INTEGRIDAD DE LOS DATOS FARMACÉUTICOS
FDA 21 CFR Parte 11: Registros electrónicos seguros con el S332
El dispositivo de visualización y registro de datos SUTO iTEC S332 permite crear registros electrónicos seguros y trazables gracias a la gestión de usuarios basada en roles, un registro de auditoría protegido, firmas electrónicas, 10 GB de almacenamiento protegido y acceso remoto controlado.
Diseñado para garantizar la integridad de los datos en la supervisión de servicios públicos regulados
EN RESUMEN
La norma 21 CFR, parte 11, de la FDA define cuándo los registros electrónicos y las firmas electrónicas pueden considerarse equivalentes a los registros en papel y las firmas manuscritas. El S332 ofrece controles técnicos que cumplen con estos requisitos. Sin embargo, el cumplimiento depende de que el sistema de calidad esté completamente validado.
Las empresas farmacéuticas se basan en registros digitales para demostrar el estado del aire comprimido y otros servicios críticos. Parámetros como el punto de rocío, la presión, el caudal, las partículas y el vapor de aceite pueden influir en una decisión relacionada con las buenas prácticas de fabricación (GMP) y, por lo tanto, deben ser fiables, trazables y estar disponibles.
En esta página se explica cuándo se aplica la Parte 11, cómo el S332 garantiza la integridad de los datos, cómo se relacionan estas funciones con ALCOA+ y el Anexo 11 de las BPF de la UE, y qué responsabilidades siguen recayendo en la organización usuaria.
1. ¿Qué es la norma 21 CFR, parte 11, de la FDA?
La norma 21 CFR, parte 11, de la FDA define los criterios según los cuales los registros electrónicos y las firmas electrónicas pueden considerarse equivalentes a los registros en papel y a las firmas manuscritas.
Se aplica cuando se utilizan registros electrónicos para cumplir con los requisitos normativos de la FDA. La Parte 11 no prescribe ninguna tecnología concreta. En cambio, exige que los registros sean precisos, completos, seguros, trazables y estén protegidos contra modificaciones no autorizadas.
El reglamento se aplica junto con las normas subyacentes de la FDA que exigen el mantenimiento de registros, lo que se conoce comúnmente como «normas de referencia». Esas normas determinan qué registros hay que conservar; la Parte 11 regula cómo se pueden crear y mantener esos registros de forma electrónica.
Entre los controles habituales se incluyen:
- Cuentas de usuario únicas
- Permisos basados en roles
- Registros de auditoría
- Firmas electrónicas
- Conservación segura de los registros
- Eventos con marca de tiempo
- Validación del sistema
2. Por qué la Parte 11 es importante para los datos sobre aire comprimido y servicios públicos
La Parte 11 se puede aplicar a los datos sobre aire comprimido y servicios siempre que el registro respalde una decisión relacionada con las buenas prácticas de fabricación (GMP).
El alcance viene determinado por el uso que se le da a una medición, no por el tipo de instrumento. Por ejemplo, un registro del punto de rocío que se usa durante la liberación de un lote forma parte de la cadena de pruebas regulada. Lo mismo puede aplicarse a los datos de partículas, vapores de aceite, presión, temperatura o caudal cuando esos valores respaldan la calidad del producto, las investigaciones o las condiciones de proceso validadas.
| Medición de servicios públicos | Uso típico según las buenas prácticas de fabricación (GMP) | ¿Entra dentro del ámbito de aplicación? |
|---|---|---|
| Punto de rocío | Prueba de que el rendimiento del secado se mantuvo dentro de las especificaciones durante un lote | Sí |
| Vapores y partículas de aceite | Conformidad del aire en contacto con el producto con las clases especificadas en la norma ISO 8573 | Sí |
| Caudal y consumo | Investigaciones de desviaciones y evaluaciones de capacidad a las que se hace referencia en la documentación de las buenas prácticas de fabricación (GMP) | Normalmente |
| Presión y temperatura | Parámetros de apoyo indicados en una descripción de proceso validada | Normalmente |
| Consumo energético | Informes de costes y eficiencia sin ninguna decisión sobre las buenas prácticas de fabricación (GMP) | Normalmente no |
Unos registros fiables de los servicios públicos agilizan las investigaciones, reducen el papeleo manual y ofrecen a los auditores un historial claro del valor medido, la configuración del sistema y las personas que revisaron o aprobaron el registro.
3. Cómo cumple el S332 con la norma 21 CFR, parte 11, de la FDA
El S332 cumple con la norma 21 CFR Parte 11 de la FDA gracias a cinco controles técnicos integrados que protegen los registros electrónicos de los servicios públicos desde la medición hasta la revisión, aprobación, almacenamiento y recuperación.
Estos controles están integrados en el S332, en lugar de añadirse posteriormente mediante hojas de cálculo independientes o procesos de aprobación en papel. Cada función se centra en una parte diferente del ciclo de vida de los registros electrónicos y ayuda a las organizaciones reguladas a mejorar la rendición de cuentas, la trazabilidad, la integridad de los datos y la preparación para las inspecciones.
1. Gestión de usuarios basada en roles
Las cuentas de usuario únicas y los permisos definidos permiten vincular cada acción a una persona autorizada.
El S332 admite cuatro tipos de cuentas: Operador, Gestor, Auditor y Administrador. Esta separación ayuda a aplicar el principio del mínimo privilegio y evita que se compartan credenciales de acceso, una de las vulnerabilidades más comunes en los sistemas de registros electrónicos.
| Tipo de cuenta | Ámbito típico |
|---|---|
| Operador | Supervisión y gestión diaria dentro de los permisos asignados |
| Gerente | Tareas de configuración y aprobación dentro de los permisos asignados |
| Auditor | Revisión de registros y de la pista de auditoría sin derechos de modificación |
| Admin | Gestión de cuentas de usuario y configuración del sistema |
2. Registro de auditoría protegido
El S332 genera automáticamente un registro de auditoría con marca de tiempo. El usuario no puede desactivarlo, editarlo ni borrarlo.
Las operaciones relevantes se registran con el ID de usuario, la marca de tiempo, el valor original, el valor modificado y un comentario sobre la operación. El registro de auditoría se puede consultar en caso de desviaciones, auditorías internas e inspecciones reglamentarias.
Por qué es importante: El registro de cambios muestra quién modificó qué y cuándo, sin sobrescribir el historial original.
3. Firmas electrónicas
Cada firma electrónica pertenece a una cuenta de usuario y permanece vinculada al registro firmado.
Los archivos firmados conservan la identidad del usuario y la marca de tiempo. Si se modifica un archivo firmado, la firma se invalida automáticamente, lo que hace que el estado de aprobación sea transparente.
¿Registro de auditoría o firma electrónica?
El registro de auditoría recoge la actividad del sistema de forma continua. Una firma electrónica es una revisión o aprobación deliberada por parte de un usuario autorizado. El registro de auditoría indica quién modificó qué y cuándo; la firma identifica quién aprobó el registro.
4. Almacenamiento seguro y recuperación de registros
El S332 ofrece 10 GB de almacenamiento interno protegido para registros de mediciones, historiales de auditoría y archivos firmados.
Los registros originales no se pueden sobrescribir ni modificar. Mantener las pruebas relacionadas en un único entorno protegido facilita la revisión y la recuperación de los datos históricos.
Los plazos de conservación, las copias de seguridad, el archivo y la recuperación siguen formando parte del sistema de calidad de la organización del usuario y deben definirse de acuerdo con las normas aplicables.
5. Acceso remoto controlado
El servidor web integrado permite a los usuarios autorizados acceder de forma remota, al tiempo que garantiza que las acciones sean atribuibles y rastreables.
El acceso remoto permite revisar y responder más rápido sin que el personal tenga que estar delante del dispositivo. Aun así, la organización usuaria debe evaluar y validar el diseño de la red, los controles de ciberseguridad y la política de acceso.
4. Cómo el S332 garantiza la integridad de los datos según ALCOA+
ALCOA+ es el término que usan la mayoría de los equipos de calidad para describir la integridad de los datos, y cada principio se corresponde con un control específico de la norma S332.
ALCOA+ no forma parte de la normativa en sí. Es un marco de referencia y suele ser el lenguaje que usa el auditor durante la reunión.
| Principio ALCOA+ | Control S332 correspondiente |
|---|---|
| Atribuible | Las cuentas de usuario únicas y los permisos basados en roles vinculan cada acción a un usuario concreto. |
| Legible | Los registros electrónicos y los archivos de seguimiento de auditoría se pueden recuperar y consultar cuando sea necesario. |
| Contemporáneo | Las mediciones y los eventos del registro de auditoría se registran con marcas de tiempo en el momento en que se producen. |
| Original | Los datos originales están protegidos contra la sobrescritura o la alteración en el almacenamiento interno. |
| Precisión | Los datos de medición proceden de sensores cuya precisión se mantiene gracias a una calibración trazable, ya sea en el laboratorio de SUTO iTEC o mediante calibración por intercambio. |
| Completo | Los registros del historial de auditoría recogen las actividades y los cambios de los usuarios, incluidos los valores originales y los modificados. |
| Coherente | Los eventos se registran cronológicamente según una referencia temporal coherente. |
| Duradero | El almacenamiento interno de 10 GB guarda registros electrónicos, historiales de auditoría y archivos grabados. |
| Disponible | Los registros almacenados y los archivos de historial de auditoría se pueden recuperar y exportar cuando quieras. |
5. 21 CFR, parte 11, de la FDA y el anexo 11 de las BPF de la UE
La Parte 11 y el Anexo 11 son marcos diferentes, pero ambos exigen un acceso controlado, registros fiables, pistas de auditoría, validación, seguridad y firmas electrónicas adecuadas.
Para los fabricantes que operan en los mercados de EE. UU. y Europa, un sistema de monitorización bien diseñado puede cumplir con las expectativas de ambos mercados. La evaluación final del cumplimiento sigue basándose en el uso previsto y en el sistema informatizado completo.
| Tema | FDA 21 CFR Parte 11 | Anexo 11 de las BPF de la UE |
|---|---|---|
| Ámbito de aplicación | Productos regulados por la FDA, Estados Unidos | Sistemas informáticos en actividades relacionadas con las buenas prácticas de fabricación (GMP), Unión Europea |
| Naturaleza jurídica | Regulación, norma de obligado cumplimiento | Directriz sobre las buenas prácticas de fabricación (GMP) en el volumen 4 de EudraLex |
| Acceso controlado de usuarios | Obligatorio, apartados 11.10(d) y 11.10(g) | Obligatorio, apartado 12 sobre seguridad |
| Registro de auditoría | Obligatorio, apartado 11.10(e) | Obligatorio, sección 9, incluida la revisión periódica |
| Firmas electrónicas | Requisitos detallados, apartados 11.50 a 11.300 | Se trata en la sección 14 |
| Validación del sistema | Obligatorio, apartado 11.10(a) | Obligatorio, apartado 4 |
| Conservación de registros | Se rige por las normas de referencia aplicables | Se rige por los requisitos de buenas prácticas de fabricación (GMP) aplicables |
La Comisión Europea publica el texto completo del anexo 11 en el volumen 4 de EudraLex.
6. Ejemplo práctico: registros del punto de rocío durante una inspección de la FDA
Un inspector pide pruebas de que el punto de rocío del aire comprimido se mantuvo dentro de los límites especificados durante un lote de producción.
Con el S332, el equipo de calidad puede consultar el historial de mediciones, revisar los cambios de configuración relevantes en el registro de auditoría y verificar la aprobación electrónica correspondiente, todo ello desde una sola plataforma. Esto reduce el tiempo de búsqueda y ofrece una cadena de pruebas más clara que un flujo de trabajo repartido entre registradores locales, hojas de cálculo y firmas en papel.
| Sin un sistema de monitorización compatible con la Parte 11 | Con el SUTO iTEC S332 |
|---|---|
| La información se recopila a partir de los datos de un registrador local, una hoja de cálculo exportada y un informe de mantenimiento. | El historial de mediciones, el registro de auditoría y las aprobaciones se consultan desde una sola plataforma. |
| No hay pruebas fiables de que la configuración no haya cambiado durante el lote. | El registro de auditoría muestra si se ha producido algún cambio en la configuración, quién lo ha hecho y cuándo. |
| Las autorizaciones aparecen como firmas impresas en documentos independientes. | Las autorizaciones electrónicas están vinculadas a los registros y se pueden verificar. |
| Preparar el expediente de pruebas lleva días. | El equipo de calidad exporta directamente los registros necesarios. |
En lugar de tener que recopilar información de varios sistemas con prisas, el equipo de calidad te ofrece un registro centralizado y trazable desde una sola plataforma.
7. Una plataforma única para la supervisión de servicios públicos esenciales
El S332 centraliza los puntos de medición que sirven de base para las decisiones sobre la calidad de los servicios y las buenas prácticas de fabricación (GMP).
Dependiendo de la aplicación, estos pueden incluir el punto de rocío, las partículas, el vapor de aceite, el caudal, la presión y la temperatura. Reunir estos registros en un único entorno protegido mejora la visibilidad y reduce la documentación dispersa.
- Medidores de punto de rocío para evaluar el rendimiento del secado y el aire que entra en contacto con el producto
- Instrumentos para medir la calidad del aire comprimido: partículas, vapores de aceite y humedad
- Medidores de caudal para aire comprimido y gases, para medir el consumo y el caudal másico
- Sensores de presión y temperatura para controlar los parámetros del proceso
Los registros de estos puntos de medición se guardan, se firman y se exportan a través del mismo entorno protegido. La precisión de los sensores se mantiene gracias al servicio de calibración SUTO iTEC, lo que hace que el principio de «precisión» de ALCOA+ sea algo demostrable y no una simple suposición.
8. Lo que el S332 no sustituye
Ningún dispositivo por sí solo garantiza que una organización cumpla con la norma 21 CFR Parte 11 de la FDA.
El S332 proporciona los controles técnicos propios del sistema. El cumplimiento se garantiza a nivel de todo el sistema de calidad. La organización usuaria se encarga de lo siguiente:
- Validación y cualificación del sistema para su uso previsto
- Procedimientos operativos estándar y formación de los usuarios
- Revisión periódica del registro de auditoría
- Procedimientos de copia de seguridad, archivo y recuperación
- Gestión de la calibración y control de cambios
- Política de ciberseguridad y acceso a la red
Por lo tanto, el S332 debería implementarse como parte de un sistema validado que cuente con procedimientos adecuados, formación, copias de seguridad, ciberseguridad, calibración y control de cambios.
9. Preguntas frecuentes sobre la norma 21 CFR, parte 11, de la FDA y la S332
¿El hecho de usar el S332 nos garantiza automáticamente el cumplimiento de la norma 21 CFR, parte 11, de la FDA?
Ningún dispositivo por sí solo puede garantizar que una organización cumpla con la normativa. El SUTO iTEC S332 ofrece los controles técnicos que la Parte 11 exige a un sistema: acceso basado en roles, un registro de auditoría protegido, firmas electrónicas y almacenamiento de datos protegido.
El cumplimiento en sí mismo se logra a nivel de todo tu sistema de calidad, que incluye la validación, los procedimientos operativos estándar, la formación de los usuarios, la revisión del registro de auditoría, las copias de seguridad y la recuperación, y el control de cambios.
¿Se aplica la norma 21 CFR, parte 11, de la FDA a los datos de monitorización del aire comprimido y de los servicios públicos?
La Parte 11 se aplica siempre que se utilicen registros electrónicos para cumplir los requisitos normativos de la FDA. Si tus datos sobre la calidad del aire comprimido, el punto de rocío, el caudal o la presión sirven de base para tomar decisiones relacionadas con las buenas prácticas de fabricación (GMP) —por ejemplo, para demostrar que los servicios se mantuvieron dentro de las especificaciones durante un lote de producción—, esos registros están sujetos a los requisitos de la Parte 11 y deben ser fiables, trazables y estar protegidos.
¿El S332 es un sistema abierto o cerrado según la Parte 11?
La Parte 11 define un sistema cerrado como aquel en el que el acceso lo controlan las personas responsables de los registros. En una instalación típica, el S332 funciona dentro de la red de la planta y el acceso lo controla el propietario del registro, lo que se corresponde con un sistema cerrado.
Si se habilita el acceso remoto fuera de ese entorno controlado, se aplican los controles adicionales de la sección 11.30. La clasificación la realiza tu propia unidad de calidad como parte de la evaluación del sistema.
¿Todavía tenemos que validar el S332 en nuestro propio entorno?
Sí. Se espera que las empresas reguladas califiquen y validen los sistemas para el uso previsto en su propio entorno, normalmente siguiendo su propia metodología de validación interna.
Los controles técnicos integrados en el S332 respaldan este proceso, pero no sustituyen a la cualificación de la instalación y del funcionamiento, ni a los procedimientos documentados, ni a la revisión periódica.
¿Qué documentación de apoyo a la validación hay disponible para el S332?
Deberías confirmar con SUTO iTEC la documentación de apoyo disponible sobre la cualificación y la validación para el proyecto y la configuración del sistema concretos.
¿Pueden los registros electrónicos del S332 sustituir a los registros en papel?
Para eso precisamente se redactó la Parte 11. Los registros electrónicos y las firmas electrónicas pueden considerarse equivalentes a los registros en papel y a las firmas manuscritas cuando se aplican los controles necesarios.
El S332 te ayuda con esto gracias a cuentas de usuario únicas, un registro de auditoría que no se puede desactivar ni editar, firmas electrónicas que se invalidan ante cualquier modificación del archivo y un almacenamiento interno protegido. La decisión de si se puede prescindir por completo del papel sigue siendo competencia de tu departamento de calidad.
¿Cuál es la diferencia entre el registro de auditoría y la firma electrónica?
El registro de auditoría se genera de forma automática y continua. En él se registra quién hizo qué y cuándo, incluyendo los valores originales y los modificados, y ningún usuario puede desactivarlo ni alterarlo.
Una firma electrónica es un acto deliberado de un usuario autorizado, como por ejemplo aprobar un registro. Cada firma está vinculada a una sola cuenta de usuario, no se puede reutilizar y deja de ser válida si el archivo firmado se modifica posteriormente. Juntas garantizan la responsabilidad y la integridad de los registros.
¿Cómo hay que presentar los registros durante una auditoría o una inspección de la FDA?
Los registros, los archivos de historial de auditoría y los archivos firmados se guardan en el almacenamiento interno protegido de 10 GB del S332 y se pueden recuperar y exportar cuando sea necesario. Los usuarios autorizados también pueden acceder a los datos de forma remota a través del servidor web integrado, y cada acción remota queda registrada en el historial de auditoría.
Esto permite a tu equipo de calidad presentar el historial de mediciones, los registros de auditoría y las aprobaciones desde una sola plataforma, en lugar de tener que recopilar pruebas de varios sistemas.
¿Quién se encarga de las copias de seguridad y de la conservación de los registros a largo plazo?
Los plazos de conservación los establecen las normas de referencia aplicables y tu propio sistema de calidad, no la Parte 11 en sí misma.
El S332 protege los datos originales contra la sobrescritura y la alteración, y permite exportar registros y archivos de seguimiento de auditoría, para que tu organización pueda archivarlos siguiendo sus propios procedimientos de conservación y copias de seguridad.
¿Tienes alguna duda sobre la norma 21 CFR, parte 11, de la FDA?
Habla con un experto en mediciones. Normalmente te respondemos en el plazo de un día laborable.
