Conformidade com a Parte 11 do Título 21 do CFR: O que realmente exige

Principais conclusões

• A conformidade com a 21 CFR Parte 11 decorre dos controlos em torno de um sistema (validação, controlos de acesso e registos de auditoria), e não da tecnologia em si. Nenhum produto é "inerentemente" compatível.
• A regra resume-se a uma ideia: cada ação registada num documento tem um nome, um carimbo de data/hora e um motivo, mesmo quando não há papel.
• A Parte 11 não é a HIPAA. A HIPAA regula a privacidade e a segurança dos dados de saúde, enquanto a Parte 11 regula a integridade e a rastreabilidade dos registos e assinaturas regulamentados pela FDA. Uma empresa pode servir uma, mas não a outra.
• A Parte 11 está em vigor desde 1997 e continua a ser um requisito fundamental para as organizações farmacêuticas, biotecnológicas, de dispositivos médicos e clínicas.

‍

A conformidade com a Parte 11 do Título 21 do CFR não é uma propriedade de uma única tecnologia. Trata-se do conjunto de controlos que comprovam a fiabilidade de um registo eletrónico: um sistema validado, controlos de acesso e um rasto de auditoria que liga cada ação a uma pessoa identificada, um registo de data e hora e uma justificação. A FDA (Administração de Alimentos e Medicamentos dos EUA) não certifica os produtos como estando em conformidade com a Parte 11. A organização que utiliza um sistema é responsável pelas salvaguardas que o rodeiam, razão pela qual duas empresas podem executar o mesmo software e apenas uma delas estar em conformidade.

‍

O que é a 21 CFR Parte 11?

A 21 CFR Parte 11 é a regulamentação da FDA que define como os registos e as assinaturas eletrónicas devem ser geridos em setores regulados pela FDA, como o farmacêutico, o biotecnológico, o dos dispositivos médicos e o da investigação clínica. Um registo eletrónico é qualquer dado criado, modificado, mantido, arquivado, recuperado ou transmitido em formato eletrónico, e uma assinatura eletrónica é o equivalente eletrónico de uma assinatura manuscrita. O objetivo é simples: tornar os registos e as assinaturas eletrónicas tão fiáveis ​​e rastreáveis ​​como o papel e a tinta. A norma foi publicada a 20 de março de 1997 e entrou em vigor a 20 de agosto de 1997, e quase três décadas depois ainda está em pleno vigor. Pode ler o texto da 21 CFR Parte 11 no eCFR.

‍

O que é que a conformidade com a 21 CFR Parte 11 realmente exige?

A norma tem três subpartes, mas os requisitos práticos da 21 CFR Parte 11 resumem-se a uma breve lista de verificação. A forma mais clara de a decorar é a seguinte: cada ação tem um nome, um registo de data e hora e um motivo, mesmo quando não existe documentação em papel. Um registo de auditoria é o registo com data e hora, atribuído pelo utilizador, de cada criação, edição ou eliminação que o torna possível.

‍

‍

A quem se aplica a Parte 11 do Título 21 do CFR?

A Parte 11 aplica-se a organizações reguladas pela FDA que mantêm registos obrigatórios eletronicamente ou utilizam assinaturas eletrónicas em vez de manuscritas. O âmbito acompanha o registo, não o departamento: no momento em que uma organização regulada cria, armazena ou transmite um documento eletrónico regulado pela FDA, o sistema que o processa passa a estar sujeito ao âmbito. Isto inclui sistemas de transmissão, portanto, um serviço de fax online seguro, como o [exemplo de serviço de fax online seguro]. Fax.Plus Seria necessário operar com pistas de auditoria e controlos de acesso quando transportar documentos regulamentados. A FDA descreve a abrangência da norma no seu âmbito e orientações de aplicação .

‍

21 CFR Parte 11 vs HIPAA: qual é a diferença?

Estes dois conceitos são frequentemente confundidos, e a distinção é importante. A HIPAA (Lei de Portabilidade e Responsabilidade de Seguros de Saúde) protege a privacidade e a segurança das informações de saúde protegidas (PHI, na sigla em inglês) , os dados de saúde individualmente identificáveis ​​​​que uma entidade abrangida manipula. A 21 CFR Parte 11 protege a integridade e a rastreabilidade dos registos e assinaturas eletrónicas regulamentados pela FDA. Um instrumento comum da HIPAA é o Acordo de Parceiro Business (BAA, na sigla em inglês) , o contrato que permite a um fornecedor manipular as PHI em seu nome. Resolvem problemas diferentes, e um sistema pode servir um deles sem o outro.

‍

‍

Como abordar a conformidade com a 21 CFR Parte 11

Considere a conformidade como um conjunto de controlos que pode demonstrar, e não como um selo que compra. Na prática, isto significa um sistema validado com documentação do fornecedor, controlos de acesso e contas de utilizador exclusivas, registos de auditoria completos, assinaturas eletrónicas exclusivas e verificadas e retenção de registos definida. Quando uma alegação não puder ser comprovada, suavize-a em vez de a exagerar , porque as entidades reguladoras avaliam o que pode demonstrar, e não o que afirma.

‍

Perguntas frequentes

‍

Quando é que a Parte 11 do Título 21 do CFR entrou em vigor?

A norma final foi publicada em 1997 e entrou em vigor a 20 de agosto de 1997. Mantém-se em vigor até hoje e continua a ser aplicada aos registos e assinaturas eletrónicas regulamentados pela FDA.

‍

A quem se aplica a Parte 11 do Título 21 do CFR?

Aplica-se a organizações reguladas pela FDA (como empresas farmacêuticas, de biotecnologia, de dispositivos médicos e de operações clínicas) que criam, modificam, mantêm, arquivam, recuperam ou transmitem registos obrigatórios eletronicamente, ou que utilizam assinaturas eletrónicas em vez de manuscritas.

‍

Qual é a finalidade da 21 CFR Parte 11?

O seu objetivo é tornar os registos e as assinaturas eletrónicas tão fiáveis ​​como os em papel, de modo a que um registo regulamentado pela FDA possa ser considerado preciso, atribuível e inviolável.

‍

Existe algum produto que esteja em conformidade com a norma 21 CFR Parte 11 logo ao sair da caixa?

Não. A conformidade deriva dos controlos e da forma como um sistema é validado e operado, e não apenas do produto em si. Um fornecedor pode apoiar a Parte 11, mas a organização utilizadora é responsável por demonstrar a conformidade.

‍

Uma assinatura eletrónica pode estar em conformidade com a 21 CFR Parte 11?

Uma assinatura eletrónica pode cumprir os requisitos da Parte 11 quando cada assinatura é exclusiva de uma pessoa, a identidade é verificada (geralmente com dois fatores) e a assinatura regista o nome do signatário, a data e a hora, e o motivo da assinatura. A qualificação de uma ferramenta específica depende da forma como é configurada e validada.

‍

É possível utilizar software na nuvem de acordo com a norma 21 CFR Parte 11?

Sim. O software na nuvem pode ser utilizado de acordo com a Parte 11 quando o sistema é validado, o acesso é controlado, os registos de auditoria estão completos e o fornecedor fornece documentação que apoia o seu próprio esforço de validação.