Conformità alla 21 CFR Part 11: cosa richiede davvero

Punti chiave

• La conformità alla norma 21 CFR Part 11 deriva dai controlli che circondano un sistema (validazione, controlli di accesso e audit trail), non dalla tecnologia in sé. Nessun prodotto è «intrinsecamente» conforme.
• La norma si riduce a un'unica idea: ogni azione su un record ha un nome, un timestamp e un motivo, anche quando non c'è carta.
• La Part 11 non è la HIPAA. La HIPAA regola la privacy e la sicurezza dei dati sanitari, mentre la Part 11 regola l'integrità e la tracciabilità di record e firme soggetti alla normativa FDA. Un'azienda può soddisfare l'una e non l'altra.
• La Part 11 è in vigore dal 1997 e resta un requisito fondamentale per le organizzazioni del settore farmaceutico, biotecnologico, dei dispositivi medici e della ricerca clinica.

‍

La conformità alla norma 21 CFR Part 11 non è una proprietà di una singola tecnologia. È l'insieme dei controlli che dimostrano l'affidabilità di un record elettronico: un sistema validato, controlli di accesso e un audit trail che collega ogni azione a una persona identificata, a un timestamp e a un motivo. La FDA (la Food and Drug Administration statunitense) non certifica i prodotti come conformi alla Part 11. L'organizzazione che utilizza un sistema è responsabile delle misure di tutela che lo circondano, ed è per questo che due aziende possono usare lo stesso software e solo una delle due essere conforme.

‍

Che cos'è la norma 21 CFR Part 11?

La 21 CFR Part 11 è la normativa FDA che definisce come devono essere gestiti i record elettronici e le firme elettroniche nei settori regolamentati dalla FDA, come quello farmaceutico, biotecnologico, dei dispositivi medici e della ricerca clinica. Un record elettronico è qualsiasi dato creato, modificato, conservato, archiviato, recuperato o trasmesso in formato elettronico, mentre una firma elettronica è l'equivalente elettronico di una firma autografa. L'obiettivo è semplice da enunciare: rendere record e firme elettronici affidabili e tracciabili quanto carta e inchiostro. La norma è stata pubblicata il 20 marzo 1997 ed è entrata in vigore il 20 agosto 1997 e, a quasi trent'anni di distanza, è ancora pienamente in vigore. Puoi leggere il testo della 21 CFR Part 11 nell'eCFR.

‍

Che cosa richiede in concreto la conformità alla 21 CFR Part 11?

La norma si articola in tre sottosezioni, ma i requisiti pratici della 21 CFR Part 11 si riducono a un breve elenco di controllo. Il modo più chiaro per ricordarlo: ogni azione ha un nome, un timestamp e un motivo, anche quando non c'è carta. Un audit trail è la registrazione con timestamp e attribuzione all'utente di ogni creazione, modifica o eliminazione che rende tutto questo possibile.

‍

‍

A chi si applica la 21 CFR Part 11?

La Part 11 si applica alle organizzazioni regolamentate dalla FDA che conservano in formato elettronico i record richiesti o che usano firme elettroniche al posto di quelle autografe. L'ambito segue il record, non il reparto: nel momento in cui un'organizzazione regolamentata crea, archivia o trasmette un documento elettronico soggetto alla normativa FDA, il sistema che lo gestisce rientra nell'ambito di applicazione. Ciò include i sistemi di trasmissione, quindi un servizio di fax online sicuro come Fax.Plus dovrebbe essere gestito con audit trail e controlli di accesso quando trasmette documenti regolamentati. La FDA descrive l'ampia portata della norma nella propria guida su ambito e applicazione.

‍

21 CFR Part 11 e HIPAA: qual è la differenza?

Le due normative vengono spesso confuse, ma la distinzione è importante. La HIPAA (Health Insurance Portability and Accountability Act) tutela la privacy e la sicurezza delle informazioni sanitarie protette (PHI), ovvero i dati sanitari identificabili individualmente trattati da un soggetto coperto. La 21 CFR Part 11 tutela l'integrità e la tracciabilità dei record e delle firme elettroniche regolamentati dalla FDA. Uno strumento tipico della HIPAA è il Business Associate Agreement (BAA), il contratto che consente a un fornitore di trattare PHI per tuo conto. Risolvono problemi diversi e un sistema può soddisfare l'una senza l'altra.

‍

‍

Come affrontare la conformità alla 21 CFR Part 11

Considera la conformità come un insieme di controlli dimostrabili, non come un'etichetta da acquistare. In pratica significa disporre di un sistema validato con documentazione del fornitore, controlli di accesso e account utente univoci, audit trail completi, firme elettroniche univoche e verificate e una conservazione dei record definita. Se un'affermazione non può essere dimostrata, è meglio attenuarla che esagerarla, perché le autorità di regolamentazione valutano ciò che puoi dimostrare, non ciò che dichiarate.

‍

FAQ

‍

Quando è entrata in vigore la 21 CFR Part 11?

La norma definitiva è stata emanata nel 1997 ed è entrata in vigore il 20 agosto 1997. Resta in vigore ancora oggi e continua ad applicarsi ai record e alle firme elettroniche regolamentati dalla FDA.

‍

A chi si applica la 21 CFR Part 11?

Si applica alle organizzazioni regolamentate dalla FDA (come aziende farmaceutiche, biotecnologiche, produttori di dispositivi medici e operatori della ricerca clinica) che creano, modificano, conservano, archiviano, recuperano o trasmettono in formato elettronico i record richiesti, oppure che usano firme elettroniche al posto di quelle autografe.

‍

Qual è lo scopo della 21 CFR Part 11?

Il suo scopo è rendere record e firme elettronici affidabili quanto quelli cartacei, in modo che un record regolamentato dalla FDA possa essere considerato accurato, attribuibile e a prova di manomissione.

‍

Esiste un prodotto «conforme alla 21 CFR Part 11» fin da subito?

No. La conformità deriva dai controlli e da come un sistema viene validato e gestito, non dal solo prodotto. Un fornitore può supportare la Part 11, ma l'organizzazione che utilizza il sistema è responsabile di dimostrare la conformità.

‍

Una firma elettronica può essere conforme alla 21 CFR Part 11?

Una firma elettronica può supportare la Part 11 quando ogni firma è univoca per una sola persona, l'identità è verificata (spesso con due fattori) e la firma registra il nome del firmatario, la data e l'ora e il motivo della firma. Se un determinato strumento sia idoneo dipende da come è configurato e validato.

‍

È possibile usare software in cloud secondo la 21 CFR Part 11?

Sì. Il software in cloud può essere utilizzato secondo la Part 11 quando il sistema è validato, l'accesso è controllato, gli audit trail sono completi e il fornitore mette a disposizione una documentazione che supporta la tua attività di validazione.