Conformità alla norma 21 CFR Parte 11: cosa richiede realmente

Punti chiave

• La conformità alla norma 21 CFR Parte 11 deriva dai controlli implementati attorno a un sistema (validazione, controlli di accesso e registri di controllo), non dalla tecnologia in sé. Nessun prodotto è "intrinsecamente" conforme.
• La regola si riduce a un'unica idea: ogni azione registrata ha un nome, una data e un'ora e una motivazione, anche in assenza di documentazione cartacea.
• La Parte 11 non è HIPAA. HIPAA disciplina la privacy e la sicurezza dei dati sanitari, mentre la Parte 11 disciplina l'integrità e la tracciabilità dei documenti e delle firme regolamentati dalla FDA. Un'azienda può soddisfare i requisiti di una sola di queste normative, ma non dell'altra.
• La Parte 11 è in vigore dal 1997 e rimane un requisito fondamentale per le aziende farmaceutiche, biotecnologiche, produttrici di dispositivi medici e le organizzazioni cliniche.

‍

La conformità alla norma 21 CFR Parte 11 non è una proprietà di una singola tecnologia. Si tratta piuttosto dell'insieme di controlli che dimostrano l'affidabilità di una registrazione elettronica: un sistema validato, controlli di accesso e una traccia di controllo che collega ogni azione a una persona specifica, a una data e ora e a una motivazione. La FDA (Food and Drug Administration statunitense) non certifica la conformità dei prodotti alla Parte 11. L'organizzazione che utilizza un sistema è responsabile delle misure di sicurezza ad esso connesse; per questo motivo, due aziende possono utilizzare lo stesso software e solo una di esse può risultare conforme.

‍

Che cos'è la norma 21 CFR Parte 11?

La norma 21 CFR Parte 11 è il regolamento della FDA che definisce le modalità di gestione dei documenti e delle firme elettroniche nei settori regolamentati dalla FDA, come quello farmaceutico, biotecnologico, dei dispositivi medici e della ricerca clinica. Un documento elettronico è qualsiasi dato creato, modificato, conservato, archiviato, recuperato o trasmesso in formato elettronico, e una firma elettronica è l'equivalente elettronico di una firma autografa. L'obiettivo è semplice: rendere i documenti e le firme elettroniche affidabili e tracciabili quanto quelli cartacei. La norma è stata pubblicata il 20 marzo 1997 ed è entrata in vigore il 20 agosto 1997; a quasi trent'anni di distanza, è ancora pienamente in vigore. È possibile consultare il testo della norma 21 CFR Parte 11 nell'eCFR.

‍

Cosa richiede concretamente la conformità alla norma 21 CFR Parte 11?

La norma si articola in tre sottosezioni, ma i requisiti pratici della Parte 11 del Titolo 21 del Codice dei Regolamenti Federali (21 CFR Part 11) si riducono a una breve lista di controllo. Il modo più semplice per ricordarlo è questo: ogni azione ha un nome, una data e un'ora e una motivazione, anche in assenza di documentazione cartacea. La traccia di controllo (audit trail) è la registrazione, con data e ora e attribuzione all'utente, di ogni creazione, modifica o cancellazione che rende tutto ciò possibile.

‍

‍

A chi si applica la norma 21 CFR Parte 11?

La Parte 11 si applica alle organizzazioni regolamentate dalla FDA che conservano i documenti richiesti in formato elettronico o utilizzano firme elettroniche al posto di quelle autografe. L'ambito di applicazione segue il documento, non il dipartimento: nel momento in cui un'organizzazione regolamentata crea, archivia o trasmette un documento elettronico regolamentato dalla FDA, il sistema che lo gestisce rientra nell'ambito di applicazione. Ciò include i sistemi di trasmissione, quindi un servizio di fax online sicuro come Fax.Plus Il sistema dovrebbe essere gestito con registri di controllo e controlli di accesso quando contiene documenti regolamentati. La FDA descrive l'ampiezza della portata della norma e le relative linee guida applicative .

‍

21 CFR Parte 11 vs HIPAA: qual è la differenza?

Questi due concetti vengono spesso confusi, ma la distinzione è importante. L'HIPAA (Health Insurance Portability and Accountability Act) tutela la privacy e la sicurezza delle informazioni sanitarie protette (PHI) , ovvero i dati sanitari individualmente identificabili gestiti da un'entità soggetta alla normativa. Il 21 CFR Parte 11 tutela l'integrità e la tracciabilità delle cartelle cliniche elettroniche e delle firme regolamentate dalla FDA. Uno strumento HIPAA comune è il Business Associate Agreement (BAA) , il contratto che autorizza un fornitore a gestire le PHI per conto dell'utente. I due concetti risolvono problemi diversi e un sistema può soddisfare uno dei due senza l'altro.

‍

‍

Come affrontare la conformità alla norma 21 CFR Parte 11

Considerate la conformità come un insieme di controlli dimostrabili, non come un'etichetta da acquistare. In pratica, ciò significa un sistema validato con documentazione del fornitore, controlli di accesso e account utente univoci, tracce di audit complete, firme elettroniche univoche e verificate e conservazione dei dati definita. Laddove un'affermazione non possa essere dimostrata, è meglio attenuarla piuttosto che esagerarla , perché gli enti regolatori valutano ciò che potete dimostrare, non ciò che affermate.

‍

FAQ

‍

Quando è entrata in vigore la norma 21 CFR Parte 11?

La norma definitiva è stata emanata nel 1997 ed è entrata in vigore il 20 agosto 1997. Rimane tuttora in vigore e continua ad applicarsi ai documenti e alle firme elettroniche regolamentati dalla FDA.

‍

A chi si applica la norma 21 CFR Parte 11?

Si applica alle organizzazioni regolamentate dalla FDA (come quelle farmaceutiche, biotecnologiche, produttrici di dispositivi medici e operanti nel settore clinico) che creano, modificano, gestiscono, archiviano, recuperano o trasmettono elettronicamente i documenti richiesti, oppure che utilizzano firme elettroniche al posto di quelle autografe.

‍

Qual è lo scopo della norma 21 CFR Parte 11?

Il suo scopo è rendere i documenti e le firme elettroniche affidabili quanto quelli cartacei, in modo che un documento regolamentato dalla FDA possa essere considerato accurato, attribuibile e a prova di manomissione.

‍

Esiste un prodotto "conforme alla norma 21 CFR Parte 11" appena estratto dalla confezione?

No. La conformità deriva dai controlli e dalle modalità di validazione e gestione di un sistema, non dal solo prodotto. Un fornitore può fornire supporto per la Parte 11, ma è responsabilità dell'organizzazione utilizzatrice dimostrare la conformità.

‍

Una firma elettronica può essere conforme alla norma 21 CFR Parte 11?

Una firma elettronica può essere conforme alla Parte 11 quando ogni firma è univoca e appartiene a una sola persona, l'identità viene verificata (spesso con due fattori) e la firma riporta il nome del firmatario, la data e l'ora, nonché il motivo della firma. L'idoneità di un determinato strumento dipende dalla sua configurazione e validazione.

‍

È possibile utilizzare software cloud ai sensi della normativa 21 CFR Parte 11?

Sì. Il software cloud può essere utilizzato ai sensi della Parte 11 quando il sistema è convalidato, l'accesso è controllato, le tracce di controllo sono complete e il fornitore fornisce la documentazione a supporto della vostra attività di convalida.