Per le ispezioni GMP non è prescritto alcun «pacchetto di documenti» generico. Si attende piuttosto un sistema di evidenze coerente, basato sul rischio e orientato al ciclo di vita, che dimostri che impianti, processi, procedimenti di pulizia, sistemi computerizzati e metodi di prova sono idonei allo scopo previsto e restano durevolmente sotto controllo. Determinanti sono – a seconda del prodotto, del mercato e dell'autorità – in particolare la guida EU-GMP con l'Annex 15 e l'Annex 11, le linee guida ICH Q8, Q9 e Q10 nonché, per il mercato statunitense, tra l'altro il 21 CFR Part 211 e il Part 11.

Il documento quadro centrale è di norma il piano generale di validazione. Esso descrive il campo di applicazione del sistema di qualifica e di validazione, le responsabilità, le modalità di procedere, le priorità e il collegamento con le SOP, il change control, la gestione delle deviazioni, le CAPA nonché le valutazioni periodiche. Decisivo è che le singole attività – dal requisito al rilascio – possano essere ricondotte in modo tracciabile a questo sistema.

Per impianti, mezzi di servizio e, se pertinente, sistemi automatizzati rilevanti ai fini GMP sono necessari documenti di qualifica. Le fasi tipiche sono Design Qualification, Installation Qualification, Operational Qualification e Performance Qualification. I documenti devono contenere requisiti, criteri di accettazione, risultati delle prove, deviazioni, valutazioni e rilasci formali. Non è determinante il numero dei documenti, ma la dimostrazione tracciabile che l'impianto funzioni in modo riproducibile nel campo di esercizio previsto.

La validazione di processo deve dimostrare che un processo di produzione fornisca durevolmente prodotti entro i requisiti di qualità prescritti. Ne fanno parte la definizione degli attributi critici di qualità e dei parametri critici di processo, un piano di validazione basato sul rischio, run di validazione documentati nonché la valutazione statistica dei risultati. Una prescrizione rigida di tre lotti di validazione non è più considerata oggi universalmente valida; entità e numerosità dei campioni devono essere motivate scientificamente e in base al rischio. Lo stato di validazione viene sorvegliato mediante una verifica continua di processo con analisi delle tendenze e una valutazione dello «state of control».

Per i processi di pulizia sono necessari un piano di validazione della pulizia, considerazioni del caso peggiore, limiti di accettazione motivati nonché protocolli e rapporti di validazione. I limiti di accettazione per i residui di principio attivo vengono oggi spesso ricavati per via tossicologica, per esempio sulla base dei concetti PDE o HBEL. Studi di recupero, l'idoneità del metodo analitico ed eventualmente gli aspetti microbiologici devono essere considerati. Quali requisiti valgano nel singolo caso dipende tra l'altro dal tipo di prodotto, dall'ambiente di produzione e dal rischio di contaminazione crociata.

I sistemi computerizzati rilevanti ai fini GMP devono essere qualificati o validati sull'intero ciclo di vita. Sono tipicamente necessari una specifica dei requisiti, un'analisi dei rischi documentata, piani e protocolli di prova, una tracciabilità tra requisiti e prove nonché un rapporto di validazione. Particolarmente critici sono l'integrità dei dati, i concetti di utenti e di autorizzazioni, gli audit trail, le firme elettroniche, il backup dei dati, la gestione delle modifiche e le valutazioni periodiche. L'Annex 11 richiede espressamente che la documentazione di validazione e i rapporti coprano le fasi rilevanti del ciclo di vita e che l'entità sia motivata sulla base di una valutazione del rischio.

Anche i metodi analitici devono essere idonei allo scopo previsto. A seconda del metodo e dell'applicazione vanno esaminate, per esempio, specificità, precisione, esattezza, linearità, campo di lavoro, robustezza nonché limite di rilevabilità e di quantificazione. Si aggiungono i test di idoneità del sistema e, in caso di cambio di laboratorio o di sito, eventuali trasferimenti di metodo documentati.

Le valutazioni dei rischi collegano tutti questi elementi. Servono a valutare in modo sistematico gli attributi critici di qualità, i parametri di processo, le funzioni dell'impianto, i rischi per l'integrità dei dati, i rischi di contaminazione crociata e le misure di controllo. Metodi come FMEA, HACCP o analisi dei rischi motivate per via tossicologica possono essere adeguati. Rilevante per l'ispezione è in particolare la catena visibile costituita da valutazione del rischio, entità della validazione che ne deriva, strategia di controllo, gestione delle deviazioni, CAPA e change control.

Tutti i documenti devono corrispondere ai principi della buona prassi di documentazione: devono essere attribuibili, leggibili, contemporanei, originali ed esatti nonché restare completi, coerenti, durevolmente disponibili e accessibili in caso di necessità. Oltre ai dossier di validazione, gli ispettori verificano spesso anche il site master file, le SOP, gli attestati di formazione, i documenti di manutenzione e di taratura, i procedimenti di change control, le deviazioni, le tendenze delle CAPA e il controllo dei documenti.

Determinante per un'ispezione GMP non è quindi la presenza isolata di singoli documenti DQ, IQ, OQ o PQ. È richiesta una catena di evidenze coerente e motivata in base al rischio – dai requisiti e dai rischi, passando per qualifica e validazione, fino alla sorveglianza continua dello stato sotto controllo.