ICH Q9: risco escrito ≠ risco gerido

Tem planta em que o QRM está impecável no arquivo e quase ausente no turno. O protocolo de risco do processo foi escrito na validação, assinado, arquivado. Dois anos depois, um desvio de mistura, uma mudança de fornecedor de excipiente ou um ajuste de faixa no EBR passam pelo fluxo "de sempre" — sem reabrir a pergunta que o protocolo já tinha respondido.

Na maior parte dos casos, isso não é "falta de QRM". Costuma ser outra coisa: risco escrito tratado como risco gerido. O texto existe. A gestão, no sentido de ICH Q9(R1), ainda não chegou ao chão de fábrica.

O que Q9(R1) empurra de verdade

A versão vigente do guia — ICH Q9(R1), adotada em Step 4 em janeiro de 2023 e vigente na Europa desde 26 jul 2023 — não inventa a ideia de gerenciar risco. Ela aprofunda o que a indústria já sabia e ainda faz pela metade: formalidade proporcional ao risco, decisão baseada em risco (e não só "análise preenchida") e cuidado explícito com subjetividade.

Em linguagem de planta, isso costuma significar três deslocamentos:

• O tamanho do relatório não define a qualidade da gestão. Um FMEA de sessenta páginas sobre um risco baixo e um parágrafo solto sobre um risco alto são o oposto do que Q9(R1) descreve como formalidade proporcional.
• Avaliar não é controlar. Mapear modos de falha sem amarrar o que o sistema (ou o procedimento) faz quando o modo aparece deixa o risco só na apresentação.
• Risco envelhece. Mudança, desvio recorrente, novo material, novo equipamento, nova rota de liberação: o ponto em que o risco precisa ser revisado é tão importante quanto o ponto em que foi avaliado pela primeira vez.

Nada disso pede que a gente "garanta conformidade" com um slide. Pede que a avaliação continue em uso onde a decisão acontece.

Onde isso aparece no dia a dia

Esse terceiro deslocamento — risco envelhece — é o que a gente mais vê na operação.

O protocolo já escreveu que a umidade relativa na pesagem é crítica para o atributo X; que a sequência de carga do misturador importa; que a segunda pessoa na conferência de lote de material não é formalidade. Na operação, o desvio chega assim: "umidade ficou um pouco acima, mas o lote passou"; "invertemos dois passos de carga porque o silo estava ocupado"; "o farmacêutico confirmou depois, no papel".

Se o fluxo de desvio e de mudança não reabre o risco que o protocolo já nomeou, a planta passa a operar com duas versões: a do arquivo e a do turno. Q9(R1) não resolve isso sozinho. Ele deixa claro que comunicação e revisão de risco fazem parte do processo — não são apêndice de auditoria.

A pergunta útil, então, não é "temos QRM?". É: quando algo muda ou desvia, o risco correspondente volta à mesa — ou só o formulário de desvio?

ALCOA+ como decisão de risco

Repare que, nos três exemplos acima, o problema passa pelo dado: o valor de umidade, a sequência registrada, a conferência feita depois. Por isso integridade de dados entra aqui como escolha de sistema e de risco, não como item solto de compliance.

Se o valor crítico do processo depende de digitação tardia, o risco não é só "erro de digitação": é contemporaneidade fraca, atribuibilidade frágil e uma segunda pessoa que existe justamente porque a procedência do dado é ruim.

Na prática, quando a gente decide que um parâmetro é crítico o bastante para entrar no FMEA, costuma fazer sentido perguntar na mesma hora: de onde esse valor vem, com que carimbo, e o que o sistema faz se vier fora? Isso é Q9 conversando com desenho de registro — ALCOA+ como consequência da avaliação, não como checklist separado.

Formalidade com foco

A mesma lógica vale para o quanto de processo cada risco pede. Q9(R1) fala em formalidade proporcional. Em planta, formalidade demais sem foco vira processo só no papel; formalidade de menos em risco alto vira achado de inspeção. O meio-termo que tende a funcionar é amarrar o nível de esforço ao nível de dano ao paciente e à qualidade do produto — e deixar isso visível no próprio fluxo.

Na prática, a gente vê três padrões:

• Risco alto, controle frouxo no sistema. O documento fala em "crítico"; o EBR só avisa com um warning que o turno fecha e segue. A avaliação e a execução divergem.
• Risco baixo, burocracia alta. Toda mudança mínima pede o mesmo pacote. As pessoas contornam. O contorno some da auditoria — e o risco real (o atalho) não estava no FMEA.
• Risco bem escrito, dono nenhum. A matriz existe; na mudança, ninguém sabe quem reabre a avaliação. Vira fila de e-mail.

A saída não é mais um template. É dono, gatilho e evidência: quem decide, o que dispara a revisão, e onde isso fica registrado de forma recuperável.

Subjetividade: o que Q9(R1) nomeia de frente

Mesmo com dono e gatilho definidos, a nota de risco continua sendo julgamento humano. Uma das contribuições mais úteis da revisão R1 é tratar essa subjetividade de frente. Facilitador dominante, "sempre fizemos assim", pressão de lead time: tudo isso enviesa a nota de severidade e a classificação do que é aceitável.

Não dá para eliminar o julgamento. Dá para torná-lo visível e revisável: critérios pré-acordados, dados de processo quando existirem, e o hábito de perguntar "o que mudaria essa nota se o lote seguinte falhasse?". Em sistema eletrônico, isso costuma aparecer como histórico de decisão no change control — não como comentário solto no Excel da análise.

Onde o system of record entra

Vale ser cuidadoso aqui para não prometer mais do que o guia pede. ICH Q9 não pede um MES. Pede gestão. O que um system of record (o sistema que guarda o registro oficial) bem desenhado — por exemplo, um EBR com mudança e desvio amarrados ao lote — pode fazer é reduzir o espaço em que o risco fica só no arquivo:

• impedir (ou pelo menos evidenciar) a execução fora da faixa que a avaliação tratou como crítica;
• forçar que mudança de limite, sequência ou material passe por um fluxo com estado — não por e-mail e reconfiguração silenciosa;
• manter trilha de quem alterou o quê, quando, e com qual justificativa;
• ligar desvio recorrente de volta à mesma família de risco, em vez de tratar cada ocorrência de forma isolada.

Isso não "implementa Q9". Cria as condições para que Q9 deixe de ser só um PDF. A ciência do risco continua com as pessoas; o sistema fecha o atalho.

O que não confundir

• Ter FMEA ≠ gerir risco. Sem revisão no ciclo de mudança/desvio, é um retrato de um momento.
• Ferramenta ≠ método. FTA, HACCP, FMEA são meios. A pergunta de Q9 é se a decisão de controle acompanha a avaliação.
• Risco zero não é o alvo. O alvo é risco conhecido, controlado na medida do que o produto exige, e revisitado quando o contexto muda.
• Inspeção não é o único cliente. Se o QRM só "acorda" na preparação de inspeção, ele não está integrado às operações — e Q9(R1) é explícito sobre integração.

Uma sequência honesta para o time

Na prática, cinco verificações ajudam a manter a avaliação em uso:

1. Os três últimos desvios graves (ou recorrentes) mostram se o risco correspondente no protocolo foi reaberto. Quando a resposta é "não", o gap não é de template.
2. Os parâmetros que o FMEA chama de críticos precisam ser comparados com o que o EBR/MES faz de fato: bloqueio, warning ignorável, ou nada.
3. No change control, o campo "risco revisado? referência?" precisa ser obrigatório; "N/A" crônico funciona como sinal, não como economia de tempo.
4. A formalidade pode ser reduzida onde o risco é baixo, de propósito, para sobrar capacidade onde o risco é alto. Formalidade proporcional também é alocação de esforço.
5. A integridade do dado crítico precisa fazer parte do mesmo pacote de risco, não de um projeto paralelo de data integrity.

Fechamento

ICH Q9(R1) não pede mais papel de risco. Pede que o risco escrito continue a governar a decisão quando a planta se mexe — mudança, desvio, novo conhecimento. Enquanto a avaliação fica parada no arquivo e o turno resolve do jeito que dá, com boa intenção, a gente não tem QRM gerido: tem QRM arquivado.

Se na sua planta o protocolo de risco é reaberto de verdade quando o desvio chega — ou só na próxima campanha de validação — essa costuma ser a pergunta que separa conformidade documental de gestão.

Na T2, quando conversamos sobre registro eletrônico de lote e controle de mudança no mesmo system of record, o ponto não é "comprar Q9". É tirar do caminho o atalho que faz o risco escrito perder efeito no segundo turno.