- + 39 0773.694245
- Lun → Ven : 9:00 -17:00
- comunicazione@s4bt.it
La Computer Software Assurance (CSA) è l’approccio basato sul rischio con cui la FDA raccomanda di stabilire e mantenere la garanzia di idoneità del software utilizzato nella produzione dei dispositivi medici o nell’ambito del relativo sistema di gestione della qualità. Lo scorso 3 febbraio 2026, la FDA ha pubblicato la versione aggiornata della guidance ufficiale sulla CSA, che descrive l’orientamento corrente dell’Agenzia e fornisce raccomandazioni operative rivolte ai fabbricanti.
Nei paragrafi seguenti approfondiremo il modello della Computer Software Assurance, analizzando la sua definizione, il rapporto con la Computer System Validation (CSV), la gestione delle registrazioni elettroniche (21 CFR Part 11) e le principali implicazioni pratiche per le aziende del settore.
La FDA descrive la Computer Software Assurance come un approccio basato sul rischio per stabilire e mantenere la certezza ragionevole che il software sia idoneo all’uso previsto (fit for intended use). La valutazione si concentra sul rischio che un eventuale malfunzionamento del software possa compromettere la sicurezza del paziente o la qualità del dispositivo medico. Di conseguenza, il livello di assurance e il rigore delle attività di test devono essere direttamente proporzionati al rischio identificato. Secondo le indicazioni dell’Agenzia, la CSA consente inoltre di mantenere il sistema in uno stato controllato durante tutto il suo ciclo di vita, garantendo uno stato validato coerente con i requisiti del sistema qualità.
L’ambito della guidance comprende computer e sistemi automatizzati di elaborazione dati utilizzati direttamente o come supporto nella produzione o nel sistema di gestione della qualità (QMS). Nello specifico, rientrano tra i software interessati quelli destinati a:
La CSA si applica anche a tecnologie avanzate quali:
Cosa è generalmente “out of scope”
La FDA distingue nettamente il software impiegato nella produzione o nel QMS dai sistemi destinati alla gestione aziendale generale. Di norma, non sono soggetti ai requisiti di validazione del software di produzione o qualità:
La FDA distingue nettamente il software impiegato nella produzione o nel QMS dai sistemi destinati alla gestione aziendale generale. Di norma, non sono soggetti ai requisiti di validazione del software di produzione o qualità:
No. La CSA non elimina l’obbligo di validazione del software, né concede deroghe alla necessità di dimostrare l’idoneità del sistema. La Computer System Validation (CSV) rappresenta tradizionalmente il quadro concettuale per la convalida dei sistemi informatizzati. La CSA introduce invece un approccio risk-based e least-burdensome, in base al quale l’onere documentale e analitico non deve superare quanto strettamente necessario per gestire il rischio identificato. L’obiettivo della CSA è infatti produrre evidenze oggettive adeguate a soddisfare gli obblighi normativi, evitando al contempo attività ridondanti.
La guidance FDA si adegua ai principi della norma ISO 13485:2016, richiamando la necessità che le attività di validazione e rivalidazione siano commisurate al rischio associato all’uso del software e all’impatto sulla conformità del prodotto. Un sistema informatizzato complesso può comprendere funzionalità con differenti usi previsti e livelli di rischio eterogenei. Non occorre quindi applicare la medesima intensità di assurance a tutte le componenti del software. La FDA suggerisce di analizzare specificamente:
Un ambito di grande interesse riguarda la gestione dei documenti informatici e delle firme elettroniche normati dalla 21 CFR Part 11. La norma Part 11 fissa i criteri affinché i record e le firme elettroniche siano considerati autentici, affidabili ed equivalenti ai documenti cartacei sottoscritti a mano. Essa si applica a tutte le registrazioni in formato elettronico previste dalle regole del sistema qualità (predicate rules).
La guidance FDA chiarisce che la filosofia least-burdensome della CSA trova piena applicazione anche per i sistemi soggetti alla Part 11. Anziché sovraccaricare le procedure con stampe cartacee e screenshot manuali, i fabbricanti possono attestare l’integrità e la tracciabilità dei dati valorizzando le funzionalità native del software:
La FDA specifica che, sebbene sia prevista una discrezionalità nell’applicazione dei requisiti di validazione specifici della Part 11, rimangono pienamente vincolanti gli obblighi generali di validazione del software stabiliti dalle norme del sistema qualità (ISO 13485 / Part 820).
L’applicazione della Computer Software Assurance si estende all’intero ciclo di vita del sistema informatizzato. Questo richiede una pianificazione strutturata che includa:
La documentazione prodotta deve tracciare in modo trasparente il percorso seguito, collegando i rischi identificati alle attività di verifica svolte e ai risultati ottenuti.
No. No. La guidance della FDA contiene raccomandazioni non vincolanti e rappresenta l’orientamento attuale dell’Agenzia. I fabbricanti possono adottare approcci alternativi, purché garantiscano il rispetto dei requisiti di legge applicabili. Rimangono invece obbligatori e vincolanti i requisiti normativi sulla validazione del software e sul sistema qualità.
No. La guidance non impone la rivalidazione integrale dei sistemi già in uso. Il fabbricante deve stabilire le azioni necessarie valutando l’uso previsto, le modifiche apportate, le evidenze già disponibili e i rischi associati.
Sì. I servizi SaaS (Software as a Service) rientrano nell’ambito della CSA quando sono impiegati nella produzione o nel QMS. In questi contesti, l’analisi deve concentrarsi sulle funzionalità utilizzate, sulla gestione del fornitore e sull’integrità delle registrazioni.
No. La CSA non si applica alle funzioni software che rientrano nella definizione di dispositivo medico (SaMD).
La Computer Software Assurance FDA definisce un modello operativo rigido nei principi ma flessibile nell’applicazione, finalizzato a garantire l’affidabilità operativa dei software aziendali. L’aspetto centrale risiede nella capacità di concentrare le risorse e il rigore analitico sulle funzioni che presentano un impatto diretto sulla sicurezza e sulla qualità del prodotto.
Nel contesto della nuova QMSR (in vigore dal 2 febbraio 2026) e dell’integrazione della ISO 13485:2016 nel 21 CFR Part 820, i fabbricanti dovrebbero aggiornare il proprio sistema qualità verificando la coerenza di:
Il punto di partenza raccomandato consiste nell’effettuare una revisione documentata dell’inventario software aziendale, confrontando le attuali procedure con le indicazioni della guidance FDA e con i requisiti della QMSR e della ISO 13485:2016.
Semplifica la gestione dei Reclami, dall’apertura, passando per investigazione, follow-up, giudizio e report finale.
Il modulo è progettato per supportare passo dopo passo il Quality Assurance nell’esecuzione e supervisione del processo e nell’assegnare attività ai reparti coinvolti. Il modulo si integra con il processo CAPA, che l’utente può aprire direttamente dal processo Reclami.
PRAGMA-WFM documenta e traccia tutte le attività e informazioni del processo Reclami. Inoltre per ogni fase è possibile allegare file in più formati a supporto delle attività e delle investigazioni.
In fase di ispezione la funzionalità dossier permette di generare in tempo reale un documento con le informazioni e le attività del processo e dei processi collegati
Semplifica la gestione degli Audit interni ed esterni, dalla pianificazione, passando per l’esecuzione, la gestione delle osservazioni.
Il modulo si integra con i processi CAPA, Non Conformità, Change Control che l’utente può aprire direttamente dall’audit per risolvere le osservazioni riscontrate.
PRAGMA-WFM documenta e traccia tutte le attività e informazioni del processo Audit. Per ogni fase del processo è possibile assegnare delle attività alle persone coinvolte e allegare file in più formati.
In fase di ispezione la funzionalità dossier permette di generare in tempo reale un documento con le informazioni e le attività degli Audit e dei processi collegati