Gestione farmaci stupefacenti. Immaginiamo che domani mattina, in un reparto ospedaliero, il conteggio non torni: mancano due fiale di un oppioide iniettabile. Quanto tempo serve per sapere chi ha avuto la disponibilità materiale di quel farmaco, in quale intervallo, con quale autorizzazione, con quale registrazione? Se la risposta si costruisce in poche ore a partire da documenti che esistono già, è un dispositivo di sicurezza. Se si costruisce in giorni, interrogando le persone e sperando nella loro memoria, è un documento che ha superato indenne qualche ispezione senza mai dover reggere un evento vero.
La domanda è oggi più urgente di quanto lo sia stata per anni. La crisi nordamericana degli oppioidi sintetici ha mostrato che il fentanyl e i suoi analoghi non sono un problema confinato al mercato illegale: una quota del fenomeno nasce dentro il circuito sanitario legale e ne esce attraverso sottrazioni, registrazioni compiacenti, residui mai eliminati davvero. È il contesto in cui il Ministero della salute ha elaborato il Piano nazionale di prevenzione contro l'uso improprio di fentanyl e di altri oppioidi sintetici, e in cui va letta la bozza di decreto ministeriale — non ancora pubblicata — che aggiorna sicurezza, custodia, tracciabilità e gestione di questi medicinali nelle strutture sanitarie pubbliche e private.
Chi si occupa di sicurezza delle cure è abituato a progettare barriere contro l'errore. Ma l'errore è un avversario prevedibile: non studia le difese e non le aggira deliberatamente. La diversion sì. La fuoriuscita del medicinale dal circuito legale ha una componente intenzionale, chi la mette in atto conosce la procedura meglio di chi l'ha scritta: sa a che ora si conta, sa quale documento nessuno riconcilia mai, sa che la giustificazione della rottura accidentale è difficilmente verificabile. Una barriera pensata solo contro la distrazione, contro di lei, serve a poco.
C'è poi un aspetto che riceve meno attenzione di quanta ne meriti. In una quota significativa dei casi il soggetto coinvolto è un professionista sanitario, quasi sempre una persona competente e stimata dai colleghi: è la ragione per cui la materia è delicata anche sul piano umano. Gli ammanchi tendono a essere letti come disguidi contabili proprio perché l'alternativa è insostenibile da pensare, e questa protezione collettiva ritarda la rilevazione di mesi. Un sistema di controlli impersonali, applicati sempre e a tutti, non serve solo a scoprire: toglie ai singoli il peso di dover sospettare del collega e intercetta prima che il danno diventi irreversibile per il paziente, per il professionista e per l'organizzazione.
La normativa italiana sugli stupefacenti in ospedale ha radici consolidate: dal DPR 309/1990 ai decreti attuativi successivi, come l'introduzione del registro di carico e scarico di reparto (DM 3 agosto 2001), la disciplina dei buoni acquisto e della registrazione informatica (DM 18 dicembre 2006 e DM 3 agosto 2006) e le successive semplificazioni introdotte dalla Legge 38/2010.
Il limite di quell'impianto non era la severità, era la frammentazione: prescrizioni puntuali, ciascuna corretta, senza un soggetto organizzativo che ne garantisse la tenuta complessiva. La bozza interviene proprio lì, e il suo contributo maggiore non è un requisito in più: è un cambio di logica.
Il testo chiede alle strutture una procedura aziendale unica, vincolante per tutte le articolazioni, approvata dalla direzione sanitaria e validata dalla direzione generale, che tenga insieme responsabilità e sostituzioni, custodia, credenziali e accessi, movimentazioni, controlli, emergenze, segnalazioni e formazione; chiede che sia riesaminata non a scadenza naturale, ma quando accade qualcosa: eventi critici, non conformità, esiti delle ispezioni. È il passaggio da un documento che descrive a un documento che apprende e l'unicità, con la validazione al vertice, non è un dettaglio formale, perché è la convivenza di istruzioni locali disallineate a rendere poi le discrepanze irrisolvibili.
Attorno a questo perno si dispone il resto, ed è un sistema di barriere più che un elenco di obblighi. La catena delle responsabilità viene costruita senza tratti muti: al direttore della farmacia — o, dove la farmacia non c'è, al direttore sanitario — vanno approvvigionamento, ricezione, custodia, movimentazione interna e giacenza, insieme alla vigilanza sulle unità operative, mentre in reparto restano la titolarità organizzativa del direttore e la custodia affidata al coordinatore infermieristico. La delega è ammessa, ma nominativa, per singole attività, temporalmente definita e tracciabile: le deleghe generiche di vigilanza e custodia sono espressamente inefficaci. Chi ha esperienza di contenzioso sa quanto pesi questa precisazione, perché la delega generica è lo strumento con cui, a posteriori, la responsabilità si diffonde fra molti e non si radica in nessuno. Sulla stessa logica poggia il trasferimento con atto scritto dei compiti di custodia al cambio di turno: la responsabilità non si interrompe e non si diluisce, passa — e il passaggio lascia traccia.
Le barriere fisiche sono descritte con precisione — area non accessibile al pubblico, separazione dagli altri farmaci, caratteristiche della cassaforte, videosorveglianza e accessi controllati nel rispetto della disciplina sui dati personali — ma la parte che in ospedale cede più spesso non è l'acciaio: sono le chiavi e le credenziali, per le quali si pretendono custodia diretta, annotazione di ogni passaggio con data, ora, consegnante e ricevente, divieto di copie non censite e di condivisione delle credenziali personali. La condivisione informale della password non nasce quasi mai da un intento illecito: nasce dall'urgenza, dall'attrito con il ritmo reale del lavoro, dal profilo autorizzativo non aggiornato dopo un trasferimento. Il problema è che annulla retroattivamente l'intera tracciabilità, perché da quel momento il sistema non identifica più una persona ma un gruppo.
Sul fronte documentale la bozza consolida la spinta verso la registrazione informatica già prevista dal decreto del 2010, imponendo autenticazione, profilazione, storicizzazione, tracciabilità delle rettifiche, continuità operativa e copie di sicurezza, e chiedendo che le correzioni al registro mantengano leggibile il dato originario con autore, data e motivazione. Merita attenzione una previsione apparentemente minore: in caso di indisponibilità del sistema si attiva una procedura di continuità con successiva riconciliazione integrale. È il punto in cui la digitalizzazione si rompe davvero, perché il downtime del gestionale produce registrazioni cartacee di ripiego che nessuno reinserisce, o che rientrano in blocco e senza attribuzione individuale. Conviene definire in anticipo quel modulo, chi lo compila, entro quante ore si riconcilia e chi attesta la riconciliazione.
Il controllo delle giacenze è il punto in cui l'impostazione di risk management è più visibile. La verifica di corrispondenza tra giacenza reale e contabile è fissata ogni quarantotto ore — settantadue se il termine cade in giornata festiva — e nelle unità operative a ciclo continuativo coincide con ogni passaggio della responsabilità di custodia. La scelta è elegante, perché fa coincidere il momento in cui la responsabilità cambia mani con quello in cui si accerta lo stato del bene, eliminando la zona grigia in cui un ammanco sarebbe attribuibile indifferentemente a due turni. Ma questi intervalli vanno letti per quello che sono: la finestra entro cui un evento resta invisibile. Contando ogni due giorni, il numero di persone che nel frattempo hanno avuto accesso rende la ricostruzione quasi impossibile; contando a ogni consegna, la finestra si riduce a un turno. La frequenza del conteggio non soddisfa un obbligo: decide quanto sarà ricostruibile l'evento.
Coerente con questa impostazione è il trattamento dell'anomalia. Ogni discrepanza non giustificata, manomissione, accesso non autorizzato, sospetta registrazione fraudolenta, furto o sottrazione smette di essere una questione contabile e diventa un evento critico, da comunicare al responsabile entro dodici ore, cui seguono conteggio straordinario, messa in sicurezza di locali e sistemi, conservazione di documenti e dati informatici, ricostruzione della catena di custodia, denunce di legge e segnalazione all'AIFA per l'inserimento nel database europeo MEDI-THEFT, consultabile anche dal Comando Carabinieri per la Tutela della Salute e dalla Direzione centrale per i servizi antidroga. È un protocollo di risposta all'incidente: contenere, preservare le evidenze, ricostruire, notificare. E le dodici ore non sono una formalità, perché i log di accesso e le immagini di videosorveglianza hanno tempi di conservazione limitati: una segnalazione tardiva arriva quando l'evidenza non esiste più. Conviene perciò raccordare questo canale con l'incident reporting aziendale, per non alimentare due binari paralleli destinati a produrre ricostruzioni incompatibili.
Chiudono il sistema vigilanza e formazione, ancora nel registro del miglioramento continuo più che dell'adempimento. Le ispezioni sono almeno semestrali e diventano almeno trimestrali dove sono già emerse non conformità: la vigilanza segue il rischio osservato, non il calendario. Gli esiti si verbalizzano con prescrizioni, responsabile dell'azione correttiva e termine, e il monitoraggio poggia su indicatori di corrispondenza delle giacenze, tempestività delle registrazioni, completezza documentale, discrepanze e anomalie dei consumi — che servono però solo se hanno una soglia, un responsabile e una conseguenza. Quanto alla formazione, la scelta più significativa è che l'accesso ai medicinali e ai sistemi sia riservato a personale formato e abilitato, con verifica dell'apprendimento e registro delle abilitazioni: non più un corso, ma un requisito abilitante. Chi non è abilitato non accede — il che impone di tenere allineati registro delle abilitazioni e profilazione informatica anche quando un turno va coperto d'urgenza.
La farmacia ospedaliera, in tutto questo, non è il magazzino del sistema: ne è il nodo di governo. È l'unico punto che dispone insieme del consumo aggregato e della vista longitudinale sui reparti, e quindi l'unico capace di leggere come segnale una richiesta che, isolata, sembrerebbe plausibile. La verifica di congruità tra richiesta, consumi e giacenze prima della consegna — salvo urgenza clinica documentata — è una barriera a monte, e costa infinitamente meno di qualunque indagine a valle. Vi si lega la disciplina del trasporto, con contenitori sigillati e verifica del sigillo prima dell'apertura: il sigillo numerato non impedisce nulla, ma circoscrive quando l'eventuale manomissione è avvenuta e chi allora deteneva il contenitore. È una barriera di attribuzione, esattamente ciò che serve per ricostruire.
Quando il medicinale lascia la farmacia il rischio non scompare: cambia luogo, e diventa più difficile da vedere. In reparto le barriere sono soprattutto organizzative — chi apre, chi conta, chi registra, chi consegna il turno, chi restituisce — e il punto di massima tensione è il blocco operatorio. La bozza non detta regole specifiche per la sala operatoria, e sarebbe scorretto attribuirgliele: sono le sue caratteristiche organizzative a rendere lì più esigente la procedura aziendale. Elevata movimentazione di oppioidi, più professionisti sullo stesso paziente, cambi di responsabilità nella stessa seduta, confezioni aperte e frazionate, residui, farmaci prelevati e non utilizzati, emergenze in cui la registrazione segue per forza l'atto clinico. Quantità prelevata, dose annotata in cartella anestesiologica, residuo eliminato e quantità restituita devono chiudere, ma appartengono a documenti diversi, compilati in momenti diversi da persone diverse. È qui che la procedura deve dire senza margini interpretativi chi esegue la riconciliazione, quando, con quale evidenza dell'eliminazione del residuo e con quale seconda firma: altrimenti la differenza fisiologica fra dose prelevata e dose somministrata diventa stabilmente una zona non verificabile.
Le disposizioni finali esplicitano ciò che in sede medico-legale era già sostenibile: l'assenza o l'inadeguatezza delle procedure assume rilievo nelle attività di vigilanza, e la violazione di quanto previsto dal decreto sarà valutata anche ai fini della responsabilità penale. Non impedire un evento che si ha l'obbligo giuridico di impedire equivale a cagionarlo. Alle strutture sono concessi novanta giorni dalla pubblicazione: tempo sufficiente per riscrivere un documento, appena sufficiente per riprogettare un sistema.
Vale allora la pena usare quei novanta giorni per la domanda giusta, che non è "siamo a norma?" ma "se domani emergesse una discrepanza, sapremmo ricostruire che cosa è accaduto?". Rispondere significa percorrere il cammino del medicinale dall'ingresso in farmacia fino alla somministrazione o alla distruzione, chiedendosi per ogni passaggio quale barriera sia prevista e che cosa accada quando cede. Perché una procedura stupefacente fotografa il processo.
