21 CFR Parte 11

Sin dalla loro emanazione nel 1997, le norme della Food and Drug Administration (FDA) relative al Titolo 21 del Code of Federal Regulations (CFR), note anche come FDA 21 CFR, sono state oggetto di revisioni volte a garantire una normativa chiara e concisa.

Che cos'è la normativa FDA 21 CFR Parte 11?

Un aspetto specifico della normativa FDA 21 CFR è la Parte 11, che dettaglia i regolamenti per l'uso di firme elettroniche e documenti elettronici. Per molte aziende che fanno affidamento sui dati digitali per monitorare i propri beni, come quelle dei settori farmaceutico, alimentare e sanitario, garantire la conformità al 21 CFR Parte 11 è essenziale.

Con l'avanzamento della tecnologia negli anni '80 e '90, molte aziende adottarono la gestione digitale dei registri. Per quasi tutti i settori, il passaggio ha migliorato l'efficienza in termini di costi e tempi, oltre che la produttività. Lo svantaggio, tuttavia, era che questi metodi mancavano di validità, affidabilità e autenticità rispetto ai metodi tradizionali basati su carta e penna.

Per la FDA, la perdita di accuratezza era problematica. Ha consentito alle aziende di fornire documenti falsificati, nascondendo la gestione scorretta dei beni. Questo potrebbe quindi portare a conseguenze negative per molti consumatori, ad esempio pazienti che ricevono vaccini danneggiati o scaduti o altri trattamenti medici. Ecco perché, quando la FDA ha stabilito le linee guida del 21 CFR Parte 11, aveva tre obiettivi:

Autenticare la validità dei documenti elettronici

Confermare l'autenticità delle firme e dei documenti elettronici

Convalidare l'affidabilità delle firme e dei documenti elettronici

Per raggiungere tali obiettivi, la normativa 21 CFR Parte 11 impone alle aziende soggette alla regolamentazione della FDA che utilizzano documenti e firme digitali di implementare, testare e confermare i propri controlli volti a garantire l'autenticità, l'affidabilità e la validità del software e dei sistemi che elaborano i loro dati digitali.

Contatti i nostri esperti

Quali sono i requisiti per la conformità al 21 CFR Parte 11 della FDA?

La definizione più semplice di conformità alla 21 CFR Parte 11 è la presentazione di documenti di validazione alla FDA. Questi materiali includono una serie di test e report a sostegno della valutazione che i sistemi e i software siano autentici, affidabili e validi.

Quindi, quali sono i requisiti completi del 21 CFR Parte 11? Documentazione che attesti la conformità alle seguenti norme:

Sezione 11.10: Controlli per sistemi chiusi

I sistemi chiusi, che la FDA definisce come ambienti con sistemi controllati dal personale addetto alla gestione dei documenti elettronici, devono disporre di diversi controlli per garantire l'integrità e l'autenticità dei dati. I controlli per sistemi chiusi includono:

Audit trail
Validazione del sistema
Controlli del sistema operativo
Controlli dei dispositivi
Controlli delle autorizzazioni
Un programma di sicurezza
Procedure di controllo delle modifiche

Le aziende sono obbligate a redigere politiche scritte per le persone che forniscono la propria firma digitale. Questi accordi dovrebbero prevedere che tutta la responsabilità e l'obbligo di rendere conto ricadano sul firmatario, per ridurre il rischio di attività fraudolente. La FDA richiede inoltre che la sua azienda garantisca la capacità di produrre copie complete e accurate dei suoi registri per l'uso.

Sezione 11.30: Controlli sui sistemi aperti

I sistemi aperti, definiti dalla FDA come ambienti con sistemi controllati da una terza parte non coinvolta nella gestione dei suoi registri elettronici, devono utilizzare una serie di controlli per garantire la sicurezza e l'integrità di queste informazioni. I controlli richiesti includono:

Crittografia
Standard per le firme elettroniche
Audit trail
Controlli del sistema operativo
Validazione del sistema
Controlli dei dispositivi
Controlli delle autorizzazioni
Programma di sicurezza
Procedure di controllo delle modifiche

Come previsto dalla Sezione 11.10 delle linee guida 21 CFR Parte 11, anche le aziende con sistemi aperti devono redigere policy scritte che rendano i fornitori di firme elettroniche responsabili delle loro azioni. È inoltre indicato nella normativa che la sua struttura genera registri elettronici completi e accurati per la revisione e la duplicazione.

Sezione 11.10(i): Formazione sul sistema

Sezione 11.50: Manifestazioni della firma elettronica

Sezione 11.70: Collegamento della firma elettronica:

Sezione 11.100: Requisiti generali per la firma elettronica

Poiché una firma conferisce autenticità a un documento, è necessario confermarne la validità. Ecco perché i requisiti di conformità della FDA al 21 CFR Parte 11 includono diversi standard di base per le firme elettroniche. Innanzitutto, le aziende devono verificare l'identità di un individuo prima di autorizzare l'uso della sua firma.

I dipendenti sono inoltre tenuti a presentare una certificazione alla FDA, confermando che le loro firme elettroniche sono equivalenti a quelle scritte a mano. Questa conferma consente anche alla FDA di richiedere ulteriori informazioni o testimonianze al firmatario.

Le aziende, invece, non devono riutilizzare o riassegnare firme digitali. Sono esclusive del fornitore originale.

Sezione 11.200: Componenti e controlli della firma elettronica

La FDA ha stabilito diverse misure di controllo per le firme elettroniche nell'ambito delle linee guida 21 CFR Parte 11. Lo scopo di questi standard è prevenire attività fraudolente, garantire la validazione delle firme e rafforzare l'autenticità dei documenti firmati.

Un aspetto cruciale dei controlli sulle firme elettroniche è la tipologia di firma. Quelle basate sulla biometria devono garantire che la firma digitale sia utilizzabile esclusivamente dal fornitore originale, mentre le firme prive di elementi biometrici devono soddisfare una serie di altri requisiti.

Gli standard includono l'uso di due componenti identificativi, come una password e un codice identificativo. Nei casi in cui i dipendenti firmano più documenti consecutivamente, possono fornire i loro componenti identificativi una sola volta. Le aziende devono inoltre garantire che i tentativi fraudolenti di appropriarsi della firma di una persona richiedano l'intervento di due parti

Sezione 11.300: Controlli per codici di identificazione e password

e seguenti disposizioni della 21 C.F.R. Parte 11 non si applicano alle organizzazioni con firme biometriche, solo alle organizzazioni con firme elettroniche basate su codici identificativi e password. Poiché questi tipi di firme digitali sono più vulnerabili rispetto a quelle basate su biometria, la FDA richiede quanto segue:

Combinazione unica di password e codici identificativi
Ispezione di routine, revisione o richiamo di codici identificativi e password
Test periodici dei dispositivi che utilizzano o generano componenti di firma elettronica

Le aziende devono adottare procedure per la gestione delle credenziali sottratte, smarrite o compromesse, nonché implementare misure di protezione delle transazioni per prevenire, rilevare e segnalare l'uso non autorizzato dei componenti della firma elettronica.

Sebbene l'ambito dei requisiti del 21 CFR Parte 11 sia ampio, comprenderli è essenziale, poiché la violazione può comportare multe sostanziali da parte della FDA. In effetti, due anni dopo l'entrata in vigore della 21 CFR Parte 11, la FDA ha multato Abbott Laboratories di 100.000.000 di dollari USA. E nel 2002, Schering-Plough Corporation ha pagato più di 500 milioni di dollari USA.

ciò che conta è la conformità

How to Meet FDA 21 CFR Part 11 Guidelines

Il raggiungimento della conformità alla normativa 21 CFR Parte 11 è un processo articolato in più fasi che coinvolge i seguenti elementi: hardware, software, dipendenti e processi.

È fondamentale analizzare separatamente ciascuno dei fattori sopra menzionati prima di monitorare le loro interazioni con gli altri, così potrà determinare perché o come si verificano i problemi e implementare adeguate modifiche ai controlli esistenti. Prima di iniziare i test, segua questi passaggi:

Crei il suo piano di validazione del sistema:

Questa fase è forse la più fondamentale per il successo. Costituisce la base per soddisfare i requisiti di conformità previsti dalla normativa 21 CFR Parte 11, in quanto la induce ad analizzare ogni aspetto del suo progetto. Valuti le sue risorse, il budget e la scadenza, così come le attività di verifica e i ruoli del gruppo di lavoro, per elaborare un piano di validazione del sistema approfondito e completo.

Identifichi i requisiti dei sistemi:

The next step is to identify your systems, as well as the requirements they need to meet for 21 CFR Part 11. If you’re in the pharmaceutical industry, for example, you may consider your temperature data loggers and their software. Altri processi da considerare includono le procedure di formazione, i controlli sulle firme elettroniche e le misure di sicurezza.

Testi i suoi sistemi:

Con il piano di validazione del sistema sviluppato e i requisiti del sistema definiti, può iniziare il processo di test dei suoi sistemi e valutarne le risposte. Prima di iniziare le sue analisi, si assicuri di aver rivisto e condiviso i protocolli di test con il suo team. Se uno qualsiasi dei test si discosta da queste regole, i risultati saranno annullati, il che può costare alla sua organizzazione tempo e risorse preziose.

Rediga il suo report di sintesi:

Dopo aver valutato i processi aziendali e il loro effetto sulla validità, autenticità e affidabilità dei processi di digitalizzazione della documentazione, può redigere il suo report di sintesi. Questo documento è prezioso per gli stakeholder e per gli ispettori della FDA. Si assicuri che lei e il suo team redigiate una sintesi completa che includa raccomandazioni per migliorare i controlli esistenti nella sua azienda.

Modifichi i suoi controlli:

Sebbene molte organizzazioni rispettino i requisiti della FDA del 21 CFR Parte 11, la maggior parte cerca modi per migliorare i propri sistemi. Offrire una formazione più completa, ad esempio, è una modifica comune. Se il suo team aggiorna i controlli tecnici, come i sistemi aperti o chiusi, esegua test approfonditi in anticipo per prevenire effetti indesiderati come interruzioni di servizio dovute a errori di programmazione.

Per molte aziende, ottenere la conformità al 21 CFR Parte 11 è un processo lungo e dispendioso in termini di tempo e risorse. Ecco perché molte aziende affidano questo compito a organizzazioni specializzate nei requisiti di conformità della normativa 21 CFR Parte 11. In questo modo non solo la sua azienda viene sollevata dalla responsabilità, ma si garantisce anche che i test vengano effettuati da una terza parte imparziale.

Si concentri su ciò che conta davvero

Come testare la conformità al 21 CFR Parte 11

Se decide di fare la valutazione e i test internamente, ci sono 10 fattori su cui concentrarsi:

Validazione del sistema

In conformità ai requisiti della 21 CFR Parte 11, qualsiasi sistema coinvolto nella creazione o modifica di documenti elettronici deve essere sottoposto a validazione. I sistemi che forniscono informazioni alla FDA, o a qualsiasi altro ente regolatore, richiedono anche dei test.

I sistemi che spesso vengono validati includono:

Software, come quello utilizzato per la gestione dei dati (ad esempio OCEASOFT ThermoServer/ThermoClient suite)
Applicazioni mobili, cloud e Web (ad es. OCEAView e CobaltView)
Microsoft Excel
Microsoft Access

I tipi di test di validazione del sistema eseguiti includono:

Specifica dei requisiti funzionali (FRS)
Specifica di progettazione del sistema (SDS)
Protocolli di collaudo e report di sintesi della validazione (SR)
Piano di convalida generale/specifico del progetto (VP)

L'approccio di ogni azienda alla validazione dei sistemi è diverso. L'aspetto fondamentale è documentare il funzionamento dei suoi programmi e delle sue applicazioni, dimostrare che funzionano secondo le specifiche stabilite e individuare eventuali modifiche apportate ai documenti elettronici.

Accessibilità del sistema

Tra le linee guida più critiche del 21 CFR Parte 11, l'accessibilità del sistema è anche una delle più semplici da rispettare e da testare. L'obiettivo di questo requisito della FDA è garantire l'integrità dei suoi dati elettronici e confermarne l'affidabilità. Pertanto, viene prestata particolare attenzione ai componenti e ai controlli relativi alla firma elettronica.

Per valutare l'accessibilità del sistema aziendale, valuti i seguenti fattori:

Controlli fisici e digitali
Livelli di autorizzazione per gli utenti
Misure di sicurezza a due livelli, come time-out e password per l'accesso ai programmi
Password e codici identificativi specifici per utente
password e codici identificativi generali

Dopo aver valutato queste caratteristiche, le testi. Le persone non autorizzate possono accedere a dati critici tramite una password pubblica? Le aree riservate della sua struttura non hanno un tastierino di sicurezza? I sistemi e i programmi protetti da password vanno in timeout dopo un periodo predefinito? Documenti le sue risposte e annoti dove apportare miglioramenti.

Funzionamento del sistema

Un altro requisito del 21 CFR Parte 11 per sistemi chiusi e aperti riguarda i controlli del sistema operativo. Lo scopo di queste valutazioni è garantire l'autenticità e la validità dei documenti elettronici richiedendo al personale di seguire una procedura rigorosa per creare, firmare, modificare, eliminare e rilasciare un documento.

Durante i test, è importante dimostrare quanto segue:

In che modo il sistema impedisce l'esecuzione di azioni nell'ordine errato
In che modo il sistema consente l'esecuzione di azioni nell'ordine corretto

Ad esempio, potrebbe disporre di controlli volti a impedire l'invio prematuro degli ordini in batch, come una firma elettronica. È possibile testarlo tentando di inviare l'ordine senza una firma elettronica. Quindi, dimostri la sua efficacia inviando con successo la richiesta con una firma elettronica.

Conferma dell'audit trail

Una componente fondamentale dei requisiti della normativa 21 CFR Parte 11 è rappresentata dagli audit trail. Il ruolo degli audit trail è quello di una parte imparziale, motivo per cui la FDA richiede la verifica della loro implementazione per la conformità al 21 CFR Parte 11. Gli audit trail forniscono informazioni su quanto segue:

Creazione, modifica ed eliminazione dei documenti elettronici
Data e ora locali delle azioni
Applicazione o rimozione delle firme elettroniche

Per soddisfare i requisiti della normativa 21 CFR Parte 11 relativi agli audit trail, deve dimostrare che non è possibile eseguire le seguenti operazioni:

Modificare gli audit trail
Sovrascrivere gli audit trail

Dovrà anche dimostrare di conservare gli audit trail per tutta la durata del documento elettronico. In altre parole, se archivia un file digitale, deve archiviare anche il relativo audit trail. Se scopre errori nei suoi processi di audit trail, è fondamentale implementare una soluzione il prima possibile, poiché un audit trail inefficace compromette gravemente la validità, l'affidabilità e l'autenticità dei suoi documenti elettronici.

Generazione di documenti

La generazione dei documenti serve a verificare se i suoi sistemi sono in grado di produrre documenti digitali completi e accurati ed esportarli in formato fisico stampato. Conferma inoltre i suoi audit trail. Verifichi la generazione dei suoi registri completando quanto segue:

Verifichi che i registri elettronici siano recuperabili
Confermi che gli audit trail tracciano le modifiche
Convalidi la stampa e l'esportazione dei documenti elettronici

Sebbene la FDA non specifichi un formato di file specifico per l'esportazione dei registri elettronici, le aziende comunemente convertono i file in formato PDF. Il vantaggio di un formato PDF rispetto a un file di testo è che può garantire che i suoi dati e la formattazione rimangano invariati.

Modifica di documenti

Un'altra caratteristica delle linee guida del 21 CFR Parte 11 è la conferma di un sistema di controllo documentale. La FDA richiede che siano in atto controlli per approvare, revisionare e conservare un documento elettronico. Questo requisito si collega alla validazione del sistema, all'accessibilità e al funzionamento, poiché include controlli per l'accesso ai documenti.

Nella maggior parte dei casi, i test di validazione, accessibilità e funzionamento del sistema confermeranno il suo utilizzo di un sistema di controllo dei documenti. Come accennato in precedenza, tuttavia, è essenziale testare ciascuna delle parti coinvolte nella gestione dei suoi documenti elettronici.

Oltre a una dimostrazione del suo sistema di controllo dei documenti, includa una copia delle sue procedure operative standard (SOP) o specifiche del sistema che dimostreranno che la sua azienda mantiene un sistema di controllo dei documenti e lo rende disponibile a tutto il personale come riferimento.

Conferma di input

Oltre a documentare la generazione da parte della sua azienda di registri digitali validi e autentici, è necessario fornire evidenza che le interazioni con questi registri elettronici siano effettivamente legittime. Ciò significa confermare che il personale possa vedere l'effetto della tastiera, del lettore di codici a barre o del mouse su un documento.

Per verificare la conformità alla normativa 21 CFR Parte 11, è necessario dimostrare in che modo i dispositivi utilizzati dai membri del team immettono le informazioni nel sistema aziendale. Se i suoi documenti elettronici ricevono aggiornamenti da un dispositivo o sistema esterno, come un data logger di temperatura, dovrà confermare anche l'input di quei dati.

Pur non essendo richiesto dalla FDA, si raccomanda di creare registri elettronici con delle limitazioni. Un documento dedicato esclusivamente all'inserimento di dati numerici, ad esempio, dovrebbe avere campi con intervalli limitati per prevenire l'inserimento accidentale di informazioni non accurate. È possibile utilizzare menu a tendina per i dati non numerici.

Protezione dei documenti

È un processo semplice soddisfare i requisiti della normativa FDA 21 CFR Parte 11 per la protezione dei documenti. La missione del suo team è dimostrare che i suoi sistemi proteggono i documenti elettronici. È inoltre essenziale fornire evidenza che i dati vengano conservati per il periodo di tempo appropriato, che varia in base al tipo di documento. Le organizzazioni tendono a dimostrare la protezione dei registri testando le seguenti procedure:

Backup dei dati
Recupero dei dati
Archiviazione dei dati
Disaster recovery

Se dispone di un piano di continuità aziendale, lo verifichi durante questa fase. Proprio come nel caso degli audit trail, se nota degli errori nelle sue procedure di protezione dei dati, non aspetti a elaborare un piano per porvi rimedio. La perdita di documenti elettronici, come dati di ricerca clinica, ordini di produzione, cronologia di produzione e altro ancora, può comportare lunghi periodi di inattività e costi elevati.

Conferma dell'autorità

Questo requisito di conformità alla 21 CFR Parte 11 è simile all'accessibilità del sistema, ma si concentra sui livelli di autorizzazione. Con la conferma dei livelli di autorizzazione, si dimostra la presenza di tali livelli, così come i privilegi dei ruoli utente specifici, il che supporta la validità e l'autenticità dei registri elettronici.

Fornisca evidenza dei suoi controlli delle autorizzazioni, dimostrando come i diversi livelli utente possano accedere, creare, modificare o eliminare registri elettronici. Dovrebbe anche mostrare come gli utenti non autorizzati non possano completare alcune di queste azioni.

Si consiglia di avere almeno due controlli utente: uno generale e uno amministratore. Non è raro, tuttavia, che le aziende ne abbiano di più. Se ritiene che la sua azienda ne abbia bisogno di altri, lo segnali nel suo report di sintesi.

Verifica della formazione

Un requisito fondamentale di conformità per la normativa 21 CFR Parte 11 è la formazione. Quando convalida le procedure della sua azienda per la gestione dei documenti elettronici, conferma che il suo team possiede le competenze, l'esperienza e le conoscenze necessarie per le interazioni quotidiane con questi file.

Per questo standard, fornisca alla FDA una copia delle sue procedure operative standard (SOP). A seconda dei sistemi e dispositivi utilizzati dalla tua azienda, può anche includere certificazioni che attestino che il suo team ha ricevuto formazione per l'uso di hardware conforme alla Parte 11 del 21 CFR.

Un'altra tecnica che molte aziende incorporano nelle loro politiche è il rilascio di una certificazione di formazione ai dipendenti. La certificazione firmata funge da prova e conferma del fatto che un membro del personale ha completato con successo il percorso di formazione sulle procedure operative della sua organizzazione.

A seguito di un esame approfondito del suo sistema, nonché dei controlli procedurali e di test, il suo team procederà alla certificazione della validazione dei sistemi aziendali. Se i controlli richiedono modifiche per soddisfare i requisiti del 21 CFR Parte 11, le apporti prima della certificazione.

Il rispetto degli standard di conformità è fondamentale

Come le linee guida del 21 CFR Parte 11 influenzano la registrazione dei dati

Molti dei settori interessati dalle linee guida 21 CFR Parte 11 si affidano ai data logger. Le organizzazioni farmaceutiche, alimentari e sanitarie, ad esempio, utilizzano data logger sulla temperatura per monitorare e garantire l'efficacia dei loro prodotti.

A causa dei test intensi, delle risorse e del tempo richiesti dal 21 CFR Parte 11, è fondamentale che le aziende abbiano accesso a logger che soddisfino gli standard di conformità 21 CFR Parte 11. Altrimenti, il suo team sarà costretto a dedicare più tempo e risorse durante la convalida delle fonti di input, degli audit trail, dell'accessibilità del sistema e altro ancora.

Un esempio di soluzione di registrazione dei dati progettata per soddisfare i requisiti della normativa 21 CFR Parte 11 è il software OCEAView. Mentre questo versatile data logger monitora temperatura, umidità, anidride carbonica, pressione differenziale e altro ancora, la suite software ThermoServer/ThermoClient permette l'accesso ai dati, l'analisi e la reportistica ed è stata sviluppata in conformità alle linee guida della normativa 21 CFR Parte 11.

Quando si dispone di un sistema di monitoraggio approvato secondo la normativa 21 CFR Parte 11, non è necessario preoccuparsi di come i requisiti di conformità della normativa 21 CFR Parte 11 influenzano la registrazione dei dati. Il suo fornitore di data logger è già un passo avanti, assicurandosi che i suoi prodotti le forniscano informazioni accurate e senza complicazioni per i suoi registri elettronici.