(CSA) Computer Software Assurance FDA: che cos’è e cosa cambia per i dispositivi medici
(CSA) Computer Software Assurance FDA: che cos’è e cosa cambia per i dispositivi medici
PANORAMICA SIMPOSIO AFI 2026
(CSA) Computer Software Assurance FDA: che cos’è e cosa cambia per i dispositivi medici
La Computer Software Assurance (CSA) è l’approccio basato sul rischio con cui la FDA raccomanda di stabilire e mantenere la garanzia di idoneità del software utilizzato nella produzione dei dispositivi medici o nell’ambito del relativo sistema di gestione della qualità. Lo scorso 3 febbraio 2026, la FDA ha pubblicato la versione aggiornata della guidance ufficiale sulla CSA, che descrive l’orientamento corrente dell’Agenzia e fornisce raccomandazioni operative rivolte ai fabbricanti.
Nei paragrafi seguenti approfondiremo il modello della Computer Software Assurance, analizzando la sua definizione, il rapporto con la Computer System Validation (CSV), la gestione delle registrazioni elettroniche (21 CFR Part 11) e le principali implicazioni pratiche per le aziende del settore.
Che cos’è la Computer Software Assurance
La definizione FDA
La FDA descrive la Computer Software Assurance come un approccio basato sul rischio per stabilire e mantenere la certezza ragionevole che il software sia idoneo all’uso previsto (fit for intended use). La valutazione si concentra sul rischio che un eventuale malfunzionamento del software possa compromettere la sicurezza del paziente o la qualità del dispositivo medico. Di conseguenza, il livello di assurance e il rigore delle attività di test devono essere direttamente proporzionati al rischio identificato. Secondo le indicazioni dell’Agenzia, la CSA consente inoltre di mantenere il sistema in uno stato controllato durante tutto il suo ciclo di vita, garantendo uno stato validato coerente con i requisiti del sistema qualità.
Quali software sono inclusi
L’ambito della guidance comprende computer e sistemi automatizzati di elaborazione dati utilizzati direttamente o come supporto nella produzione o nel sistema di gestione della qualità (QMS). Nello specifico, rientrano tra i software interessati quelli destinati a:
- automatizzare processi produttivi e di confezionamento;
- eseguire ispezioni, misurazioni o test di conformità;
- raccogliere ed elaborare dati di produzione;
- automatizzare workflow e processi del sistema qualità;
- raccogliere e gestire dati e registrazioni di qualità;
- supportare le attività di sviluppo, test o monitoraggio dei sistemi produttivi o di qualità;
- conservare record relativi alla produzione o al sistema qualità.
La CSA si applica anche a tecnologie avanzate quali:
- strumenti di automazione, bot e workflow automatici;
- applicativi di data analytics e business intelligence;
- soluzioni basate su intelligenza artificiale (AI) e machine learning (ML);
- servizi di cloud computing nelle modalità SaaS, PaaS e IaaS.
Cosa è generalmente “out of scope”
La FDA distingue nettamente il software impiegato nella produzione o nel QMS dai sistemi destinati alla gestione aziendale generale. Di norma, non sono soggetti ai requisiti di validazione del software di produzione o qualità:
- le applicazioni per la gestione aziendale ordinaria, come la posta elettronica o la contabilità;
- le infrastrutture IT generali, come le reti, l’autenticazione degli utenti o la continuità operativa. Rimangono inoltre escluse dal perimetro della CSA le funzioni software che costituiscono esse stesse un dispositivo medico (Software as a Medical Device o SaMD). In ogni caso, la valutazione della pertinenza normativo-operativa dipende sempre dall’uso effettivo del sistema.
Cosa è “out of scope”
La FDA distingue nettamente il software impiegato nella produzione o nel QMS dai sistemi destinati alla gestione aziendale generale. Di norma, non sono soggetti ai requisiti di validazione del software di produzione o qualità:
- le applicazioni per la gestione aziendale ordinaria, come la posta elettronica o la contabilità;
- le infrastrutture IT generali, come le reti, l’autenticazione degli utenti o la continuità operativa. Rimangono inoltre escluse dal perimetro della CSA le funzioni software che costituiscono esse stesse un dispositivo medico (Software as a Medical Device o SaMD). In ogni caso, la valutazione della pertinenza normativo-operativa dipende sempre dall’uso effettivo del sistema.
CSA e Computer System Validation
La CSA sostituisce la CSV?
No. La CSA non elimina l’obbligo di validazione del software, né concede deroghe alla necessità di dimostrare l’idoneità del sistema. La Computer System Validation (CSV) rappresenta tradizionalmente il quadro concettuale per la convalida dei sistemi informatizzati. La CSA introduce invece un approccio risk-based e least-burdensome, in base al quale l’onere documentale e analitico non deve superare quanto strettamente necessario per gestire il rischio identificato. L’obiettivo della CSA è infatti produrre evidenze oggettive adeguate a soddisfare gli obblighi normativi, evitando al contempo attività ridondanti.
Il principio della proporzionalità
La guidance FDA si adegua ai principi della norma ISO 13485:2016, richiamando la necessità che le attività di validazione e rivalidazione siano commisurate al rischio associato all’uso del software e all’impatto sulla conformità del prodotto. Un sistema informatizzato complesso può comprendere funzionalità con differenti usi previsti e livelli di rischio eterogenei. Non occorre quindi applicare la medesima intensità di assurance a tutte le componenti del software. La FDA suggerisce di analizzare specificamente:
- le singole funzionalità e operazioni;
- il rispettivo uso previsto;
- il rischio derivante da un eventuale guasto del software.
E per le registrazioni elettroniche? Il legame tra CSA e 21 CFR Part 11
Un ambito di grande interesse riguarda la gestione dei documenti informatici e delle firme elettroniche normati dalla 21 CFR Part 11. La norma Part 11 fissa i criteri affinché i record e le firme elettroniche siano considerati autentici, affidabili ed equivalenti ai documenti cartacei sottoscritti a mano. Essa si applica a tutte le registrazioni in formato elettronico previste dalle regole del sistema qualità (predicate rules).
La guidance FDA chiarisce che la filosofia least-burdensome della CSA trova piena applicazione anche per i sistemi soggetti alla Part 11. Anziché sovraccaricare le procedure con stampe cartacee e screenshot manuali, i fabbricanti possono attestare l’integrità e la tracciabilità dei dati valorizzando le funzionalità native del software:
- audit trail automatici e marcati temporalmente;
- log di sistema digitali;
- controlli di accesso e autorizzazioni utente.
La FDA specifica che, sebbene sia prevista una discrezionalità nell’applicazione dei requisiti di validazione specifici della Part 11, rimangono pienamente vincolanti gli obblighi generali di validazione del software stabiliti dalle norme del sistema qualità (ISO 13485 / Part 820).
Integrare la CSA nel ciclo di vita del software
L’applicazione della Computer Software Assurance si estende all’intero ciclo di vita del sistema informatizzato. Questo richiede una pianificazione strutturata che includa:
- la definizione dell’uso previsto del software;
- l’analisi dei rischi di guasto del processo e del prodotto;
- l’esecuzione di test proporzionati (distinguendo tra test guidati da script e test esplorativi);
- la raccolta di evidenze oggettive in grado di dimostrare l’affidabilità operativa del sistema.
La documentazione prodotta deve tracciare in modo trasparente il percorso seguito, collegando i rischi identificati alle attività di verifica svolte e ai risultati ottenuti.
Domande frequenti
La CSA è una nuova norma obbligatoria?
No. No. La guidance della FDA contiene raccomandazioni non vincolanti e rappresenta l’orientamento attuale dell’Agenzia. I fabbricanti possono adottare approcci alternativi, purché garantiscano il rispetto dei requisiti di legge applicabili. Rimangono invece obbligatori e vincolanti i requisiti normativi sulla validazione del software e sul sistema qualità.
È necessario rivalidare tutti i sistemi?
No. La guidance non impone la rivalidazione integrale dei sistemi già in uso. Il fabbricante deve stabilire le azioni necessarie valutando l’uso previsto, le modifiche apportate, le evidenze già disponibili e i rischi associati.
La CSA riguarda anche il SaaS?
Sì. I servizi SaaS (Software as a Service) rientrano nell’ambito della CSA quando sono impiegati nella produzione o nel QMS. In questi contesti, l’analisi deve concentrarsi sulle funzionalità utilizzate, sulla gestione del fornitore e sull’integrità delle registrazioni.
La CSA riguarda il software del dispositivo medico?
No. La CSA non si applica alle funzioni software che rientrano nella definizione di dispositivo medico (SaMD).
Conclusioni
La Computer Software Assurance FDA definisce un modello operativo rigido nei principi ma flessibile nell’applicazione, finalizzato a garantire l’affidabilità operativa dei software aziendali. L’aspetto centrale risiede nella capacità di concentrare le risorse e il rigore analitico sulle funzioni che presentano un impatto diretto sulla sicurezza e sulla qualità del prodotto.
Nel contesto della nuova QMSR (in vigore dal 2 febbraio 2026) e dell’integrazione della ISO 13485:2016 nel 21 CFR Part 820, i fabbricanti dovrebbero aggiornare il proprio sistema qualità verificando la coerenza di:
- mappatura dell’uso previsto dei software;
- metodologie di analisi del rischio;
- strategie di assurance e di testing;
- gestione delle modifiche e del controllo fornitori;
- conservazione delle registrazioni e mantenimento dello stato validato.
Il punto di partenza raccomandato consiste nell’effettuare una revisione documentata dell’inventario software aziendale, confrontando le attuali procedure con le indicazioni della guidance FDA e con i requisiti della QMSR e della ISO 13485:2016.
Riferimenti
- FDA Guidance – Computer Software Assurance for Production and Quality Management System Software, 3 febbraio 2026.
- FDA Regulations – 21 CFR Part 11 (Electronic Records; Electronic Signatures) e Part 820 (Quality Management System Regulation – QMSR).
- International Standard – ISO 13485:2016 Medical devices – Quality management systems.