CAPA efficaci: dalla causa radice alla verifica dell’efficacia

Introduzione

Nel settore farmaceutico e life sciences, una CAPA efficace collega cinque elementi: non conformità, rischio, causa, azioni ed evidenze di efficacia. Se uno di questi elementi è debole, il processo rischia di trasformarsi in una raccolta di attività amministrative: aggiornare una SOP, formare nuovamente il personale, inviare un richiamo al fornitore e chiudere il dossier.

L’obiettivo, invece, è comprendere perché l’evento sia stato possibile e intervenire sul sistema che avrebbe dovuto prevenirlo o rilevarlo. Questo approccio rende le CAPA una parte concreta del sistema di qualità, non un semplice adempimento documentale.

CAPA nel contesto normativo svizzero

Per le organizzazioni soggette alla legislazione svizzera sui medicamenti, gli obblighi dipendono dalle attività svolte e dal campo dell’autorizzazione. L’Ordinanza sull’autorizzazione dei medicamenti stabilisce che la fabbricazione deve rispettare le regole GMP indicate nei relativi allegati. Per la distribuzione all’ingrosso, Swissmedic richiama le GDP applicabili attraverso l’articolo 15 e l’Allegato 4 dell’ordinanza.

Nelle ispezioni GMP e GDP, Swissmedic può esaminare, tra gli altri aspetti, gestione delle deviazioni, documentazione, formazione, monitoraggio delle condizioni di conservazione, qualifica dei fornitori, reclami, attività esternalizzate e autoispezioni. Le re-ispezioni possono inoltre verificare le azioni correttive richieste durante una visita precedente.

Il PIC/S GMP Guide PE 009-17 richiede un livello appropriato di analisi della causa radice, azioni correttive o preventive coerenti con i risultati dell’indagine e il monitoraggio della loro efficacia. Precisa inoltre che attribuire l’evento a un errore umano deve essere giustificato, verificando prima che non siano stati trascurati problemi di processo, procedura o sistema.

Strumenti come 5 Why, diagramma di Ishikawa e formulazione SMART sono buone pratiche metodologiche, non obblighi legali specifici. Anche ISO 9001:2015 è uno standard volontario, salvo che diventi applicabile per scelta aziendale, certificazione, contratto o altra disposizione. Alla data del 21 luglio 2026, l’edizione 2015 risulta ancora corrente; ISO prevede una nuova edizione nei mesi successivi.

Correzione, azione correttiva, azione preventiva e miglioramento

Concetto	Scopo	Esempio
Correzione	Eliminare o gestire la non conformità già rilevata	Mettere in quarantena i prodotti coinvolti in un’escursione termica
Azione correttiva	Eliminare la causa della non conformità per prevenirne la ricorrenza	Modificare il sistema di allarme che non ha notificato tempestivamente l’escursione
Azione preventiva	Eliminare la causa di una non conformità potenziale	Applicare lo stesso miglioramento ad altri frigoriferi con configurazione analoga
Miglioramento	Aumentare prestazioni, affidabilità o semplicità, anche senza una non conformità	Digitalizzare il flusso di approvazione delle SOP

La sostituzione di una copia obsoleta di una SOP è una correzione. La revisione del processo di distribuzione, ritiro e controllo delle copie è invece un’azione correttiva.

Nell’impostazione di ISO 9001:2015, la prevenzione è integrata nel pensiero basato sul rischio e non costituisce più una clausola separata. In ambito farmaceutico, tuttavia, il termine CAPA continua normalmente a comprendere azioni correttive e preventive.

Come descrivere correttamente una non conformità

Una descrizione efficace deve riportare fatti verificabili, non ipotesi sulla causa. Secondo la guida ISO/IAF, una non conformità ben documentata comprende il requisito non rispettato, l’evidenza oggettiva e una formulazione chiara dello scostamento.

Una struttura pratica è:

Il giorno [data e ora], nel processo o luogo [dove], è stato osservato [fatto misurabile], relativo a [prodotti, lotti, documenti o registrazioni coinvolti], in contrasto con [requisito, SOP, specifica o condizione autorizzata], come dimostrato da [evidenza].

Esempio – deviazione di temperatura

Il 14 luglio 2026 il data logger L-03 del frigorifero F-02 ha registrato una temperatura massima di 11,8 °C per 47 minuti, rispetto all’intervallo previsto di 2-8 °C. Nel frigorifero erano presenti i lotti A e B. I prodotti sono stati posti in quarantena in attesa della valutazione documentata dell’impatto.

La descrizione non dovrebbe già concludere che «l’operatore ha lasciato aperta la porta» finché l’ipotesi non è stata verificata.

Valutare criticità, impatto e urgenza

La valutazione iniziale serve a decidere contenimento, livello dell’indagine, responsabilità e tempi di gestione. Può considerare:

• conseguenze potenziali per paziente, utilizzatore e qualità del prodotto;
• impatto su identità, efficacia, sicurezza, tracciabilità o integrità dei dati;
• quantità di prodotti, processi, sedi o registrazioni coinvolte;
• probabilità che il problema sia già avvenuto altrove;
• capacità di rilevare l’errore prima dell’utilizzo o della dispensazione;
• ricorrenza e presenza di segnali precedenti.

L’urgenza non coincide sempre con la criticità. Un errore di registrazione facilmente ricostruibile può richiedere una correzione immediata, pur avendo un impatto limitato. Al contrario, una SOP non aggiornata potrebbe non aver ancora provocato un danno, ma indicare una debolezza sistemica che interessa più reparti.

Non esiste una matrice universale imposta per tutte le organizzazioni. Criteri, categorie e soglie devono essere definiti internamente, applicati con coerenza e proporzionati al rischio.

Come condurre una root cause analysis

L’analisi della causa radice non inizia scegliendo uno strumento, ma ricostruendo l’evento. Occorre raccogliere cronologia, registrazioni, dati tecnici, versioni documentali, informazioni sulla formazione, interviste, precedenti deviazioni e condizioni operative.

È utile distinguere:

• causa immediata: ciò che ha prodotto direttamente l’evento;
• causa radice: debolezza che ha consentito alla causa immediata di manifestarsi;
• fattori contribuenti: condizioni che hanno aumentato la probabilità o l’impatto.

Quando usare i 5 Why

I 5 Why sono adatti a problemi relativamente lineari e circoscritti.

Esempio – SOP obsoleta

1. Perché è stata utilizzata una SOP obsoleta?
   Perché una copia cartacea era ancora presente nel reparto.
2. Perché non era stata ritirata?
   Perché il reparto non risultava nell’elenco dei punti di distribuzione.
3. Perché l’elenco era incompleto?
   Perché le copie venivano stampate localmente senza registrazione.
4. Perché era possibile stampare copie non controllate?
   Perché il sistema documentale non applicava watermark o restrizioni.
5. Perché il rischio non era stato identificato?
   Perché il processo di revisione documentale controllava l’approvazione, ma non l’utilizzo nei punti operativi.

La causa non è semplicemente «mancato ritiro della copia», ma l’assenza di un controllo efficace sulle copie utilizzate.

Quando usare il diagramma di Ishikawa

Il diagramma di Ishikawa è utile quando l’evento può derivare da più famiglie di cause: persone, metodi, apparecchiature, materiali, misurazioni e ambiente.

Per una deviazione di temperatura si potrebbero analizzare contemporaneamente:

• durata e frequenza di apertura della porta;
• posizione e calibrazione della sonda;
• carico del frigorifero;
• configurazione degli allarmi;
• assenza del responsabile principale;
• organizzazione delle attività di picking;
• temperatura dell’ambiente circostante.

Quando analizzare i fattori contribuenti

In eventi complessi non sempre esiste una causa unica. La guida ISO/IAF sulla revisione e chiusura delle non conformità raccomanda di non fermarsi al primo fattore individuato e di distinguere le ipotesi possibili da quelle confermate.

Questo approccio è particolarmente utile per:

• reclami ricorrenti con origini differenti;
• errori di dispensazione o registrazione;
• problemi di formazione;
• difetti provenienti da fornitori;
• deviazioni influenzate da carico di lavoro, interfacce informatiche e organizzazione.

«Distrazione dell’operatore» o «formazione insufficiente» raramente sono conclusioni sufficienti. Occorre chiedersi perché il sistema abbia consentito l’errore, perché non sia stato rilevato e se l’attività fosse progettata in modo chiaro e sostenibile.

Definire azioni SMART, responsabilità e scadenze

Un’azione deve essere:

• specifica: descrive esattamente cosa cambierà;
• misurabile: stabilisce risultato ed evidenza attesi;
• attuabile: dispone di risorse e competenze;
• rilevante: interviene sulla causa confermata;
• temporizzata: ha una scadenza motivata.

«Riformare il personale» è troppo generico. Una formulazione migliore è:

Entro il 30 settembre, il responsabile operativo aggiorna l’istruzione di registrazione, introduce un controllo automatico sui campi obbligatori e verifica mediante osservazione pratica che tutti gli addetti interessati sappiano completare e correggere la registrazione secondo la nuova procedura.

Ogni attività deve avere un responsabile nominativo o funzionale, dotato dell’autorità necessaria, una scadenza, un output documentato e dipendenze chiaramente indicate. Eventuali proroghe devono essere valutate rispetto al rischio residuo e non utilizzate come rinnovi amministrativi automatici.

Verificare concretamente l’efficacia

L’efficacia non coincide con il completamento dell’azione. Una SOP può essere stata approvata e una formazione completata senza che il comportamento operativo sia realmente cambiato.

Il piano di verifica dovrebbe essere definito prima dell’implementazione e specificare:

• indicatore da controllare;
• situazione iniziale o baseline;
• risultato atteso;
• periodo e dimensione del campione;
• responsabile della verifica;
• evidenze da conservare;
• decisione prevista in caso di risultato negativo.

Il periodo non dovrebbe essere scelto automaticamente come 30, 60 o 90 giorni. Deve essere sufficientemente lungo da osservare il processo per un numero rappresentativo di cicli.

Esempi di verifica:

• Deviazioni di temperatura: analisi dei successivi trasporti o cicli di apertura, tempi di risposta agli allarmi e assenza di eventi riconducibili alla medesima causa.
• SOP non aggiornate: controllo dei punti di utilizzo, assenza di copie obsolete e verifica durante una successiva autoispezione.
• Formazione: osservazione pratica o test di competenza, non soltanto firma del registro.
• Fornitori: conformità delle forniture successive, rispetto delle notifiche di modifica e verifica delle azioni concordate.
• Reclami ricorrenti: andamento normalizzato rispetto ai volumi distribuiti, suddiviso per prodotto, lotto, causa e canale.
• Dispensazione o registrazione: audit mirato, osservazione del processo e controllo della corretta applicazione delle barriere introdotte.

La sola assenza di nuove deviazioni può essere poco significativa quando l’evento è raro. È preferibile combinarla con indicatori di processo, come utilizzo corretto della procedura, tempestività degli allarmi o completezza delle registrazioni.

Esempio completo di CAPA: deviazione di temperatura

Non conformità: il frigorifero F-02 ha superato 8 °C per 47 minuti. Due lotti erano presenti nell’unità.

Correzione e contenimento: prodotti in quarantena; verifica del data logger; raccolta dei dati di stabilità; sospensione temporanea dell’utilizzo del frigorifero.

Valutazione dell’impatto: Quality Assurance valuta durata, temperatura massima, caratteristiche dei prodotti, dati disponibili e possibile interessamento di altre unità.

Analisi della causa: l’allarme era stato generato, ma inviato esclusivamente al telefono del responsabile assente. L’apertura prolungata durante il picking ha causato l’aumento di temperatura. La SOP prevedeva un sostituto, ma il sistema di notifica non includeva un’escalation automatica.

Causa radice: configurazione del sistema di allarme non allineata all’organizzazione delle sostituzioni.

Fattore contribuente: attività di picking concentrate in un’unica apertura prolungata.

Azioni:

1. configurare l’escalation automatica al sostituto;
2. rivedere il flusso di picking per ridurre il tempo di apertura;
3. verificare la configurazione degli altri frigoriferi;
4. aggiornare istruzione e formazione;
5. documentare il cambiamento e le eventuali verifiche tecniche necessarie.

Verifica dell’efficacia: per otto settimane vengono analizzati i tempi di risposta agli allarmi, le aperture e gli eventi termici delle unità analoghe. L’esempio utilizza un periodo interno definito in funzione della frequenza del processo, non una scadenza normativa.

Chiusura: la CAPA può essere chiusa quando le azioni risultano implementate, le evidenze sono complete, i criteri di efficacia sono soddisfatti e non sono emersi impatti indesiderati.

Quando una CAPA può essere chiusa

Una CAPA è pronta per la chiusura quando:

1. la non conformità e il suo perimetro sono stati definiti;
2. l’impatto è stato valutato e il contenimento completato;
3. le cause sono state confermate o le incertezze adeguatamente motivate;
4. le azioni intervengono sulle cause individuate;
5. implementazione e documentazione sono complete;
6. l’efficacia è stata verificata con evidenze oggettive;
7. rischio residuo ed eventuali conseguenze indirette sono accettabili;
8. deviazioni, change control, formazione e documenti collegati risultano allineati.

La chiusura non dovrebbe coincidere automaticamente con l’ultima data riportata nel piano.

Gli errori che rendono inefficaci le CAPA

Gli errori più frequenti comprendono:

• passare direttamente alla soluzione senza completare l’indagine;
• indicare «errore umano» senza analizzare processo e condizioni operative;
• usare la formazione come unica azione per qualsiasi problema;
• confondere correzione e azione correttiva;
• inserire in un’unica CAPA eventi non correlati;
• ignorare precedenti deviazioni, reclami o segnali di trend;
• delegare interamente la CAPA al fornitore senza supervisione;
• definire azioni non misurabili;
• verificare soltanto che i documenti siano stati approvati;
• chiudere prima che il processo sia stato osservato per un periodo rappresentativo;
• accettare proroghe senza rivalutare rischio e contenimenti;
• modificare registrazioni originarie senza garantire tracciabilità e integrità dei dati.

Checklist operativa per CAPA efficaci

• La non conformità è descritta con fatti, requisito ed evidenze?
• Prodotti, dati e processi potenzialmente coinvolti sono stati identificati?
• Il contenimento è proporzionato al rischio?
• Sono state esaminate ricorrenza ed estensione ad altre aree?
• La causa è supportata da evidenze?
• Le azioni intervengono sulla causa e non solo sull’effetto?
• Responsabili, scadenze e output sono chiari?
• Il metodo di verifica dell’efficacia è stato definito in anticipo?
• Il campione o periodo di osservazione è rappresentativo?
• La chiusura è approvata sulla base di evidenze oggettive?

Conclusione

Le CAPA efficaci richiedono proporzionalità: indagini più profonde per rischi elevati e processi più snelli per eventi circoscritti, senza rinunciare alla tracciabilità. Il valore non risiede nella complessità del modulo, ma nella capacità di dimostrare che la causa è stata compresa, il sistema è stato rafforzato e il risultato è stato verificato.

Per conoscere il metodo e l’esperienza alla base del supporto proposto è disponibile anche la pagina Chi siamo.