Especificar los controles para los equipos de contención sin responder primero a algunas preguntas fundamentales sobre el tipo de registro, el alcance de las decisiones de calidad y la aplicabilidad jurisdiccional es una de las formas más seguras de generar trabajo adicional en la validación. El problema surge tarde, normalmente durante IQ/OQ o una inspección previa a la aprobación —cuando un equipo de control de calidad descubre que se ha utilizado de manera informal un registro electrónico generado por un equipo en las decisiones de liberación de lotes, sin ningún registro de auditoría definido, control de acceso ni estructura de inmutabilidad de los datos—. El coste no es solo la corrección; es la credibilidad del propio registro. Para evitar ese resultado, es necesario resolver la cuestión de los límites del registro antes de redactar siquiera una sola cláusula del URS sobre los controles de los equipos de contención del título 21 del CFR, parte 11.
Registros electrónicos que plantean dudas en relación con la Parte 11
La Parte 11 establece un umbral de fiabilidad —la norma mínima para que un registro o una firma electrónicos se consideren fiables y equivalentes a su equivalente en papel—. No prescribe ninguna especificación de diseño. La cuestión práctica que plantea no es “¿dispone el equipo de un registro de auditoría?”, sino “¿se utiliza algún registro electrónico generado por este equipo en una decisión sobre la calidad y, en caso afirmativo, qué hace que ese registro sea fiable?”.”
Esa distinción es importante porque los sistemas de contención generan varios tipos de datos electrónicos, y no todos ellos dan lugar a las mismas obligaciones. Un registro de presión que solo utiliza el equipo de instalaciones para verificar el funcionamiento del sistema de climatización (HVAC) se enmarca en una categoría diferente a la de un conjunto de parámetros de un proceso por lotes que un aislador de llenado automático que genera y que el departamento de control de calidad utiliza para dar el visto bueno a la liberación de un lote. Confundir ambos conceptos amplía el alcance de los requisitos de usuario (URS) y, en última instancia, la carga que supone la validación, sin mejorar la integridad de los datos donde realmente importa.
El ejercicio previo a la especificación consiste en clasificar cada tipo de registro en función de dos preguntas: ¿se hará alguna vez referencia a estos datos en un registro de lote, en una investigación de desviación o en una decisión de calidad?, y ¿quién es el responsable de decidir si se hará o no? La segunda pregunta suele omitirse, y es por eso por lo que se produce la «deriva del alcance»: un registro de seguimiento de conveniencia acaba clasificándose como registro GxP por defecto, en lugar de por una elección deliberada.
| Tipo de registro | Parte 11. Pregunta | Aspectos que hay que aclarar antes de definir los requisitos |
|---|---|---|
| Parámetros de procesamiento por lotes | ¿Se utilizan los valores electrónicos del proceso en las decisiones de liberación de lotes? | ¿Formarán parte estos datos del registro oficial del lote? |
| Registros de acceso de los usuarios | ¿Se verifica la identidad del usuario y se pueden atribuir sus acciones? | ¿Debe el sistema garantizar que los identificadores de usuario sean únicos y registrar los inicios de sesión? |
| Eventos del registro de auditoría | ¿Se puede rastrear la evolución de los datos críticos y no se pueden modificar? | ¿Genera el equipo un registro de auditoría inmutable y con marca de tiempo? |
| Datos de gestión de recetas | ¿Se pueden modificar los parámetros de una receta sin que se detecte? | ¿Se controlan las versiones de las recetas y se restringen los cambios al personal autorizado? |
| Datos de seguimiento para la toma de decisiones sobre la calidad | ¿Se utiliza el registro electrónico para demostrar la calidad del producto? | Confirme si la información relativa a la supervisión de las instalaciones se considerará un registro GxP. |
La tabla anterior resume en qué momento entra en juego la cuestión relativa a la Parte 11. El paso clave es la columna “qué hay que aclarar”: se trata de diálogos previos a la adquisición, no de adaptaciones posteriores a la instalación. Si los equipos de control de calidad y de automatización no se han puesto de acuerdo sobre si los parámetros de procesamiento por lotes aparecerán en el registro oficial del lote antes de que se especifique el equipo, el proveedor no podrá definir de forma fiable el alcance de la plataforma de control y el centro no podrá redactar un plan de validación defendible.
Anexo 11: Requisitos para los sistemas informáticos
BPF DE LA UE Anexo 11 es un documento orientativo, no una normativa jurídicamente vinculante. Sirve como marco de referencia de procesos para los sistemas informatizados en el contexto de las BPF de la UE y comparte aspectos conceptuales con la Parte 11, pero ambos no son intercambiables. La Parte 11 es plenamente exigible bajo la jurisdicción de la FDA de EE. UU., mientras que el Anexo 11 no lo es. Tratarlos como equivalentes en una especificación plantea un problema de alcance: si un equipo de proyecto redacta cláusulas del URS que mezclan el lenguaje orientativo del Anexo 11 con los requisitos de la Parte 11 sin distinguir cuál de ambos es aplicable, es posible que las pruebas de validación resultantes no cumplan plenamente ninguno de los dos.
El anexo 11 y la parte 11 abordan principios similares, pero su aplicabilidad no es equivalente; adapta el alcance de tus controles en consecuencia.
Cuando el anexo 11 sea aplicable a un proyecto, utilícelo como marco de referencia para el diseño de las instalaciones registradas según las BPF de la UE. En él se detalla cómo debe llevarse a cabo la validación de los sistemas informatizados, gestión de riesgos, y las autoridades europeas abordan las prácticas de integridad de los datos; resulta útil para estructurar el diálogo sobre los requisitos de los proveedores en torno al ciclo de vida del sistema, la gestión del acceso y la capacidad de auditoría. Sin embargo, no debe citarse como un requisito de cumplimiento en la misma estructura de cláusulas que invoca las obligaciones de la Parte 11, a menos que el contexto del proyecto implique explícitamente un registro bajo doble jurisdicción.
La implicación práctica a la hora de definir las especificaciones del equipo consiste en identificar qué organismo regulador auditará la instalación y qué requisitos en materia de registros electrónicos exige dicho organismo. En el caso de una planta que exporte tanto al mercado estadounidense como al de la UE, ambos marcos normativos determinarán las expectativas, pero el informe de validación debe dejar clara la base jurisdiccional de cada elemento de control. Mezclarlos sin esa claridad plantea un problema de defendibilidad durante inspección, no una red de seguridad.
Roles de acceso, registros de auditoría y control de recetas
Los tres elementos de control que generan mayor ambigüedad en las especificaciones de los equipos de contención —roles de acceso, registros de auditoría y control de recetas— se definen en la Parte 11 como objetivos de responsabilidad y trazabilidad, y no como una lista de características de software. La cuestión no es si el proveedor de los equipos ofrece estas funciones, sino si la planta puede demostrar que la verificación de la identidad, la atribución de acciones y el historial de cambios de parámetros se mantienen de forma operativa, y no solo se configuran durante la puesta en marcha.
La verificación de identidad, tal y como se define en la Parte 11, implica que cada acción registrada en el sistema sea atribuible a una persona concreta autorizada. En el caso de los equipos de contención con protocolos de inicio de sesión compartidos, paneles táctiles para operadores con credenciales genéricas o modos de anulación de supervisión que eluden la atribución al usuario, esto genera una laguna inmediata en el registro de auditoría. La capacidad de generar entradas individuales en el registro de auditoría no tiene ningún sentido si el sistema está configurado con cuentas compartidas.
| Elemento de control | Parte 11: Expectativas | Pregunta de verificación sobre el equipo |
|---|---|---|
| Roles de acceso de los usuarios | Verificación de la identidad y responsabilidad por las acciones | ¿Puede el sistema garantizar que cada usuario tenga un nombre de usuario único con permisos basados en roles? |
| Funcionalidad de registro de auditoría | Trazabilidad de los cambios en los datos; prevención de registros falsificados | ¿Las entradas del registro de auditoría llevan marca de tiempo, son atribuibles y no se pueden modificar? |
| Control de recetas y parámetros | Garantía de que los parámetros aprobados no se modifiquen sin autorización | ¿Se bloquean los parámetros de las recetas tras su aprobación y se registran los cambios? |
| Responsabilidad en la actuación | Cada acción atribuible a una persona autorizada | ¿Registra el sistema quién ha realizado cada acción de control y cuándo? |
La gestión de recetas y parámetros conlleva una obligación específica de trazabilidad. Si un operador puede modificar un parámetro de proceso en una receta validada sin que ello genere un registro de cambio, la integridad de cada lote elaborado con dicha receta queda en entredicho. La cuestión que hay que verificar es si los parámetros de la receta quedan bloqueados tras su aprobación y si cualquier modificación —incluso una anulación temporal— queda registrada a nombre de un usuario concreto. Los proveedores de equipos pueden proporcionar la capacidad técnica necesaria para ello; la estructura de revisión de procedimientos que confirma su correcto funcionamiento es responsabilidad del propietario de la planta.
Un registro de auditoría que existe pero que nunca se revisa no garantiza la rendición de cuentas: la capacidad de acceso y de registro debe ir acompañada de una obligación de revisión bien definida.
El problema en este caso es que las funciones de roles de acceso y de registro de auditoría se tratan como resultados de la puesta en servicio: se configuran, se toma una captura de pantalla para el archivo IQ y nadie define quién revisa el registro ni con qué frecuencia. Esa laguna no sale a la luz hasta que una investigación de desviaciones requiere reconstruir una secuencia de cambios en los parámetros o de acciones del operador, y el registro de auditoría está presente pero nunca se ha utilizado como prueba.
Ámbito de los controles que puede sobreestimarse
El riesgo de inflación en el ámbito de la Parte 11 es real y tiene consecuencias directas en los costes del proyecto. Cuando cada dato generado por un sistema de contención se trata como un registro electrónico regulado —independientemente de si se utiliza en una decisión relacionada con la calidad—, la carga de la validación se amplía hasta incluir la validación de software, la configuración del control de acceso, los procedimientos de revisión del registro de auditoría y los controles de integridad de los datos para sistemas que, en un principio, se adquirieron para facilitar la supervisión de las instalaciones. Ninguna de esas inversiones mejora la defendibilidad de los registros que realmente importan.
El ejemplo más claro de ampliación del alcance es un sistema de gestión de edificios o una interfaz de supervisión de instalaciones que registra los diferenciales de presión, la temperatura y la humedad en un Zona de contención BSL-3. Si esos datos solo los utiliza el equipo de instalaciones para demostrar que el sistema de climatización mantiene las condiciones requeridas para las instalaciones físicas —y nunca aparecen en un registro de lote, en una decisión de liberación de lote ni en un documento GxP—, entonces imponer los controles completos de la Parte 11 a ese sistema es una decisión de control de calidad, no una exigencia normativa. La decisión debe tomarse de forma deliberada y documentarse, pero la norma por defecto no es la aplicabilidad automática de la Parte 11.
| Escenario | Riesgo de aplicar una cantidad excesiva | Riesgo de ignorar | Se necesita una aclaración |
|---|---|---|---|
| Equipos utilizados únicamente para la supervisión de la comodidad (no forma parte del registro GxP) | Costes innecesarios en materia de validación y cumplimiento normativo | Ninguna, si los datos no se utilizan para tomar decisiones sobre la calidad | Confirma si los datos se utilizarán alguna vez en liberaciones por lotes o en investigaciones |
| Registro electrónico de lote creado y utilizado en la autorización de salida | Riesgo bajo — si se aplica correctamente | Referencia sobre la integridad de los datos; pérdida de confianza en los registros | Asegurarse de que el sistema cumpla con la Parte 11 en lo que respecta a la fiabilidad de los registros electrónicos |
| Equipos no estadounidenses, sin inspección de la FDA, solo para el mercado local | Esfuerzo innecesario para cumplir con la Parte 11 | Incumplimiento de la normativa local sobre registros electrónicos | Determinar qué organismo regulador llevará a cabo la auditoría y cuáles son los requisitos locales aplicables |
| Sistema híbrido: registro en papel con registro electrónico para mayor comodidad del operador | Se han añadido controles electrónicos que van más allá de los requisitos del sistema en papel | Mínimo si el registro final es en papel y se ha revisado | Aclare qué formato constituye el registro oficial y si el registro electrónico está sujeto a revisión |
El riesgo inverso —considerar que los datos de monitorización quedan fuera del ámbito de aplicación cuando se hace referencia a ellos de manera informal en las decisiones sobre calidad— es el modo de fallo que da lugar a las citaciones por falta de integridad de los datos. La palabra “informalmente” es el problema. Si un responsable de control de calidad hace referencia a una tendencia de monitorización de la planta durante una conversación sobre la disposición de un lote sin que dichos datos formen parte de un registro controlado, el centro ha creado una decisión sobre calidad que depende de un registro electrónico no controlado. Las decisiones sobre el ámbito de aplicación tomadas de manera informal son las que no superan la inspección.
Otro aspecto que conviene tener muy claro es que el cumplimiento de la Parte 11 no puede certificarse. Un proveedor que ofrezca un sistema “certificado según la Parte 11” está utilizando una expresión que carece de significado normativo. El cumplimiento se demuestra mediante pruebas validadas y controles documentados, y es el centro —no el proveedor— el que tiene la obligación de demostrarlo. Una redacción de los pliegos de condiciones que considere que la afirmación de un proveedor sobre la certificación cumple con las obligaciones del centro crea una barrera falsa que no resistirá el escrutinio de un inspector competente.
Límite de integridad de los datos para los equipos de los proveedores
El principio de inmutabilidad, que constituye el núcleo de la integridad de los datos de la Parte 11 —según el cual no debe permitirse que un valor registrado se modifique sin una autorización trazable—, depende tanto de la capacidad de los equipos como de la implementación en las instalaciones. Los proveedores pueden proporcionar la arquitectura técnica: registros con marca de tiempo, campos de datos bloqueados, generación de registros de auditoría y exportación de datos con conservación del formato. Lo que no pueden proporcionar es la evidencia de validación de que el sistema funciona de forma precisa y fiable para el uso previsto en el centro, ni la estructura procedimental que hace que la revisión del registro de auditoría sea significativa.
Este punto es donde los equipos de proyecto suelen tener problemas de comunicación durante la adquisición de equipos. La solicitud de presupuesto pregunta si el sistema admite registros de auditoría y controles de acceso a nivel de usuario. El proveedor confirma que sí. Se entrega el equipo. Pero sin un reparto definido de responsabilidades —qué configura el proveedor, qué valida la planta y qué gestiona la planta mediante procedimientos—, sigue existiendo una brecha entre las capacidades del sistema y la integridad de los datos demostrada.
| Integridad de los datos | Responsabilidad del proveedor respecto al equipo | Responsabilidad del propietario del sitio web | Riesgo si los límites no están claros |
|---|---|---|---|
| Registro de los valores del proceso | Asegurarse de que los datos se registren con marca de tiempo y no puedan sobrescribirse a nivel del instrumento. | Validar la precisión y la fiabilidad del sistema para el uso previsto | Es posible que los datos registrados no cumplan los requisitos de fiabilidad de las normas GxP sin pruebas de validación. |
| Registro de la actividad de los usuarios | Ofrecer la posibilidad de que los usuarios inicien sesión de forma exclusiva y de generar un registro de auditoría | Configurar los roles y comprobar que se realizan las revisiones del registro de auditoría | Es posible que exista un registro de auditoría, pero que no se revise, lo que socava la rendición de cuentas. |
| Exportación y transferencia de datos | Asegúrate de que los datos se exporten en un formato que conserve el registro original. | Gestionar los registros exportados, las copias de seguridad y el control de cambios en el almacenamiento | La integridad de los datos puede verse comprometida en la interfaz entre los equipos y los sistemas de datos de la planta. |
| Gestión de recetas y parámetros | Evitar modificaciones no autorizadas a nivel de los equipos mediante controles de acceso | Definir los flujos de trabajo para la aprobación de recetas y los controles de modificación de parámetros | Una falta de coherencia en la autoridad a la hora de modificar las recetas puede suponer un riesgo de falsificación. |
La fila dedicada a la exportación y transferencia de datos de la tabla anterior merece una atención especial en el caso de los equipos de contención que interactúan con los historiales de datos de la planta, los sistemas LIMS o los sistemas de registros de lotes. La integridad de los datos puede verse comprometida en la interfaz. Un registro que es inmutable dentro de la propia base de datos del equipo puede reexportarse en un formato que permita su edición antes de que se incorpore al registro electrónico de lotes de la planta. Verificar que la ruta de exportación preserve la integridad del registro original —y que los procedimientos de gestión de datos de la planta regulen lo que ocurre tras la transferencia— es una responsabilidad del propietario de la planta que los paquetes de validación de los proveedores no suelen abordar.
Las características de los equipos de los proveedores permiten garantizar la integridad de los datos, pero no la demuestran; las pruebas de validación y la revisión de los procedimientos aclara esa distinción.
El requisito de validación no es una mera formalidad. Es necesario demostrar que los sistemas funcionan de forma precisa, fiable y coherente para el uso previsto, y que permiten detectar registros no válidos o alterados. Esa demostración se basa en la documentación del proveedor, los protocolos de cualificación del centro y los controles procedimentales continuos, ninguno de los cuales puede llevar a cabo el proveedor en nombre del centro.
Criterio de decisión para los requisitos de controles regulados
El enfoque más útil para determinar el criterio de decisión no es técnico, sino jurisdiccional y basado en el uso. La Parte 11 se aplica a los sistemas utilizados en la investigación, la fabricación y la distribución de productos farmacéuticos, productos biológicos, productos sanitarios, sangre y tejidos destinados a los mercados estadounidenses. Si el equipo genera registros electrónicos que respaldan cualquiera de esas actividades y dichos registros se utilizan en la toma de decisiones relacionadas con las buenas prácticas (GxP), se activan los requisitos de control de la Parte 11. Si no se cumple ninguna de estas condiciones, debe justificarse explícitamente la aplicación del ámbito de la Parte 11 a dicho equipo, sin darlo por sentado.
La comprobación práctica que debe realizarse antes de redactar cualquier cláusula del URS que haga referencia a la Parte 11 consiste en una pregunta dividida en tres partes: ¿Se encuentra el producto o la actividad dentro del ámbito de aplicación de la Parte 11? ¿Está la instalación sujeta a inspección de la FDA o al registro en el mercado estadounidense? ¿Y genera el equipo específico registros que se utilizan —o que podrían utilizarse— en las decisiones de calidad relativas a esas actividades cubiertas? Si la respuesta a las tres preguntas es ’sí», la disposición es de aplicación. Si la respuesta a cualquiera de ellas es «no», el alcance de los controles debe justificarse por escrito, y no aplicarse de forma predeterminada.
En el caso de las instalaciones situadas fuera de EE. UU. que no estén sujetas a inspecciones de la FDA, el hecho de que no exista la obligación de cumplir la Parte 11 no implica que no haya normativa sobre registros electrónicos. Los organismos reguladores locales aplicarán sus propias normas en materia de registros electrónicos e integridad de los datos, y el marco adecuado para especificar los controles vendrá determinado por la autoridad que vaya a auditar la instalación. Considerar el contexto fuera de EE. UU. simplemente como “exento de la Parte 11” sin evaluar los requisitos locales aplicables da lugar a otra deficiencia en el cumplimiento normativo.
El momento en que se toma esta decisión es la verdadera variable de riesgo. Los equipos que posponen la evaluación del impacto de GxP hasta después de la selección del proveedor —o, peor aún, hasta las pruebas de aceptación en fábrica— se encuentran con que la plataforma de control se ha especificado sin haber definido claramente los límites del sistema de calidad. Esto da lugar a cambios en las especificaciones a posteriori por parte del proveedor o a soluciones provisionales en los procedimientos tras la instalación que resultan difíciles de validar. La evaluación inicial debe realizarse al principio del proceso de especificación de los controles, antes de que comience la negociación con el proveedor.
La medida más clara que se debe adoptar antes de la especificación es reunir a los equipos de control de calidad, automatización y asuntos reglamentarios en una misma sala antes de redactar cualquier URS de controles de equipos, con una única pregunta sobre la mesa: para cada clase de registro electrónico que genere este equipo, ¿se utilizará dicho registro en una decisión de calidad relativa a un producto afectado? La respuesta determina si se aplica la Parte 11 o un marco local equivalente, qué controles debe cumplir el proveedor y qué debe validar y mantener el centro desde el punto de vista procedimental. Sin esa respuesta, los URS resultarán o bien excesivamente detallados —lo que añade costes de validación y carga de mantenimiento a sistemas que no lo necesitan— o bien insuficientemente detallados precisamente en los aspectos que un inspector examinará.
La comprobación posterior, una vez especificados los controles y cuando el equipo se encuentra en fase de adquisición, consiste en verificar que la documentación técnica del proveedor distinga entre la capacidad de las características y el cumplimiento validado. Un proveedor que ofrezca capacidad de registro de auditoría, acceso basado en roles y una arquitectura de registros inmutables permite una configuración conforme a la normativa; sin embargo, el centro tiene la obligación de validar dicha configuración para el uso previsto, definir y llevar a cabo revisiones del registro de auditoría, y controlar los datos desde el momento de su captura hasta su almacenamiento y exportación. Cualquier brecha en esa cadena supone un hallazgo de integridad de datos a la espera de ser documentado.
Preguntas frecuentes
P: ¿Qué ocurre si no estamos especificando nuevos equipos, sino que necesitamos evaluar los sistemas de contención existentes para comprobar su conformidad con la Parte 11?
R: Comience con la misma evaluación del uso de registros y de las decisiones en materia de buenas prácticas de fabricación (GxP). La Parte 11 se aplica a los registros electrónicos utilizados en las decisiones de calidad para las actividades contempladas, independientemente de cuándo se haya instalado el equipo. Reutilice las preguntas previas a la especificación del artículo como marco para el análisis de deficiencias; cuando la adaptación técnica no sea viable, documente el riesgo residual, aplique controles procedimentales compensatorios y considere soluciones alternativas en papel como medida provisional.
P: Una vez que hayamos identificado qué registros entran dentro del ámbito de aplicación de la Parte 11, ¿cómo debemos documentar formalmente la decisión sobre el alcance para que se mantenga válida en caso de auditoría?
R: Recoge la justificación en una evaluación de impacto GxP o en un documento de alcance de la integridad de los datos. Incluye la comprobación en tres partes, basada en la jurisdicción y el uso, que se analiza en el artículo (alcance del producto, exposición al mercado estadounidense, dependencia de decisiones de calidad), una categorización registro por registro y las firmas de los departamentos de control de calidad, automatización y asuntos regulatorios. Vincula este documento a los requisitos de diseño (URS) del equipo y al plan de validación para crear una cadena de razonamiento auditable.
P: Nuestra planta realiza envíos a mercados fuera de EE. UU. y de la UE; ¿cómo determinamos los controles adecuados para los registros electrónicos en esas regiones?
R: Los principios subyacentes de integridad de los datos están armonizados a nivel mundial a través de marcos normativos como la ICH Q9(R1), por lo que sigue siendo válido un enfoque basado en el riesgo. Identifica el organismo regulador específico que inspeccionará tus instalaciones, revisa sus expectativas en materia de integridad de los datos y adapta tus controles a ese marco; no utilices de forma predeterminada la terminología de la Parte 11 o del Anexo 11 en jurisdicciones en las que no tengan validez.
P: Cuando los equipos de control de calidad y de automatización no se ponen de acuerdo sobre si un registro entra dentro del ámbito de aplicación de la Parte 11, ¿deberíamos optar por incluir controles por precaución?
R: No, la opción más segura es resolver la ambigüedad mediante un proceso documentado de gestión de riesgos de calidad, y no mediante una inclusión generalizada. Utilice una evaluación de riesgos (por ejemplo, un FMEA) para valorar la posibilidad de que el registro influya en una decisión sobre la calidad del producto. Si el riesgo es bajo y el registro queda excluido, según el procedimiento, del uso en el marco de las normas GxP, una exclusión justificada es más defendible que ampliar el alcance con controles que añaden una carga de validación sin mejorar la integridad de los datos donde realmente importa.
P: ¿Podemos evitar los costes de cumplimiento de la Parte 11 utilizando registros de lotes en papel y considerando los datos electrónicos de los equipos de contención como registros de conveniencia no GxP?
R: Sí. La Parte 11 establece la equivalencia con el papel, por lo que un sistema de registro GxP totalmente en papel no entra en el ámbito de aplicación de la normativa. Sin embargo, es necesario establecer procedimientos rigurosos para evitar cualquier dependencia informal de los datos electrónicos en la disposición de lotes, las investigaciones de desviaciones u otras decisiones relacionadas con la calidad. Incluso una referencia incidental por parte de un responsable de control de calidad puede crear una dependencia que haga que el sistema entre en el ámbito de aplicación, y mantener la disciplina de un proceso paralelo en papel puede resultar más costoso que implementar controles electrónicos que cumplan con la normativa.
