Cosa Cercare in un Sistema di Gestione Documentale Conforme a 21 CFR Part 11?

21 CFR Part 11 si riferisce alla Parte 11 del Titolo 21 del Code of Federal Regulations. La US FDA ha emanato questa normativa nel marzo 1997 ed è entrata in vigore nell’agosto 1997. Regola i requisiti della FDA per i record elettronici e le firme elettroniche. 

Dalla sua introduzione, la normativa è stata periodicamente rivista con l’obiettivo di favorire la presentazione elettronica dei record e ridurre i costi di conformità per le organizzazioni. 

Man mano che sempre più aziende delle scienze della vita abbandonano i sistemi cartacei, comprendere e implementare questa normativa è diventato un elemento sempre più importante per costruire un sistema di gestione della qualità solido.

A quali organizzazioni si applica questa normativa?

21 CFR Part 11 si applica a tutti i record in formato elettronico che sono creati, modificati, mantenuti, archiviati, recuperati o trasmessi in base a qualsiasi requisito di registrazione previsto dalle normative della US FDA. Si applica inoltre ai record elettronici inviati alla FDA ai sensi del Federal Food, Drug, and Cosmetic Act e del Public Health Service Act, anche quando tali record non sono specificamente identificati nei regolamenti dell’agenzia. 

È importante sottolineare che il termine "record elettronico" si estende ai record che non sono stati originariamente creati in formato elettronico ma sono stati successivamente scannerizzati e archiviati o inviati all’agenzia in formato elettronico. Di conseguenza, tutte le industrie delle scienze della vita che mantengono record elettronici o inviano informazioni elettronicamente per l’approvazione di prodotti nel mercato statunitense sono tenute a conformarsi a questa normativa. 

Questo include produttori farmaceutici, aziende di dispositivi medici, società biotecnologiche, organizzazioni di ricerca clinica e qualsiasi altra entità soggetta alla supervisione della FDA. Se la vostra organizzazione gestisce qualsiasi forma di record di qualità elettronico come parte dei suoi obblighi normativi, 21 CFR Part 11 si applica a voi.

Gli obiettivi principali di 21 CFR Part 11

Lo scopo principale di 21 CFR Part 11 è garantire la sicurezza e la protezione dei record di qualità gestiti digitalmente nell’industria delle scienze della vita, inclusi i modi in cui tali record vengono distribuiti, archiviati e recuperati. La FDA è particolarmente preoccupata per diversi rischi chiave associati ai record elettronici:

1. Malfunzionamento di sistemi e software informatici
2. Pratiche del produttore per il mantenimento della sicurezza e della protezione dei dati
3. Prevenzione della corruzione o perdita dei dati
4. Garanzia dell’integrità delle firme di approvazione e revisione
5. Tracciabilità di qualsiasi modifica apportata ai dati
6. Prevenzione e rilevazione di record falsificati

Oltre alla sicurezza dei dati, 21 CFR Part 11 è stato pensato anche per accelerare la trasformazione digitale nel settore. Rendendo i sistemi elettronici un’alternativa praticabile e conforme all’archiviazione su carta, la normativa incoraggia le organizzazioni ad adottare sistemi senza carta, che generano significativi risparmi sui costi nel tempo. 

I sistemi cartacei richiedono spazio fisico di archiviazione, gestione manuale e un tempo considerevole per il recupero e la revisione dei documenti. Un sistema elettronico ben implementato, quando conforme a 21 CFR Part 11, elimina la maggior parte di queste inefficienze rafforzando nel contempo l’integrità complessiva dei record di qualità. 

In questo senso, la normativa svolge un duplice scopo: proteggere la salute pubblica attraverso una gestione affidabile dei dati e aiutare le organizzazioni a operare in modo più efficiente.

Perché il vostro eQMS deve soddisfare gli standard di 21 CFR Part 11?

Una delle funzioni principali di un sistema di gestione documentale conforme a 21 CFR Part 11 è creare, archiviare, recuperare e archiviare elettronicamente i record di qualità. Anche il processo di firma elettronica di tali record avviene all’interno di un sistema di gestione documentale che fa parte di un eQMS. 

Per qualsiasi organizzazione che venda prodotti delle scienze della vita nel mercato statunitense, disporre di un eQMS conforme a 21 CFR Part 11 non è opzionale, è un requisito. Se state valutando un nuovo eQMS o non siete sicuri che il vostro sistema esistente soddisfi lo standard, vale la pena rivedere le funzionalità di conformità più importanti che un eQMS completamente conforme dovrebbe offrire.

Vale anche la pena notare che la non conformità a 21 CFR Part 11 può comportare conseguenze significative. La FDA ha l’autorità di emettere lettere di avvertimento, avviare richiami di prodotto o intraprendere azioni regolatorie contro le organizzazioni che non mantengono record elettronici conformi. 

Oltre ai rischi legali e finanziari, la non conformità può danneggiare la reputazione di un’organizzazione e ritardare le approvazioni dei prodotti, entrambi fattori che possono avere un impatto duraturo sulle operazioni aziendali. Investire in un eQMS conforme fin dall’inizio è molto più conveniente che cercare di correggere le lacune di conformità dopo un’ispezione normativa.

Funzionalità chiave di conformità da valutare in un eQMS

Comprendere ciò che 21 CFR Part 11 richiede realmente è il primo passo per scegliere l’eQMS giusto per la vostra organizzazione. La checklist qui sotto copre i requisiti più rilevanti e può aiutare ad accelerare il processo di valutazione. Durante la revisione di una soluzione eQMS, ponete le seguenti domande:

a) Autorizzazioni utente e controllo degli accessi:

1. Potete definire le autorizzazioni utente in base ai ruoli — ad esempio limitando l’accesso all’audit trail solo al personale QA?
2. Potete limitare l’accesso alle cartelle a ruoli utente specifici — ad esempio permettendo solo al personale QC di accedere alle cartelle dei risultati QC?
3. Potete controllare chi ha l’autorizzazione a eliminare, creare, modificare, revisionare e approvare i file — ad esempio limitando l’accesso all’approvazione solo al responsabile QA?

b) Identità utente e gestione delle password

1. Il sistema richiede un nome utente univoco per ogni utente per garantire la tracciabilità?
2. Il sistema invita gli utenti a seguire le migliori pratiche per la gestione delle password?
3. Il sistema notifica agli utenti che il loro nome utente e la password servono come autorizzazione per la loro firma elettronica e che queste credenziali devono essere mantenute riservate?

c) Registro di controllo (Audit Trail)

1. Il sistema cattura ogni azione eseguita da un utente connesso sotto forma di un audit trail con data e ora?
2. La cronologia delle modifiche registra quando i record sono stati creati, modificati, eliminati o resi obsoleti e registra queste azioni con il nome utente, la data e l'ora?

È importante notare che questa checklist copre i requisiti più importanti ma non deve essere considerata un sostituto della lettura della legislazione effettiva. Raccomandiamo vivamente di esaminare il regolamento federale completo e di formulare una propria interpretazione indipendente dei suoi requisiti.

5 Passi Pratici per Mantenere la Conformità Continua

Una volta selezionato un sistema di gestione documentale conforme, la sfida successiva è mantenere la conformità nel tempo. I cinque passaggi seguenti coprono tutte le aree principali da affrontare.

Passo 1 — Validazione del Software

Anche quando un fornitore di software offre una soluzione pre-validata, la responsabilità della conformità ricade in ultima istanza sul produttore. Dovreste verificare i requisiti principali elencati sopra, così come eventuali requisiti utente aggiuntivi definiti internamente dal vostro team. 

Un controllo approfondito della conformità può essere eseguito come parte della fase di qualificazione operativa del processo di validazione del software. È inoltre importante documentare accuratamente il processo di validazione, poiché questa documentazione stessa può essere soggetta a revisione durante un'ispezione FDA. Un tipico processo di validazione del software comprende tre fasi:

1. Qualificazione di Installazione — verificare che il software sia stato installato correttamente
2. Qualificazione Operativa — confermare che il software soddisfa tutti i requisiti normativi e degli utenti
3. Qualificazione delle Prestazioni — garantire che il software funzioni in modo coerente e affidabile nel tempo

La validazione non è un'attività una tantum. Qualsiasi modifica significativa al software, come aggiornamenti, patch o cambiamenti di configurazione, può richiedere una revalidazione per garantire la conformità continua. Pertanto, stabilire un chiaro processo di controllo delle modifiche per il vostro eQMS è una parte essenziale della gestione della conformità a lungo termine.

La validazione del software per la conformità a 21 CFR Parte 11 richiede la comprensione della metodologia CSV e degli approcci basati sul rischio per la qualificazione del sistema.

Scoprite come Computer System Validation (CSV) e Computer Software Assurance (CSA) differiscono e quale approccio si adatta al vostro eQMS.

→ Leggi: CSV vs CSA: Validazione dei Sistemi Computerizzati e Software Assurance nel Pharma

Passo 2 — Salvaguardare l'Integrità dei Record Elettronici

Mantenere l'integrità dei record elettronici richiede un insieme di procedure e controlli chiaramente definiti. Le responsabilità chiave in quest'area includono garantire la precisione, l'affidabilità e la coerenza dei record e definire processi per rilevare eventuali record non validi o alterati su base periodica. 

I record devono essere generati in modo accurato e completo, conservati in modo idoneo per ispezione, revisione e copia da parte dell'agenzia, e recuperabili per l'intero periodo di conservazione richiesto. Inoltre, tutto il personale che sviluppa, mantiene o utilizza sistemi di record e firma elettronici deve possedere l'istruzione, la formazione e l'esperienza appropriate per i compiti assegnati. 

Devono essere in atto controlli per proteggere l'autenticità, l'integrità e la riservatezza dei record dal punto di creazione fino al punto di ricezione. Aggiornamenti formativi regolari e revisioni interne periodiche delle pratiche di gestione dei record aiutano a garantire che tali controlli rimangano efficaci nel tempo e non si indeboliscano con il cambiamento del personale o l'evoluzione dei processi.

L'integrità dei dati nei sistemi conformi a 21 CFR Parte 11 richiede più della tecnologia: richiede capacità organizzative, competenza del personale e una cultura della qualità proattiva.

Scoprite come lo sviluppo delle competenze e la formazione sulla conformità assicurano che il vostro team mantenga effettivamente l'integrità dei record elettronici.

→ Leggi: Perché i Sistemi di Qualità Farmaceutici Falliscono Senza lo Sviluppo delle Competenze

Passo 3 — Controllare l'Accesso al Sistema e l'Autorità degli Utenti

L'accesso al sistema deve essere controllato e limitato solo agli individui autorizzati. Ciò comporta l'attivazione della protezione tramite password, la creazione di diversi livelli di autorità per diversi ruoli utente e l'assicurarsi che solo le persone giuste possano firmare i record elettronicamente, accedere a dispositivi di input o output, modificare i record o eseguire operazioni specifiche. 

Devono inoltre essere in atto controlli adeguati sulla distribuzione e l'accesso alla documentazione utilizzata per il funzionamento e la manutenzione del sistema. I diritti di accesso degli utenti dovrebbero essere riesaminati e aggiornati regolarmente, in particolare quando i dipendenti cambiano ruolo, lasciano l'organizzazione o quando si uniscono nuovi membri del team. 

Lasciare in vigore diritti di accesso obsoleti è una lacuna di conformità comune che può essere identificata durante un audit e dovrebbe essere gestita in modo proattivo come parte delle normali operazioni di qualità.

Passo 4 — Mantenere un Audit Trail Affidabile

Un audit trail conforme deve registrare tutte le voci dell'operatore con data e ora, nonché qualsiasi azione che crei, modifichi o elimini record elettronici. Le informazioni precedentemente registrate non devono mai essere oscurate dalle modifiche ai record. I documenti dell'audit trail devono essere conservati per almeno il tempo legalmente richiesto per i record elettronici pertinenti e devono rimanere recuperabili per la revisione dell'agenzia. 

Devono inoltre essere in atto procedure di revisione e controllo delle modifiche per mantenere un registro cronologico di come la documentazione del sistema è stata sviluppata e modificata nel tempo. L'audit trail è uno degli elementi più esaminati durante un'ispezione FDA, pertanto è fondamentale che il sistema generi automaticamente le voci dell'audit trail e che tali voci non possano essere modificate o eliminate da alcun utente, compresi gli amministratori di sistema.

Passo 5 — Gestire Correttamente le Firme Elettroniche

I record elettronici firmati devono contenere il nome stampato del firmatario, la data e l'ora in cui la firma è stata eseguita e il ruolo associato alla firma, come revisore, approvatore o autore. Le firme elettroniche devono essere collegate direttamente ai rispettivi record in modo che non possano essere rimosse, copiate o trasferite per falsificare un altro record. 

Devono essere stabilite e applicate politiche scritte per ritenere gli individui responsabili di tutte le azioni compiute con le loro firme elettroniche, fungendo da deterrente contro la falsificazione. 

Le organizzazioni dovrebbero inoltre garantire che i dipendenti comprendano il peso legale di una firma elettronica: essa ha la stessa valenza vincolante di una firma autografa, e firmare per conto di un’altra persona o condividere le credenziali di accesso è una grave violazione di conformità che deve essere affrontata esplicitamente nella formazione e nella documentazione delle politiche.

E i produttori che vendono nel mercato europeo?

La risposta breve è sia sì che no. 21 CFR Part 11 in sé non si applica ai prodotti venduti esclusivamente in Europa — in quel contesto, la normativa applicabile è l’Allegato 11 dell’UE. Tuttavia, l’Allegato 11 dell’UE copre sostanzialmente gli stessi requisiti per i sistemi computerizzati di 21 CFR Part 11. 

Ciò significa che se la vostra organizzazione è già conforme all’Allegato 11 dell’UE, la transizione alla conformità con 21 CFR Part 11 dovrebbe essere relativamente semplice, aprendo l’opportunità di entrare nel mercato statunitense senza sforzi aggiuntivi significativi. Per le organizzazioni che operano a livello globale, allineare il vostro eQMS per soddisfare contemporaneamente entrambi gli standard è una strategia intelligente a lungo termine. 

Costruire un unico sistema conforme che soddisfi sia l’Allegato 11 dell’UE sia 21 CFR Part 11 fin dall’inizio riduce la duplicazione degli sforzi e garantisce che la vostra infrastruttura di qualità possa supportare l’accesso ai mercati internazionali man mano che l’azienda cresce.

In conclusione

La conformità a 21 CFR Part 11 non è solo una casella da spuntare a livello normativo, è una base per una gestione affidabile, sicura ed efficiente dei record elettronici nell’industria delle scienze della vita. Scegliere il sistema di gestione documentale giusto significa esaminare attentamente come gestisce l’accesso degli utenti, le firme elettroniche, le piste di controllo e l’integrità dei dati. 

E una volta che il sistema giusto è operativo, mantenere la conformità è una questione di seguire processi strutturati in ambito di validazione, sicurezza, protezione dei record e responsabilità. Che stiate entrando per la prima volta nel mercato statunitense o rafforzando un sistema di qualità esistente, costruire un solido quadro di conformità a 21 CFR Part 11 è un investimento che ripaga in prontezza agli audit, fiducia normativa ed efficienza operativa a lungo termine.

Domande frequenti

1) Che cosa rende un sistema di gestione documentale conforme a 21 CFR Part 11?

Un sistema conforme a 21 CFR Part 11 deve garantire la sicurezza, l’integrità e la tracciabilità dei record elettronici e delle firme. Ciò include funzionalità come permessi utente basati sui ruoli, controlli sicuri di password e identificazione, piste di controllo a prova di manomissione, prestazioni del software validate e collegamento affidabile delle firme elettroniche. Dovrebbe inoltre permettere il recupero completo dei record durante le ispezioni e supportare la conservazione dei dati a lungo termine. Un sistema pienamente conforme riduce il rischio di manipolazione dei dati e rafforza la prontezza normativa complessiva.

2) Perché la validazione del software è importante per la conformità a 21 CFR Part 11?

La validazione del software dimostra che il vostro sistema di gestione documentale esegue costantemente come previsto e soddisfa sia i requisiti normativi sia quelli degli utenti interni. Anche se il fornitore fornisce una piattaforma validata, la FDA richiede comunque che la vostra organizzazione verifichi l’accuratezza dell’installazione, la funzionalità operativa e l’affidabilità a lungo termine. La validazione aiuta inoltre a identificare lacune prima che diventino problemi di conformità durante le ispezioni. In definitiva garantisce che i vostri processi di qualità rimangano affidabili, coerenti e pronti per gli audit.

3) Come funzionano le firme elettroniche in un sistema conforme a 21 CFR Part 11?

In un sistema conforme, le firme elettroniche devono essere uniche, sicure e permanentemente collegate ai record che approvano. Ogni firma deve visualizzare il nome del firmatario, il timestamp e il ruolo, e il sistema deve impedire qualsiasi copia, rimozione o alterazione della firma. Questi controlli aiutano a garantire la responsabilità per ogni approvazione e azione effettuata all’interno del sistema. Forniscono inoltre una traccia di revisione trasparente che supporta il processo decisionale regolatorio.