнаруженных несоответствий), такая практика является чрезмерной, и требует необоснованно высоких трудозатрат. Ситуацию, когда рабочее время тратится на формальный поиск пунктов руководства, вместо того, чтобы сконцентрироваться на тщательном анализе системы / процесса и возможных отклонений, можно рассматривать как пример несбалансированного риск-ориентированного подхода.

F – Тесты / мероприятия

В эту колонку записываются меры, необходимые для снижения/устранения идентифицированного риска, а также контрольные мероприятия (тесты, валидационные испытания и т.д.) для повышения выявляемости наступления обстоятельств (отклонений), связанных с этим риском. Такие меры/мероприятия для GMP-рисков должны предлагаться в обязательном порядке. Для рисков, категорированных как не GMP-риски, меры по их снижению/устранению или повышению выявляемости могут также предлагаться при необходимости.

Предложенные в этой колонке меры/мероприятия составляют основу для формулирования критериев приемлемости в протоколах для последующих этапов квалификации и валидации.

Меры/мероприятия в таблице рисков как правило формулируются в краткой обобщенной форме, без указания технических деталей, связанных с их реализацией, но достаточно детально, чтобы была понятна их суть в части воздействия на идентифицированный риск, чтобы их можно было в будущем трансформировать в конкретные технические и/или организационные решения и, конечно, чтобы можно было сформулировать соответствующие критерии приемлемости в протоколах квалификации и валидации.

Меры по управлению рисками можно разделить на три уровня (Руководство ISPE GAMP RDI):

Технические (уровень оборудования)
Процедурные (уровень процесса)
Поведенческие (уровень организации)

Уровень 1. Технические меры

Меры на этом уровне предполагают внедрение технических решений на уровне оборудования / систем. Это может быть установка дополнительных датчиков, настроек управления и сигнализации тревог, использование особых материалов и конструкций, оснащение дополнительными системами, организация защитных ламинарных потоков воздуха, установка защитных экранов, внедрение систем очистки в линии (Cleaning in Place – CIP), особые планировочные решения и решения в части организации систем отопления, вентиляции и кондиционирования (HVAC – Heating, Ventilation and Air Conditioning), каскадов давления, взаимной блокировки дверей в шлюзах и т.п. Обобщая, можно сказать, что это меры, которые действуют без непосредственного участия человека.

Уровень 2. Процедурные меры

Это меры, связанные с изменением, добавлением дополнительных этапов в технологический процесс или вспомогательные процессы. Носителем таких мер обычно является документированная процедура или инструкция, имеющая отношение к процессам производства, контроля качества, техобслуживания и т.п. Примером таких мер является очистка, разделение операций по времени, различные ручные операции управления и мониторинга в отношении параметров процесса и окружающей среды, отбор проб на линии, внутрипроизводственный контроль (In-Process Control – IPC), маркировка контейнеров, заполнение документации, ввод данных в электронную систему и т.д.

К процедурным мерам также можно отнести и дополнительные контрольные мероприятия (тесты), включая специфические квалификационные и валидационные мероприятия. Поэтому, иногда, в колонке Тесты/Мероприятия в качестве мер указываются непосредственно валидационные мероприятия, например, CLV (валидация очистки), PV (валидация процесса), CSV (валидация компьютеризированных систем).

Уровень 3. Поведенческие меры

Это меры, связанные с компетентностью, мотивацией и, в общем смысле, поведением сотрудников предприятия. Это предполагает не только знание предмета, но и сознательное отношение к работе, мотивацию, чувство ответственности перед пациентом и т.д. Очень важной в этом контексте является атмосфера на предприятии, отношения между сотрудниками, их удовлетворенность работой, что может требовать выделения дополнительных ресурсов. Критическую роль здесь играет приверженность высшего менеджмента предприятия к созданию благоприятной атмосферы и мотивации персонала к соблюдению требований GMP, в том числе на собственном примере. Помимо прочего, необходимо поощрять персонал сообщать о проблемах и ошибках без страха возможного наказания (недопустимо наказывать за непредумышленные ошибки). К эффективным поведенческим мерам также относятся обеспечение эффективной передачи знаний и ротации персонала между различными функциями. Не смотря на такой обширный набор возможных мер, в рамках анализа рисков поведенческие меры, как правило, сводятся к обучению персонала в отношении соответствующей критичной операции / процесса, так как остальные поведенческие меры имеют мало отношения к производственному процессу и скорее связаны с корпоративной культурой. Иногда, в случае операций, требующих сильного физического / ментального напряжения, в качестве соответствующей меры также может выступать введение перерывов для отдыха персонала и более частой оперативной ротации между рабочими местами, впрочем, такие меры можно также отнести и к процедурным (Уровень 2).

Современные регуляторные ожидания заключаются в том, чтобы, по возможности, были задействованы все три уровня мер. При этом, основной фокус должен приходиться на меры низкого уровня: в первую очередь, технические меры. И только в случае, если технические меры невозможны или экономически нереализуемы в рамках существующего проекта, а процедурные меры могут при этом надежно устранить идентифицированный риск, допускается не применять технические меры. В остальных случаях «замена» мер низкого уровня мерами высокого уровня не допускается, так как меры высокого уровня рассматриваются в качестве поддерживающих мер в дополнение к мерам низкого уровня.

G Обработка

В колонке Обработка указываются те этапы квалификации и валидации, а также иногда прочие мероприятия (например, калибровка), в ходе которых осуществляется проверка реализации предложенных мер/мероприятий. Именно в протоколы этих этапов квалификации и валидации попадают предложенные меры/мероприятия, сформулированные в качестве критериев приемлемости.

Ссылки на этапы квалификации и валидации указываются в кратком виде, например, DQ, IQ, CSV, PV и т.д.

Деление таблицы рисков на разделы

Обычно таблица рисков разделена на несколько тематических разделов, в каждом из которых указываются риски, связанные с соответствующими шагами процесса, компонентами системы, или аспектами проекта. Такими разделами могут являться:

Общее (общие аспекты, связанные с дизайном системы)
Материалы
Этап процесса 1 (например, фильтрация и умягчение воды)
Этап процесса 2 (например, обратный осмос)
…
Этап процесса N (например, хранение и распределение воды очищенной)
Технологические среды и энергоносители
Функционирование системы
Мониторинг / GMP параметры
Маркировка
Документация

Анализ рисков FMEA/FMECA

Этот вид анализов рисков указан в качестве возможного инструмента для управления рисками качества в руководстве ICH Q9, которое в свою очередь ссылается на международный стандарт IEC 60812 (Analysis techniques for system reliability – Procedure for failure mode and effects analysis FMEA).

В стандарте FMEA используется специфическая, нетипичная для классического GMP анализа рисков терминология применительно к рискам и отклонениям, и основной фокус делается на рассмотрении цепочки последствий наступления обстоятельств, связанных с идентифицированным риском, вплоть до конечного последствия. Стандарт FMEA разработан для промышленности в целом, и не имеет эксклюзивного отношения к фарминдустрии.

FMECA рассматривается, как расширенный вариант FMEA, дополнительно включающий в себя количественную оценку критичности риска на основании комбинации оценок тяжести последствий и частоты возникновения. При этом, в руководства ICH Q9 также указан третий компонент оценки критичности риска: вероятность обнаружения (с точки зрения оценки рисков, целесообразней использовать вероятность необнаружения).

Если для оценки рисков в GMP RA используется только один столбец таблицы для категорирования рисков в качестве GMP-критичных или некритичных (да / нет), то в FMECA применяется набор из нескольких числовых параметров-компонентов:

Вероятность возникновения (O – Occurrence)
Вероятность необнаружения (ND – Non-Detection)
Тяжесть последствий (S – Severity)

В дополнение к этому, также дается комплексная оценка уровня риска, вычисляемая по формуле:

R = O x ND x S

Для оценки отдельных компонентов могут использоваться различные диапазоны чисел (1..3, 1..10 и т.д.). Также могут использоваться различные обозначения параметров-компонентов и совокупной критичности риска.

На основе значения совокупной критичности риска R проводится его качественная оценка. Для этого используется заданная граница отсечения. Например, если в качестве границы отсечения установлена степень критичности 6, то риск считается GMP критичным, если R ≥ 6, и GMP некритичным, если R < 6.

Стоит помнить, что в отношении этих методов анализов рисков имеет место путаница в терминологии: традиционно, схему оценки совокупной критичности рисков на основании указанных выше трех компонентов, в соответствии с ICH Q9 относящуюся к FMECA, также иногда называют FMEA, что не вполне правильно в соответствии с ICH Q9 и IEC 60812.

Таблица рисков FMEA/FMECA выглядит сходным образом с таблицей рисков из GMP Анализа рисков. Единственным отличием является наличие четырех дополнительных колонок для количественной оценки критичности риска, соответствующих трем параметрам-компонентам и совокупному уровню критичности.

В таблице рисков могут также содержаться дополнительные колонки, в частности для указания сроков выполнения и ответственных лиц.

В остальном, процедура FMEA/FMECA, в контексте валидационных мероприятий, совпадает с GMP Анализом рисков.

Проведение анализов рисков FMEA/FMECA требует значительно больше усилий и ресурсов, чем GMP Анализ рисков. При этом, FMEA/FMECA не обеспечивает существенного улучшения качества/надежности валидационных мероприятий. Присвоение количественных показателей отдельным аспектам риска обычно не имеет серьезного научного обоснования и во многом носит субъективный характер. Бывает, что рассчитанное совокупное значение уровня критичности риска FMEA/FMECA противоречит прямым требованиям GMP или устоявшейся практике. В этой ситуации начинаются попытки скорректировать параметры-компоненты критичности риска, чтобы получить «правильное» совокупное значение, которое превращает анализ рисков FMEA/FMECA в бесполезную имитацию, и, с учетом того, что для его проведения требуется существенно больше ресурсов, это также представляет собой пример несбалансированного риск-ориентированного подхода.

В целом, можно констатировать, что метод FMEA/FMECA не очень хорошо подходит для анализа рисков, связанных с GMP/GxP. В то же время использование FMEA/FMECA для анализа рисков EHS может быть оправдано, так как здесь может быть научно обоснованная база для определения количественных параметров, например, токсичность субстанции, ее концентрация в продукте, количество обрабатываемого вещества и продолжительность операции.

Анализ рисков EHS

Для Анализа рисков EHS может использоваться как традиционный подход GMP Анализа рисков, так и метод FMEA/FMECA. При этом вместо рисков, связанных с GMP/GxP, оценке подвергаются риски EHS (Environment, Health, Safety – окружающая среда, здоровье, безопасность). Риски EHS связаны с вопросами безопасности персонала и окружающей среды. Анализы рисков EHS обычно проводятся на предприятиях по производству потенциально опасных, токсичных и сильнодействующих лекарственных средств.

В остальном, процедура проведения и документация соответствуют GMP Анализам рисков или анализам рисков FMEA/FMECA, в зависимости от выбранной модели.

В отдельных случаях также проводят комбинированные анализы рисков GMP и EHS. При этом в таблице рисков присутствуют колонки для оценки/категорирования и GMP, и EHS рисков.

Практические приёмы проведения анализов рисков

При проведении анализов рисков следует учитывать ряд аспектов и применять определенные практические приемы, что в свою очередь требует, помимо знания анализируемого предмета, наличия определенной подготовки и опыта.

Мозговой штурм

Идентификация возможных рисков производится методом «мозгового штурма», который, по своей природе, является хаотичным процессом. При этом, с одной стороны, задачей является максимальный охват всех возможных негативных ситуаций и рисков, а с другой стороны, четкое структурирование хода мыслей и порядка рассмотрения компонентов/аспектов анализируемого предмета. В этом смысле может быть полезным сначала записывать все приходящие в голову ситуации и риски в хаотичном порядке на отдельном листе, а затем, структурируя и, при необходимости, дробя или объединяя их, размещать их в таблице в логически обоснованном порядке. Нет каких-то нормативных указаний относительно того, как это должно осуществляться на практике. Каждый находит удобный для себя способ записи и обработки исходных мыслей, и трансформирования их в описания рисков.

Как несолидно это не звучало бы, при проведении анализов рисков горячо приветствуется любой «плагиат» и «копипаст»: любые источники, содержащие описания рисков, позволяют расширить базу рассматриваемых рисков и снижают вероятность того, что что-то будет упущено. Но это относится только к идентификации рисков! В части оценки рисков возможны серьезные разночтения, поэтому слепое копирование строк таблицы рисков из другого проекта недопустимо!

Дисциплина

Хаотичность процесса мозгового штурма должна быть компенсирована дисциплиной в части процесса генерации идей, их обработки и создания описаний рисков. Мысли должны записываться кратко и лаконично, но достаточно детально, чтобы понять суть риска, и отличить его от других рисков.

Если риски сначала записываются в хаотичном порядке, то при их последующем внесении в структурированную таблицу следует помечать (например, вычеркивать) в исходнике риски, которые вносятся в таблицу, чтобы гарантировать, что все исходные записи были рассмотрены.

Нужно также четко разделять процесс идентификации рисков и процесс оценки идентифицированных рисков. Попытка делать это одновременно усложнит задачу и может привести к тому, что часть рисков будет упущена. Здесь речь идет об оценке последствий риска с точки зрения требований GMP. Первичная оценка того, является ли данный риск возможным и правдоподобным, должна проводиться параллельно с идентификацией рисков, чтобы сразу отсеивать откровенно нереалистичные риски.

Канва рассмотрения

Мозговой штурм является хаотичным процессом, поэтому необходимо четко привязывать ход мыслей к определенной «канве», или, другими словами, при рассмотрении рисков двигаться вдоль определенного пути или траектории. В противном случае гарантировано «растекание мыслею по древу» и упущение значительного количества рисков. Это важно, так как в рамках целостного риск-ориентированного подхода должны быть рассмотрены все возможные риски.

Можно провести аналогию между канвой и контрольным списком (чек-листом), где перечислены пункты, подлежащие проверке. При проведении анализа рисков в качестве основы для такого контрольного списка может быть использована проектная документация с детальным описанием шагов процесса, или принципиальная схема оборудования, с детальным обозначением компонентов, их взаимосвязей, и движения продукта.

Использование канвы в ходе проведения анализа рисков придает структуру и обеспечивает дисциплину процессу мозгового штурма. В данном случае речь идет не об одной траектории рассмотрения, охватывающей весь анализ рисков, а о множестве отдельных траекторий, «покрывающих» анализируемый объект «вдоль и поперек».

Можно привести следующие примеры возможных траекторий рассмотрения / канвы:

Движение продукта:
- Последовательность технологических операций, применяемых к продукту (основа: описание технологического процесса).
- Прохождение продукта через различные сегменты / компоненты оборудования (основа: принципиальная схема оборудования / функциональная спецификация).
Движение по компонентам оборудования:
- Прохождение продукта через различные сегменты / компоненты оборудования (основа: принципиальная схема оборудования / функциональная спецификация) – то же, что и в движении продукта.
- Перечисление всех компонентов оборудования (при отсутствии явного направления движения продукта), например, сверху вниз / слева направо в соответствии с принципиальной схемой / диаграммой и т.д.
Движение вокруг оборудования по границам подключения (технологические среды).
Движение вокруг по внешнему контуру компонента оборудования (например, в случае танка/емкости могут рассматриваться: емкость, рубашка, весовые ячейки, мешалка, разбрызгивающая головка / спрейбол, все порты и подключенные компоненты – дыхательный фильтр, вентили, люк, смотровое окно / система подсветки и т.д.).
Перечисление всех применимых параметров процесса (температура, давление, влажность, содержание кислорода).
Перечисление вариантов несоответствий, связанных с параметрами процесса (слишком высокий, слишком низкий, неизвестный, нерепрезентативный, нечитаемый и т.д.)
Перечисление различных аспектов, классификаций, характеристик и т.п.:
- Материалы:
  - компоненты из металла
  - компоненты из полимерных материалов
- Наличие контакта с продуктом / средой в чистых помещениях:
  - поверхности, контактирующие с продуктом
  - поверхности, контактирующие со средой в чистом помещении
  - поверхности, не имеющие контакта с продуктом и чистым помещением
- Классы чистоты помещений (A, B, C, D, CNC, NC)
и т.д.

Как правило, для каждого тематического раздела таблицы рисков используется, как минимум, одна канва. Более того, траектории канвы могут быть вложенными, например:

Уровень 1 (верхний): последовательно рассматриваются индивидуальные технологические операции, относящиеся к определенному технологического этапу.
Уровень 2: для каждой индивидуальной технологической операции поочередно рассматриваются применимые параметры технологического процесса (температура, давление и т.д.).
Уровень 3: для каждого параметра технологического процесса поочередно рассматривается применимое несоответствие (слишком высокий, слишком низкий и т.д.).

Правильно выбранные траектории канвы рассмотрения обеспечивают лаконичную, стройную, логичную структуру анализа рисков, а их неправильный выбор или отсутствие дает в результате хаотичный, несбалансированный анализ рисков, как правило не отвечающий критериям целостного риск-ориентированного подхода. Умение в каждом конкретном случае правильно выбирать траектории канвы рассмотрения приходит с опытом проведения анализов рисков, и требует продолжительной практики.

Критерии включения рисков в анализ

При проведении анализов рисков у начинающих специалистов часто возникает вопрос: какие риски, из фактически бесконечного их числа, следует рассматривать и включать в анализ рисков по GMP? Падение метеорита на линию розлива стерильных препаратов определенно создаст угрозу для качества продукта, тем не менее, такой риск не принято включать в анализ рисков. Также, например, не принято включать риск, что оператор отравит серию продукта редким ядом (который не будет обнаружен в ходе лабораторного контроля). Риск, что на производство залетит птица, не является таким маргинальным, как предыдущие примеры, но в такой формулировке тоже, как правило, не используется.

В каждом из примеров, приведенных выше, риск не отвечает определенным критериям, применяемым для определения необходимости включения риска в анализ, которыми в частности являются:

Реалистичность: вероятность наступления событий не является пренебрежимо малой (случае метеорита такая вероятность близка к нулю).
Непосредственное отношение к помещениям, оборудованию/системам, средам/сырью/материалам, персоналу и технологическому процессу (случай с метеоритом является посторонним внешним фактором, подобным лесным пожарам, наводнениям, торнадо, военным действиям и т.д.).
Риск должен быть связан с ожидаемыми/возможными:
- Работой или сбоями инфраструктуры/оборудования/систем
- Штатным течением или ошибками в ходе технологического процесса
- Работой или ошибками персонала (вследствие незнания, невнимательности или физической неспособности) – сюда не включаются психические расстройства, злонамеренное криминальное поведение и т.д. – подобные вопросы обычно рассматриваются предприятиями вне рамок GMP.
- Надлежащими и ненадлежащими параметрами качества используемых технологических сред, энергоносителей, сырья и материалов – очевидно, что не ожидается присутствие в сырье и материалах рицина или ингибиторов холинэстеразы.
Риск должен быть сформулирован так, чтобы объединять группу похожих рисков, имеющих одинаковое потенциальное воздействие на качество продукта и требующих одинаковых мер, или комплекса подобных мер, для их снижения/устранения (риск, связанный с залетанием птицы в производственные помещения, следует переформулировать в более общем виде, например, проникновение животных/вредителей в производственные помещения).
Не следует включать в таблицу риск, если абсолютно очевидно без пояснений, что он не является критичным с точки зрения GMP (EHS или других требований, в зависимости от вида проводимого анализа рисков). Если же для этого все же требуются пояснения, или меры, связанные с этим риском, требуется включить по причинам, не связанным с GMP, тогда такой риск включается в таблицу рисков.

Также, как и в случае канвы рассмотрения, умение правильного выбора рисков для включения в анализ рисков требует определенного опыта и практики.

Принцип четырех глаз

Принцип четырех глаз означает, что в некоем процессе должно участвовать как минимум два человека. В контексте GMP все особо критичные операции, например, взвешивание сырья, контроль очистки оборудования и т.д., должны выполняться при участии двух сотрудников. Это требование также применимо и ко всем валидационным мероприятиям, в частности к анализам рисков.

На практике это означает, что анализ рисков может проводиться двумя специалистами совместно, либо первый специалист проводит анализ рисков самостоятельно, а затем второй – проверяет и, при необходимости, корректирует или дополняет. Помимо того, что это является требованием, применение принципа четырех глаз позволяет сделать анализ рисков менее субъективным, а также более целостным и сбалансированным.

Специалисты Tarqvara Pharma Technologies имеют многолетний опыт проведения квалификационных, валидационных и приёмочных мероприятий в фармацевтической индустрии в соответствии с международными, европейскими и национальными нормативными требованиями и стандартами GMP/GxP.

см. также:
Квалификация / валидация / приёмка
Валидация компьютеризированных систем (CSV)
Приёмка (FAT/SAT)