Especificar controles para equipamentos de contenção sem primeiro responder a algumas questões fundamentais sobre o tipo de registro, o escopo da decisão de qualidade e a aplicabilidade jurisdicional é uma das formas mais certas de gerar retrabalho na validação. O problema surge tardiamente — normalmente durante IQ/OQ ou em uma inspeção de pré-aprovação — quando uma equipe de controle de qualidade descobre que um registro eletrônico gerado por um equipamento foi utilizado de maneira informal nas decisões de liberação de lotes, sem qualquer trilha de auditoria definida, controle de acesso ou estrutura de imutabilidade de dados. O custo não se resume apenas à correção; trata-se da credibilidade do próprio registro. Para evitar esse desfecho, é necessário resolver a questão dos limites do registro antes mesmo que seja redigida uma única cláusula do URS sobre os controles de equipamentos de contenção previstos na 21 CFR Parte 11.
Registros eletrônicos que levantam questões relacionadas à Parte 11
A Parte 11 estabelece um limite mínimo de confiabilidade — o padrão mínimo para que um registro ou assinatura eletrônica seja considerado confiável e equivalente à sua contraparte em papel. Ela não prescreve uma especificação de projeto. A questão prática que ela levanta não é “o equipamento possui uma trilha de auditoria?”, mas “algum registro eletrônico gerado por esse equipamento é utilizado em uma decisão de qualidade e, em caso afirmativo, o que torna esse registro confiável?”.”
Essa distinção é importante porque os sistemas de contenção geram várias classes de dados eletrônicos, e nem todos eles acionam as mesmas obrigações. Um registro de pressão utilizado apenas pela equipe de instalações para verificar o funcionamento do sistema de climatização (HVAC) se enquadra em uma categoria diferente daquela de um conjunto de parâmetros de processo em lote que um isolador de enchimento automatizado gera e que a equipe de controle de qualidade utiliza para aprovar a liberação de um lote. Confundir esses dois conceitos amplia o escopo do URS e, em última instância, aumenta a carga de trabalho de validação, sem melhorar a integridade dos dados onde isso realmente importa.
O exercício de pré-especificação consiste em categorizar cada tipo de registro com base em duas perguntas: esses dados serão alguma vez citados em um registro de lote, em uma investigação de desvio ou em uma decisão de qualidade? E quem é responsável pela decisão sobre se isso ocorrerá? A segunda pergunta costuma ser ignorada, e é por isso que ocorre a expansão do escopo — um registro de monitoramento de conveniência acaba sendo classificado como um registro GxP por padrão, em vez de por escolha deliberada.
| Tipo de registro | Parte 11 – Questão | O que esclarecer antes de definir as especificações |
|---|---|---|
| Parâmetros de processamento em lote | Os valores eletrônicos do processo são utilizados nas decisões de liberação de lote? | Esses dados farão parte do registro oficial do lote? |
| Registros de acesso dos usuários | A identidade do usuário é verificada e suas ações são atribuíveis? | O sistema deve exigir que os IDs de usuário sejam únicos e registrar os acessos? |
| Eventos da trilha de auditoria | As alterações em dados críticos são rastreáveis e não editáveis? | O equipamento gera uma trilha de auditoria imutável e com registro de data e hora? |
| Dados de gerenciamento de receitas | É possível alterar os parâmetros da receita sem que isso seja percebido? | As versões das receitas são controladas e as alterações são restritas ao pessoal autorizado? |
| Dados de monitoramento para decisões sobre qualidade | O registro eletrônico é utilizado para comprovar a qualidade do produto? | Confirme se os dados de monitoramento das instalações serão tratados como um registro GxP. |
A tabela acima define em que momento a questão relacionada à Parte 11 se torna relevante. O ponto crítico é a coluna “o que esclarecer” — trata-se de diálogos que ocorrem antes da aquisição, e não de adaptações posteriores à instalação. Se as equipes de controle de qualidade e automação não tiverem chegado a um consenso sobre se os parâmetros de processamento de lote constarão no registro oficial do lote antes da especificação do equipamento, o fornecedor não poderá definir de forma confiável o escopo da plataforma de controles, e a unidade não poderá elaborar um plano de validação defensável.
Anexo 11: Expectativas para sistemas informatizados
BPF DA UE Anexo 11 é um documento de orientação, não uma regulamentação juridicamente vinculativa. Ele funciona como uma estrutura de referência de processos para sistemas informatizados no contexto das BPF da UE e compartilha o mesmo terreno conceitual com a Parte 11 — mas os dois não são intercambiáveis. A Parte 11 tem plena aplicabilidade sob a jurisdição da FDA dos EUA. O Anexo 11, não. Tratá-los como equivalentes em uma especificação cria um problema de escopo: se uma equipe de projeto redigir cláusulas do URS que misturem a linguagem de orientação do Anexo 11 com os requisitos da Parte 11 sem distinguir qual se aplica, as evidências de validação resultantes podem não satisfazer claramente nenhum dos dois.
O Anexo 11 e a Parte 11 tratam de princípios semelhantes, mas sua aplicabilidade não é equivalente — defina o escopo de seus controles de acordo com isso.
Quando o Anexo 11 for aplicável a um projeto, utilize-o como um quadro de referência para a concepção de instalações registradas de acordo com as BPF da UE. Ele fornece orientações sobre como a validação de sistemas computadorizados, gestão de riscos, e as práticas de integridade de dados são abordadas pelas autoridades europeias, sendo útil para estruturar a discussão sobre os requisitos dos fornecedores em torno do ciclo de vida do sistema, da gestão de acesso e da capacidade de auditoria. No entanto, isso não deve ser citado como um requisito de conformidade na mesma estrutura de cláusulas que invoca as obrigações da Parte 11, a menos que o contexto do projeto envolva explicitamente o registro em duas jurisdições.
A implicação prática durante a especificação do equipamento é identificar qual órgão regulador fará a auditoria da instalação e quais requisitos de registros eletrônicos esse órgão exige. Para uma unidade que exporta tanto para o mercado dos EUA quanto para o da UE, ambos os marcos regulatórios definirão as expectativas, mas a narrativa de validação precisa deixar clara a base jurisdicional de cada elemento de controle. Misturá-los sem essa clareza cria um problema de defensabilidade durante inspeção, e não uma rede de segurança.
Funções de acesso, trilhas de auditoria e controle de receitas
Os três elementos de controle que geram maior ambiguidade nas especificações dos equipamentos de contenção — funções de acesso, trilhas de auditoria e controle de receitas — são definidos pela Parte 11 como objetivos de responsabilização e rastreabilidade, e não como uma lista de recursos de software. A questão não é se o fornecedor do equipamento oferece essas funções, mas se a unidade pode demonstrar que a verificação de identidade, a atribuição de ações e o histórico de alterações de parâmetros são mantidos operacionalmente, e não apenas configurados no comissionamento.
A verificação de identidade, conforme a Parte 11, significa que cada ação registrada no sistema é atribuível a um indivíduo específico autorizado. No caso de equipamentos de contenção com convenções de login compartilhadas, painéis de controle do operador com credenciais genéricas ou modos de anulação de supervisão que contornam a atribuição ao usuário, isso cria uma lacuna imediata na trilha de auditoria. A capacidade de gerar entradas individuais na trilha de auditoria não tem sentido se o sistema estiver configurado com contas compartilhadas.
| Elemento de controle | Parte 11: Expectativa | Pergunta de verificação sobre o equipamento |
|---|---|---|
| Funções de acesso do usuário | Verificação de identidade e responsabilização pelas ações | O sistema permite que os logins dos usuários sejam exclusivos, com permissões baseadas em funções? |
| Recurso de trilha de auditoria | Rastreabilidade das alterações nos dados; prevenção de registros falsificados | Os registros da trilha de auditoria possuem data e hora, são atribuíveis e não podem ser editados? |
| Controle de receitas/parâmetros | Garantia de que os parâmetros aprovados não sejam alterados sem autorização | Os parâmetros das receitas ficam bloqueados após a aprovação e as alterações são registradas? |
| Responsabilidade pelas ações | Cada ação atribuível a um indivíduo autorizado | O sistema registra quem realizou cada ação de controle e quando? |
O gerenciamento de receitas e parâmetros cria uma obrigação específica de rastreabilidade. Se um operador puder modificar um parâmetro de processo em uma receita validada sem acionar um registro de alteração, a integridade de todos os lotes produzidos com base nessa receita fica comprometida. A questão a ser verificada é se os parâmetros da receita são bloqueados após a aprovação e se qualquer modificação — mesmo uma substituição temporária — é registrada em nome de um usuário específico. Os fornecedores de equipamentos podem oferecer a capacidade técnica para isso; a estrutura de revisão de procedimentos que confirma se ela está funcionando é de responsabilidade do proprietário da unidade.
Uma trilha de auditoria que existe, mas nunca é analisada, não proporciona prestação de contas — o acesso e a capacidade de rastreamento devem estar associados a uma obrigação definida de análise.
O padrão de falha aqui é que as funções de acesso e os recursos de trilha de auditoria são tratados como resultados do comissionamento: eles são configurados, é feita uma captura de tela para o arquivo IQ, e ninguém define quem analisa a trilha nem com que frequência. Essa lacuna só vem à tona quando uma investigação de desvio exige a reconstrução de uma sequência de alterações de parâmetros ou ações do operador, e o registro de auditoria está presente, mas nunca foi utilizado como prova.
Escopo dos controles que pode ser superestimado
O risco de inflação no âmbito da Parte 11 é real e tem consequências diretas nos custos do projeto. Quando cada ponto de dados gerado por um sistema de contenção é tratado como um registro eletrônico regulamentado — independentemente de ser utilizado em uma decisão de qualidade —, a carga de validação se amplia para incluir a validação de software, a configuração do controle de acesso, os procedimentos de revisão da trilha de auditoria e os controles de integridade de dados para sistemas que foram originalmente adquiridos para facilitar o monitoramento das instalações. Nenhum desses investimentos melhora a defensabilidade dos registros que realmente importam.
O exemplo mais claro de inflação do escopo é um sistema de gerenciamento predial ou uma interface de monitoramento de instalações que registra diferenças de pressão, temperatura e umidade em um Zona de contenção BSL-3. Se esses dados forem utilizados exclusivamente pela equipe de instalações para comprovar que o sistema de climatização (HVAC) está mantendo as condições exigidas para as instalações físicas — e nunca constarem em um registro de lote, decisão de liberação de lote ou documento GxP —, então a imposição de controles completos da Parte 11 sobre esse sistema é uma decisão de garantia da qualidade (QA), e não uma exigência regulatória. A decisão deve ser tomada de forma deliberada e documentada, mas a regra padrão não é a aplicabilidade automática da Parte 11.
| Cenário | Risco de aplicação excessiva | Risco de ignorar | É necessário um esclarecimento |
|---|---|---|---|
| Equipamentos utilizados exclusivamente para monitoramento de conveniência (não faz parte do registro GxP) | Custos desnecessários com validação e conformidade | Nenhum, caso os dados não sejam utilizados para decisões relacionadas à qualidade | Confirme se os dados serão utilizados em alguma ocasião na liberação em lote ou em investigações |
| Registro eletrônico do lote criado e utilizado na liberação | Baixo risco — quando aplicado corretamente | Referência à integridade dos dados; perda de confiança nos registros | Certifique-se de que o sistema esteja em conformidade com a Parte 11 no que diz respeito à confiabilidade dos registros eletrônicos |
| Equipamentos não fabricados nos EUA, sem inspeção da FDA, apenas para o mercado local | Esforço desnecessário para cumprir a Parte 11 | Não conformidade com as normas locais relativas aos registros eletrônicos | Determinar qual órgão regulador realizará a auditoria e quais são os requisitos locais aplicáveis |
| Sistema híbrido: registro em papel com registro eletrônico para maior comodidade do operador | Foram adicionados controles eletrônicos além dos requisitos do sistema em papel | Mínimo, caso o registro final seja em papel e tenha sido revisado | Esclareça qual formato é o registro oficial e se o registro eletrônico está sujeito a revisão |
O risco inverso — tratar os dados de monitoramento como estando fora do escopo quando são mencionados informalmente em decisões de qualidade — é o modo de falha que gera observações relacionadas à integridade dos dados. A palavra “informalmente” é o problema. Se um gerente de controle de qualidade mencionar uma tendência de monitoramento da unidade durante uma conversa sobre a disposição de um lote, sem que esses dados façam parte de um registro controlado, a unidade terá criado uma dependência da decisão de qualidade em relação a um registro eletrônico não controlado. As decisões de escopo tomadas informalmente são as que resultam na reprovação na inspeção.
Outro ponto que vale a pena deixar claro é que a conformidade com a Parte 11 não pode ser certificada. Um fornecedor que oferece um sistema “certificado pela Parte 11” está utilizando uma expressão que não tem significado regulatório. A conformidade é comprovada por meio de evidências validadas e controles documentados, e cabe à unidade — e não ao fornecedor — a obrigação de comprová-la. Termos de contratação que tratam a alegação de certificação por parte do fornecedor como algo que satisfaz as obrigações da unidade criam uma falsa barreira que não resistirá a um inspetor competente.
Limite de integridade de dados para equipamentos de fornecedores
O princípio da imutabilidade, que está no cerne da integridade de dados da Parte 11 — segundo o qual não se deve permitir que um valor registrado seja alterado sem autorização rastreável —, depende tanto da capacidade do equipamento quanto da implementação no local. Os fornecedores podem oferecer a arquitetura técnica: registros com carimbo de data e hora, campos de dados bloqueados, geração de trilha de auditoria e exportação de dados com preservação do formato. O que eles não podem fornecer é a evidência de validação de que o sistema opera com precisão e confiabilidade para o uso pretendido na instalação, nem a estrutura procedural que torna significativa a análise da trilha de auditoria.
É nesse ponto que as equipes de projeto costumam ter falhas de comunicação durante a aquisição de equipamentos. A solicitação de cotação (RFQ) pergunta se o sistema oferece trilhas de auditoria e controles de acesso por usuário. O fornecedor confirma que sim. O equipamento é entregue. Mas, sem uma divisão definida de responsabilidades — o que o fornecedor configura, o que a unidade valida e o que a unidade opera por meio de procedimentos —, a lacuna entre a capacidade das funcionalidades e a integridade dos dados comprovada permanece aberta.
| Aspecto da integridade dos dados | Responsabilidade do fornecedor pelo equipamento | Responsabilidade do proprietário do site | Risco em caso de limites pouco claros |
|---|---|---|---|
| Registro de valores de processo | Garantir que os dados sejam registrados com data e hora e não possam ser sobrescritos no próprio instrumento | Validar a precisão e a confiabilidade do sistema para o uso pretendido | Os dados registrados podem não atender aos requisitos de confiabilidade das normas GxP sem evidências de validação |
| Registro da atividade do usuário | Oferecer recursos para logins exclusivos de usuários e geração de trilha de auditoria | Configurar funções e verificar se as análises do histórico de auditoria são realizadas | Pode haver um registro de auditoria, mas ele pode não ser analisado, o que prejudica a prestação de contas |
| Exportação e transferência de dados | Certifique-se de que a saída dos dados esteja em um formato que preserve o registro original | Manter registros exportados, backups e controle de alterações no armazenamento | A integridade dos dados pode ser comprometida na interface entre os equipamentos e os sistemas de dados do local |
| Gerenciamento de receitas e parâmetros | Evite alterações não autorizadas no nível do equipamento por meio de controles de acesso | Definir fluxos de trabalho para aprovação de receitas e controles de alteração de parâmetros | A falta de uniformidade na autorização de alterações nas receitas pode acarretar risco de falsificação |
A linha relativa à exportação e transferência de dados na tabela acima merece atenção especial no caso de equipamentos de contenção que se conectam a historiadores de dados do local, LIMS ou sistemas de registros de lote. A integridade dos dados pode ser comprometida na interface. Um registro que é imutável no próprio banco de dados do equipamento pode ser reexportado em um formato que permita a edição antes de entrar no registro eletrônico de lote da unidade. Verificar se o caminho de exportação preserva a integridade do registro original — e se os procedimentos de gerenciamento de dados da unidade regem o que ocorre após a transferência — é uma responsabilidade do proprietário da unidade que os pacotes de validação dos fornecedores normalmente não abordam.
Os recursos dos equipamentos dos fornecedores garantem a integridade dos dados; eles não a comprovam — as evidências de validação e a revisão dos procedimentos preenchem essa lacuna.
A exigência de validação não é uma mera formalidade. É necessário comprovar que os sistemas operam com precisão, confiabilidade e consistência para o uso a que se destinam, além de permitirem o reconhecimento de registros inválidos ou alterados. Essa comprovação é composta pela documentação do fornecedor, pelos protocolos de qualificação do local e pelos controles procedimentais contínuos — nenhum dos quais o fornecedor pode executar em nome do local.
Critério de decisão para os requisitos de controles regulamentados
A abordagem mais útil para definir o gatilho da decisão não é técnica — é jurisdicional e baseada no uso. A Parte 11 se aplica a sistemas utilizados na pesquisa, fabricação e distribuição de produtos farmacêuticos, produtos biológicos, dispositivos médicos, sangue e tecidos para os mercados dos EUA. Se o equipamento gerar registros eletrônicos que apoiem qualquer uma dessas atividades e esses registros forem utilizados em decisões relacionadas às boas práticas (GxP), as exigências de controle da Parte 11 entram em vigor. Se nenhuma das condições for atendida, a justificação para aplicar o escopo da Parte 11 a esse equipamento precisa ser explicitada, e não presumida.
A verificação prática a ser realizada antes da redação de qualquer cláusula do URS que faça referência à Parte 11 consiste em uma pergunta dividida em três partes: O produto ou a atividade está dentro do escopo abrangido pela Parte 11? A instalação está sujeita à inspeção da FDA ou ao registro no mercado dos EUA? E o equipamento específico gera registros que são utilizados — ou podem ser utilizados — em decisões de qualidade relacionadas a essas atividades abrangidas? Se todas as três respostas forem ’sim”, a exigência se aplica. Se qualquer uma for “não”, o escopo dos controles precisa de uma justificativa documentada, e não de uma aplicação padrão.
Para instalações fora dos EUA que não estão sujeitas a inspeções da FDA, a ausência de uma obrigação relativa à Parte 11 não significa que não haja regulamentação sobre registros eletrônicos. Os órgãos reguladores locais aplicarão seus próprios padrões de registros eletrônicos e integridade de dados, e a estrutura adequada para especificar os controles é determinada pela autoridade responsável pela auditoria da instalação. Tratar o contexto fora dos EUA simplesmente como “isento da Parte 11”, sem avaliar os requisitos locais aplicáveis, gera uma lacuna de conformidade diferente.
O momento em que essa decisão é tomada é a verdadeira variável de risco. As equipes que adiam a avaliação do impacto GxP para depois da seleção do fornecedor — ou, pior ainda, até os testes de aceitação na fábrica — percebem que a plataforma de controles foi especificada sem que os limites do sistema de qualidade estivessem claramente definidos. Isso acaba exigindo alterações retroativas nas especificações no nível do fornecedor ou soluções alternativas nos procedimentos após a instalação, que são difíceis de validar. A avaliação inicial deve ocorrer no início do processo de especificação dos controles, antes mesmo do início das negociações com o fornecedor.
A medida mais clara a ser tomada antes da especificação é reunir as equipes de Garantia da Qualidade, automação e assuntos regulatórios na mesma sala antes que qualquer URS de controles de equipamentos seja elaborada, com uma única questão em pauta: para cada classe de registro eletrônico que esse equipamento irá gerar, esse registro será utilizado em uma decisão de qualidade relativa a um produto abrangido? A resposta determina se se aplica a Parte 11 ou uma estrutura local equivalente, quais controles o fornecedor deve oferecer e o que a unidade deve validar e manter proceduralmente. Sem essa resposta, a URS fica ou excessivamente detalhada — adicionando custos de validação e carga de manutenção a sistemas que não precisam disso — ou insuficientemente detalhada exatamente nos pontos que um inspetor irá examinar.
A verificação posterior, uma vez que os controles tenham sido especificados e o equipamento esteja em processo de aquisição, consiste em verificar se a documentação técnica do fornecedor faz a distinção entre a capacidade da funcionalidade e a conformidade validada. Um fornecedor que ofereça capacidade de trilha de auditoria, acesso baseado em funções e arquitetura de registros imutáveis possibilita uma configuração em conformidade — mas a unidade tem a obrigação de validar essa configuração para o uso pretendido, definir e executar revisões da trilha de auditoria e controlar os dados desde o momento da captura até o armazenamento e a exportação. Qualquer lacuna nessa cadeia é uma constatação de integridade de dados prestes a ser registrada.
Perguntas frequentes
P: E se não estivermos especificando novos equipamentos, mas precisarmos avaliar os sistemas de contenção existentes quanto à conformidade com a Parte 11?
R: Comece com a mesma avaliação do uso de registros e das decisões relacionadas às boas práticas de fabricação (GxP). A Parte 11 se aplica aos registros eletrônicos utilizados em decisões de qualidade para as atividades abrangidas, independentemente de quando o equipamento foi instalado. Reutilize as perguntas de pré-especificação do artigo como uma estrutura para análise de lacunas; nos casos em que a adaptação técnica não for viável, documente o risco residual, implemente controles procedimentais compensatórios e considere soluções alternativas em papel como medida provisória.
P: Depois de identificarmos quais registros se enquadram na Parte 11, como devemos documentar formalmente a decisão sobre o escopo para que ela seja válida em caso de auditoria?
R: Registre a fundamentação em uma avaliação de impacto de GxP ou em um documento de definição do escopo de integridade de dados. Inclua a verificação em três partes, baseada na jurisdição e no uso, discutida no artigo (escopo do produto, exposição ao mercado dos EUA, dependência de decisões de qualidade), uma categorização registro a registro e assinaturas das equipes de Controle de Qualidade, automação e assuntos regulatórios. Vincule esse documento ao URS do equipamento e ao plano de validação para criar uma cadeia de raciocínio auditável.
P: Nossa unidade realiza remessas para mercados fora dos EUA e da UE; como podemos determinar os controles adequados para registros eletrônicos nessas regiões?
R: Os princípios fundamentais de integridade de dados são harmonizados globalmente por meio de estruturas como a ICH Q9(R1); portanto, uma abordagem baseada em riscos continua válida. Identifique o órgão regulatório específico que inspecionará suas instalações, analise suas expectativas em relação à integridade de dados e mapeie seus controles para essa estrutura — não adote automaticamente a terminologia da Parte 11 ou do Anexo 11 em jurisdições nas quais elas não tenham validade.
P: Quando as equipes de controle de qualidade e de automação discordam sobre se um registro se enquadra na Parte 11, devemos, por precaução, incluir controles por padrão?
R: Não, o caminho mais seguro é resolver a ambiguidade por meio de um processo documentado de gestão de riscos à qualidade, e não por meio de uma inclusão generalizada. Utilize uma avaliação de riscos (por exemplo, FMEA) para avaliar o potencial do registro de influenciar uma decisão relacionada à qualidade do produto. Se o risco for baixo e o registro for proceduralmente excluído do uso em conformidade com as normas GxP, uma exclusão justificada é mais defensável do que ampliar o escopo com controles que aumentam a carga de validação sem melhorar a integridade dos dados onde realmente importa.
P: É possível evitar os custos de conformidade com a Parte 11 utilizando registros de lote em papel e tratando os dados eletrônicos dos equipamentos de contenção como registros de conveniência não-GxP?
R: Sim — a Parte 11 estabelece a equivalência com o papel; portanto, um sistema de registros GxP totalmente baseado em papel não se enquadra na regulamentação. No entanto, é necessário instituir procedimentos rigorosos para evitar qualquer dependência informal de dados eletrônicos na disposição de lotes, investigações de desvios ou outras decisões de qualidade. Mesmo uma referência incidental por parte de um gerente de QA pode criar uma dependência que faça com que o sistema se enquadre no escopo da regulamentação, e manter a disciplina de um processo paralelo em papel pode custar mais do que implementar controles eletrônicos em conformidade.
