INTEGRIDADE DOS DADOS FARMACÊUTICOS
FDA 21 CFR Parte 11: Registos eletrónicos seguros com o S332
O visor e registador de dados SUTO iTEC S332 permite registos eletrónicos seguros e rastreáveis, com gestão de utilizadores baseada em funções, um registo de auditoria protegido, assinaturas eletrónicas, 10 GB de armazenamento protegido e acesso remoto controlado.
Concebido para garantir a integridade dos dados na monitorização de serviços públicos sujeitos a regulamentação
EM RESUMO
A norma 21 CFR Parte 11 da FDA define em que casos os registos eletrónicos e as assinaturas eletrónicas podem ser considerados equivalentes aos registos em papel e às assinaturas manuscritas. O S332 fornece controlos técnicos que dão resposta a estes requisitos. A conformidade, no entanto, depende de um sistema de qualidade completo e validado.
Os fabricantes farmacêuticos contam com registos digitais para comprovar o estado do ar comprimido e de outros serviços essenciais. Medições como o ponto de orvalho, a pressão, o caudal, as partículas e o vapor de óleo podem fazer parte de uma decisão relacionada com as BPF e, por isso, têm de ser fiáveis, rastreáveis e estar disponíveis.
Esta página explica quando é que a Parte 11 se aplica, como é que o S332 garante a integridade dos dados, como é que as funções se relacionam com o ALCOA+ e com o Anexo 11 das BPF da UE, e quais são as responsabilidades que continuam a caber à organização utilizadora.
1. O que é a norma 21 CFR Parte 11 da FDA?
A norma 21 CFR Parte 11 da FDA define os critérios segundo os quais os registos eletrónicos e as assinaturas eletrónicas podem ser considerados equivalentes aos registos em papel e às assinaturas manuscritas.
Aplica-se quando se utilizam registos eletrónicos para cumprir os requisitos regulamentares da FDA. A Parte 11 não impõe nenhuma tecnologia específica. Em vez disso, exige que os registos sejam precisos, completos, seguros, rastreáveis e protegidos contra alterações não autorizadas.
O regulamento funciona em conjunto com as regras subjacentes da FDA que exigem a manutenção de registos, normalmente designadas por «regras de referência». Essas regras determinam quais os registos que têm de ser mantidos; a Parte 11 define como esses registos podem ser criados e mantidos eletronicamente.
Os controlos típicos incluem:
- Contas de utilizador únicas
- Permissões baseadas em funções
- Registos de auditoria
- Assinaturas eletrónicas
- Conservação segura de registos
- Eventos com data e hora
- Validação do sistema
2. Por que é que a Parte 11 é importante para os dados relativos ao ar comprimido e aos serviços públicos
A Parte 11 pode aplicar-se aos dados relativos ao ar comprimido e aos serviços de apoio sempre que o registo justifique uma decisão no âmbito das BPF.
O âmbito é determinado pela forma como uma medição é utilizada, e não pelo tipo de instrumento. Um registo do ponto de orvalho utilizado durante a libertação de um lote, por exemplo, faz parte da cadeia de evidências regulamentada. O mesmo pode aplicar-se a dados relativos a partículas, vapores de óleo, pressão, temperatura ou caudal, quando esses valores apoiam a qualidade do produto, investigações ou condições de processo validadas.
| Medição de consumo | Utilização típica em conformidade com as BPF | Está abrangido? |
|---|---|---|
| Ponto de orvalho | Prova de que o desempenho de secagem se manteve dentro das especificações durante um lote | Sim |
| Vapores e partículas de óleo | Conformidade do ar em contacto com o produto com as classes especificadas na norma ISO 8573 | Sim |
| Caudal e consumo | Investigações de desvios e avaliações de capacidade referidas na documentação das BPF | Normalmente |
| Pressão e temperatura | Parâmetros de apoio indicados numa descrição de processo validada | Normalmente |
| Consumo de energia | Relatórios de custos e eficiência sem nenhuma decisão relativa às BPF associada | Normalmente não |
Registos fiáveis dos serviços públicos aceleram as investigações, reduzem a documentação manual e dão aos auditores um histórico claro do valor medido, da configuração do sistema e das pessoas que revisaram ou aprovaram o registo.
3. Como o S332 cumpre os requisitos da norma 21 CFR Parte 11 da FDA
O S332 cumpre os requisitos da norma 21 CFR Parte 11 da FDA através de cinco controlos técnicos integrados que protegem os registos eletrónicos de utilidades, desde a medição até à revisão, aprovação, armazenamento e recuperação.
Estes controlos estão integrados no S332, em vez de serem adicionados posteriormente através de folhas de cálculo separadas ou de etapas de aprovação em papel. Cada função aborda uma fase diferente do ciclo de vida do registo eletrónico e ajuda as organizações reguladas a melhorar a responsabilização, a rastreabilidade, a integridade dos dados e a preparação para inspeções.
1. Gestão de utilizadores com base em funções
As contas de utilizador únicas e as permissões definidas associam cada ação a uma pessoa autorizada.
O S332 suporta quatro tipos de conta: Operador, Gestor, Auditor e Administrador. Esta separação ajuda a aplicar o princípio do privilégio mínimo e evita a partilha de credenciais de acesso, uma das vulnerabilidades mais comuns nos sistemas de registos eletrónicos.
| Tipo de conta | Âmbito típico |
|---|---|
| Operador | Visualização e gestão diárias dentro das permissões atribuídas |
| Gestor | Tarefas de configuração e aprovação dentro das permissões atribuídas |
| Auditor | Revisão de registos e da pista de auditoria sem direitos de modificação |
| Admin | Gestão de contas de utilizador e definições do sistema |
2. Registo de auditoria protegido
O S332 gera automaticamente um registo de auditoria com data e hora. Não pode ser desativado, editado nem apagado por um utilizador.
As operações relevantes são registadas com o ID do utilizador, a data e hora, o valor original, o valor alterado e um comentário sobre a operação. O registo de auditoria pode ser consultado em caso de desvios, auditorias internas e inspeções regulamentares.
Por que é importante: A pista de auditoria mostra quem alterou o quê e quando, sem substituir o histórico original.
3. Assinaturas eletrónicas
Cada assinatura eletrónica pertence a uma conta de utilizador e permanece associada ao registo assinado.
Os ficheiros assinados mantêm a identidade do utilizador e a data e hora. Se um ficheiro assinado for alterado, a assinatura é invalidada automaticamente, tornando o estado de aprovação transparente.
Registo de auditoria ou assinatura eletrónica?
A pista de auditoria regista a atividade do sistema de forma contínua. Uma assinatura eletrónica é uma revisão ou aprovação deliberada por parte de um utilizador autorizado. A pista de auditoria indica quem alterou o quê e quando; a assinatura identifica quem aprovou o registo.
4. Armazenamento seguro e recuperação de registos
O S332 oferece 10 GB de armazenamento interno protegido para registos de medição, registos de auditoria e ficheiros assinados.
Os registos originais não podem ser sobrescritos nem alterados. Manter as provas relacionadas num único ambiente protegido simplifica a análise histórica e a recuperação dos dados.
Os períodos de retenção, as cópias de segurança, o arquivamento e a recuperação continuam a fazer parte do sistema de qualidade da organização do utilizador e têm de ser definidos de acordo com as regras aplicáveis.
5. Acesso remoto controlado
O servidor web integrado permite que os utilizadores autorizados tenham acesso remoto, mantendo as ações identificáveis e rastreáveis.
O acesso remoto permite análises e respostas mais rápidas, sem que os funcionários tenham de estar junto ao dispositivo. O desenho da rede, os controlos de cibersegurança e a política de acesso têm, ainda assim, de ser avaliados e validados pela organização do utilizador.
4. Como o S332 apoia a integridade dos dados ALCOA+
ALCOA+ é o vocabulário que a maioria das equipas de qualidade usa para descrever a integridade dos dados, e cada princípio corresponde a um controlo específico da norma S332.
O ALCOA+ não faz parte do regulamento em si. É um quadro de referência e, normalmente, é a terminologia que um auditor usa durante a auditoria.
| Princípio ALCOA+ | Controlo S332 relevante |
|---|---|
| Atribuível | As contas de utilizador únicas e as permissões baseadas em funções associam cada ação a um utilizador específico. |
| Legível | Os registos eletrónicos e os ficheiros de pista de auditoria podem ser recuperados e visualizados sempre que necessário. |
| Contemporâneo | As medições e os eventos da pista de auditoria são registados com carimbos de data e hora no momento em que ocorrem. |
| Original | Os dados originais estão protegidos contra a substituição ou alteração no armazenamento interno. |
| Preciso | Os dados de medição provêm de sensores cuja precisão é mantida através de uma calibração rastreável, no laboratório da SUTO iTEC ou por meio de calibração por intercâmbio. |
| Concluído | Os registos da pista de auditoria guardam as atividades e alterações dos utilizadores, incluindo os valores originais e os modificados. |
| Consistente | Os eventos são registados cronologicamente em relação a uma referência temporal consistente. |
| Duradouro | O armazenamento interno de 10 GB guarda registos eletrónicos, registos de auditoria e ficheiros gravados. |
| Disponível | Os registos guardados e os ficheiros de registo de auditoria podem ser recuperados e exportados sempre que precisares. |
5. FDA 21 CFR Parte 11 e Anexo 11 das BPF da UE
A Parte 11 e o Anexo 11 são quadros regulamentares diferentes, mas ambos exigem acesso controlado, registos fiáveis, pistas de auditoria, validação, segurança e assinaturas eletrónicas adequadas.
Para os fabricantes que atuam nos mercados dos EUA e da Europa, um sistema de monitorização bem concebido pode satisfazer ambas as expectativas. A avaliação final da conformidade continua a basear-se na utilização prevista e no sistema informatizado na sua totalidade.
| Tema | FDA 21 CFR Parte 11 | Anexo 11 das BPF da UE |
|---|---|---|
| Âmbito | Produtos regulamentados pela FDA, Estados Unidos | Sistemas informatizados em atividades de BPF, União Europeia |
| Natureza jurídica | Regulamento, norma aplicável | Diretriz de BPF no Volume 4 do EudraLex |
| Acesso controlado dos utilizadores | Obrigatório, secções 11.10(d) e 11.10(g) | Obrigatório, secção 12 sobre segurança |
| Registo de auditoria | Obrigatório, secção 11.10(e) | Obrigatório, secção 9, incluindo revisão periódica |
| Assinaturas eletrónicas | Requisitos detalhados, secções 11.50 a 11.300 | Abordado na secção 14 |
| Validação do sistema | Obrigatória, secção 11.10(a) | Obrigatória, secção 4 |
| Conservação de registos | Regida pelas regras de base aplicáveis | Regido pelos requisitos de BPF aplicáveis |
O texto completo do Anexo 11 foi publicado pela Comissão Europeia no EudraLex, Volume 4.
6. Exemplo prático: registos do ponto de orvalho durante uma inspeção da FDA
Um inspetor pede provas de que o ponto de orvalho do ar comprimido se manteve dentro das especificações durante um lote de produção.
Com o S332, a equipa de qualidade pode aceder ao histórico de medições, rever as alterações de configuração relevantes na pista de auditoria e verificar a aprovação eletrónica associada, tudo a partir de uma única plataforma. Isto reduz o tempo de pesquisa e apresenta uma cadeia de evidências mais clara do que um fluxo de trabalho espalhado por registadores locais, folhas de cálculo e assinaturas em papel.
| Sem monitorização compatível com a Parte 11 | Com o SUTO iTEC S332 |
|---|---|
| As provas são recolhidas a partir de um registo local, de uma exportação de uma folha de cálculo e de um relatório de manutenção. | O histórico de medições, a pista de auditoria e as aprovações são recuperados a partir de uma única plataforma. |
| Não há provas fiáveis de que a configuração tenha permanecido inalterada durante o lote. | O registo de auditoria mostra se houve alguma alteração na configuração, quem a fez e quando. |
| As aprovações aparecem como assinaturas manuscritas em documentos separados. | As aprovações eletrónicas estão associadas aos registos e podem ser verificadas. |
| A preparação do dossiê de provas demora dias. | A equipa de qualidade exporta diretamente os registos necessários. |
Em vez de ter de recolher informações de vários sistemas com pressão de tempo, a equipa de qualidade apresenta um registo centralizado e rastreável a partir de uma única plataforma.
7. Uma plataforma para a monitorização de serviços essenciais
O S332 centraliza os pontos de medição que servem de base para as decisões relativas à qualidade dos serviços e às BPF.
Dependendo da aplicação, estes podem incluir o ponto de orvalho, partículas, vapor de óleo, caudal, pressão e temperatura. Reunir estes registos num único ambiente protegido melhora a visibilidade e reduz a fragmentação da documentação.
- Medidores de ponto de orvalho para avaliar o desempenho da secagem e o ar em contacto com o produto
- Instrumentos de análise da qualidade do ar comprimido para partículas, vapores de óleo e humidade
- Medidores de caudal para ar comprimido e gases, para medição do consumo e do caudal mássico
- Sensores de pressão e temperatura para monitorizar os parâmetros do processo
Os registos destes pontos de medição são guardados, assinados e exportados através do mesmo ambiente protegido. A precisão dos sensores é garantida pelo serviço de calibração SUTO iTEC, o que faz com que o princípio «Accurate» do ALCOA+ seja comprovável, em vez de ser apenas uma suposição.
8. O que o S332 não substitui
Nenhum dispositivo, por si só, garante que uma organização cumpra o disposto na norma 21 CFR Parte 11 da FDA.
O S332 fornece os controlos técnicos que fazem parte do sistema. A conformidade é alcançada ao nível de todo o sistema de qualidade. A organização utilizadora fica responsável pelo seguinte:
- Validação e qualificação do sistema para a utilização a que se destina
- Procedimentos operacionais padrão e formação dos utilizadores
- Revisão periódica da pista de auditoria
- Procedimentos de cópia de segurança, arquivamento e recuperação
- Gestão da calibração e controlo de alterações
- Política de cibersegurança e acesso à rede
O S332 deve, portanto, ser implementado como parte de um sistema validado, com procedimentos adequados, formação, planos de contingência, cibersegurança, calibração e controlo de alterações.
9. Perguntas frequentes sobre o 21 CFR Parte 11 da FDA e o S332
O facto de usarmos o S332 significa que estamos automaticamente em conformidade com a norma 21 CFR Parte 11 da FDA?
Nenhum dispositivo, por si só, consegue garantir que uma organização cumpra os requisitos. O SUTO iTEC S332 oferece os controlos técnicos que a Parte 11 exige de um sistema: acesso baseado em funções, um registo de auditoria protegido, assinaturas eletrónicas e armazenamento de dados protegido.
A conformidade, por si só, é alcançada ao nível do teu sistema de qualidade completo, que inclui validação, procedimentos operacionais normalizados, formação dos utilizadores, revisão do registo de auditoria, cópias de segurança e recuperação, e controlo de alterações.
A norma 21 CFR Parte 11 da FDA aplica-se aos dados de monitorização do ar comprimido e dos serviços públicos?
A Parte 11 aplica-se sempre que se utilizam registos eletrónicos para cumprir os requisitos regulamentares da FDA. Se os teus dados sobre a qualidade do ar comprimido, o ponto de orvalho, o caudal ou a pressão servirem de base para decisões relacionadas com as BPF — por exemplo, para demonstrar que os serviços de apoio se mantiveram dentro das especificações durante um lote de produção —, esses registos estão sujeitos aos requisitos da Parte 11 e têm de ser fiáveis, rastreáveis e protegidos.
O S332 é um sistema aberto ou fechado, nos termos da Parte 11?
A Parte 11 define um sistema fechado como aquele em que o acesso é controlado pelas pessoas responsáveis pelos registos. Numa instalação típica, o S332 funciona dentro da rede da fábrica, com o acesso controlado pelo responsável pelos registos, o que corresponde a um sistema fechado.
Se o acesso remoto for aberto para além desse ambiente controlado, aplicam-se os controlos adicionais previstos na secção 11.30. A classificação é feita pela tua própria unidade de qualidade, no âmbito da avaliação do sistema.
Ainda precisamos de validar o S332 no nosso próprio ambiente?
Sim. Espera-se que as empresas sujeitas a regulamentação qualifiquem e validem os sistemas para a utilização pretendida no seu próprio ambiente, normalmente seguindo a sua metodologia interna de validação.
Os controlos técnicos integrados no S332 apoiam este processo, mas não substituem a qualificação de instalação e operacional, os procedimentos documentados nem a revisão periódica.
Que documentação de apoio à validação está disponível para o S332?
A documentação de apoio à qualificação e validação disponível deve ser confirmada com a SUTO iTEC para o projeto específico e a configuração do sistema.
Os registos eletrónicos do S332 podem substituir os registos em papel?
Foi exatamente para isso que a Parte 11 foi criada. Os registos eletrónicos e as assinaturas eletrónicas podem ser considerados equivalentes aos registos em papel e às assinaturas manuscritas, desde que estejam em vigor os controlos necessários.
O S332 permite isso através de contas de utilizador exclusivas, um registo de auditoria que não pode ser desativado nem editado, assinaturas eletrónicas que são invalidadas por qualquer modificação no ficheiro e um armazenamento interno protegido. A decisão de se pode ou não deixar de usar papel por completo cabe à tua unidade de qualidade.
Qual é a diferença entre a pista de auditoria e a assinatura eletrónica?
O registo de auditoria é gerado automaticamente e de forma contínua. Regista quem fez o quê e quando, incluindo os valores originais e os modificados, e nenhum utilizador pode desativá-lo ou alterá-lo.
Uma assinatura eletrónica é um ato deliberado de um utilizador autorizado, por exemplo, a aprovação de um registo. Cada assinatura está associada a exatamente uma conta de utilizador, não pode ser reutilizada e perde a validade se o ficheiro assinado for alterado posteriormente. Em conjunto, garantem a responsabilização e a integridade dos registos.
Como é que apresentamos os registos durante uma auditoria ou uma inspeção da FDA?
Os registos, os ficheiros de registo de auditoria e os ficheiros assinados são guardados no armazenamento interno protegido de 10 GB do S332 e podem ser recuperados e exportados sempre que necessário. Os utilizadores autorizados também podem aceder aos dados remotamente através do servidor web integrado, sendo que todas as ações remotas ficam registadas no registo de auditoria.
Isto permite que a tua equipa de qualidade apresente o histórico de medições, os registos de auditoria e as aprovações a partir de uma única plataforma, em vez de ter de recolher provas de vários sistemas.
Quem é responsável pelas cópias de segurança e pela conservação de registos a longo prazo?
Os períodos de retenção são definidos pelas regras de base aplicáveis e pelo teu próprio sistema de qualidade, e não pela Parte 11 em si.
O S332 protege os dados originais contra a sobrescrita e a alteração e permite exportar registos e ficheiros de pista de auditoria, para que a tua organização os possa arquivar de acordo com os seus próprios procedimentos de retenção e cópia de segurança.
Tens dúvidas sobre a norma 21 CFR Parte 11 da FDA?
Fala com um especialista em medições. Normalmente, respondemos no prazo de um dia útil.
