21 CFR Part 11 vs EU GMP Annex 11: Cosa devono sapere tutti i professionisti delle scienze della vita

Se lavori nel settore farmaceutico, delle biotecnologie o dei dispositivi medici, probabilmente ti sarai imbattuto in due quadri normativi che disciplinano come vengono gestiti i sistemi computerizzati e i dati elettronici: 21 CFR Parte 11 e EU GMP Allegato 11. 

Queste due linee guida vengono spesso confuse perché si sovrappongono su temi quali i registri elettronici, l'integrità dei dati e la convalida dei sistemi. Tuttavia, non sono la stessa cosa, e capire dove differiscono è fondamentale per qualsiasi azienda che opera a livello globale o che si sta preparando a ispezioni regolatorie.

Entrambi i quadri esistono per lo stesso motivo fondamentale: garantire che quando le organizzazioni passano da processi cartacei a sistemi digitali non compromettano la precisione dei dati, la qualità del prodotto o la sicurezza del paziente. Tuttavia, le due linee guida provengono da organismi regolatori diversi, si applicano in geografie differenti, hanno pesi legali diversi e affrontano l'argomento da angolazioni differenti.

Questo blog ti guida esattamente su cosa copre ciascun quadro, come si confrontano fianco a fianco e quali passi pratici puoi intraprendere per rimanere conforme ad entrambi.

Che cos'è 21 CFR Part 11?

21 CFR Part 11 è un regolamento emanato dalla U.S. Food and Drug Administration (FDA). "21 CFR" indica il Title 21 of the Code of Federal Regulations, e la Part 11 riguarda specificamente i registri elettronici e le firme elettroniche.

Il regolamento è stato pubblicato per la prima volta nel marzo 1997 ed è stato concepito per incoraggiare le aziende ad adottare sistemi digitali senza creare scappatoie che possano compromettere l'affidabilità dei dati. In termini semplici, stabilisce le regole secondo le quali i registri elettronici e le firme elettroniche sono considerati legalmente equivalenti ai registri cartacei e alle firme autografe.

21 CFR Part 11 si applica a tutti i registri che sono creati, modificati, mantenuti, archiviati, recuperati o trasmessi ai sensi delle normative FDA. Ciò include produttori farmaceutici, aziende biotecnologiche e produttori di dispositivi medici che inviano dati elettronicamente alla FDA o utilizzano sistemi elettronici nelle loro operazioni regolamentate.

Il regolamento è suddiviso in tre sottoparti:

1. Sottoparte A – Disposizioni generali: Questa sezione copre l'ambito del regolamento, le definizioni e come viene attuato. Stabilisce le basi per tutto ciò che segue.
2. Sottoparte B – Registrazioni elettroniche: Questa è la sezione più dettagliata. Specifica i requisiti per sistemi computerizzati chiusi e aperti, inclusi audit trail, controlli di accesso al sistema, controlli operativi, controlli di autorità, controlli dei dispositivi e la protezione dei registri elettronici. Delinea inoltre i requisiti per le manifestazioni della firma, cioè come una firma elettronica è collegata a un registro elettronico.
3. Sottoparte C – Firme elettroniche: Questa sezione copre i requisiti generali per le firme elettroniche, inclusa l'utilizzo di almeno due componenti di identificazione distinti (come un codice ID e una password), i controlli per i codici di identificazione e le password, e i requisiti per firme non biometriche e biometriche.

Una delle caratteristiche più importanti di 21 CFR Part 11 è il suo grado di specificità. Non si limita a dire cosa fare in termini generali; indica esattamente come farlo, il che rende più semplice verificare la conformità durante un audit ma anche più oneroso da implementare.

Che cos'è EU GMP Annex 11?

EU GMP Annex 11 è un documento di linee guida pubblicato dall'European Medicines Agency (EMA) come parte delle linee guida GMP dell'UE. Mentre 21 CFR Part 11 è un regolamento di legge, l'Annex 11 è un supplemento di orientamento, il che significa che non è legalmente vincolante nello stesso senso rigoroso. Tuttavia, ci si aspetta che venga seguito da qualsiasi azienda che operi all'interno dell'Unione Europea o esporti verso di essa.

Annex 11 è stato aggiornato più recentemente nel gennaio 2011 e si applica a tutti i sistemi computerizzati utilizzati in attività regolate dalle GMP. Mira a garantire che quando un sistema computerizzato sostituisce un processo manuale non vi sia perdita nella qualità del prodotto, nel controllo dei processi o nell'assicurazione della qualità.

La guida è strutturata in quattro sezioni:

1. Sezione 1 – Linee guida generali: Copre la gestione del rischio, le responsabilità del personale e la gestione dei fornitori e dei prestatori di servizi. Imposta l'approccio basato sul rischio per tutto il documento.
2. Sezione 2 – Fase di progetto: Si concentra sulla convalida dei sistemi computerizzati, incluse le user requirement specifications, il design del sistema e la documentazione necessaria durante lo sviluppo e l'implementazione del sistema.
3. Sezione 3 – Fase operativa: Questa è la sezione più ampia e riguarda l'uso quotidiano del sistema. Include requisiti per i controlli di accuratezza dei dati, l'archiviazione dei dati, le stampe, gli audit trail, la gestione dei cambiamenti e della configurazione, le valutazioni periodiche, le misure di sicurezza, la gestione degli incidenti, le firme elettroniche, il rilascio dei lotti, la pianificazione della continuità aziendale e l'archiviazione.
4. Sezione 4 – Glossario: Definisce i termini chiave utilizzati in tutto il documento.

A differenza del 21 CFR Parte 11, che è focalizzato in modo ristretto sui registri elettronici e sulle firme elettroniche, l'Allegato 11 adotta una prospettiva più ampia basata sui sistemi. Esamina l'intero ciclo di vita di un sistema informatizzato, dall'acquisto e installazione alla dismissione, e affronta insieme controlli organizzativi, procedurali e tecnici.

Confronto diretto: differenze chiave tra 21 CFR Parte 11 e EU GMP Allegato 11

La tabella sottostante riassume le differenze più critiche tra i due quadri normativi:

Dove convergono i due quadri normativi

Nonostante le differenze, 21 CFR Part 11 e EU GMP Annex 11 condividono un obiettivo comune: proteggere integrità dei dati e garantire l'affidabilità dei sistemi elettronici utilizzati in ambienti regolamentati. Entrambi i quadri richiedono:

1. Tracce di controllo (audit trail) che registrino chi ha fatto cosa, quando e perché
2. Accesso controllato ai sistemi mediante identificazione unica degli utenti
3. Controlli sulle firme elettroniche che colleghino la firma al record corrispondente
4. Convalida del sistema per confermare che i sistemi computerizzati funzionino in modo coerente e come previsto
5. Procedure e formazione per supportare l'uso conforme dei sistemi

Le aziende che esportano prodotti sia negli USA sia nei mercati UE, come la maggior parte dei grandi produttori farmaceutici, devono soddisfare entrambi i quadri contemporaneamente. Pur essendoci una sovrapposizione significativa, esistono lacune, in particolare riguardo alla qualificazione dei fornitori, alla continuità operativa e alla profondità della documentazione di convalida richiesta.

Entrambi i quadri richiedono una convalida pronta per l'audit.

Scopri come IQ OQ PQ costruisce la catena di prove che resiste al controllo di FDA ed EMA.

→ Leggi: IQ OQ PQ In Pharma | Fondamenti della qualifica delle attrezzature

Checklist di conformità: soddisfare sia 21 CFR Part 11 che EU GMP Annex 11

Usa questa checklist come punto di partenza per valutare l'attuale postura di conformità della tua organizzazione:

Convalida del sistema

1. Specifiche dei requisiti utente (URS) documentate per tutti i sistemi computerizzati
2.  Piani e report di convalida completati e approvati
3.  Revisione periodica dei sistemi convalidati effettuata

Record e firme elettroniche

1.  Le firme elettroniche sono associate in modo univoco agli individui
2.  Autenticazione a due fattori implementata dove richiesto (21 CFR Part 11)
3.  Le manifestazioni della firma includono data, ora e il significato della firma
4.  I record sono protetti contro alterazioni o cancellazioni non autorizzate

Tracce di controllo (Audit Trails)

1.  Le audit trail sono abilitate per tutti i campi di dati critici
2.  La frequenza di revisione delle audit trail è definita nelle procedure
3.  I record delle audit trail sono conservati secondo la politica di conservazione dei dati applicabile

Controlli di accesso

1.  ID utente unici sono assegnati a tutti gli utenti del sistema
2.  I controlli di accesso basati sui ruoli sono implementati e revisionati regolarmente
3.  Procedure di gestione degli account in atto (creazione, modifica, disattivazione)

Integrità dei dati

1.  Valutazione del Rischio per l'Integrità dei Dati (DIRA) completata
2.  Controlli attuati per prevenire la retrodatazione o la manipolazione dei dati
3.  Procedure di backup e disaster recovery definite e testate

Gestione dei fornitori e dell'infrastruttura IT

1.  Qualifica del fornitore eseguita per i venditori di sistemi computerizzati (Allegato 11)
2.  Qualifica dell'infrastruttura IT completata
3.  I contratti con i fornitori includono aspettative GMP/di integrità dei dati

Controlli operativi

1.  SOP in vigore per l'uso del sistema, il change control e la gestione degli incidenti
2.  I registri di formazione del personale sono mantenuti e aggiornati
3.  Piano di continuità operativa documentato e testato (Allegato 11)

Perché le aziende globali devono soddisfare entrambi i framework

Per un'azienda che produce in Europa e vende negli Stati Uniti, o viceversa, la conformità a un solo framework non è semplicemente sufficiente. Un'azienda conforme all'Allegato 11 ma che non ha affrontato gli aspetti specifici del 21 CFR Part 11 (come la regola della firma elettronica a due componenti o i requisiti precisi per il controllo dei sistemi aperti) potrebbe trovarsi a rischio durante un'ispezione FDA. Allo stesso modo, un'azienda che soddisfa tutti i requisiti del 21 CFR Part 11 ma ignora le esigenze dell'Allegato 11 relative alla qualificazione dei fornitori, alla continuità aziendale e alla valutazione periodica dei sistemi potrebbe ricevere osservazioni durante un'ispezione affiliata all'EMA.

La buona notizia è che costruire un programma di conformità che affronti entrambi i framework è realizzabile. Poiché i due framework condividono più punti in comune che differenze, un Sistema di Gestione della Qualità (QMS) ben progettato, costruito attorno ai principi di integrità dei dati, a una convalida approfondita, a robusti controlli di accesso e a solide pratiche di documentazione soddisferà naturalmente i requisiti essenziali di entrambi.

Suggerimenti pratici per restare conformi a entrambi

1. Adottare un approccio basato sul rischio. Entrambi i framework supportano l'uso di valutazioni del rischio per dare priorità agli sforzi. Inizia classificando i tuoi sistemi computerizzati in base alla criticità GMP e concentrando i controlli più rigorosi sui sistemi a più alto rischio.

2. Integrare la convalida nel ciclo di vita del sistema. Non trattare la convalida come un evento singolo. Entrambi i framework si aspettano che tu mantenga uno stato convalidato per tutta la vita del sistema, anche dopo modifiche e aggiornamenti.

3. Formare regolarmente il personale. I tuoi sistemi sono affidabili solo quanto le persone che li utilizzano. La formazione su integrità dei dati, uso dei sistemi e aspettative GMP dovrebbe essere documentata, specifica per ruolo e aggiornata periodicamente.

4. Gestire i fornitori in modo proattivo. L'Allegato 11 richiede specificamente di valutare e gestire i fornitori dei sistemi computerizzati. Non dare per scontato che le dichiarazioni di conformità di un fornitore siano sufficienti; esegui audit e rivedi la loro documentazione.

5. Mantenere i registri di audit significativi. Un audit trail che esiste ma non viene mai rivisto apporta poco valore. Definisci chi rivede gli audit trail, con quale frequenza e cosa costituisce una constatazione segnalabile.

6. Documentare tutto. Entrambi i framework premiano una documentazione ben mantenuta. I tuoi record di convalida, i change control, i registri di deviazione e i registri di formazione sono le prove che presenterai durante le ispezioni.

La conformità senza capacità è uno scudo di carta.

Ecco perché i sistemi di qualità farmaceutica falliscono quando le persone non sono formate per sostenerli.

→ Leggi: Perché i Sistemi di Qualità Farmaceutica Falliscono senza Capacity Building

Considerazioni finali

21 CFR Part 11 e EU GMP Annex 11 non sono intercambiabili; sono framework complementari che perseguono lo stesso scopo finale da due prospettive regolatorie diverse. 21 CFR Part 11 è una normativa statunitense dettagliata e prescrittiva focalizzata specificamente sui record elettronici e sulle firme. EU GMP Annex 11 è una linea guida europea più ampia e basata sui principi che copre l'intero ciclo di vita dei sistemi computerizzati nelle operazioni GMP.

Comprendere le somiglianze e le differenze tra i due non è solo un esercizio accademico. Per le aziende del settore delle scienze della vita che operano nel mercato globale odierno, è una necessità pratica. Farli entrambi correttamente protegge i pazienti, preserva la qualità del prodotto e mantiene la tua organizzazione pronta per le ispezioni su entrambi i lati dell'Atlantico.

Domande frequenti

D1. Qual è la principale differenza tra 21 CFR Part 11 e EU GMP Annex 11?

21 CFR Part 11 è una normativa vincolante della FDA focalizzata sui record elettronici e sulle firme negli Stati Uniti, mentre EU GMP Annex 11 è un documento di orientamento GMP dell'EMA che copre l'intero ciclo di vita dei sistemi computerizzati usati nella produzione farmaceutica all'interno dell'UE.

D2. L'Allegato 11 dell'EU GMP è legalmente obbligatorio?

L'allegato 11 è un documento di orientamento, non una normativa legale autonoma. Tuttavia, le autorità regolatorie dell'UE si aspettano conformità, e le deviazioni dai suoi principi possono comportare rilievi ispettivi o restrizioni all'importazione.

D3. Le aziende farmaceutiche devono conformarsi a entrambi i quadri normativi?

Le aziende che producono o distribuiscono prodotti sia sul mercato statunitense sia su quello UE sono tenute a rispettare i requisiti di entrambi i mercati. Poiché i quadri si sovrappongono in misura significativa, un SGQ ben strutturato può generalmente affrontare entrambi contemporaneamente.

D4. Cosa significa "integrità dei dati" nel contesto di queste due normative?

Per integrità dei dati si intende garantire che i registri elettronici siano completi, accurati, coerenti e affidabili per tutto il loro ciclo di vita. Entrambi i quadri richiedono controlli quali audit trail, restrizioni di accesso e validazione per proteggere l'integrità dei dati.

D5. Con quale frequenza i sistemi computerizzati dovrebbero essere riesaminati per la conformità?

Entrambi i quadri prevedono revisioni periodiche dei sistemi computerizzati per confermare che rimangono convalidati e continuano a soddisfare i requisiti normativi. La frequenza dovrebbe essere basata sul rischio e documentata nelle vostre procedure di qualità.