Соответствие 21 CFR, часть 11: что требуется на самом деле

Основные выводы

• Соответствие 21 CFR Part 11 обеспечивают меры контроля вокруг системы (валидация, управление доступом и журналы аудита), а не сама технология. Ни один продукт не соответствует требованиям «по умолчанию».
• Суть правила сводится к одной идее: у каждого действия с записью есть имя исполнителя, временная метка и причина, даже если бумажных документов нет.
• Part 11 — это не HIPAA. HIPAA регулирует конфиденциальность и безопасность медицинских данных, а Part 11 — целостность и прослеживаемость записей и подписей, на которые распространяется регулирование FDA. Компания может выполнять одно требование и не выполнять другое.
• Part 11 действует с 1997 года и остаётся одним из ключевых требований для фармацевтических, биотехнологических и клинических организаций, а также производителей медицинских изделий.

‍

Соответствие 21 CFR Part 11 не является свойством какой-либо одной технологии. Это набор мер контроля, подтверждающих, что электронной записи можно доверять: валидированная система, управление доступом и журнал аудита, который связывает каждое действие с конкретным лицом, временной меткой и причиной. FDA (Управление по санитарному надзору за качеством пищевых продуктов и медикаментов США) не сертифицирует продукты на соответствие Part 11. За меры защиты вокруг системы отвечает организация, которая ею пользуется. Поэтому две компании могут работать с одним и тем же программным обеспечением, а требованиям будет соответствовать только одна из них.

‍

Что такое 21 CFR Part 11?

21 CFR Part 11 — это нормативный акт FDA, который определяет порядок работы с электронными записями и электронными подписями в отраслях, регулируемых FDA: фармацевтике, биотехнологиях, производстве медицинских изделий и клинических исследованиях. Электронная запись — это любые данные, которые созданы, изменены, сохранены, архивированы, извлечены или переданы в электронной форме. Электронная подпись — это электронный аналог собственноручной подписи. Цель правила проста: сделать электронные записи и подписи такими же надёжными и прослеживаемыми, как документы на бумаге с подписью чернилами. Правило опубликовано 20 марта 1997 года и вступило в силу 20 августа 1997 года. Почти три десятилетия спустя оно по-прежнему действует. Текст 21 CFR Part 11 доступен в eCFR.

‍

Что на самом деле требуется для соответствия 21 CFR Part 11?

Правило состоит из трёх подчастей, но практические требования 21 CFR Part 11 сводятся к краткому перечню. Проще всего запомнить так: у каждого действия есть имя исполнителя, временная метка и причина, даже если бумажных документов нет. Это обеспечивает журнал аудита — запись о каждом создании, изменении или удалении с временной меткой и привязкой к пользователю.

‍

‍

На кого распространяется 21 CFR Part 11?

Part 11 распространяется на организации, регулируемые FDA, которые хранят обязательные записи в электронном виде или используют электронные подписи вместо собственноручных. Сфера действия определяется записью, а не подразделением: как только регулируемая организация создаёт, хранит или передаёт электронный документ, подпадающий под регулирование FDA, система, которая с ним работает, попадает в сферу действия правила. Это относится и к системам передачи данных. Поэтому защищённый онлайн-сервис факсов, например Fax.Plus, при передаче регулируемых документов необходимо эксплуатировать с журналами аудита и мерами контроля доступа. Насколько широко распространяется это правило, FDA поясняет в руководстве по сфере действия и применению.

‍

21 CFR Part 11 и HIPAA: в чём разница?

Эти два акта часто путают, хотя различие между ними существенно. HIPAA (Health Insurance Portability and Accountability Act) защищает конфиденциальность и безопасность данных о состоянии здоровья (PHI), то есть персонифицированных данных о состоянии здоровья, которые обрабатывает организация, на которую распространяется действие HIPAA. 21 CFR Part 11 обеспечивает целостность и прослеживаемость электронных записей и подписей, регулируемых FDA. Один из распространённых инструментов HIPAA — Business Associate Agreement (BAA), договор, который позволяет поставщику обрабатывать PHI от вашего имени. Эти акты решают разные задачи, поэтому система может соответствовать одному из них и не соответствовать другому.

‍

‍

Как обеспечить соответствие 21 CFR Part 11

Рассматривайте соответствие как набор мер контроля, которые можно подтвердить, а не как ярлык, который можно купить. На практике это означает следующее: валидированная система с документацией поставщика, меры контроля доступа и уникальные учётные записи пользователей, полные журналы аудита, уникальные и верифицированные электронные подписи, а также определённые сроки хранения записей. Если утверждение нечем подтвердить, формулируйте его осторожнее и не преувеличивайте: регуляторы оценивают то, что вы можете продемонстрировать, а не то, что заявляете.

‍

Часто задаваемые вопросы

‍

Когда вступил в силу 21 CFR Part 11?

Окончательная редакция правила опубликована в 1997 году и вступила в силу 20 августа 1997 года. Правило действует и сегодня и по-прежнему применяется к электронным записям и подписям, регулируемым FDA.

‍

На кого распространяется 21 CFR Part 11?

Правило распространяется на организации, регулируемые FDA (например, фармацевтические и биотехнологические компании, производителей медицинских изделий и организации, проводящие клинические исследования), которые создают, изменяют, хранят, архивируют, извлекают или передают обязательные записи в электронном виде либо используют электронные подписи вместо собственноручных.

‍

Для чего нужен 21 CFR Part 11?

Правило призвано обеспечить электронным записям и подписям такой же уровень доверия, как и бумажным. Запись, регулируемая FDA, должна быть достоверной, а её автор — установленным, при этом любое вмешательство в запись должно быть заметно.

‍

Бывают ли продукты, которые «соответствуют 21 CFR Part 11» сразу после установки?

Нет. Соответствие определяется мерами контроля, а также тем, как система валидируется и эксплуатируется, а не самим продуктом. Поставщик может обеспечить поддержку требований Part 11, но доказывать соответствие должна организация, которая использует систему.

‍

Может ли электронная подпись соответствовать 21 CFR Part 11?

Электронная подпись может отвечать требованиям Part 11, если каждая подпись принадлежит только одному человеку, личность подписанта подтверждена (часто с помощью двух факторов), а в подписи фиксируются имя подписанта, дата и время, а также причина подписания. Соответствует ли конкретный инструмент требованиям, зависит от его настройки и валидации.

‍

Можно ли использовать cloud-ПО в соответствии с 21 CFR Part 11?

Да. Cloud-ПО можно использовать в соответствии с Part 11, если система валидирована, доступ контролируется, журналы аудита полны, а поставщик предоставляет документацию, которая поддерживает вашу собственную валидацию.