21 CFR Part 11

Les systèmes fermés, que la FDA définit comme des environnements comportant des systèmes contrôlés par le personnel chargé de la gestion de vos documents électroniques, doivent être dotés de plusieurs dispositifs de contrôle visant à préserver l’intégrité et l’authenticité de vos données. Ces contrôles sont notamment les suivants :

• Pistes d’audit ;
• Validation des systèmes ;
• Contrôle des systèmes opérationnels ;
• Contrôle des appareils ;
• Contrôle des autorisations ;
• Programme de sécurité ; et
• Procédures de contrôle des modifications.

Les entreprises sont également tenues de mettre au point des politiques écrites à destination des personnes soumettant leur signature numérique. Ces contrats prévoient qu’il incombe intégralement au signataire de limiter le risque de fraude. La FDA impose également aux entreprises d’être en mesure de présenter des copies complètes et exactes de leurs documents à des fins d’utilisation.

Les systèmes ouverts, que la FDA définit comme des environnements comportant des systèmes contrôlés par un tiers ne participant pas à la gestion de vos documents électroniques, doivent être dotés de plusieurs dispositifs de contrôle visant à préserver l’intégrité et l’authenticité de ces informations. Ces contrôles sont notamment les suivants :

• Chiffrement ;
• Normes relatives aux signatures électroniques ;
• Pistes d’audit ;
• Contrôle des systèmes opérationnels ;
• Validation des systèmes ;
• Contrôle des appareils ;
• Contrôle des autorisations ;
• Programme de sécurité ; et
• Procédures de contrôle des changements.

À l’instar de l’article 11.10 de la 21 CFR Part 11, cet article impose aux entreprises disposant de systèmes ouverts de mettre au point des politiques écrites selon lesquelles les signataires sont responsables de leurs actes. Il y est également prévu que les entreprises établissent des documents électroniques complets et exacts à des fins de vérification et de reproduction.

Sans collaborateurs compétents, il est difficile de garantir la validité, la fiabilité et l’authenticité d’un système. C’est pourquoi la FDA impose à l’ensemble des personnes concevant, maintenant ou utilisant votre système de documents ou de signatures électroniques de participer à une formation sur l’exercice de leurs activités quotidiennes.

La 21 CFR Part 11 prévoit également que les signatures électroniques comprennent des informations exclusives quant au document. Il convient, par exemple, d’indiquer la date et l’heure de la signature. La FDA impose également de faire figurer le nom du signataire et l’objet de la signature (approbation, statut d’auteur, vérification ou responsabilité).

Le risque de documents frauduleux est l’un des principaux facteurs ayant motivé l’élaboration des directives de la 21 CFR Part 11. Par conséquent, les réglementations prévoient que les signatures manuscrites et électroniques de documents numériques soient associées aux documents sur lesquels elles sont apposées, ce qui permet d’éviter leur reproduction sur d’autres fichiers.

Dans la mesure où une signature atteste de l’authenticité d’un document, il convient d’en certifier la validité. C’est pourquoi les critères de conformité à la FDA 21 CFR Part 11 prévoient des normes de base applicables aux signatures électroniques. Par exemple, les entreprises doivent vérifier l’identité d’une personne avant d’autoriser l’utilisation de sa signature.

Les collaborateurs sont également tenus de présenter un certificat à la FDA, attestant que leurs signatures électroniques sont équivalentes à leurs signatures manuscrites. Ce certificat permet en outre à la FDA de demander des informations complémentaires ou un témoignage du signataire.

Les entreprises, quant à elles, ne peuvent réutiliser ni ré-attribuer les signatures numériques. Elles sont la propriété exclusive du signataire initial.

Les directives de la 21 CFR Part 11 prévoient plusieurs dispositifs de contrôle des signatures électroniques. L’objectif est de prévenir toute fraude, de valider les signatures et de renforcer l’authenticité des documents signés.

L’un des éléments clés du contrôle des signatures électroniques est le type de signature. Si les signatures fondées sur la biométrie doivent garantir qu’elles peuvent uniquement être utilisées par leur auteur initial, les autres types de signatures sont soumis à plusieurs autres normes.

Est notamment prévue l’utilisation de deux éléments d’identification, par exemple un identifiant et un mot de passe. Si les collaborateurs signent plusieurs documents à la suite, ils peuvent renseigner leurs éléments d’identification une seule fois. En outre, il incombe aux entreprises de veiller à ce que les tentatives frauduleuses d’accès à une signature nécessitent l’intervention de deux parties.

Les obligations suivantes de la 21 CFR Part 11 ne s’appliquent pas aux entreprises dont les signatures sont fondées sur la biométrie mais uniquement à celles dont les signatures électroniques reposent sur des identifiants et mots de passe. Ces signatures étant plus vulnérables que celles fondées sur la biométrie, la FDA impose ce qui suit :

• Une combinaison unique d’identifiants et de mots de passe ;
• Le contrôle, la modification ou le rappel d’identifiants et de mots de passe ; et
• Le test régulier des appareils utilisant ou générant des composants des signatures électroniques.

Les entreprises doivent suivre les procédures de gestion des pertes en cas d’identifiants et mots de passe volés, perdus ou compromis et mettre en œuvre des mécanismes de sécurité des transactions visant à prévenir, identifier et signaler toute utilisation interdite d’éléments de signatures électroniques.

Certes, le champ d’application des obligations de la 21 CFR Part 11 est large mais il est essentiel de bien comprendre ces dernières car leur violation est passible d’amendes importantes imposées par la FDA. Par exemple, deux ans après l’entrée en vigueur de la 21 CFR Part 11, la FDA a imposé à Abbott une amende de 100 millions de dollars. En 2002, Schering-Plough Corporation, quant à elle, a dû s’acquitter d’une amende de plus de 500 millions de dollars.