Risk Assessment hệ thống GMP: FMEA, ICH Q9 & GAMP 5 Toàn diện

GMP System Risk Assessment with FMEA shows how to validate the right functions and defend the decision before an auditor.

• FMEA should connect failure modes to patient safety, product quality, data integrity and detectability.
• Risk controls must translate into requirements, test cases, procedural controls, monitoring and periodic review.
• The article helps teams avoid risk assessments that look complete but do not change validation scope or control design.

Đọc theo cụm: CSV dược phẩm: validation lifecycle theo GAMP 5, IQ OQ PQ và risk asse

Risk Assessment hệ thống GMP là công cụ quyết định test bao nhiêu là đủ cho computerized system, LIMS, MES, SCADA hoặc module tính toán có tác động GxP.

Nếu điểm S-O-D được chấm theo cảm tính, toàn bộ validation scope phía sau mất khả năng defend trước auditor. ICH Q9(R1) yêu cầu QRM có logic, đúng người tham gia và kiểm soát subjectivity.

Bài này phân tích cách dùng FMEA theo ICH Q9(R1) và GAMP 5 để nối failure mode, RPN, controls, RTM và test case thành một hồ sơ defensible.

Risk Assessment Không phải “Nghi lễ” sau khi Xong Việc

Phần này giúp QA nhìn ra rủi ro, bằng chứng và tiêu chí defend khi inspector hỏi sâu.

Regulatory baseline: Các nhận định GMP trong bài được đối chiếu trực tiếp theo 21 CFR Part 11, 21 CFR 211.192, 21 CFR 211.68, EU GMP Annex 11.

Nhiều tổ chức thực hiện risk assessment sau khi đã validation xong — để “hợp thức hóa” những gì đã làm. Đây là sai lầm về chronology làm vô hiệu hóa toàn bộ giá trị của risk assessment.

ICH Q9(R1) 2023 — revision quan trọng nhất kể từ ICH Q9 gốc, được finalized tháng 1/2023 với focus mới vào kiểm soát tính chủ quan (subjectivity) và đảm bảo risk management decisions được thực hiện “by the right people with the right knowledge” — quy định rõ: risk management phải là một “systematic process” áp dụng trong toàn bộ lifecycle, không phải một-time activity.

ICH Q9(R1) Step 4 được adopted trong 2023 và đưa subjectivity thành điểm kiểm soát chính của QRM 2023). GAMP 5 Second Edition 2022 bổ sung critical thinking, supplier involvement và scaling validation effort theo risk .

Thực hiện risk assessment trước khi bắt đầu validation mang lại ba lợi ích không thể thay thế. Thứ nhất, nó xác định test scope proportionate với risk — test nhiều ở chỗ cần, test ít ở chỗ không cần, không test uniform. Thứ hai, nó tạo ra defensible documented rationale cho mọi scope decision — khi inspector hỏi “tại sao anh test kỹ phần này?”, câu trả lời đến từ risk assessment, không phải từ judgment cá nhân.

Thứ ba, nó identifies residual risks sau khi controls được implemented — inspector cần biết rằng nhà máy hiểu remaining risks và có monitoring plan tương ứng.

ICH Q9(R1) 2023 — 6 Thay đổi Cốt lõi so với ICH Q9 Gốc

ICH Q9(R1) không phải là revision nhỏ — đây là structural update với 6 chủ đề lớn: kiểm soát subjectivity trong risk scoring, tăng cường quản lý product availability risks (bài học từ COVID-19 supply chain disruption), làm rõ khái niệm formality (mức độ rigour phải tương xứng với level of risk), củng cố risk-based decision making, đổi tên “Risk Identification” thành “Hazard Identification” để

phản ánh đúng bản chất cần xác định hazard trước, và bổ sung clarity về Risk Review như một continuous process gắn với lifecycle — không phải one-time exercise.

Mỗi thay đổi này có implication trực tiếp cho cách tổ chức document và justify risk assessment trong hồ sơ thẩm định.

Phương pháp FMEA: Hiểu đúng về S, O và D để Không Chấm Sai

Phần này giúp người đọc chuyển từ khái niệm sang checklist evidence có thể kiểm tra ngay.

FMEA (Failure Mode and Effects Analysis) là công cụ risk assessment phổ biến nhất trong pharmaceutical GMP, được ICH Q9 explicitly nhận diện là primary risk assessment tool bên cạnh Fault Tree Analysis và HACCP. Framework yêu cầu, với mỗi potential failure mode: xác định failure mode (điều gì có thể sai?), xác định effect (hậu quả đối với patient/product là gì?), chấm điểm S-O-D, tính RPN, và xác định controls.

$$RPN = S \times O \times D$$

Ba điểm số có specific requirements về justification mà nhiều đội thẩm định hiểu sai.

Severity — Phải Dựa trên Hậu quả với Bệnh nhân, Không phải Độ khó Kỹ thuật

Severity (S) phải được chấm dựa trên hậu quả đối với bệnh nhân — không phải khó khăn kỹ thuật hay cost to fix. Một calculation error dẫn đến wrong dose phải được chấm S=8–10 (Very High đến Hazardous — direct patient safety impact) bất kể lỗi đó dễ hay khó xảy ra về mặt kỹ thuật. Như trong kịch bản minh họa, chấm S=2 cho calculation error trong LIMS mà không có documented clinical impact justification là finding ngay lập tức.

Nguyên tắc quan trọng từ ICH Q9(R1): “High severity failure modes (S ≥ 8) require attention regardless of overall RPN” — tức là ngay cả khi RPN thấp do O và D nhỏ, S cao vẫn phải trigger additional controls.

Occurrence — Phải Dựa trên Historical Data, Không phải Wishful Thinking

Occurrence (O) phải dựa trên historical data từ similar systems hoặc analogous failure modes trong industry literature. Nếu không có historical data, phải document assumption và lý do chọn mức O tương ứng. Không được chấm O=1 (remote — less than 1 in 1,500,000) cho failure modes chưa có historical data chỉ vì “chúng tôi nghĩ nó hiếm xảy ra” — đây là chính xác loại subjectivity mà ICH Q9(R1) tập trung address.

Detection — Điểm số Bị Bỏ qua Nhiều Nhất

Detection (D) là điểm số nhiều nhà máy bỏ qua nhất. Nếu failure xảy ra mà không có automatic alert, không có independent check, không có monitoring mechanism, Detection score phải cao (D=8–10, nghĩa là phát hiện khó) — không phải thấp. Sai lầm phổ biến: chấm D=2 (very high chance of detection) chỉ vì “có QC analyst review” mà không verify rằng review process đó thực sự reliable và documented. Manual review không có defined criteria không phải là effective detection control.

Từ Bảng FMEA đến Test Cases: Kết nối Risk và Validation Scope

Phần này biến khái niệm thành tình huống thực tế để đội vận hành tự soi gap.

Bảng FMEA phải là “kim chỉ nam” cho kế hoạch thẩm định — không phải tài liệu đứng độc lập. Kết nối từ FMEA đến test cases phải được document tường minh trong RTM (Requirements Traceability Matrix). IQ OQ PQ Trong Dược Phẩm: Hướng Dẫn Thẩm Định Thiết Bị & Hệ Thống GxP Từ A-Z

Khi inspector hỏi “Tại sao anh test phần này kỹ vậy?”, quy trình defense chuẩn là: chỉ vào FMEA → “failure mode này có RPN cao vì Severity=9 (direct patient safety impact) và Detection=8 (không có automatic alert)” → chỉ vào RTM → “do đó test case OQ-047 và OQ-048 được thiết kế để specifically verify control mechanism này.”

Ngược lại, với failure modes có RPN thấp (Severity thấp vì không có direct patient impact, Detection thấp vì có automatic monitoring), validation team có documented justification để reduce testing scope. Đây là cách GAMP 5 scalable validation principle được implement trong practice và cách FDA CSA Guidance (February 2026, superseding September 2025) endorses proportionate approach. GAMP 5 Dược Phẩm: Thẩm định Hệ thống Máy tính theo Tiếp cận Rủi ro – Tư duy, không phải Checklist

Ví dụ Thực tế: FMEA cho LIMS Calculation Module

Bảng trên minh họa cách mỗi failure mode dẫn trực tiếp đến một test case cụ thể trong IQ hoặc OQ — không phải test “cho đủ”, mà test vì đây là control mechanism cho một identified risk.

Practitioner Enrichment — Thực chiến FMEA cho Thiết bị Standalone: Khi đánh giá rủi ro cho các thiết bị standalone (như cân phân tích, pH meter), các đội thẩm định thường bỏ sót failure mode liên quan đến sự can thiệp cục bộ của người dùng. Một rủi ro điển hình là analyst tự ý thay đổi system time trên thiết bị để khớp với thời gian ghi chép thủ công. Trong FMEA, lỗi này phải được chấm Severity cao (S=8-9) vì phá vỡ nguyên tắc Contemporaneous của dữ liệu. Nếu thiết bị không tự động khóa quyền chỉnh giờ (Detection kém), RPN sẽ lập tức vượt ngưỡng cảnh báo.

Để kiểm soát rủi ro này, giải pháp không chỉ là ghi vào SOP “cấm chỉnh giờ”, mà phải áp dụng technical control: khóa time edit rights bằng password admin, đồng thời cấu hình time-sync tự động với NTP server. Bằng chứng thẩm định (OQ test case) sẽ đánh giá trực tiếp việc analyst account bị từ chối quyền truy cập màn hình cấu hình thời gian, biến một biện pháp quản lý rủi ro trên FMEA thành một chốt chặn kỹ thuật vững chắc trước auditor.

Risk Assessment là Tài liệu “Sống”: Review và Update Criteria

Phần này giúp QA nhìn ra rủi ro, bằng chứng và tiêu chí defend khi inspector hỏi sâu.

Risk assessment không phải document viết một lần rồi archive. ICH Q9(R1) bổ sung clarity đáng kể về Risk Review như một continuous process — và đây là một trong những điểm mà nhiều tổ chức fail khi bị inspect.

Ba Triggers Bắt buộc Phải Review

Major system changes: khi một change impact assessment xác định change ảnh hưởng đến validated functions, risk assessment phải được reviewed để xác định xem residual risks có thay đổi không và có cần additional controls không. Change Control GMP: Phân loại, Impact Assessment và Quyết định Revalidation theo ICH Q10

Significant deviations: khi một deviation hoặc OOS investigation phát hiện failure mode mà risk assessment đã không identify, đây là evidence rằng risk assessment không đủ comprehensive — phải update. OOS Investigation GMP: Phase 1, Phase 2 và 10 Lỗi Phổ biến theo FDA 21 CFR 211.192

Regulatory changes: khi có revision của EU GMP Annex 11, ICH Q9, hoặc FDA guidance ảnh hưởng đến requirements, risk assessment phải được reviewed để ensure alignment với current regulatory expectations.

[Observation từ thực tiễn ngành: periodic review hàng năm là best practice được ghi nhận rộng rãi — ICH Q9(R1) không specify tần suất cụ thể, chỉ yêu cầu risk management là continuous process trong lifecycle] Một risk assessment không được reviewed sau 3+ năm vận hành trong môi trường có regular system changes là risk assessment không còn phản ánh current state của system — và là finding tiềm năng khi bị inspect.

FAQ về Risk Assessment Hệ thống GMP

Phần này gom các câu hỏi giúp QA tự kiểm tra nhanh trước khi audit.

Production Readiness — Chuẩn hóa trước Go-live

Phần này giúp người đọc chuyển từ khái niệm sang checklist evidence có thể kiểm tra ngay.

Để đưa quy trình đánh giá rủi ro vào trạng thái production-ready, đội triển khai cần biến insight trong bài thành bằng chứng vận hành. Điểm bắt đầu không phải là mua thêm công cụ, mà là xác định dữ liệu nào có tác động GxP, hệ thống nào tạo ra dữ liệu đó, ai sở hữu dữ liệu, và bằng chứng nào phải xuất hiện trong hồ sơ khi auditor yêu cầu.

Trong thực tế nhà máy, bước chuẩn hóa nên đi theo logic risk-based. Các điểm dữ liệu ảnh hưởng trực tiếp đến batch release, deviation investigation, audit trail review, electronic signature hoặc validated state phải được ưu tiên trước. Những dữ liệu hỗ trợ năng suất có thể triển khai sau, nhưng không được trộn chung với dữ liệu GxP nếu chưa có ranh giới hệ thống rõ ràng.

Điểm kiểm soát cuối cùng của một hồ sơ risk assessment trước khi được ban hành là khả năng chuyển nội dung thành checklist hành động: phạm vi hệ thống, ranh giới dữ liệu, chủ sở hữu bằng chứng và tiêu chí chấp nhận phải đủ rõ để áp dụng vào một cuộc họp QA hoặc một change control thật.

Khi dùng bài này như tài liệu tham chiếu nội bộ, hãy đọc theo ba lớp: lớp một là yêu cầu quy định và chuẩn mực ngành; lớp hai là rủi ro vận hành tại nhà máy Việt Nam nơi hệ thống giấy, Excel và nền tảng số thường cùng tồn tại; lớp ba là bằng chứng có thể kiểm tra lại sau triển khai.

Tác giả: Phạm Đức Phương Nam — nampham.net

Ghi Chú Minh Bạch

Phần này làm rõ nguồn tham chiếu và ranh giới áp dụng của bài viết.

Decision Moment — 3 Câu hỏi trước khi Go-live

Trước khi áp dụng quy trình đánh giá rủi ro mới, QA, Engineering và owner hệ thống nên khóa ba quyết định sau để tránh biến rủi ro trên giấy thành lỗ hổng vận hành thực tế:

1. Ranh giới hệ thống hoặc quy trình đánh giá rủi ro nào phải được định nghĩa lại trước khi audit tiếp theo?
2. Bằng chứng GMP nào cần được tạo tự động thay vì dựa vào giải thích thủ công sau sự cố?
3. Ai là owner chịu trách nhiệm cập nhật SOP, URS, FMEA hoặc traceability matrix sau khi phát hiện khoảng trống rủi ro?

Để chuyển các khuyến nghị trong bài thành kế hoạch triển khai khả thi, xem thêm tại nampham.net.