21 CFR Bölüm 11 Uyumluluğu: Gerçekte Neler Gerektirir?

Önemli noktalar

• 21 CFR Part 11 uyumluluğu, teknolojinin kendisinden değil, bir sistemin çevresindeki kontrollerden (doğrulama, erişim kontrolleri ve denetim izleri) kaynaklanır. Hiçbir ürün “doğası gereği” uyumlu değildir.
• Kural tek bir fikre indirgenir: Kâğıt olmasa bile bir kayıt üzerindeki her eylemin bir adı, bir zaman damgası ve bir gerekçesi vardır.
• Part 11, HIPAA değildir. HIPAA sağlık verilerinin gizliliğini ve güvenliğini düzenlerken, Part 11 FDA kapsamındaki kayıtların ve imzaların bütünlüğünü ve izlenebilirliğini düzenler. Bir şirket birini karşılayıp diğerini karşılamayabilir.
• Part 11, 1997'den beri yürürlüktedir ve ilaç, biyoteknoloji, tıbbi cihaz ve klinik kuruluşlar için temel bir gereklilik olmaya devam etmektedir.

‍

21 CFR Part 11 uyumluluğu, tek bir teknolojinin özelliği değildir. Bir elektronik kayda güvenilebileceğini kanıtlayan kontroller bütünüdür: doğrulanmış bir sistem, erişim kontrolleri ve her eylemi adı belli bir kişiye, bir zaman damgasına ve bir gerekçeye bağlayan bir denetim izi. FDA (ABD Gıda ve İlaç Dairesi) ürünleri Part 11 ile uyumlu olarak sertifikalandırmaz. Bir sistemi kullanan kuruluş, onun çevresindeki güvenlik önlemlerinden sorumludur; bu nedenle iki şirket aynı yazılımı çalıştırabilir ve yalnızca biri uyumlu olabilir.

‍

21 CFR Part 11 nedir?

21 CFR Part 11, ilaç, biyoteknoloji, tıbbi cihaz ve klinik araştırma gibi FDA tarafından düzenlenen sektörlerde elektronik kayıtların ve elektronik imzaların nasıl yönetilmesi gerektiğini tanımlayan FDA düzenlemesidir. Elektronik kayıt, elektronik biçimde oluşturulan, değiştirilen, saklanan, arşivlenen, geri çağrılan veya iletilen her türlü veridir; elektronik imza ise el yazısı imzanın elektronik karşılığıdır. Amaç söylemesi kolay: Elektronik kayıtları ve imzaları kâğıt ve mürekkep kadar güvenilir ve izlenebilir kılmak. Kural 20 Mart 1997'de yayımlandı, 20 Ağustos 1997'de yürürlüğe girdi ve neredeyse otuz yıl sonra hâlâ tamamen yürürlüktedir. eCFR'de 21 CFR Part 11 metnini okuyabilirsiniz.

‍

21 CFR Part 11 uyumluluğu gerçekte neyi gerektirir?

Kuralın üç alt bölümü vardır, ancak pratikteki 21 CFR Part 11 gereklilikleri kısa bir kontrol listesine indirgenir. Hatırlamanın en net yolu şudur: Kâğıt olmasa bile her eylemin bir adı, bir zaman damgası ve bir gerekçesi vardır. Denetim izi, bunu mümkün kılan, her oluşturma, düzenleme veya silme işleminin zaman damgalı ve kullanıcıya atfedilmiş kaydıdır.

‍

‍

21 CFR Part 11 kimleri kapsar?

Part 11, gerekli kayıtları elektronik ortamda tutan veya elle atılan imzalar yerine elektronik imza kullanan, FDA denetimine tabi kuruluşlar için geçerlidir. Kapsam, bölümü değil kaydı takip eder: düzenlemeye tabi bir kuruluş FDA denetimine tabi bir elektronik belge oluşturduğu, sakladığı veya ilettiği anda, bu belgeyi işleyen sistem de kapsama girer. Buna iletim sistemleri de dahildir; dolayısıyla Fax.Plus gibi güvenli bir çevrimiçi faks hizmetinin, düzenlemeye tabi belgeleri taşırken denetim izleri ve erişim kontrolleriyle işletilmesi gerekir. FDA, kuralın ne kadar geniş bir alanı kapsadığını kapsam ve uygulama kılavuzunda açıklamaktadır.

‍

21 CFR Part 11 ile HIPAA arasındaki fark nedir?

Bu ikisi sık sık birbirine karıştırılır ve aradaki fark önemlidir. HIPAA (Sağlık Sigortası Taşınabilirlik ve Sorumluluk Yasası), korunan sağlık bilgilerinin (PHI) gizliliğini ve güvenliğini korur; bu bilgiler, kapsama giren bir kuruluşun işlediği, kişiyi tanımlayabilen sağlık verileridir. 21 CFR Part 11 ise FDA denetimine tabi elektronik kayıtların ve imzaların bütünlüğünü ve izlenebilirliğini korur. Yaygın bir HIPAA aracı, bir hizmet sağlayıcının PHI'yı sizin adınıza işlemesine izin veren sözleşme olan Business Associate Agreement (BAA)'dir. Bunlar farklı sorunları çözer ve bir sistem birini diğeri olmadan karşılayabilir.

‍

‍

21 CFR Part 11 uyumluluğuna nasıl yaklaşılır?

Uyumluluğu satın alınan bir etiket olarak değil, kanıtlayabileceğiniz bir kontroller bütünü olarak ele alın. Uygulamada bu; hizmet sağlayıcı belgeleriyle doğrulanmış bir sistem, erişim kontrolleri ve benzersiz kullanıcı hesapları, eksiksiz denetim izleri, benzersiz ve doğrulanmış elektronik imzalar ile tanımlanmış kayıt saklama kuralları anlamına gelir. Kanıtlanamayan bir iddiayı abartmak yerine yumuşatın, çünkü düzenleyiciler öne sürdüklerinizi değil, gösterebildiklerinizi değerlendirir.

‍

SSS

‍

21 CFR Part 11 ne zaman yürürlüğe girdi?

Nihai kural 1997'de yayımlandı ve 20 Ağustos 1997'de yürürlüğe girdi. Bugün de yürürlüktedir ve FDA denetimine tabi elektronik kayıtlar ile imzalar için geçerliliğini sürdürmektedir.

‍

21 CFR Part 11 kimleri kapsar?

Gerekli kayıtları elektronik ortamda oluşturan, değiştiren, saklayan, arşivleyen, geri çağıran veya ileten ya da elle atılan imzalar yerine elektronik imza kullanan, FDA denetimine tabi kuruluşlar (ilaç, biyoteknoloji, tıbbi cihaz ve klinik operasyonlar gibi) için geçerlidir.

‍

21 CFR Part 11'in amacı nedir?

Amacı, elektronik kayıtları ve imzaları kâğıt kadar güvenilir kılmaktır; böylece FDA denetimine tabi bir kaydın doğru, bir kişiye atfedilebilir ve üzerinde oynama yapıldığında fark edilebilir olduğuna güvenilebilir.

‍

Herhangi bir ürün kutusundan çıktığı haliyle “21 CFR Part 11 uyumlu” mudur?

Hayır. Uyumluluk, yalnızca üründen değil, kontrollerden ve bir sistemin nasıl doğrulandığından ve işletildiğinden gelir. Bir hizmet sağlayıcı Part 11'i destekleyebilir, ancak uyumluluğu kanıtlama sorumluluğu sistemi kullanan kuruluşa aittir.

‍

Bir elektronik imza 21 CFR Part 11'e uyumlu olabilir mi?

Her imza yalnızca bir kişiye özgüyse, kimlik doğrulanmışsa (çoğunlukla iki faktörle) ve imza; imzalayanın adını, tarihi ve saati ile imzalama nedenini kaydediyorsa, bir elektronik imza Part 11'i destekleyebilir. Belirli bir aracın bu nitelikleri taşıyıp taşımadığı, nasıl yapılandırıldığına ve doğrulandığına bağlıdır.

‍

21 CFR Part 11 kapsamında bulut yazılımı kullanabilir misiniz?

Evet. Sistem doğrulandığında, erişim kontrol altında olduğunda, denetim izleri eksiksiz olduğunda ve hizmet sağlayıcı kendi doğrulama çalışmanızı destekleyen belgeler sunduğunda, bulut yazılımı Part 11 kapsamında kullanılabilir.