Naleving van 21 CFR Part 11: wat er daadwerkelijk vereist is

Belangrijkste punten

• Naleving van 21 CFR Part 11 komt voort uit de controles rondom een systeem (validatie, toegangscontroles en audittrails), niet uit de technologie zelf. Geen enkel product is „inherent” conform.
• De regel komt neer op één idee: elke handeling aan een record heeft een naam, een tijdstempel en een reden, ook wanneer er geen papier aan te pas komt.
• Part 11 is niet HIPAA. HIPAA regelt de privacy en beveiliging van gezondheidsgegevens, terwijl Part 11 de integriteit en traceerbaarheid van door de FDA gereguleerde records en handtekeningen regelt. Een bedrijf kan aan de ene voldoen en niet aan de andere.
• Part 11 is al sinds 1997 van kracht en blijft een kernvereiste voor farmaceutische en biotechbedrijven, fabrikanten van medische hulpmiddelen en klinische organisaties.

‍

Naleving van 21 CFR Part 11 is niet de eigenschap van één enkele technologie. Het is het geheel aan controles dat aantoont dat een elektronisch record betrouwbaar is: een gevalideerd systeem, toegangscontroles en een audittrail die elke handeling koppelt aan een persoon met naam, een tijdstempel en een reden. De FDA (de Amerikaanse Food and Drug Administration) certificeert geen producten als Part 11-conform. De organisatie die een systeem gebruikt, is verantwoordelijk voor de waarborgen eromheen. Daarom kunnen twee bedrijven dezelfde software gebruiken en voldoet slechts één van beide aan de regels.

‍

Wat is 21 CFR Part 11?

21 CFR Part 11 is de FDA-regelgeving die bepaalt hoe elektronische records en elektronische handtekeningen moeten worden beheerd in door de FDA gereguleerde sectoren, zoals de farmaceutische industrie, biotech, medische hulpmiddelen en klinisch onderzoek. Een elektronisch record is alle data die in elektronische vorm wordt aangemaakt, gewijzigd, bijgehouden, gearchiveerd, opgehaald of verzonden, en een elektronische handtekening is het elektronische equivalent van een handgeschreven handtekening. Het doel is eenvoudig te omschrijven: elektronische records en handtekeningen even betrouwbaar en traceerbaar maken als papier en inkt. De regel werd gepubliceerd op 20 maart 1997 en trad in werking op 20 augustus 1997, en bijna dertig jaar later is hij nog steeds onverminderd van kracht. U kunt de tekst van 21 CFR Part 11 lezen in de eCFR.

‍

Wat vereist naleving van 21 CFR Part 11 in de praktijk?

De regel bestaat uit drie onderdelen, maar de praktische vereisten van 21 CFR Part 11 komen neer op een korte checklist. De duidelijkste manier om het te onthouden: elke handeling heeft een naam, een tijdstempel en een reden, ook wanneer er geen papier aan te pas komt. Een audittrail is het van een tijdstempel en gebruikersattributie voorziene logboek van elke aanmaak-, bewerk- of verwijderactie, waardoor dit mogelijk wordt.

‍

‍

Op wie is 21 CFR Part 11 van toepassing?

Part 11 is van toepassing op organisaties die onder toezicht van de FDA staan en vereiste documenten elektronisch bewaren of elektronische handtekeningen gebruiken in plaats van handgeschreven handtekeningen. Het toepassingsgebied volgt het document, niet de afdeling: zodra een gereguleerde organisatie een door de FDA gereguleerd elektronisch document aanmaakt, opslaat of verzendt, valt het systeem dat dit verwerkt binnen het toepassingsgebied. Dat omvat ook verzendsystemen, dus een beveiligde online faxdienst zoals Fax.Plus moet worden gebruikt met audittrails en toegangscontroles wanneer er gereguleerde documenten mee worden verstuurd. De FDA beschrijft hoe ver de regeling reikt in de richtlijn over reikwijdte en toepassing.

‍

21 CFR Part 11 versus HIPAA: wat is het verschil?

Deze twee worden vaak door elkaar gehaald, en het onderscheid is belangrijk. HIPAA (de Health Insurance Portability and Accountability Act) beschermt de privacy en beveiliging van beschermde gezondheidsinformatie (PHI), de individueel identificeerbare gezondheidsgegevens die een gedekte entiteit verwerkt. 21 CFR Part 11 beschermt de integriteit en traceerbaarheid van door de FDA gereguleerde elektronische records en handtekeningen. Een gangbaar HIPAA-instrument is de Business Associate Agreement (BAA), de overeenkomst die een leverancier toestaat om namens u PHI te verwerken. Ze lossen verschillende problemen op, en een systeem kan aan de ene voldoen zonder aan de andere te voldoen.

‍

‍

Hoe u naleving van 21 CFR Part 11 aanpakt

Beschouw naleving als een geheel van controles die u kunt aantonen, niet als een label dat u koopt. In de praktijk betekent dat: een gevalideerd systeem met documentatie van de leverancier, toegangscontroles en unieke gebruikersaccounts, volledige audittrails, unieke en geverifieerde elektronische handtekeningen en een vastgelegde bewaartermijn voor documenten. Waar een bewering niet kan worden onderbouwd, formuleer die dan voorzichtiger in plaats van te overdrijven, want toezichthouders beoordelen wat u kunt aantonen, niet wat u beweert.

‍

Veelgestelde vragen

‍

Wanneer is 21 CFR Part 11 van kracht geworden?

De definitieve regeling werd in 1997 uitgevaardigd en trad in werking op 20 augustus 1997. Zij is nog altijd van kracht en blijft van toepassing op door de FDA gereguleerde elektronische records en handtekeningen.

‍

Op wie is 21 CFR Part 11 van toepassing?

Het is van toepassing op organisaties die onder toezicht van de FDA staan (zoals farmaceutische bedrijven, biotechnologiebedrijven, fabrikanten van medische hulpmiddelen en klinische organisaties) en die vereiste documenten elektronisch aanmaken, wijzigen, bewaren, archiveren, opvragen of verzenden, of die elektronische handtekeningen gebruiken in plaats van handgeschreven handtekeningen.

‍

Wat is het doel van 21 CFR Part 11?

Het doel is om elektronische documenten en handtekeningen even betrouwbaar te maken als papier, zodat op een door de FDA gereguleerd document kan worden vertrouwd als nauwkeurig, toewijsbaar en manipulatiebestendig.

‍

Is een product kant-en-klaar „21 CFR Part 11-conform”?

Nee. Naleving komt voort uit controles en uit de manier waarop een systeem wordt gevalideerd en gebruikt, niet uit het product alleen. Een leverancier kan Part 11 ondersteunen, maar de gebruikende organisatie is verantwoordelijk voor het aantonen van naleving.

‍

Kan een elektronische handtekening voldoen aan 21 CFR Part 11?

Een elektronische handtekening kan Part 11 ondersteunen wanneer elke handtekening uniek is voor één persoon, de identiteit wordt geverifieerd (vaak met twee factoren) en de handtekening de naam van de ondertekenaar, de datum en tijd en de reden van ondertekening vastlegt. Of een bepaald hulpmiddel hieraan voldoet, hangt af van hoe het is geconfigureerd en gevalideerd.

‍

Kunt u cloudsoftware gebruiken onder 21 CFR Part 11?

Ja. Cloudsoftware kan onder Part 11 worden gebruikt wanneer het systeem is gevalideerd, de toegang wordt beheerst, de audittrails volledig zijn en de leverancier documentatie levert die uw eigen validatie ondersteunt.