Cumplimiento de 21 CFR Part 11: qué exige realmente

Puntos clave

• El cumplimiento de 21 CFR Part 11 se deriva de los controles que rodean a un sistema (validación, controles de acceso y pistas de auditoría), no de la tecnología en sí. Ningún producto es «inherentemente» conforme.
• La norma se reduce a una idea: toda acción sobre un registro tiene un nombre, una marca de tiempo y un motivo, incluso cuando no hay papel.
• La Part 11 no es HIPAA. HIPAA regula la privacidad y la seguridad de los datos de salud, mientras que la Part 11 regula la integridad y la trazabilidad de los registros y las firmas regulados por la FDA. Una empresa puede cumplir una y no la otra.
• La Part 11 está en vigor desde 1997 y sigue siendo un requisito fundamental para las organizaciones farmacéuticas, biotecnológicas, de dispositivos médicos y de investigación clínica.

‍

El cumplimiento de 21 CFR Part 11 no es una propiedad de ninguna tecnología concreta. Es el conjunto de controles que demuestran que un registro electrónico es fiable: un sistema validado, controles de acceso y una pista de auditoría que vincula cada acción con una persona identificada, una marca de tiempo y un motivo. La FDA (la Administración de Alimentos y Medicamentos de EE. UU.) no certifica productos como conformes con Part 11. La organización que utiliza un sistema es responsable de las salvaguardas que lo rodean, por lo que dos empresas pueden usar el mismo software y solo una de ellas cumplir la normativa.

‍

¿Qué es 21 CFR Part 11?

21 CFR Part 11 es la normativa de la FDA que define cómo deben gestionarse los registros electrónicos y las firmas electrónicas en los sectores regulados por la FDA, como el farmacéutico, el biotecnológico, el de dispositivos médicos y el de investigación clínica. Un registro electrónico es cualquier dato creado, modificado, mantenido, archivado, recuperado o transmitido en formato electrónico, y una firma electrónica es el equivalente electrónico de una firma manuscrita. El objetivo es sencillo de enunciar: lograr que los registros y las firmas electrónicos sean tan fiables y trazables como el papel y la tinta. La norma se publicó el 20 de marzo de 1997 y entró en vigor el 20 de agosto de 1997, y casi tres décadas después sigue plenamente vigente. Puede consultar el texto de 21 CFR Part 11 en el eCFR.

‍

¿Qué exige realmente el cumplimiento de 21 CFR Part 11?

La norma consta de tres subpartes, pero los requisitos prácticos de 21 CFR Part 11 se resumen en una breve lista de verificación. La forma más clara de recordarlo: toda acción tiene un nombre, una marca de tiempo y un motivo, incluso cuando no hay papel. Una pista de auditoría es el registro con marca de tiempo y atribuido a cada usuario de cada creación, edición o eliminación que lo hace posible.

‍

‍

¿A quién se aplica la norma 21 CFR Part 11?

La Part 11 se aplica a las organizaciones reguladas por la FDA que conservan registros exigidos en formato electrónico o que utilizan firmas electrónicas en lugar de firmas manuscritas. El alcance sigue al registro, no al departamento: en cuanto una organización regulada crea, almacena o transmite un documento electrónico regulado por la FDA, el sistema que lo gestiona pasa a estar sujeto a la norma. Esto incluye los sistemas de transmisión, por lo que un servicio de fax en línea seguro como Fax.Plus debería utilizarse con pistas de auditoría y controles de acceso cuando transmita documentos regulados. La FDA describe el amplio alcance de la norma en su guía sobre alcance y aplicación.

‍

21 CFR Part 11 y HIPAA: ¿cuál es la diferencia?

Estas dos normativas se confunden a menudo, y la distinción es importante. HIPAA (la Ley de Portabilidad y Responsabilidad de los Seguros de Salud) protege la privacidad y la seguridad de la información de salud protegida (PHI), es decir, los datos de salud identificables individualmente que maneja una entidad cubierta. La norma 21 CFR Part 11 protege la integridad y la trazabilidad de los registros y las firmas electrónicas regulados por la FDA. Un instrumento habitual de HIPAA es el Business Associate Agreement (BAA), el contrato que permite a un proveedor manejar PHI en su nombre. Resuelven problemas distintos, y un sistema puede cumplir una sin cumplir la otra.

‍

‍

Cómo abordar el cumplimiento de la norma 21 CFR Part 11

Considere el cumplimiento como un conjunto de controles que puede demostrar, no como una etiqueta que se compra. En la práctica, esto significa contar con un sistema validado con documentación del proveedor, controles de acceso y cuentas de usuario únicas, pistas de auditoría completas, firmas electrónicas únicas y verificadas, y una conservación de registros definida. Cuando una afirmación no pueda respaldarse con pruebas, atenúela en lugar de exagerarla, porque los reguladores evalúan lo que usted puede demostrar, no lo que afirma.

‍

Preguntas frecuentes

‍

¿Cuándo entró en vigor la norma 21 CFR Part 11?

La norma definitiva se publicó en 1997 y entró en vigor el 20 de agosto de 1997. Sigue vigente en la actualidad y continúa aplicándose a los registros y las firmas electrónicas regulados por la FDA.

‍

¿A quién se aplica la norma 21 CFR Part 11?

Se aplica a las organizaciones reguladas por la FDA (como las del sector farmacéutico, biotecnológico, de dispositivos médicos y de operaciones clínicas) que crean, modifican, mantienen, archivan, recuperan o transmiten registros exigidos en formato electrónico, o que utilizan firmas electrónicas en lugar de firmas manuscritas.

‍

¿Cuál es el propósito de la norma 21 CFR Part 11?

Su propósito es lograr que los registros y las firmas electrónicas sean tan fiables como los de papel, de modo que un registro regulado por la FDA pueda considerarse exacto, atribuible y que permita detectar manipulaciones.

‍

¿Algún producto es conforme con la norma 21 CFR Part 11 de fábrica?

No. El cumplimiento procede de los controles y de cómo se valida y se opera un sistema, no del producto por sí solo. Un proveedor puede dar soporte a la Part 11, pero la organización usuaria es responsable de demostrar el cumplimiento.

‍

¿Puede una firma electrónica ser conforme con la norma 21 CFR Part 11?

Una firma electrónica puede respaldar el cumplimiento de la Part 11 cuando cada firma es única para una sola persona, la identidad está verificada (a menudo con dos factores) y la firma registra el nombre del firmante, la fecha y la hora, y el motivo de la firma. Que una herramienta determinada cumpla los requisitos depende de cómo esté configurada y validada.

‍

¿Se puede usar software en la cloud bajo la norma 21 CFR Part 11?

Sí. El software en la cloud puede utilizarse bajo la Part 11 cuando el sistema está validado, el acceso está controlado, las pistas de auditoría son completas y el proveedor facilita documentación que respalda su propio esfuerzo de validación.