Alcançar a conformidade com o título 21 CFR Parte 11 da FDA com software CMMS nas indústrias das ciências da vida
As indústrias reguladas pela U.S. Food and Drug Administration (FDA) devem seguir um conjunto rigoroso de normas destinadas a proteger a saúde e a segurança dos consumidores, alcançando a conformidade com o Título 21 CFR Parte 11 da FDA. O Título 21 CFR, Parte 11, da FDA é uma política importante que define os requisitos para a manutenção de registos electrónicos para organizações da indústria das ciências da vida que fazem negócios nos Estados Unidos. Devido às complexidades e nuances da política, os fabricantes podem pensar que estão a alcançar a conformidade regulamentar 21 CFR Parte 11, mas descobrem durante uma auditoria que não estão.
O guia que se segue explica os requisitos que as equipas de manutenção das ciências da vida devem seguir para obterem a conformidade com o CFR 21, Parte 11, e como podem atingir a conformidade utilizando o software do Sistema de Gestão de Manutenção Computadorizado (CMMS). As organizações que fabricam produtos farmacêuticos, dispositivos médicos, equipamento de laboratório, entre outros, devem ser capazes de provar a sua conformidade com a norma 21 CFR Parte 11.
O que é a conformidade com a norma 21 CFR, Parte 11?
21 Code of Federal Regulations (CFR) é a política que rege as normas de fabrico para organizações cujos produtos são regulados pela FDA. A Parte 11 do regulamento, publicada em 1997, estabelece especificamente os critérios para garantir que os registos electrónicos são tão fiáveis e dignos de confiança como os registos em papel. O CFR 21, Parte 11, exige que as empresas regulamentadas se certifiquem de que os registos e as assinaturas electrónicas são "fiáveis, fiáveis e geralmente equivalentes aos registos em papel e às assinaturas manuscritas executadas em papel" (CFR Parte 11.1 (a)).
Mesmo os locais de investigação e os patrocinadores devem cumprir as regras do 21 CFR Parte 11 se mantiverem, assinarem e/ou submeterem documentos da FDA digitalmente.
A conformidade com o 21 CFR Parte 11 é o estado de ser oficialmente reconhecido como estando em conformidade pela FDA. As empresas podem utilizar os seus sistemas organizacionais, controlos e processos em combinação com software para otimizar a sua conformidade - por exemplo, implementando um sistema através do qual os funcionários são obrigados a registar digitalmente o seu trabalho de manutenção e utilizando software que regista acções e estabelece controlos de forma a cumprir o 21 CFR Parte 11.
Os programas de manutenção como um CMMS ou um software de gestão de activos empresariais (EAM) podem ser um parceiro poderoso na jornada para a conformidade com o CFR 21 Parte 11. Um software CMMS ou EAM pode fornecer funcionalidades como uma pista de auditoria detalhada, segurança de dados e assinaturas electrónicas biométricas ou protegidas por palavra-passe.
Alcançar a conformidade com a Parte 11 é da responsabilidade das empresas - mas ter o software de manutenção correto pode fazer a diferença quando se trata de estar preparado para os auditores e confiante na sua conformidade.
Qual é a história do 21 CFR Parte 11?
À medida que a manutenção de registos digitais se tornou mais comum nas décadas de 1980 e 1990, as tecnologias de manutenção de registos trouxeram benefícios e riscos. Os registos electrónicos permitiram uma rápida troca de informações, possibilitaram a pesquisa e a recuperação rápida de dados e reduziram os erros através da recolha e registo automatizados de dados.
No entanto, os registos electrónicos muitas vezes não conseguem atingir os padrões de fiabilidade e autenticidade dos registos tradicionais em papel. Por exemplo, sem controlos adequados, os registos electrónicos podem ser mais fáceis de falsificar do que os registos em papel. O Título 21 CFR, Parte 11, resolve este problema definindo normas claras sobre a forma como os registos electrónicos são registados, validados, rastreados e armazenados.
Porque é importante o cumprimento da Parte 11 do CFR 21?
As consequências da não conformidade com o Título 21 CFR, Parte 11, são significativas para os fabricantes. Por um lado, a conformidade é obrigatória para qualquer empresa que pretenda vender os seus produtos nos
Estados Unidos e que submeta registos electrónicos à FDA. O não cumprimento das normas de conformidade também pode levar a uma paragem operacional, custando tempo de produção valioso enquanto as preocupações
são resolvidas.
Para além dos custos da não conformidade, o CFR 21, Parte 11, desempenha um papel fundamental na segurança da manutenção de registos digitais. O regulamento garante a integridade dos dados, de modo a que sejam implementadas práticas para verificar a autenticidade e a confidencialidade dos registos digitais. Também garante a existência das ferramentas correctas para recuperar dados e documentos essenciais.
Quando se trata de estabelecer controlos sobre acções-chave, o CFR 21, Parte 11, exige controlos operacionais e de segurança. As empresas regulamentadas são obrigadas a criar fluxos de trabalho automatizados que orientem os processos através de uma sequência segura e lógica e a restringir os utilizadores apenas às acções adequadas nas plataformas digitais.
A manutenção de um historial detalhado de acções e alterações é também essencial para o 21 CFR Parte 11. As empresas devem ser capazes de fornecer uma pista de auditoria que forneça rastreabilidade para as acções dos utilizadores, para que os supervisores possam rever o que foi alterado, quando e quem efectuou a alteração.
Por último, um papel vital do CFR 21, Parte 11, na segurança dos registos electrónicos é a validação: a documentação de como os processos devem funcionar e os testes para verificar a funcionalidade.
Que indústrias devem cumprir o 21 CFR Parte 11?
O título 21 CFR Parte 11 aplica-se a empresas farmacêuticas, fabricantes de alimentos e bebidas, instituições de biotecnologia, fabricantes de dispositivos médicos, empresas de cosméticos e muito mais. Aplica-se a todas as indústrias reguladas pela FDA, bem como a empresas que fornecem matérias-primas para distribuição a retalho. Inclui também empresas envolvidas na utilização de equipamento de laboratório operacional para investigação e desenvolvimento. Outras empresas e organizações regulamentadas incluem locais de investigação, patrocinadores de ensaios clínicos que estão a realizar investigação regulamentada pela FDA e organizações de investigação clínica (CROs). O pessoal de investigação clínica que trabalha em estudos regulamentados pela FDA, juntamente com o pessoal envolvido na aquisição de sistemas ou software de manutenção de registos digitais, deve conhecer os fundamentos do 21 CFR Parte 11.
Uma plataforma tecnológica não requer necessariamente validação. Definir como irá utilizar a plataforma é fundamental para perceber se deve considerar a utilização de software compatível com o CFR 21 Parte 11. Que acções irá a sua equipa realizar com a plataforma? A plataforma irá manipular ou alterar registos electrónicos, cuja integridade tem de ser salvaguardada? A sua equipa irá assinar eletronicamente para aprovar acções importantes?
Faça a sua pesquisa para garantir que a sua documentação digital está em conformidade.
4 Áreas chave para garantir o cumprimento do 21 CFR Parte 11
A FDA realiza auditorias às instalações utilizando uma lista de verificação abrangente que marca os sistemas internos para fins de segurança, rastreabilidade, utilização válida e referência. Embora não seja uma lista exaustiva, as seguintes são quatro áreas-chave em que se deve concentrar ao rever a sua conformidade com o 21 CFR Parte 11 e ao preparar-se para uma auditoria:
1. Validar Controlos e Procedimentos
O Título 21 CFR Parte 11 afirma que os sistemas internos devem ser validados para garantir que são precisos, fiáveis e consistentes. Para proteger a segurança e os controlos de acesso, apenas o pessoal autorizado deve ter permissão para operar o sistema para assinar registos de produção, atualizar documentação existente e abrir ficheiros ou diretórios principais. Se for detectado um acesso não autorizado à base de dados, este deve ser imediatamente comunicado a uma unidade de segurança ou ao gestor de TI.
2. Estabelecer uma pista de auditoria
A lista de verificação de conformidade 21 CFR Parte 11 exige que os fabricantes sejam capazes de produzir registos precisos, completos e com carimbo de data/hora das alterações efectuadas no sistema durante o funcionamento normal, incluindo a criação, modificação ou eliminação de ficheiros. Para garantir a rastreabilidade, as organizações também devem ser capazes de produzir cópias de auditorias anteriores a pedido da FDA.
3. Seguir os Requisitos de Assinatura Electrónica
As assinaturas electrónicas do CFR 21, Parte 11, devem conter o nome do signatário, a data/hora da assinatura e o indicador "revisto" ou "aprovado por". Os nomes verdadeiros são obrigatórios e não podem ser substituídos por títulos de funções. Da mesma forma, a assinatura deve ser anexada a um documento específico. As empresas devem também evitar confundir assinaturas electrónicas em documentos digitais com assinaturas digitalizadas em cópias físicas, uma vez que as assinaturas digitalizadas não são consideradas registos electrónicos.
As assinaturas electrónicas também podem ser biométricas, como uma impressão digital ou uma leitura da retina, mas devem ser concebidas de modo a só poderem ser utilizadas pelos seus verdadeiros proprietários.
4. Manter cópias completas e exactas dos resultados da inspecção
A lista de verificação de conformidade 21 CFR Parte 11 explica a necessidade de produzir cópias exactas e completas de ficheiros em vários formatos. Estes devem ser armazenados num sistema seguro para servir para efeitos de inspeção e revisão. Um sistema robusto deve suportar vários tipos de ficheiros, incluindo PDF, XML e SGML. Os registos devem ser armazenados e estar prontos para recuperação durante todo o período de retenção de um registo, definido por uma "avaliação de risco documentada e uma determinação do valor dos registos ao longo do tempo"(FDA).
Uma lista de verificação exaustiva da conformidade com o CFR 21 Parte 11
Um CMMS pode ajudar as organizações a cumprir os requisitos de registos electrónicos da FDA, fornecendo uma localização centralizada onde os registos são registados e armazenados eletronicamente. Mas a utilização de um CMMS não garante automaticamente a conformidade com estas normas, uma vez que alguns programas de software não estão em conformidade com o Título 21, Parte 11. Em última análise, a sua organização é responsável por garantir a sua própria conformidade, não o fornecedor de CMMS.
Esta lista de verificação abrangente pode ajudá-lo a garantir que está a utilizar um CMMS que está em conformidade com a Parte 11 do Título 21 da FDA e a seguir todos os requisitos legais. Se houver algum item desta lista que não possa ser assinalado, tome medidas o mais rapidamente possível para estar pronto para a auditoria.
1. Validação
- Durante o período em causa, o sistema informático encontrava-se num estado validado
- Os registos inválidos/desatualizados podem ser distinguidos dos registos atuais
- Apenas as pessoas com autorização expressa podem ver, editar ou assinar documentos
- O privilégio de acesso aos ficheiros principais é delegado e restringido apenas a determinados utilizadores
- Todos os funcionários que acedem ao painel de controlo recebem previamente formação adequada
- As instruções para a usabilidade do sistema estão disponíveis para diferentes funções, incluindo programadores, TI e pessoal de apoio
- O sistema processa instruções exclusivamente a partir de dispositivos de entrada autorizados
- Todos os dados são encriptados para garantir a confidencialidade
- Os controlos de processos asseguram a conformidade com sequências predefinidas de etapas ou eventos
- Cada utilizador tem uma combinação única de código de identificação e palavra-passe
- O sistema verifica regularmente a validade do código de identificação
- Existe um protocolo para os pedidos de reposição da palavra-passe
- A gestão superior é notificada de tentativas de início de sessão não autorizadas
- Os dispositivos perdidos ou comprometidos são rapidamente desactivados
- Em caso de perda de um dispositivo, as substituições temporárias ou permanentes devem ser emitidas com os mesmos controlos rigorosos
- As IDs e palavras-passe dos antigos funcionários são imediatamente revogadas após a cessação da relação laboral
2. Pistas de auditoria
- Os registos na pista de auditoria são claros e podem ser rastreados até à sua origem
- Os registos de alterações, incluindo a criação, modificação e eliminação de ficheiros, são precisos, abrangentes e com carimbo de data/hora
- Os registos electrónicos actualizados conservam as versões anteriores para efeitos de auditoria
- Pode ser fornecida uma pista de auditoria à FDA, mediante pedido
- Cada ID de utilizador, sequência de eventos, controlos de alterações, registo de alterações e revisões são claramente apresentados na pista de auditoria
- O nome do signatário, a data, a hora da aprovação e o objetivo da assinatura são apresentados em cada documento
- As assinaturas são seguras e não podem ser replicadas ou falsificadas para alterar registos
3. Assinaturas electrónicas
- A cada utilizador é atribuída uma assinatura única para garantir a exatidão e a autorização
- O sistema identifica se as assinaturas electrónicas foram alguma vez reutilizadas ou reatribuídas
- Cada assinatura está associada a um documento eletrónico específico
- As assinaturas consistem num código de identificação ou num cartão associado a uma palavra-passe
- A identidade de uma pessoa é confirmada no momento da assinatura
- As palavras-passe são validadas durante as assinaturas numa sessão ininterrupta
- As palavras-passe devem ser verificadas ou revistas periodicamente
4. Cópias de registos e conservação
- No caso de uma inspeção, pode ser concedido à FDA um acesso razoável e útil aos registos
- O seu sistema de software utiliza métodos padrão para converter ou exportar ficheiros para formatos amplamente utilizados, como PDF, XML ou SGML
- Os registos estão disponíveis para inspeção, revisão e duplicação, e num formato legível por humanos
- As cópias impressas são tão precisas como as digitais e reflectem integralmente os registos originais
- A duração da conservação dos registos antigos é estabelecida através de uma avaliação dos riscos
- Os registos são mantidos e estão acessíveis para revisão durante todo o seu período de conservação
- Os registos arquivados mantêm a sua integridade e contexto originais
Cumprir as regras do 21 CFR Parte 11 significa que, aos olhos da FDA, os seus registos electrónicos são tão completos, precisos e autênticos como os registos tradicionais em papel. As empresas de ciências da vida que cumprem as melhores práticas para registos electrónicos podem proteger-se no caso de uma auditoria da FDA. Além disso, a segurança adicional resultante da existência de informações exactas e da exigência de alterações autorizadas também protege os clientes e consumidores de potenciais danos causados por informações falsificadas ou imprecisas.
Porque é que as empresas devem utilizar registos electrónicos em vez de registos em papel?
Se utiliza um sistema de rastreio em papel, pode pensar que não precisa de cumprir o CFR 21, Parte 11, uma vez que este se aplica apenas à manutenção de registos electrónicos. Mas há várias razões para reconsiderar a sua posição.
Em primeiro lugar, é provável que a sua empresa tenha utilizado a manutenção de registos electrónicos em algum momento. Mesmo que a maior parte dos seus registos sejam mantidos em papel, todos os registos mantidos eletronicamente devem estar em conformidade com estes regulamentos. Garantir a conformidade agora pode ajudá-lo a evitar surpresas de auditoria mais tarde.
Em segundo lugar, a documentação eletrónica é mais completa, mais fácil de aceder e, frequentemente, mais precisa do que a documentação em papel. O papel é mais fácil de perder, deslocar, adulterar ou destruir. A utilização de um sistema eletrónico permite contornar estes desafios. E assim que o seu sistema eletrónico estiver em conformidade com o 21 CFR Parte 11, a sua equipa pode manter consistentemente registos seguros, precisos e sempre disponíveis.
Por fim, a apresentação de relatórios e auditorias com documentação eletrónica é consideravelmente mais eficiente do que a utilização de documentação em papel. Quando o início ou a continuação de processos de fabrico requerem a aprovação da FDA, reduzir o tempo de processamento da aprovação pode ser fundamental para manter a sua linha de produção em funcionamento.
O que deve procurar no software de conformidade 21 CFR Parte 11?
Ao avaliar o software para o ajudar na conformidade com o CFR 21 Parte 11, é essencial olhar para além de uma lista de verificação de funcionalidades. A solução certa deve não só suportar registos e assinaturas electrónicas seguras, mas também otimizar processos e sistemas para alcançar a conformidade. Procure software que inclua controlos de acesso incorporados, pistas de auditoria e a capacidade de configurar fluxos de trabalho para satisfazer os seus requisitos de validação específicos.
Considere a facilidade com que o sistema pode ser escalado à medida que as suas operações crescem e se se integra facilmente com outras ferramentas em que confia. Em última análise, o seu objetivo deve ser implementar uma solução que simplifique a conformidade sem complicar as suas operações diárias.
Como um CMMS eficiente ajuda na conformidade com a norma 21 CFR Parte 11
Para facilitar a conformidade, as organizações estão a implementar software CMMS para capacidades essenciais, tais como:
- Atribuição de permissões de utilizador
- Armazenamento centralizado de documentos e dados
- Seguimento das ordens de trabalho
- Equipamento de registo e inventário
O simples facto de ter um CMMS não garante automaticamente a conformidade com o 21 CFR Parte 11, mas um CMMSeficaz para as ciências da vida forneceas ferramentas e a funcionalidade para ajudar a alcançar a conformidade.
Para cumprir os requisitos do Título 21 CFR Parte 11, o seu CMMS deve fornecer as seguintes capacidades para proteger a fiabilidade, integridade e autenticidade dos seus registos digitais:
- Gestão de assinaturas digitais com múltiplos níveis de aprovação
- Acesso a registos de actividades de manutenção, incluindo registos com carimbo de data/hora de modificações e revisões
- Estrita segurança e privacidade de dados, incluindo a restrição do acesso e permissões dos utilizadores
