Zgodność z 21 CFR Part 11: czego naprawdę wymaga

Najważniejsze wnioski

• Zgodność z 21 CFR Part 11 wynika z mechanizmów kontroli wokół systemu (walidacji, kontroli dostępu i ścieżek audytu), a nie z samej technologii. Żaden produkt nie jest „z natury” zgodny.
• Przepis sprowadza się do jednej myśli: każda czynność wykonana na zapisie ma nazwisko, znacznik czasu i powód, nawet jeśli nie ma papieru.
• Part 11 to nie HIPAA. HIPAA reguluje prywatność i bezpieczeństwo danych zdrowotnych, a Part 11 reguluje integralność i identyfikowalność zapisów i podpisów podlegających regulacjom FDA. Firma może spełniać jedne wymogi, a drugich nie.
• Part 11 obowiązuje od 1997 roku i nadal jest podstawowym wymogiem dla organizacji farmaceutycznych, biotechnologicznych, producentów wyrobów medycznych oraz organizacji prowadzących badania kliniczne.

‍

Zgodność z 21 CFR Part 11 nie jest cechą żadnej pojedynczej technologii. To zestaw mechanizmów kontroli, które dowodzą, że zapisowi elektronicznemu można ufać: zwalidowany system, kontrola dostępu oraz ścieżka audytu, która powiązuje każdą czynność z konkretną osobą, znacznikiem czasu i powodem. FDA (amerykańska Agencja ds. Żywności i Leków) nie certyfikuje produktów jako zgodnych z Part 11. Za zabezpieczenia wokół systemu odpowiada organizacja, która z niego korzysta, dlatego dwie firmy mogą używać tego samego oprogramowania, a zgodna będzie tylko jedna z nich.

‍

Czym jest 21 CFR Part 11?

21 CFR Part 11 to przepis FDA określający, jak należy zarządzać zapisami elektronicznymi i podpisami elektronicznymi w branżach podlegających regulacjom FDA, takich jak farmacja, biotechnologia, wyroby medyczne i badania kliniczne. Zapis elektroniczny to wszelkie dane tworzone, modyfikowane, przechowywane, archiwizowane, pobierane lub przesyłane w formie elektronicznej, a podpis elektroniczny to elektroniczny odpowiednik podpisu odręcznego. Cel łatwo określić: sprawić, by zapisy i podpisy elektroniczne były tak samo wiarygodne i identyfikowalne jak papier i atrament. Przepis opublikowano 20 marca 1997 r., a wszedł w życie 20 sierpnia 1997 r. Po prawie trzech dekadach nadal w pełni obowiązuje. Tekst 21 CFR Part 11 można przeczytać w eCFR.

‍

Czego faktycznie wymaga zgodność z 21 CFR Part 11?

Przepis składa się z trzech podczęści, ale praktyczne wymogi 21 CFR Part 11 sprowadzają się do krótkiej listy kontrolnej. Najłatwiej zapamiętać to tak: każda czynność ma nazwisko, znacznik czasu i powód, nawet jeśli nie ma papieru. Umożliwia to ścieżka audytu, czyli opatrzony znacznikami czasu i przypisany do użytkownika rejestr każdego utworzenia, edycji lub usunięcia.

‍

‍

Kogo dotyczy 21 CFR Part 11?

Part 11 dotyczy organizacji podlegających regulacjom FDA, które przechowują wymagane dokumenty w formie elektronicznej lub stosują podpisy elektroniczne zamiast odręcznych. Zakres obowiązywania wynika z zapisu, a nie z działu: z chwilą gdy organizacja regulowana tworzy, przechowuje lub przesyła elektroniczny dokument podlegający regulacjom FDA, system, który go obsługuje, wchodzi w zakres przepisów. Dotyczy to także systemów transmisji, więc bezpieczna internetowa usługa faksowa, taka jak Fax.Plus, musiałaby być obsługiwana z zachowaniem ścieżek audytu i kontroli dostępu, gdy przesyła dokumenty regulowane. Jak szeroko sięga ta regulacja, FDA opisuje w wytycznych dotyczących jej zakresu i stosowania.

‍

21 CFR Part 11 a HIPAA: jaka jest różnica?

Te dwa akty są często mylone, a różnica między nimi ma znaczenie. HIPAA (Health Insurance Portability and Accountability Act) chroni prywatność i bezpieczeństwo chronionych informacji zdrowotnych (PHI), czyli danych zdrowotnych pozwalających zidentyfikować osobę, którymi zajmuje się podmiot objęty regulacją. 21 CFR Part 11 chroni integralność i identyfikowalność elektronicznych zapisów i podpisów podlegających regulacjom FDA. Typowym instrumentem HIPAA jest Business Associate Agreement (BAA), czyli umowa, która zezwala dostawcy na przetwarzanie PHI w Twoim imieniu. Rozwiązują one różne problemy, a system może spełniać jedne wymogi bez drugich.

‍

‍

Jak podejść do zgodności z 21 CFR Part 11

Traktuj zgodność jako zestaw mechanizmów kontroli, które można wykazać, a nie etykietę, którą można kupić. W praktyce oznacza to zwalidowany system z dokumentacją dostawcy, kontrolę dostępu i unikalne konta użytkowników, pełne ścieżki audytu, unikalne i zweryfikowane podpisy elektroniczne oraz zdefiniowane zasady przechowywania zapisów. Jeśli twierdzenia nie da się udokumentować, lepiej sformułować je ostrożniej, niż je wyolbrzymiać, ponieważ organy regulacyjne oceniają to, co można wykazać, a nie to, co się deklaruje.

‍

FAQ

‍

Kiedy 21 CFR Part 11 weszło w życie?

Ostateczna wersja przepisu została wydana w 1997 roku i weszła w życie 20 sierpnia 1997 roku. Obowiązuje do dziś i nadal dotyczy elektronicznych zapisów i podpisów podlegających regulacjom FDA.

‍

Kogo dotyczy 21 CFR Part 11?

Dotyczy organizacji podlegających regulacjom FDA (takich jak firmy farmaceutyczne, biotechnologiczne, producenci wyrobów medycznych i podmioty prowadzące badania kliniczne), które tworzą, modyfikują, przechowują, archiwizują, odtwarzają lub przesyłają wymagane zapisy w formie elektronicznej albo stosują podpisy elektroniczne zamiast odręcznych.

‍

Jaki jest cel 21 CFR Part 11?

Jego celem jest sprawienie, by elektroniczne zapisy i podpisy były równie wiarygodne jak papierowe, tak aby zapis podlegający regulacjom FDA można było uznać za dokładny, możliwy do przypisania konkretnej osobie i odporny na manipulacje.

‍

Czy jakikolwiek produkt jest „zgodny z 21 CFR Part 11” od razu po zakupie?

Nie. Zgodność wynika z mechanizmów kontroli oraz ze sposobu walidacji i obsługi systemu, a nie z samego produktu. Dostawca może wspierać Part 11, ale za wykazanie zgodności odpowiada organizacja korzystająca z systemu.

‍

Czy podpis elektroniczny może być zgodny z 21 CFR Part 11?

Podpis elektroniczny może wspierać zgodność z Part 11, gdy każdy podpis jest unikalny dla jednej osoby, tożsamość jest weryfikowana (często dwuskładnikowo), a podpis rejestruje imię i nazwisko osoby podpisującej, datę i godzinę oraz powód podpisania. To, czy dane narzędzie spełnia wymogi, zależy od sposobu jego konfiguracji i walidacji.

‍

Czy można używać oprogramowania w modelu cloud zgodnie z 21 CFR Part 11?

Tak. Oprogramowanie w modelu cloud można stosować zgodnie z Part 11, gdy system jest zwalidowany, dostęp jest kontrolowany, ścieżki audytu są kompletne, a dostawca udostępnia dokumentację wspierającą Twoje własne działania walidacyjne.