Posts tagged ‘21 CFR Parte 11’

  1. Hay una separación clara de responsabilidades y cooperación entre todo el personal relevante tal como propietario del proceso de negocios, propietario del sistema, una persona calificada de QA e IT?
  2. Hay un Análisis de riesgo documentado efectuado a lo largo del ciclo de vida del sistema computarizado, teniendo en cuenta la justificación para la validación, seguridad del paciente, integridad de datos y la calidad del producto?
  3. La documentación de validación incluye los registros de Controles de Cambios (si los hay) y los reportes sobre cualquier desvío observado durante el proceso de validación?
  4. Hay una URS para cada sistema, donde se describen las funciones esperadas por los usuarios y estas son trazables a lo largo del ciclo de vida de los documentos?
  5. Para la validación de SC customizados / categoría 5 GAMP5, hay un proceso “in place” para asegurar el análisis formal y el reporte de calidad y medidas de la performance para todas las etapas del ciclo de vida del SC?
  6. En el caso que sean transferidos datos a otro formato de datos o sistema. La validación incluye la verificación que los datos no han sido alterados en valor y/o significado durante el proceso de migración?
  7. En el caso que el SC intercambie datos electrónicamente con otros sistemas. Hay chequeos incorporados apropiados para verificar el correcto y seguro ingreso y proceso de los datos, de manera de minimizar los riesgos?
  8. En el caso que sean ingresados datos de forma manual. Hay una verificación adicional efectuada por una segunda persona o medio electrónico validado para asegurar la exactitud de los mismos? La criticidad y las consecuencias potenciales de potenciales errores o datos ingresados de forma incorrecta debería ser cubierta por la gestión de riesgo.
  9. Cómo es la seguridad de los datos frente al daño (tanto física como electrónica)? Los datos almacenados deberían ser chequeados para su accesibilidad, lectura y exactitud. El acceso a los datos debe ser asegurado a lo largo del período de retención.
  10. Es efectuado un back up de los datos de forma regular? La integridad y exactitud del back up de datos y la capacidad para recuperar datos debe ser verificada durante la validación y el monitoreo periódico.
  11. Es posible obtener copias impresas de datos almacenados electrónicamente de forma clara?
  12. Para registros que soportan la liberación del lote, es posible generar impresiones indicando si alguno de los datos ha sido cambiado desde la entrada original?
  13. Hay un “Audit Trail” diseñado dentro del sistema el cual registra todo cambio GMP relevante y las eliminaciones?
  14. Todos los cambios y eliminaciones de datos GMP relevantes son documentadas con una justificación?
  15. Los audit trails están disponibles y convertibles a un formulario comprensible?
  16. Los cambios a un SC son incluidos en un sistema de configuración hecho en una forma controlada de acuerdo a un procedimiento definido?
  17. Todos los SC son periódicamente evaluados para confirmar que ellos se mantienen en un estado validado y están en cumplimiento de las GMP? Las evaluaciones deberían incluir, si es apropiado, el rango actual de funcionalidad, el registro de los desvíos, incidentes, problemas, historial de las actualizaciones, performance, confiabilidad y reportes de estatus de validación.
  18. Hay controles físicos y lógicos, “In Place” para restringir el acceso a los SC a las personas autorizadas? Por ejemplo, uso de claves, tarjetas, código personal con contraseñas, biométricas, para restringir el acceso a áreas del equipamiento computarizado y almacenamiento de datos.
  19. Los sistemas de gestión de datos y documentos están diseñados para registrar la identidad de los operadores que ingresan, cambian, confirman o borran datos incluyendo la fecha y la hora?
  20. Cómo son reportados y evaluados los incidentes? La causa raíz del incidente debe ser identificada y debe ser la base de la acción correctiva (CAPA).
  21. Ha sido efectuada la evaluación de la parte 11 para los sistemas relevantes?
  22. Hay un procedimiento que confirma que la firma electrónica tiene el mismo impacto que las formas manuscritas dentro de los límites de la compañía?
  23. Las firmas electrónicas permanecen relacionadas a sus respectivos registros electrónicos?
  24. Cuando el sistema computarizado es usado para la certificación y liberación de lotes, el sistema permite solo personas calificadas para certificar la liberación de los lotes y claramente identificada y registra la persona que libera y certifica los lotes? Esto podría ser efectuado utilizando una firma electrónica.
  25. Los datos han sido chequeados para su accesibilidad, disponibilidad e integridad?

CSV

Soporte, estrategia de mantenimiento y Gestión del Cambio

Con el fin de mantener el estado validado, el sistema debe ser soportado y mantenido y los cambios deben ser gestionados adecuadamente. Un mecanismo debe estar en su lugar para registrar los problemas del sistema, investigarlos y seguirlos hasta el final con el seguimiento apropiado de las acciones correctivas y preventivas, según corresponda.
Los cambios en el sistema pueden ser consecuencia de problemas o cambios en los procesos de negocio y el uso del sistema. El impacto de cualquier cambio propuesto en la funcionalidad existente debe ser evaluado antes de su aprobación. Los testeos de soporte del cambio deben demostrar que

(a) la funcionalidad cambiada performa como se esperaba y

(b) no hay un impacto inesperado en las funciones del sistema relacionadas.
De forma periódica debe haber una revisión de la gestión del sistema para determinar que necesita hacerse para mantener el estado validado. Inputs a la revisión de la gestión pueden incluir:

  • Cantidad de cambios del sistema
  • Problemas comunes de los usuarios
  • Cambios técnicos a la infraestructura de apoyo al sistema
  • Soporte continuo a las partes de origen comercial del sistema (hardware o software)
  • Cambios en el uso del sistema
  • Cambios en los procesos de negocio soportados por el sistema

Las recomendaciones resultantes de la revisión periódica deben ser registrados formalmente y las acciones deben ser seguidas.
Siempre que sea posible, el sistema debe ser mantenido con los parches de seguridad actuales de los sistemas operativos, bases de datos y software de aplicación con el fin de proteger el proceso y los datos del acceso y cambio no autorizado (hacking).
Cuando al sistema se puede acceder directamente por medio del proveedor de software (por acceso telefónico o Internet) este acceso debe ser controlado de manera que los cambios realizados sean gestionados de forma normal.

Copias de seguridad y restauración

Con el fin de asegurar el sistema y sus datos, deben ser identificados requerimientos de back up y recuperación para todos los sistemas que tienen impacto sobre las GMP. La frecuencia con que se efectúan las copias de seguridad debe ser determinada de acuerdo a la criticidad del sistema. Los datos respaldados deben estar bien seguros y la recuperación de los mismos debe ser probada periódicamente, para asegurar que es exitosa.
Continuidad de Negocio / Recuperación de Desastres

La pérdida de sistemas informáticos puede ocurrir por una variedad de razones, que van desde fallas en los equipos, de red o fallas de software por una catástrofe en la planta. Se prevé que la mayoría de los problemas de sistemas computarizados o infraestructuras se resolverán rápidamente por procesos de apoyo existentes para minimizar el impacto en los usuarios finales del sistema. Un problema serio puede, sin embargo, convertirse en un desastre si se deja sin resolver.
El período inmediato que rodea a un desastre puede dar lugar a confusión, el caos y la interrupción significativa de la operación del negocio de rutina. Las medidas adoptadas en las primeras horas de una crisis tienen una incidencia significativa en la severidad y la velocidad máxima para reanudar las operaciones normales del negocio. La creación de planes estructurados ayudará proporcionando responsabilidades y acciones claramente definidas. Estos procedimientos, junto con un poco de preparación antes del desastre, asegurarán que el impacto en el negocio de cualquier desastre puede ser gestionado y minimizado.
La continuidad del negocio (BC) y la recuperación de desastres (DR) son dos procesos paralelos que se preparan antes del desastre y se ejecutan después de que ocurre el desastre. Planificación BC describe cómo los procesos de negocio y actividades continúan en ausencia de los sistemas informáticos de apoyo. La planificación del BC depende enteramente de la criticidad del sistema. Para los sistemas la planificación BC puede ser la de no hacer nada hasta que se restablezca el sistema.

La planificación del DR describe cómo los sistemas se restauran a un estado operativo (incluidos los datos) y deben estar en su lugar para todos los sistemas computarizados e infraestructura. Una vez más un enfoque basado en el riesgo se toma a menudo.
Para asegurar que los planes son eficaces en el caso de un desastre tienen que ser precisos, oportunos y completos. Ellos deben ser revisados ​​y actualizados periódicamente. Cuando sea práctico la revisión debe incluir una prueba o ejercicio de los planes.
Medidas de seguridad

Las medidas de seguridad deben estar en su lugar para evitar el acceso no autorizado al sistema. La seguridad física puede implicar el control de acceso al centro de datos o restringir el acceso a áreas específicas dentro de la instalación, por ejemplo los laboratorios pertinentes o áreas de la planta. Acceso lógico puede incluir controles sobre el acceso al software del sistema, lo que restringe las funciones críticas del sistema para los usuarios especificados y cambiar las contraseñas en los sistemas operativos, bases de datos y software de aplicación. Una consideración importante es mantener la seguridad de los componentes del sistema actualizado con los parches de seguridad proporcionados por el vendedor. El objetivo de la seguridad física y lógica es la de proteger la funcionalidad y los datos del sistema del cambio no autorizado.
Registros Electrónicos y Firmas Electrónicas

Cuando hay sistemas computarizados de apoyo a los procesos críticos de GMP en una instalación y gran parte de los datos crudos (raw data) mantenidos electrónicamente, es importante que los registros y firmas asociadas son seguras, confiables y atribuible. Es importante que el personal de la planta entienda que sus firmas electrónicas son el equivalente de la firma manuscrita. El Audit trail debe registrar todas los detalles necesarios incluyendo quién creó o modificó un registro y cuándo (21 CFR Parte 11).

Un par de temas más…

Retiro o decomiso del sistema

Procedimiento mediante la cual un sistema es retirado del uso productivo, aquí el código se archiva, los datos son convertidos o migrados (si aplica), y el sistema está desmontado y colocado fuera de servicio. El enfoque utilizado para el retiro sistema debe mantener la integridad de los datos o la necesidad de la utilización de los datos en el futuro.
Migración de datos

La migración de datos es un proceso de una sola vez donde los datos se mueven de un sistema a otro sistema. Esto puede ser debido a una actualización del sistema o debido a la sustitución de un sistema existente con un nuevo sistema. Este no es un proceso continuo entre dos sistemas.
El enfoque de la migración de datos debe consistir en un plan de migración, la identificación de los datos que se migra, el proceso real de la migración de los datos, y un proceso de verificación de la migración para determinar que el proceso de migración era precisa y exitosa.
Las desviaciones del proceso de migración de datos deben ser documentos y resueltas de acuerdo a su criticidad.

 

Espero que les resulte interesante, a los que ingresaron por acá, les dejo el link al artículo I, haciendo click aquí.