21 CFR Partea 11 și Anexa 11: Întrebări care trebuie puse înainte de a stabili măsurile de control pentru echipamentele de izolare

Stabilirea criteriilor de control pentru echipamentele de izolare fără a răspunde mai întâi la câteva întrebări fundamentale privind tipul de înregistrare, domeniul de aplicare al deciziilor privind calitatea și aplicabilitatea din punct de vedere jurisdicțional reprezintă una dintre cele mai sigure modalități de a genera revizuiri ale procesului de validare. Problema apare târziu — de obicei în timpul IQ/OQ sau o inspecție de preaprobare — atunci când o echipă de asigurare a calității constată că o înregistrare electronică generată de un echipament a fost utilizată în mod neoficial în cadrul deciziilor de eliberare a loturilor, fără a exista o pistă de audit definită, un control al accesului sau o structură care să asigure imuabilitatea datelor. Costul nu constă doar în remedierea situației; este vorba de credibilitatea înregistrării în sine. Pentru a evita acest rezultat, este necesar să se rezolve problema delimitării înregistrării înainte de redactarea oricărei clauze din URS referitoare la controalele echipamentelor de izolare prevăzute în 21 CFR Partea 11.

Înregistrările electronice care ridică întrebări legate de Partea 11

Partea 11 stabilește un prag de fiabilitate — standardul minim pe baza căruia un document sau o semnătură electronică poate fi considerat(ă) fiabil(ă) și echivalent(ă) cu omologul său pe suport de hârtie. Aceasta nu prescrie o specificație de proiectare. Întrebarea practică pe care o ridică nu este “dispune echipamentul de o pistă de audit?”, ci “este vreun document electronic generat de acest echipament utilizat în luarea unei decizii privind calitatea și, dacă da, ce face ca acel document să fie fiabil?”

Această distincție este importantă deoarece sistemele de izolare generează mai multe categorii de date electronice, iar nu toate acestea dau naștere la aceleași obligații. Un jurnal de presiune utilizat exclusiv de echipa de întreținere pentru a verifica funcționarea sistemului HVAC se încadrează într-o categorie diferită față de un set de parametri ai procesului de producție în serie pe care un izolator de umplere automatizat pe care le generează și pe care departamentul de asigurare a calității le utilizează pentru a aproba lansarea unui lot. Amestecarea acestora extinde domeniul de aplicare al URS și, în cele din urmă, sporește sarcina de validare, fără a îmbunătăți integritatea datelor acolo unde este cu adevărat important.

Exercițiul de pre-specificare constă în clasificarea fiecărui tip de înregistrare pe baza a două întrebări: vor fi aceste date vreodată menționate într-un registru de lot, într-o investigație privind abaterile sau într-o decizie privind calitatea și cine are competența de a decide dacă acest lucru se va întâmpla? A doua întrebare este adesea omisă, motiv pentru care apare „extinderea neintenționată a domeniului de aplicare” — un jurnal de monitorizare întocmit din comoditate ajunge să fie clasificat ca înregistrare GxP în mod implicit, și nu ca urmare a unei alegeri deliberate.

Tabelul de mai sus prezintă momentele în care întrebarea referitoare la Partea 11 devine relevantă. Etapa esențială o reprezintă coloana “ce trebuie clarificat” — este vorba despre discuții anterioare achiziției, nu despre adaptări ulterioare instalării. Dacă echipele de asigurare a calității și de automatizare nu au ajuns la un acord cu privire la faptul dacă parametrii de procesare a loturilor vor apărea în înregistrarea oficială a lotului înainte de specificarea echipamentului, furnizorul nu poate stabili în mod fiabil domeniul de aplicare al platformei de control, iar unitatea nu poate elabora un plan de validare justificabil.

Anexa 11: Cerințe privind sistemele informatizate

EU GMP Anexa 11 este un document orientativ, nu un regulament cu caracter juridic obligatoriu. Acesta funcționează ca un cadru de referință pentru procesele sistemelor informatizate în contextul GMP al UE și are puncte comune din punct de vedere conceptual cu Partea 11 — însă cele două nu sunt interschimbabile. Partea 11 are caracter executoriu deplin sub jurisdicția FDA din SUA. Anexa 11 nu are acest caracter. Tratarea acestora ca fiind echivalente într-o specificație creează o problemă de domeniu de aplicare: dacă o echipă de proiect redactează clauze URS care combină limbajul orientativ al Anexei 11 cu cerințele din Partea 11 fără a distinge care dintre acestea se aplică, dovezile de validare rezultate ar putea să nu satisfacă în mod clar niciuna dintre ele.

Anexa 11 și Partea 11 abordează principii similare, dar gradul lor de aplicabilitate nu este echivalent — adaptați formularea măsurilor de control în consecință.

În cazul în care Anexa 11 este relevantă pentru un proiect, aceasta trebuie utilizată ca cadru de referință pentru proiectare în cazul unităților înregistrate conform GMP-UE. Aceasta oferă îndrumări cu privire la validarea sistemelor informatizate, gestionarea riscurilor, iar practicile privind integritatea datelor sunt abordate de autoritățile europene; acest lucru este util pentru structurarea discuțiilor privind cerințele impuse furnizorilor în jurul ciclului de viață al sistemului, al gestionării accesului și al capacității de audit. Cu toate acestea, nu ar trebui menționat ca o cerință de conformitate în aceeași structură de clauze care invocă obligațiile prevăzute în Partea 11, cu excepția cazului în care contextul proiectului implică în mod explicit înregistrarea sub dublă jurisdicție.

Implicația practică în etapa de definire a specificațiilor echipamentelor constă în identificarea organismului de reglementare care va efectua auditul unității și a cerințelor privind înregistrările electronice pe care respectivul organism le impune. În cazul unei unități care exportă atât pe piața SUA, cât și pe cea a UE, ambele cadre normative vor determina așteptările, însă descrierea procesului de validare trebuie să prezinte în mod clar baza jurisdicțională pentru fiecare element de control. Amestecarea acestora fără această claritate creează o problemă de justificabilitate în timpul inspecție, nu o plasă de siguranță.

Roluri de acces, jurnale de audit și controlul rețetelor

Cele trei elemente de control care generează cea mai mare ambiguitate în specificațiile echipamentelor de izolare — rolurile de acces, jurnalele de audit și controlul rețetelor — sunt definite de Partea 11 ca obiective de responsabilizare și trasabilitate, nu ca o listă de funcționalități software. Întrebarea nu este dacă furnizorul echipamentului oferă aceste funcții, ci dacă unitatea poate demonstra că verificarea identității, atribuirea acțiunilor și istoricul modificărilor parametrilor sunt menținute la nivel operațional, nu doar configurate la punerea în funcțiune.

Verificarea identității, conform Părții 11, înseamnă că fiecare acțiune înregistrată în sistem poate fi atribuită unei persoane autorizate specifice. În cazul echipamentelor de izolare care utilizează convenții comune de autentificare, al panourilor tactile ale operatorilor cu date de autentificare generice sau al modurilor de suprascriere de către personalul de supraveghere care ocolesc atribuirea responsabilității utilizatorului, se creează o lacună imediată în jurnalul de audit. Capacitatea de a genera înregistrări individuale în jurnalul de audit nu are nicio valoare dacă sistemul este configurat cu conturi partajate.

Gestionarea rețetelor și a parametrilor generează o obligație distinctă de trasabilitate. Dacă un operator poate modifica un parametru de proces dintr-o rețetă validată fără a genera un înregistrare de modificare, integritatea fiecărui lot produs conform acelei rețete devine discutabilă. Problema care se pune este dacă parametrii rețetei sunt blocați după aprobare și dacă orice modificare — chiar și o suprascriere temporară — este înregistrată pe numele unui utilizator specific. Furnizorii de echipamente pot oferi capacitatea tehnică necesară în acest sens; structura de revizuire procedurală care confirmă funcționarea acesteia este responsabilitatea proprietarului unității.

O pistă de audit care există, dar nu este niciodată verificată, nu asigură trasabilitatea — accesul și capacitatea de înregistrare a traseului trebuie să fie însoțite de o obligație clar definită de verificare.

Problema care se conturează aici este că rolurile de acces și funcțiile de jurnal de audit sunt tratate ca rezultate ale punerii în funcțiune: acestea sunt configurate, se face o captură de ecran pentru fișierul IQ, iar nimeni nu stabilește cine verifică jurnalul sau cu ce frecvență. Această lacună nu iese la iveală decât atunci când o investigație privind o abatere necesită reconstituirea unei secvențe de modificări ale parametrilor sau de acțiuni ale operatorului, iar jurnalul de audit există, dar nu a fost niciodată utilizat ca probă.

Domeniul de aplicare al controalelor, care poate fi supraestimat

Riscul de inflație a costurilor în cadrul domeniului de aplicare al Părții 11 este real și are consecințe directe asupra costurilor proiectului. Atunci când fiecare punct de date generat de un sistem de izolare este tratat ca o înregistrare electronică reglementată — indiferent dacă este utilizat sau nu într-o decizie privind calitatea — sarcina de validare se extinde pentru a include validarea software-ului, configurarea controlului accesului, procedurile de revizuire a pistei de audit și controalele de integritate a datelor pentru sisteme care au fost achiziționate inițial pentru a facilita monitorizarea instalației. Niciuna dintre aceste investiții nu îmbunătățește gradul de justificare al înregistrărilor care contează cu adevărat.

Cel mai elocvent exemplu de extindere a domeniului de aplicare este un sistem de gestionare a clădirilor sau o interfață de monitorizare a instalațiilor care înregistrează diferențele de presiune, temperatura și umiditatea într-o Zona de izolare BSL-3. Dacă aceste date sunt utilizate exclusiv de echipa responsabilă cu întreținerea instalațiilor pentru a demonstra că sistemul HVAC menține condițiile necesare pentru instalațiile fizice — și nu apar niciodată într-un registru de lot, într-o decizie de eliberare a lotului sau într-un document GxP — atunci impunerea unor controale complete conform Părții 11 asupra acelui sistem reprezintă o decizie de asigurare a calității, nu o cerință reglementară. Decizia trebuie luată în mod deliberat și documentată, dar, în mod implicit, aplicabilitatea Părții 11 nu este automată.

Riscul invers — tratarea datelor de monitorizare ca fiind în afara domeniului de aplicare atunci când se face referire la ele în mod informal în cadrul deciziilor privind calitatea — reprezintă modul de eșec care generează observații privind integritatea datelor. Cuvântul “informal” este problema. Dacă un manager de asigurare a calității face referire la o tendință de monitorizare a unității în timpul unei discuții privind dispunerea unui lot, fără ca acele date să facă parte dintr-un registru controlat, unitatea a creat o dependență a deciziei privind calitatea de un registru electronic necontrolat. Deciziile privind domeniul de aplicare luate în mod informal sunt cele care duc la eșecul inspecției.

Un alt aspect care merită subliniat în mod clar este faptul că conformitatea cu Partea 11 nu poate fi certificată. Un furnizor care oferă un sistem “certificat conform cu Partea 11” folosește o formulare care nu are nicio semnificație din punct de vedere normativ. Conformitatea se demonstrează prin dovezi validate și controale documentate, iar obligația de a face această demonstrație revine unității — nu furnizorului. Formulările din contractele de achiziție care tratează o afirmație a furnizorului privind certificarea ca îndeplinind obligațiile unității creează o delimitare falsă care nu va rezista în fața unui inspector competent.

Limita de integritate a datelor pentru echipamentele furnizorilor

Principiul imuabilității, care stă la baza integrității datelor prevăzute în Partea 11 — conform căruia nu trebuie să fie permisă modificarea unei valori înregistrate fără o autorizație trasabilă — depinde atât de capacitatea echipamentelor, cât și de implementarea la nivel de unitate. Furnizorii pot asigura arhitectura tehnică: înregistrări cu marcaj temporal, câmpuri de date blocate, generarea unei piste de audit, exportul datelor cu păstrarea formatului. Ceea ce nu pot furniza este dovada de validare că sistemul funcționează cu precizie și fiabilitate pentru utilizarea prevăzută a unității, sau structura procedurală care face ca revizuirea pistei de audit să fie semnificativă.

Acesta este punctul în care echipele de proiect întâmpină cel mai adesea probleme de comunicare în timpul procesului de achiziție a echipamentelor. Cererea de ofertă (RFQ) întreabă dacă sistemul suportă jurnale de audit și controale de acces la nivel de utilizator. Furnizorul confirmă că da. Echipamentul este livrat. Însă, fără o repartizare clară a responsabilităților — ce configurează furnizorul, ce validează unitatea și ce operează unitatea prin proceduri — decalajul dintre capacitatea funcțională a sistemului și integritatea datelor demonstrată rămâne nerezolvat.

Rândul referitor la exportul și transferul datelor din tabelul de mai sus merită o atenție specială în cazul echipamentelor de izolare care interacționează cu sistemele de înregistrare istorică a datelor din unitate, cu LIMS sau cu sistemele de înregistrare a loturilor. Integritatea datelor poate fi compromisă la nivelul interfeței. O înregistrare care este imuabilă în baza de date proprie a echipamentului poate fi reexportată într-un format care permite editarea înainte de a fi introdusă în înregistrarea electronică a lotului din cadrul unității. Verificarea faptului că calea de export păstrează integritatea înregistrării originale — și că procedurile de gestionare a datelor din cadrul unității reglementează ceea ce se întâmplă după transfer — este o responsabilitate a proprietarului unității, pe care pachetele de validare ale furnizorilor nu o abordează, de obicei.

Caracteristicile echipamentelor furnizorilor asigură integritatea datelor; ele nu o demonstrează — dovezile de validare și revizuirea procedurală completează acest aspect.

Cerința de validare nu este o simplă formalitate. Trebuie să se demonstreze că sistemele funcționează cu precizie, fiabilitate și consecvență în scopul pentru care au fost concepute și că permit identificarea înregistrărilor nevalide sau modificate. Această demonstrație se bazează pe documentația furnizorului, pe protocoalele de calificare a unității și pe controalele procedurale continue — niciuna dintre acestea neputând fi efectuată de furnizor în numele unității.

Criteriu de decizie privind cerințele referitoare la controalele reglementate

Cea mai utilă abordare a factorului declanșator al deciziei nu este de natură tehnică — ci jurisdicțională și bazată pe utilizare. Partea 11 se aplică sistemelor utilizate în cercetarea, fabricarea și distribuția produselor farmaceutice, a produselor biologice, a dispozitivelor medicale, a sângelui și a țesuturilor destinate piețelor din SUA. Dacă echipamentul generează înregistrări electronice care susțin oricare dintre aceste activități și dacă aceste înregistrări sunt utilizate în luarea deciziilor GxP, se aplică cerințele de control prevăzute de Partea 11. Dacă nu este îndeplinită niciuna dintre aceste condiții, necesitatea aplicării domeniului de aplicare al Părții 11 la respectivul echipament trebuie demonstrată în mod explicit, nu trebuie presupusă.

Verificarea practică care trebuie efectuată înainte de redactarea oricărei clauze URS care face referire la Partea 11 constă într-o întrebare cu trei părți: Produsul sau activitatea se încadrează în domeniul de aplicare al Părții 11? Unitatea este supusă inspecției FDA sau înregistrării pe piața din SUA? Și echipamentul specific generează înregistrări care sunt utilizate — sau pot fi utilizate — în luarea deciziilor privind calitatea pentru acele activități vizate? Dacă răspunsul la toate cele trei întrebări este ’da”, cerința se aplică. Dacă răspunsul la oricare dintre ele este „nu”, domeniul de aplicare al controalelor necesită o justificare documentată, nu o aplicare implicită.

În cazul unităților situate în afara SUA care nu sunt supuse inspecțiilor FDA, lipsa unei obligații prevăzute de Partea 11 nu înseamnă că nu există reglementări privind înregistrările electronice. Autoritățile de reglementare locale vor aplica propriile standarde privind înregistrările electronice și integritatea datelor, iar cadrul adecvat pentru specificarea măsurilor de control este determinat de autoritatea care va efectua auditul unității. Considerarea contextului din afara SUA ca fiind pur și simplu “scutit de Partea 11”, fără a evalua cerințele locale aplicabile, generează o altă lacună în materie de conformitate.

Momentul luării acestei decizii reprezintă adevărata variabilă de risc. Echipele care amână evaluarea impactului GxP până după selectarea furnizorului — sau, și mai rău, până la testarea de acceptare în fabrică — constată că platforma de control a fost specificată fără ca limitele sistemului de calitate să fie clar definite. Acest lucru determină fie modificări retroactive ale specificațiilor la nivelul furnizorului, fie soluții procedurale provizorii după instalare, care sunt dificil de validat. Evaluarea inițială trebuie să aibă loc la începutul procesului de specificare a sistemului de control, înainte de începerea discuțiilor cu furnizorul.

Cea mai clară măsură care trebuie luată înainte de elaborarea specificațiilor este reunirea reprezentanților departamentelor de asigurare a calității, automatizare și afaceri reglementare în aceeași încăpere, înainte de redactarea oricărei specificații de proiect (URS) privind echipamentele, cu o singură întrebare pusă în discuție: pentru fiecare clasă de înregistrări electronice pe care acest echipament le va genera, va fi acea înregistrare utilizată în cadrul unei decizii privind calitatea pentru un produs vizat? Răspunsul determină dacă se aplică Partea 11 sau un cadru local echivalent, ce cerințe de conformitate trebuie să îndeplinească furnizorul și ce trebuie să valideze și să mențină din punct de vedere procedural unitatea. În absența acestui răspuns, URS-ul va fi fie supraspecificat — adăugând costuri de validare și sarcini de întreținere la sisteme care nu au nevoie de acestea — fie subspecificat tocmai în acele aspecte pe care un inspector le va verifica.

Verificarea ulterioară, odată ce controalele au fost specificate și echipamentul se află în proces de achiziție, constă în a verifica dacă documentația tehnică a furnizorului face distincția între capacitatea funcțională și conformitatea validată. Un furnizor care oferă funcționalități de jurnal de audit, acces bazat pe roluri și o arhitectură de înregistrări imuabile permite o configurație conformă — însă unitatea are obligația de a valida acea configurație pentru utilizarea prevăzută, de a defini și de a efectua revizuiri ale jurnalului de audit și de a controla datele de la momentul captării până la stocare și export. Orice lacună în acest lanț reprezintă o constatare privind integritatea datelor care așteaptă să fie consemnată.

Întrebări frecvente

Î: Ce se întâmplă dacă nu specificăm echipamente noi, ci trebuie să evaluăm sistemele de izolare existente din perspectiva conformității cu Partea 11?
R: Începeți cu aceeași evaluare a utilizării înregistrărilor și a deciziilor privind bunele practici de fabricație (GxP). Partea 11 se aplică înregistrărilor electronice utilizate în luarea deciziilor privind calitatea pentru activitățile vizate, indiferent de momentul în care a fost instalat echipamentul. Folosiți întrebările din articol referitoare la etapa anterioară specificării ca cadru pentru analiza lacunelor; în cazul în care modernizarea tehnică nu este fezabilă, documentați riscul rezidual, implementați controale procedurale compensatorii și luați în considerare soluții alternative pe suport de hârtie ca măsură provizorie.

Î: După ce identificăm înregistrările care intră sub incidența Părții 11, cum ar trebui să documentăm în mod oficial decizia privind domeniul de aplicare, astfel încât aceasta să reziste unui audit?
R: Prezentați raționamentul într-o evaluare a impactului conform GxP sau într-un document de definire a domeniului de aplicare privind integritatea datelor. Includeți verificarea în trei etape, bazată pe jurisdicție și utilizare, discutată în articol (domeniul de aplicare al produsului, expunerea pe piața din SUA, dependența de deciziile privind calitatea), o clasificare înregistrare cu înregistrare, precum și semnăturile reprezentanților departamentelor de asigurare a calității, automatizare și afaceri reglementare. Corelați acest document cu specificațiile de cerințe de utilizare (URS) ale echipamentului și cu planul de validare pentru a crea un lanț de raționament care poate fi supus auditului.

Î: Unitatea noastră efectuează livrări către piețe din afara SUA și a UE; cum putem stabili măsurile adecvate de control al înregistrărilor electronice pentru aceste regiuni?
R: Principiile fundamentale privind integritatea datelor sunt armonizate la nivel global prin cadre de referință precum ICH Q9(R1), astfel încât o abordare bazată pe risc rămâne valabilă. Identificați autoritatea de reglementare specifică care va inspecta unitatea dumneavoastră, analizați așteptările acesteia în materie de integritate a datelor și corelați măsurile dumneavoastră de control cu acel cadru de referință — nu vă bazați în mod automat pe prevederile din Partea 11 sau din Anexa 11 în cazul jurisdicțiilor în care acestea nu au valabilitate.

Î: Atunci când echipele de asigurare a calității și de automatizare nu ajung la un acord cu privire la faptul dacă o înregistrare intră sub incidența Părții 11, ar trebui să includem în mod implicit măsuri de control, din motive de siguranță?
R: Nu, cea mai sigură abordare este rezolvarea ambiguității printr-un proces documentat de gestionare a riscurilor legate de calitate, nu prin includerea generală. Utilizați o evaluare a riscurilor (de exemplu, FMEA) pentru a evalua potențialul ca înregistrarea respectivă să influențeze o decizie privind calitatea produsului. Dacă riscul este scăzut și înregistrarea va fi exclusă procedural din utilizarea conformă cu GxP, o excludere justificată este mai ușor de apărat decât extinderea domeniului de aplicare cu controale care adaugă o sarcină suplimentară de validare fără a îmbunătăți integritatea datelor acolo unde este cu adevărat important.

Î: Putem evita costurile legate de conformitatea cu Partea 11 prin utilizarea înregistrărilor de lot pe suport de hârtie și prin tratarea datelor electronice ale echipamentelor de izolare ca jurnale de conveniență care nu sunt conforme cu GxP?
R: Da — Partea 11 stabilește echivalența cu suportul pe hârtie, astfel încât un sistem de înregistrare GxP bazat integral pe hârtie nu intră sub incidența regulamentului. Cu toate acestea, trebuie să instituiți proceduri riguroase pentru a preveni orice recurgere neoficială la datele electronice în cadrul procesului de dispunere a loturilor, al investigațiilor privind abaterile sau al altor decizii legate de calitate. Chiar și o referire întâmplătoare din partea unui manager de asigurare a calității poate crea o dependență care face ca sistemul să intre sub incidența regulamentului, iar menținerea disciplinei unui proces paralel pe hârtie poate costa mai mult decât implementarea unor controale electronice conforme.