Определение контрольных показателей для оборудования локализации без предварительного ответа на несколько основополагающих вопросов о типе документации, объеме решений по качеству и юрисдикционной применимости — один из самых верных способов вызвать необходимость доработки валидации. Проблема выявляется на позднем этапе — как правило, во время IQ/OQ или проверки перед утверждением — когда группа контроля качества обнаруживает, что электронная запись, сгенерированная оборудованием, неформально использовалась при принятии решений о выпуске партии без какого-либо установленного контрольного журнала, системы контроля доступа или механизма обеспечения неизменяемости данных. Стоимость заключается не только в устранении нарушений; речь идет о достоверности самой записи. Чтобы избежать такого исхода, необходимо решить вопрос о границах записи еще до того, как будет сформулировано хотя бы одно положение URS, касающееся мер контроля за оборудованием, подпадающим под действие 21 CFR, часть 11.
Электронные записи, вызывающие вопросы в связи с Частью 11
В Части 11 устанавливается порог достоверности — минимальный стандарт, при соблюдении которого электронная запись или подпись считаются надежными и равнозначными их бумажным аналогам. В ней не предписываются конкретные технические требования к конструкции. Практический вопрос, который она ставит, заключается не в том, “имеет ли оборудование контрольный журнал?”, а в том, “используется ли какая-либо электронная запись, сгенерированная этим оборудованием, при принятии решений, касающихся качества, и, если да, то что делает эту запись достоверной?”
Это различие имеет значение, поскольку системы локализации генерируют несколько классов электронных данных, и не все из них влекут за собой одинаковые обязательства. Журнал записи давления, используемый исключительно персоналом технического обслуживания для проверки работы системы отопления, вентиляции и кондиционирования воздуха (ОВКВ), относится к иной категории, чем набор параметров периодического технологического процесса, который автоматический изолятор для розлива генерирует и который отдел контроля качества использует для утверждения выпуска партии. Смешивание этих понятий приводит к раздуванию объема URS и, в конечном итоге, к увеличению нагрузки на валидацию, не улучшая при этом целостность данных там, где это действительно важно.
Цель этапа предварительной спецификации заключается в классификации каждого типа записи с учетом двух вопросов: будут ли эти данные когда-либо использоваться в отчете о партии, расследовании отклонения или при принятии решения по вопросам качества, и кто принимает решение о том, будут ли они использоваться? Второй вопрос часто пропускают, что и приводит к «размыванию» объема работ — журнал мониторинга, ведущийся для удобства, классифицируется как запись GxP по умолчанию, а не в результате осознанного выбора.
| Тип записи | Часть 11. Вопрос | Что необходимо уточнить перед составлением технического задания |
|---|---|---|
| Параметры пакетной обработки | Используются ли электронные значения технологических параметров при принятии решений о выпуске партии? | Будут ли эти данные включены в официальную документацию по партии? |
| Журналы доступа пользователей | Проверено ли личность пользователя и можно ли установить авторство его действий? | Должна ли система обеспечивать уникальность идентификаторов пользователей и регистрировать входы в систему? |
| События контрольного журнала | Обеспечена ли отслеживаемость изменений в критически важных данных и невозможность их редактирования? | Формирует ли оборудование неизменяемый журнал аудита с отметками времени? |
| Данные по управлению рецептами | Можно ли изменить параметры рецепта так, чтобы это осталось незамеченным? | Осуществляется ли контроль за версиями рецептур, и ограничены ли права на внесение изменений только уполномоченным сотрудникам? |
| Данные мониторинга для принятия решений по вопросам качества | Используется ли электронная документация для подтверждения качества продукции? | Подтвердите, будет ли удобство мониторинга объекта рассматриваться в качестве записи GxP. |
В приведенной выше таблице указано, на каком этапе возникает вопрос, связанный с Частью 11. Ключевым моментом является столбец “Что необходимо уточнить” — речь идет о переговорах, проводимых до заключения контракта, а не о модификациях, вносимых после установки оборудования. Если до определения спецификации оборудования группы по обеспечению качества и автоматизации не согласовали, будут ли параметры серийной обработки указаны в официальной записи о партии, поставщик не сможет достоверно определить объем работ по платформе управления, а предприятие не сможет составить обоснованный план валидации.
Приложение 11. Требования к компьютеризированным системам
GMP ЕС Приложение 11 является рекомендательным документом, а не нормативным актом, имеющим юридическую силу. Он служит в качестве справочной базы для процессов, связанных с компьютеризированными системами в контексте GMP ЕС, и частично пересекается по концептуальным аспектам с Частью 11 — однако эти два документа не являются взаимозаменяемыми. Часть 11 обладает полной юридической силой в рамках юрисдикции Управления по контролю за продуктами и лекарствами США (FDA). Приложение 11 такой силы не имеет. Рассматривать их как эквивалентные в техническом задании создает проблему определения сферы применения: если проектная группа формулирует положения URS, смешивая рекомендательный текст Приложения 11 с требованиями Части 11 без разграничения того, что именно применимо, полученные в результате доказательства валидации могут не соответствовать ни тем, ни другим требованиям в полной мере.
В Приложении 11 и Части 11 рассматриваются схожие принципы, однако их юридическая сила не одинакова — соответствующим образом сформулируйте формулировки, касающиеся мер контроля.
Если Приложение 11 имеет отношение к проекту, используйте его в качестве основы для определения требований к проектированию объектов, зарегистрированных в соответствии с GMP ЕС. В нем излагаются рекомендации по валидации компьютеризированных систем, управление рисками, а также подход европейских органов к вопросам обеспечения целостности данных; это полезно для структурирования обсуждения требований к поставщикам с учетом жизненного цикла системы, управления доступом и возможностей проведения аудита. Однако это не следует указывать в качестве требования по соблюдению нормативных требований в той же структуре положений, где упоминаются обязательства в соответствии с Частью 11, за исключением случаев, когда контекст проекта явно предполагает регистрацию в двух юрисдикциях.
С практической точки зрения при определении технических характеристик оборудования необходимо установить, какой регулирующий орган будет проводить аудит объекта и какие требования к электронной документации этот орган предъявляет. Для предприятия, экспортирующего продукцию как на рынок США, так и на рынок ЕС, ожидания будут определяться обеими нормативными базами, однако в описании валидации необходимо четко обозначить юрисдикционную основу для каждого элемента контроля. Смешивание этих элементов без такой четкости создает проблему обоснованности в ходе проверка, а не средство защиты.
Роли доступа, журналы аудита и контроль рецептур
Три элемента управления, которые вызывают наибольшую неоднозначность в технических требованиях к оборудованию для локализации рисков — роли доступа, журналы аудита и контроль рецептур — определены в Части 11 как цели обеспечения подотчетности и прослеживаемости, а не как перечень функций программного обеспечения. Вопрос заключается не в том, предлагает ли поставщик оборудования эти функции, а в том, может ли предприятие продемонстрировать, что проверка идентичности, привязка действий и история изменений параметров обеспечиваются на постоянной эксплуатационной основе, а не просто настраиваются при вводе в эксплуатацию.
Проверка личности в соответствии с Частью 11 означает, что каждое действие, зарегистрированное в системе, может быть отнесено к конкретному уполномоченному лицу. В случае оборудования для локализации утечек с общими правилами входа в систему, сенсорных панелей оператора с общими учетными данными или режимов принудительного управления, которые обходят механизм привязки действий к пользователю, это приводит к немедленному пробелу в журнале аудита. Возможность формирования индивидуальных записей в журнале аудита теряет всякий смысл, если система настроена с использованием общих учетных записей.
| Элемент управления | Часть 11. Ожидания | Контрольный вопрос по оборудованию |
|---|---|---|
| Роли доступа пользователей | Проверка личности и ответственность за свои действия | Может ли система обеспечить уникальность логинов пользователей с правами доступа, основанными на ролях? |
| Функция ведения журнала аудита | Отслеживание изменений в данных; предотвращение фальсификации записей | Содержатся ли записи в журнале аудита с отметкой времени, указанием автора и защищены ли они от редактирования? |
| Управление рецептами/параметрами | Гарантия того, что утвержденные параметры не будут изменены без разрешения | Блокируются ли параметры рецепта после утверждения и фиксируются ли внесенные изменения? |
| Ответственность за действия | Каждое действие, совершённое уполномоченным лицом | Система фиксирует, кто и когда выполнил каждое контрольное действие? |
Управление рецептурами и параметрами влечет за собой четкие обязательства по обеспечению прослеживаемости. Если оператор может изменить параметр процесса в утвержденной рецептуре без создания записи об изменении, целостность каждой партии, изготовленной по этой рецептуре, ставится под сомнение. При проверке необходимо выяснить, блокируются ли параметры рецептуры после утверждения и регистрируются ли любые изменения — даже временные отклонения от настроек — с указанием имени пользователя. Поставщики оборудования могут предоставить технические возможности для этого; ответственность за создание структуры проверки процедур, подтверждающей их функционирование, лежит на владельце объекта.
Журнал аудита, который существует, но никогда не анализируется, не обеспечивает подотчетности — возможность контроля доступа и ведения журнала должна сопровождаться четко установленной обязанностью по его анализу.
Проблема здесь заключается в том, что роли доступа и функции аудиторского журнала рассматриваются как конечные результаты ввода в эксплуатацию: их настраивают, делают скриншот для файла IQ, но никто не определяет, кто и с какой периодичностью должен проверять этот журнал. Этот пробел становится заметным только тогда, когда в ходе расследования отклонений возникает необходимость воссоздать последовательность изменений параметров или действий оператора, а аудиторский журнал, хотя и имеется, никогда не использовался в качестве доказательства.
Объем контроля, который может быть завышен
Риск «раздувания» объема работ в рамках Части 11 является реальным и напрямую сказывается на стоимости проекта. Когда каждая точка данных, генерируемая системой локализации, рассматривается как регулируемая электронная запись — независимо от того, используется ли она при принятии решений по качеству, — нагрузка, связанная с валидацией, расширяется и включает валидацию программного обеспечения, настройку системы контроля доступа, процедуры проверки контрольного журнала и меры обеспечения целостности данных для систем, которые изначально закупались исключительно для удобства мониторинга объекта. Ни одна из этих инвестиций не повышает обоснованность записей, которые действительно имеют значение.
Наиболее наглядным примером расширения объема работ является система управления зданием или интерфейс мониторинга объекта, который регистрирует перепады давления, температуру и влажность в Зона биологической безопасности уровня 3. Если эти данные используются исключительно службой эксплуатации зданий и сооружений для подтверждения того, что система отопления, вентиляции и кондиционирования воздуха (ОВКВ) поддерживает необходимые условия для производственных помещений — и они никогда не фигурируют в протоколе партии, решении о выпуске партии или документе, соответствующем требованиям GxP, — то введение полного контроля в соответствии с Частью 11 в отношении этой системы является решением службы обеспечения качества, а не требованием регулирующих органов. Решение должно быть принято обдуманно и задокументировано, однако по умолчанию автоматическое применение Части 11 не предполагается.
| Сценарий | Риск чрезмерного применения | Риск игнорирования | Требуется разъяснение |
|---|---|---|---|
| Оборудование, используемое исключительно для удобства мониторинга (не входит в документацию по GxP) | Ненужные затраты на проверку и обеспечение соответствия | Нет, если данные не используются для принятия решений, касающихся качества | Подтвердите, будут ли данные когда-либо использоваться при выпуске партий или в ходе расследований |
| Создание и использование электронной партийной документации при выпуске продукции | Низкий риск — при правильном применении | Ссылка на целостность данных; утрата доверия к записям | Убедитесь, что система соответствует требованиям Части 11 в отношении достоверности электронных записей |
| Оборудование, произведенное за пределами США; не прошло инспекцию FDA; предназначено исключительно для местного рынка | Излишние затраты на обеспечение соответствия требованиям Части 11 | Несоблюдение местных норм, регулирующих ведение электронных записей | Определить, какой регулирующий орган будет проводить аудит, а также соответствующие местные требования |
| Гибридная система: бумажная документация с электронным ведением журнала для удобства оператора | Добавлены электронные средства управления, выходящие за рамки требований к бумажной системе | Минимальный, если окончательная запись ведется на бумаге и проходит проверку | Уточните, какой формат является официальным документом, и подлежит ли электронный журнал проверке |
Обратный риск — рассмотрение данных мониторинга как выходящих за рамки, когда на них неофициально ссылаются при принятии решений по качеству, — является типом сбоя, приводящим к замечаниям по поводу целостности данных. Проблема заключается именно в слове “неофициально”. Если менеджер по обеспечению качества ссылается на динамику мониторинга на объекте во время обсуждения дальнейшей судьбы партии, при этом данные не являются частью контролируемой документации, это означает, что на объекте было создано решение по качеству, зависящее от неконтролируемой электронной записи. Именно решения, принятые в неформальном порядке, становятся причиной неудачного прохождения инспекции.
Еще один момент, который следует четко помнить, заключается в том, что соответствие требованиям Части 11 не подлежит сертификации. Поставщик, предлагающий систему с пометкой “сертифицированная по Части 11”, использует формулировку, не имеющую никакого нормативного значения. Соответствие требованиям подтверждается валидированными данными и задокументированными мерами контроля, и обязанность по предоставлению таких доказательств лежит на предприятии, а не на поставщике. Формулировки в контрактах на закупку, в которых заявление поставщика о сертификации рассматривается как выполнение обязательств предприятия, создают ложные границы, которые не выдержат проверки со стороны компетентного инспектора.
Граница целостности данных для оборудования поставщика
Принцип неизменяемости, лежащий в основе целостности данных в соответствии с Частью 11 — согласно которому не допускается изменение зарегистрированного значения без отслеживаемого разрешения — зависит как от возможностей оборудования, так и от внедрения на объекте. Поставщики могут предоставить техническую архитектуру: записи с отметками времени, заблокированные поля данных, формирование контрольного журнала, экспорт данных с сохранением формата. Однако они не могут предоставить доказательства валидации, подтверждающие, что система работает точно и надежно в соответствии с целевым назначением объекта, а также процедурную структуру, которая делает анализ журнала аудита значимым.
Именно в этой области чаще всего возникают недоразумения между проектными командами при закупке оборудования. В запросе предложений задается вопрос о том, поддерживает ли система аудиторские следы и контроль доступа на уровне пользователей. Поставщик подтверждает, что да. Оборудование поставляется. Однако без четкого распределения обязанностей — что настраивает поставщик, что проверяет объект и что осуществляется объектом в соответствии с процедурой — разрыв между функциональными возможностями и подтвержденной целостностью данных остается не устраненным.
| Аспект целостности данных | Ответственность поставщика за оборудование | Ответственность владельца сайта | Риск в случае неясных границ |
|---|---|---|---|
| Регистрация значений технологических параметров | Обеспечить, чтобы данные регистрировались с отметкой времени и не могли быть перезаписаны на уровне прибора | Проверить точность и надежность системы с учетом предполагаемого назначения | Зарегистрированные данные могут не соответствовать требованиям GxP к достоверности без подтверждающих данных валидации |
| Регистрация действий пользователей | Обеспечить возможность использования уникальных логинов пользователей и формирования журнала аудита | Настройте роли, убедитесь, что проводится анализ журналов аудита | Контрольный журнал может существовать, но не анализироваться, что подрывает принцип подотчетности |
| Экспорт и передача данных | Убедитесь, что данные выводятся в формате, позволяющем сохранить исходную запись | Ведение экспортированных записей, резервных копий и контроль изменений в системе хранения данных | Целостность данных может нарушиться на стыке между оборудованием и системами обработки данных объекта |
| Управление рецептами и параметрами | Предотвращение несанкционированных изменений на уровне оборудования с помощью средств контроля доступа | Определить рабочие процессы утверждения рецептур и механизмы контроля за изменением параметров | Несогласованность полномочий в отношении изменений рецептур может повлечь за собой риск фальсификации |
Строка «Экспорт и передача данных» в приведенной выше таблице заслуживает особого внимания в случае оборудования для хранения, взаимодействующего с системами хранения исторических данных объекта, LIMS или системами ведения партийных записей. На этом интерфейсе может нарушиться целостность данных. Запись, которая является неизменяемой в собственной базе данных оборудования, может быть повторно экспортирована в формате, допускающем редактирование до того, как она поступит в электронную партийную документацию предприятия. Проверка того, что канал экспорта сохраняет целостность исходной записи — и что процедуры управления данными на предприятии регулируют дальнейшие действия после передачи — является обязанностью владельца предприятия, которая, как правило, не охватывается пакетами валидации поставщика.
Функции оборудования поставщика обеспечивают целостность данных, но не подтверждают её — доказательства валидации и проверка процедур устраняют эту пробел.
Требование по валидации не является формальностью. Необходимо продемонстрировать, что системы работают точно, надежно и стабильно в соответствии с их назначением, а также позволяют выявлять недействительные или подделанные записи. Такая демонстрация основывается на документации поставщика, протоколах квалификации объекта и постоянных процедурных мерах контроля — ни одну из которых поставщик не может выполнить от имени объекта.
Критерий принятия решения в отношении требований к регулируемым средствам контроля
Наиболее целесообразное определение критериев принятия решения носит не технический характер, а связано с юрисдикцией и сферой применения. Часть 11 применяется к системам, используемым в исследованиях, производстве и дистрибуции фармацевтических препаратов, биологических продуктов, медицинских изделий, крови и тканей для рынков США. Если оборудование генерирует электронные записи, которые поддерживают любую из этих видов деятельности, и эти записи используются при принятии решений в соответствии с GxP, вступают в силу требования Части 11. Если ни одно из этих условий не выполняется, необходимо явно обосновать необходимость применения Части 11 к данному оборудованию, а не исходить из этого как из само собой разумеющегося.
Практическая проверка, которую следует провести перед составлением любого положения URS со ссылкой на Часть 11, состоит из трёх вопросов: входит ли продукт или вид деятельности в сферу применения Части 11? Подлежит ли объект инспекции со стороны FDA или регистрации на рынке США? И генерирует ли конкретное оборудование записи, которые используются — или могут использоваться — при принятии решений по качеству в отношении указанных видов деятельности? Если на все три вопроса ответ ’да», то данное требование подлежит применению. Если хотя бы на один из них ответ «нет», то сфера применения мер контроля должна быть обоснована документально, а не применяться по умолчанию.
Для предприятий, расположенных за пределами США и не подлежащих инспекциям FDA, отсутствие обязательств по Части 11 не означает отсутствия регулирования в области электронных записей. Местные регулирующие органы будут применять свои собственные стандарты в отношении электронных записей и целостности данных, а соответствующая система определения мер контроля зависит от того, какой орган будет проводить аудит данного предприятия. Рассмотрение ситуации за пределами США просто как “освобожденной от требований Части 11” без оценки применимых местных требований приводит к появлению иного пробела в обеспечении соответствия.
Сроки принятия этого решения являются реальной переменной риска. Команды, которые откладывают оценку воздействия GxP до завершения выбора поставщика — или, что ещё хуже, до приемочных испытаний на заводе — сталкиваются с тем, что платформа управления была определена без чёткого определения границ системы качества. Это приводит либо к внесению изменений в технические требования на этапе доработки на уровне поставщика, либо к применению временных процедурных решений после установки, которые сложно валидировать. Оценка воздействия должна проводиться на самом начальном этапе процесса определения технических требований к системе управления, до начала переговоров с поставщиком.
Наиболее очевидной мерой на этапе предварительной спецификации является созыв совместного совещания представителей отделов контроля качества, автоматизации и нормативно-правового регулирования до начала разработки предварительной технической спецификации (URS) для оборудования, с обсуждением единственного вопроса: будет ли каждая категория электронных записей, генерируемых данным оборудованием, использоваться при принятии решений по качеству в отношении продукта, подпадающего под действие нормативных требований? Ответ на этот вопрос определяет, применяется ли Часть 11 или эквивалентная локальная нормативная база, какие требования поставщик должен обеспечить, а также что предприятие должно пройти валидацию и поддерживать в соответствии с установленными процедурами. Без этого ответа URS будет либо чрезмерно детализирован — что приведет к увеличению затрат на валидацию и нагрузки по обслуживанию систем, которые в этом не нуждаются, — либо недостаточно детализирован именно в тех местах, на которые обратить внимание инспектор.
После определения мер контроля и начала закупки оборудования проводится последующая проверка, цель которой — убедиться, что в технической документации поставщика проводится разграничение между функциональными возможностями и подтвержденным соответствием. Поставщик, обеспечивающий возможность ведения аудиторского следа, доступ на основе ролей и архитектуру неизменяемых записей, создает условия для конфигурации, соответствующей требованиям, — однако на объекте лежит обязанность подтвердить пригодность этой конфигурации для предполагаемого использования, определить и проводить проверки аудиторского следа, а также контролировать данные на всех этапах — от момента сбора до хранения и экспорта. Любой пробел в этой цепочке — это потенциальное нарушение целостности данных, которое рано или поздно будет зафиксировано.
Часто задаваемые вопросы
Вопрос: Что делать, если мы не заказываем новое оборудование, но нам необходимо провести оценку существующих систем локализации на предмет соответствия требованиям Части 11?
A: Начните с той же оценки использования записей и принятия решений в соответствии с GxP. Часть 11 применяется к электронным записям, используемым при принятии решений по качеству в рамках охватываемых видов деятельности, независимо от того, когда было установлено оборудование. Используйте вопросы, приведенные в статье перед спецификацией, в качестве основы для анализа пробелов; в тех случаях, когда техническая модернизация невозможна, задокументируйте остаточный риск, внедрите компенсирующие процедурные меры контроля и рассмотрите возможность использования бумажных документов в качестве временной меры.
Вопрос: После того как мы определим, какие записи подпадают под действие Части 11, как следует официально задокументировать решение об определении сферы применения, чтобы оно выдержало проверку?
A: Изложите обоснование в документе по оценке воздействия на GxP или в документе по определению сферы применения в отношении целостности данных. Включите в него трехкомпонентную проверку с учетом юрисдикции и сферы применения, описанную в статье (сфера применения продукта, присутствие на рынке США, зависимость от решений по качеству), классификацию по каждой записи, а также подписи представителей отделов обеспечения качества, автоматизации и нормативно-правового регулирования. Установите связь между этим документом и техническим заданием на оборудование (URS) и планом валидации, чтобы сформировать поддающуюся аудиту цепочку обоснований.
Вопрос: Наше предприятие осуществляет поставки на рынки за пределами США и ЕС; как определить надлежащие меры контроля за ведением электронной документации для этих регионов?
A: Основные принципы обеспечения целостности данных гармонизированы на глобальном уровне посредством таких нормативных рамок, как ICH Q9(R1), поэтому подход, основанный на оценке рисков, по-прежнему остается актуальным. Определите конкретный регулирующий орган, который будет проводить инспекцию вашего объекта, ознакомьтесь с его требованиями в отношении целостности данных и соотнесите ваши меры контроля с этой нормативной базой — не следует автоматически ориентироваться на формулировки Части 11 или Приложения 11 в тех юрисдикциях, где они не имеют юридической силы.
Вопрос: Если специалисты по контролю качества и автоматизации не приходят к единому мнению относительно того, подпадает ли та или иная запись под действие Части 11, следует ли нам, в целях безопасности, по умолчанию предусмотреть соответствующие меры контроля?
A: Нет, более безопасным подходом является устранение неоднозначности с помощью документированного процесса управления рисками качества, а не их повсеместного включения. Воспользуйтесь оценкой рисков (например, FMEA) для определения вероятности того, что данная запись может повлиять на решение, касающееся качества продукции. Если риск низкий и данная запись будет процедурно исключена из использования в рамках GxP, обоснованное исключение будет более оправданным, чем искусственное расширение объема с помощью мер контроля, которые увеличивают нагрузку на валидацию, не улучшая при этом целостность данных там, где это действительно важно.
Вопрос: Можно ли избежать затрат, связанных с обеспечением соответствия требованиям Части 11, используя бумажные протоколы партий и рассматривая электронные данные оборудования для локализации в качестве не относящихся к GxP журналов для удобства?
A: Да — Часть 11 устанавливает эквивалентность бумажным документам, поэтому полностью бумажная система ведения документации GxP не подпадает под действие данного положения. Однако необходимо внедрить строгие процедуры, чтобы предотвратить любое неофициальное использование электронных данных при принятии решений о судьбе партии, расследовании отклонений или принятии других решений, касающихся качества. Даже случайная ссылка со стороны менеджера по обеспечению качества может создать зависимость, в результате которой система окажется в сфере действия данного положения, а поддержание дисциплины параллельного бумажного процесса может обойтись дороже, чем внедрение электронных средств контроля, соответствующих требованиям.
