Cumplimiento del Título 21 CFR, Parte 11, de la FDA con software GMAO en industrias de ciencias de la vida
Las industrias reguladas por la Administración de Alimentos y Medicamentos de EE.UU. (FDA) deben seguir un estricto conjunto de normas destinadas a proteger la salud y la seguridad de los consumidores mediante el cumplimiento del Título 21 CFR Parte 11 de la FDA. El Título 21 CFR Parte 11 de la FDA es una norma importante que establece los requisitos de mantenimiento de registros electrónicos para las organizaciones del sector de las ciencias de la vida que operan en Estados Unidos. Debido a las complejidades y matices de la política, los fabricantes pueden pensar que están logrando el cumplimiento normativo 21 CFR Parte 11, pero descubrir durante una auditoría que no lo son.
La siguiente guía explica los requisitos que los equipos de mantenimiento de ciencias de la vida deben seguir para obtener la conformidad con 21 CFR Parte 11, y cómo pueden lograrla aprovechando el software del Sistema de Gestión de Mantenimiento InformatizadoGMAO). Las organizaciones que fabrican productos farmacéuticos, dispositivos médicos y equipos de laboratorio, entre otros, deben ser capaces de demostrar su conformidad con el 21 CFR Parte 11.
¿Qué es cumplimiento de la norma 21 CFR Parte 11?
21 Code of Federal Regulations (CFR) es la normativa que rige las normas de fabricación de las organizaciones cuyos productos están regulados por la FDA. La Parte 11 de la normativa, publicada en 1997, establece específicamente los criterios para garantizar que los registros electrónicos sean tan fiables y dignos de confianza como los registros en papel. 21 CFR Parte 11 exige a las empresas reguladas que se aseguren de que los registros y firmas electrónicos son "dignos de confianza, fiables y, en general, equivalentes a los registros en papel y a las firmas manuscritas ejecutadas en papel" (CFR Parte 11.1 (a)).
Incluso los centros de investigación y los patrocinadores deben cumplir la normativa 21 CFR Parte 11 si mantienen, firman y/o presentan documentos de la FDA digitalmente.
El cumplimiento de la norma 21 CFR Parte 11 es el estado de ser reconocido oficialmente como conforme por la FDA. Las empresas pueden utilizar sus sistemas, controles y procesos organizativos en combinación con software para optimizar su cumplimiento; por ejemplo, implantando un sistema por el cual los empleados deban registrar digitalmente sus trabajos de mantenimiento y utilizando software que registre las acciones y establezca controles de manera que se adhieran a la 21 CFR Parte 11.
Los programas de mantenimiento como GMAO o el software de gestión de activos empresariales (EAM) pueden ser un poderoso aliado en el camino hacia el cumplimiento de la norma 21 CFR Parte 11. Un software GMAO o EAM puede proporcionar Características como un registro de auditoría detallado, seguridad de datos y firmas electrónicas biométricas o protegidas por contraseña.
Cumplir la Parte 11 es responsabilidad de las empresas, pero disponer del software de mantenimiento adecuado puede marcar la diferencia a la hora de estar preparado para los auditores y confiar en su cumplimiento.
¿Qué es la historia de 21 CFR Parte 11?
A medida que el mantenimiento de registros digitales se fue generalizando en las décadas de 1980 y 1990, las tecnologías de mantenimiento de registros vinieron acompañadas tanto de Beneficios como de riesgos. Los registros electrónicos permitían un rápido intercambio de información, posibilitaban una rápida búsqueda y recuperación de datos y reducían los errores gracias a la recogida y registro automatizados de datos.
Sin embargo, los registros electrónicos no suelen cumplir las normas de fiabilidad y autenticidad de los registros tradicionales en papel. Por ejemplo, sin los controles adecuados, los registros electrónicos pueden ser más fáciles de falsificar que los registros en papel. El título 21 CFR, parte 11, resuelve este problema estableciendo normas claras sobre el registro, la validación, la trazabilidad y el almacenamiento de los registros electrónicos.
¿Por qué es importante el cumplimiento de la norma 21 CFR Parte 11?
Las consecuencias de no cumplir con el Título 21 CFR Parte 11 son significativas para los fabricantes. Por un lado, el cumplimiento es obligatorio para cualquier empresa que pretenda vender sus productos en los
Estados Unidos y envíe registros electrónicos a la FDA. El incumplimiento de las normas de conformidad también puede dar lugar a una parada operativa, con el consiguiente coste de un valioso tiempo de producción mientras se resuelven los problemas.
mientras se resuelven los problemas.
Más allá de los costes del incumplimiento, 21 CFR Parte 11 desempeña un papel clave en la seguridad de los registros digitales. La normativa garantiza la integridad de los datos, de modo que se aplican prácticas para verificar la autenticidad y confidencialidad de los registros digitales. También garantiza que se dispone de las herramientas adecuadas para recuperar datos y documentos esenciales.
Cuando se trata de establecer controles sobre acciones clave, 21 CFR Parte 11 requiere tanto controles operativos como de seguridad. Las empresas reguladas están obligadas a crear flujos de trabajo automatizados que guíen los procesos a través de una secuencia segura y lógica y a restringir a los usuarios únicamente las acciones apropiadas dentro de las plataformas digitales.
Mantener un historial detallado de acciones y cambios también es esencial para 21 CFR Parte 11. Las empresas deben ser capaces de proporcionar una pista de auditoría que permita rastrear las acciones de los usuarios, de modo que los supervisores puedan revisar qué cambió, cuándo y quién realizó el cambio.
Por último, una función vital de 21 CFR Parte 11 en la seguridad de los registros electrónicos es la validación: la documentación de cómo deben funcionar los procesos y las pruebas para verificar la funcionalidad.
¿Qué industrias deben cumplir con el 21 CFR Parte 11?
El Título 21 CFR Parte 11 se aplica a las empresas farmacéuticas, fabricantes de alimentos y bebidas, instituciones de biotecnología, fabricantes de dispositivos médicos, empresas de cosméticos y más. Se aplica a todas las industrias reguladas por la FDA, así como a las empresas que suministran materias primas para su distribución al por menor. También incluye a las empresas que utilizan equipos de laboratorio en funcionamiento para investigación y desarrollo. Otras empresas y organizaciones reguladas son los centros de investigación, los patrocinadores de ensayos clínicos que realizan investigaciones reguladas por la FDA y las organizaciones de investigación clínica (CRO). El personal de investigación clínica que trabaja en estudios regulados por la FDA, junto con el personal involucrado en la compra de sistemas de registro digital o software, debe conocer los fundamentos de 21 CFR Parte 11.
Una plataforma tecnológica no requiere necesariamente validación. Definir cómo va a utilizar la plataforma es clave para entender si debe considerar el uso de software conforme a 21 CFR Parte 11. ¿Qué acciones realizará su equipo con la plataforma? ¿Manejará o modificará la plataforma registros electrónicos cuya integridad debe salvaguardarse? ¿Su equipo firmará electrónicamente para aprobar acciones clave?
Investigue para asegurarse de que su documentación digital cumple la normativa.
4 áreas clave para garantizar el cumplimiento del 21 CFR Parte 11
La FDA realiza auditorías en las instalaciones utilizando una lista de comprobación exhaustiva que marca los sistemas internos de seguridad, trazabilidad, uso válido y referencia. Aunque no se trata de una lista exhaustiva, las siguientes son cuatro áreas clave en las que debe centrarse cuando revise su cumplimiento del 21 CFR Parte 11 y se prepare para una auditoría:
1. Validar los controles y procedimientos
El Título 21 CFR Parte 11 establece que los sistemas internos deben validarse para garantizar que son precisos, fiables y coherentes. Para proteger la seguridad y los controles de acceso, sólo el personal autorizado debe poder utilizar el sistema para firmar los registros de producción, actualizar la documentación existente y abrir archivos o directorios principales. Si se detecta un acceso no autorizado a la base de datos, debe comunicarse inmediatamente a una unidad de seguridad o al responsable de TI.
2. Establecer una pista de auditoría
La lista de comprobación de conformidad con 21 CFR Parte 11 exige que los fabricantes sean capaces de producir registros precisos, completos y con fecha y hora de los cambios realizados en el sistema durante el funcionamiento normal, incluida la creación, modificación o eliminación de archivos. Para garantizar la trazabilidad, las organizaciones también deben poder presentar copias de auditorías anteriores a petición de la FDA.
3. Cumplir con los requisitos de la firma electrónica
Las firmas electrónicas de 21 CFR Parte 11 deben llevar el nombre del firmante, la fecha/hora de la firma y el indicador "revisado" o "aprobado por". Los nombres reales son obligatorios y no pueden sustituirse por títulos de trabajo. Asimismo, la firma debe adjuntarse a un documento específico. Las empresas también deben evitar mezclar firmas electrónicas en documentos digitales y firmas escaneadas en copias físicas, ya que las firmas escaneadas no se consideran registros electrónicos.
Las firmas electrónicas también pueden ser biométricas, como una huella dactilar o un escáner de retina, pero deben diseñarse de forma que sólo puedan ser utilizadas por sus auténticos propietarios.
4. Conservar copias completas y precisas de los resultados de la inspección
La lista de comprobación del cumplimiento del 21 CFR Parte 11 explica la necesidad de producir copias precisas y completas de los archivos en múltiples formatos. Éstos deben almacenarse en un sistema seguro que sirva para fines de inspección y revisión. Un sistema sólido debe admitir varios tipos de archivos, incluidos PDF, XML y SGML. Los registros deben almacenarse y estar listos para su recuperación durante todo el periodo de conservación de un registro, definido por una "evaluación de riesgos documentada y una determinación del valor de los registros a lo largo del tiempo"(FDA).
Lista de comprobación exhaustiva de la conformidad con 21 CFR Parte 11
A GMAO puede ayudar a las organizaciones a cumplir los requisitos de registros electrónicos de la FDA al proporcionar una ubicación centralizada donde se registran y almacenan electrónicamente los registros. Pero el uso de un GMAO no garantiza automáticamente el cumplimiento de estas normas, ya que algunos programas de software no son compatibles con el Título 21, Parte 11. En última instancia, su organización es responsable de garantizar su propio cumplimiento, no el proveedor del GMAO . En última instancia, su organización es responsable de garantizar su propio cumplimiento, no el proveedor de GMAO .
Esta lista de comprobación exhaustiva puede ayudarle a asegurarse de que está utilizando un GMAO que cumple con el Título 21 Parte 11 de la FDA y que sigue todos los requisitos legales. Si hay algún punto de esta lista que no pueda marcar, actúe sobre él lo antes posible para estar preparado para la auditoría.
1. Validación
- Durante el periodo indicado, el sistema informático se encontraba en un estado validado
- Los registros no válidos o caducados pueden distinguirse de los actuales.
- Sólo las personas con permiso expreso pueden ver, editar o firmar documentos
- Los privilegios de acceso a los ficheros centrales se delegan y restringen sólo a determinados usuarios.
- Todos los empleados que acceden al cuadro de mandos reciben una formación previa adecuada
- Las instrucciones de uso del sistema están disponibles para diferentes funciones, como desarrolladores, informáticos y personal de apoyo.
- El sistema procesa instrucciones procedentes exclusivamente de dispositivos de entrada autorizados
- Todos los datos están encriptados para garantizar la confidencialidad
- Los controles de procesos garantizan el cumplimiento de secuencias predefinidas de pasos o eventos.
- Cada usuario tiene una combinación única de código de identificación y contraseña
- El sistema verifica rutinariamente la validez del código de identificación
- Existe un protocolo para las solicitudes de restablecimiento de contraseña
- Se notifica a la alta dirección de los intentos de inicio de sesión no autorizados
- Los dispositivos perdidos o comprometidos se desactivan rápidamente.
- En caso de pérdida de un dispositivo, deben expedirse sustitutos temporales o permanentes con los mismos controles rigurosos.
- Los identificadores y contraseñas de los antiguos empleados se revocan inmediatamente tras el cese.
2. Registros de auditoría
- Las entradas en la pista de auditoría son claras y pueden rastrearse hasta su origen.
- Los registros de cambios, incluidas la creación, modificación y eliminación de archivos, son precisos, exhaustivos y con fecha y hora.
- Los registros electrónicos actualizados conservan las versiones anteriores a efectos de auditoría
- A petición de la FDA, puede facilitarse un registro de auditoría.
- Cada ID de usuario, secuencia de eventos, controles de cambio, registro de cambios y revisiones se muestran claramente en el registro de auditoría.
- En cada documento aparece el nombre del firmante, la fecha, la hora de aprobación y el motivo de la firma.
- Las firmas son seguras y no pueden reproducirse ni falsificarse para alterar los registros.
3. Firmas electrónicas
- A cada usuario se le asigna una firma única para garantizar la exactitud y la autorización.
- El sistema identifica si las firmas electrónicas se han reutilizado o reasignado alguna vez
- Cada firma está asociada a un documento electrónico concreto
- Las firmas consisten en un código de identificación o tarjeta emparejado con una contraseña
- La identidad de una persona se confirma en el momento de la firma
- Las contraseñas se validan durante las firmas en una sesión ininterrumpida
- Las contraseñas deben comprobarse o revisarse periódicamente
4. Copias de registros y conservación
- En caso de inspección, se puede conceder a la FDA un acceso razonable y útil a los registros
- Su sistema de software emplea métodos estándar para convertir o exportar archivos a formatos ampliamente utilizados como PDF, XML o SGML.
- Los registros están disponibles para su inspección, revisión y duplicación, y en un formato legible para el ser humano.
- Las copias impresas son tan precisas como las digitales y reflejan plenamente los registros originales
- La duración de la conservación de los registros antiguos se establece mediante una evaluación de riesgos
- Los registros se mantienen y son accesibles para su revisión durante la totalidad de sus periodos de conservación.
- Los documentos archivados mantienen su integridad y contexto originales
Cumplir las normas 21 CFR Parte 11 significa que, a ojos de la FDA, sus registros electrónicos son tan completos, precisos y auténticos como los registros tradicionales en papel. Las empresas de ciencias de la vida que cumplen las mejores prácticas para los registros electrónicos pueden protegerse en caso de auditoría de la FDA. Además, la seguridad adicional que supone disponer de información precisa y exigir cambios autorizados también protege a los clientes de posibles daños causados por información falsificada o inexacta.
¿Por qué las empresas deberían utilizar registros electrónicos en lugar de registros en papel?
Si utiliza un sistema de seguimiento en papel, es posible que piense que no necesita cumplir la norma 21 CFR Parte 11, ya que sólo se aplica al mantenimiento de registros electrónicos. Pero hay varias razones por las que debería reconsiderar su postura.
En primer lugar, es probable que su empresa haya utilizado registros electrónicos en algún momento. Aunque la mayoría de sus registros se conserven en papel, todos los que mantenga electrónicamente deben cumplir esta normativa. Garantizar el cumplimiento ahora puede ayudarle a evitar sorpresas de auditoría más adelante.
En segundo lugar, la documentación electrónica es más completa, de más fácil acceso y, a menudo, más precisa que la documentación en papel. El papel es más fácil de perder, extraviar, manipular o destruir. El uso de un sistema electrónico evita estos problemas. Y una vez que su sistema electrónico cumpla la norma 21 CFR Parte 11, su equipo podrá mantener registros seguros, precisos y siempre disponibles.
Por último, la presentación de informes y auditorías con documentación electrónica es considerablemente más eficaz que el uso de documentación en papel. Cuando el inicio o la continuación de los procesos de fabricación requieren la aprobación de la FDA, la reducción del tiempo de tramitación de la aprobación puede ser clave para mantener su línea de producción en funcionamiento.
¿Qué debe buscar en un software de conformidad con 21 CFR Parte 11?
A la hora de evaluar un software que le ayude con el cumplimiento de la norma 21 CFR Parte 11, es esencial mirar más allá de una lista de comprobación de Características. La solución adecuada no sólo debe admitir registros y firmas electrónicos seguros, sino también optimizar los procesos y sistemas para lograr la conformidad. Busque un software que incluya controles de acceso integrados, registros de auditoría y la capacidad de configurar flujos de trabajo para cumplir sus requisitos de validación específicos.
Considere la facilidad con que el sistema puede ampliarse a medida que crecen sus operaciones y si se integra sin problemas con otras herramientas de las que depende. En última instancia, su objetivo debe ser implantar una solución que simplifique el cumplimiento sin complicar sus operaciones cotidianas.
Cómo ayuda un GMAO eficiente a cumplir la norma 21 CFR Parte 11
Para facilitar el cumplimiento, las organizaciones están implantando el software GMAO para funciones básicas como:
- Asignación de permisos a los usuarios
- Almacenamiento centralizado de documentos y datos
- Seguimiento de las órdenes de trabajo
- Equipamiento e inventarios de registro
El mero hecho de disponer de un GMAOno garantiza automáticamente el cumplimiento de la norma 21 CFR, parte 11, pero un GMAOeficaz en el ámbito de las ciencias de la vida GMAOlas herramientas y la funcionalidad necesarias para lograr dicho cumplimiento.
Para cumplir los requisitos del Título 21 CFR, Parte 11, su GMAO debe proporcionar las siguientes capacidades para proteger la fiabilidad, integridad y autenticidad de sus registros digitales:
- Gestión de firmas digitales con múltiples niveles de aprobación
- Acceso a los registros de las actividades de mantenimiento, incluidos los registros con fecha de las modificaciones y revisiones
- Estricta seguridad y privacidad de los datos, incluyendo la restricción del acceso y los permisos de los usuarios
