Los requerimientos regulatorios comúnmente definidos en un enfoque de validación basado en el riesgo son las disposiciones establecidas por las reglas CFR 21 Parte 11 y UE cGMP Anexo 11, por lo que se espera que la próxima versión del Anexo 11 afecte la estrategia de validación, los entregables relacionados y los criterios de aceptación de las pruebas.
El objetivo de este artículo es describir las mejoras introducidas por la revisión del Anexo 11 (ver Documento conceptual sobre la revisión del Anexo 11 de las directrices sobre GMP para productos médicos - Sistemas Informatizados) y las posibles implicaciones relacionadas con el enfoque de validación basado en el riesgo, con el fin de asegurar el cumplimiento del sistema para los siguientes temas:
La nueva versión describirá más claramente las funciones requeridas del sistema (basadas en una evaluación de riesgos y un impacto GxP) que se incluirán en el documento URS (o documento similar): los requerimientos deben detallar y reflejar los procesos empresariales y/o de producción a los que da soporte el sistema, incluyendo las funcionalidades críticas GMP. Las especificaciones de los requerimientos del usuario no solo deben ser trazables a lo largo del ciclo de vida del sistema, sino que también deben mantenerse o actualizarse en caso de modificaciones del sistema (por ejemplo, mediante la gestión del control de cambios y la evaluación del impacto).
Además, la trazabilidad entre los requerimientos del usuario, las especificaciones funcionales y las actividades de prueba debe documentarse y mantenerse actualizada.
Las actualizaciones mencionadas anteriormente para la especificación de requerimientos del usuario pueden afectar los siguientes entregables de validación:
La verificación de precisión consiste en una verificación adicional (manual y/o automática) realizada por un segundo operador/supervisor o dispositivo/sistema validado para datos ingresados manualmente que se consideran críticos para el proceso GMP (por ejemplo, parámetros instrumentales, de método o receta). La próxima versión incluirá directrices útiles para clasificar mejor la criticidad de los datos y sistemas.
Las actualizaciones mencionadas anteriormente para Comprobación de Precisión podrían afectar los siguientes entregables de validación:
La versión revisada describirá más adecuadamente qué debe rastrear un Audit Trail del sistema y cómo revisarlo. Además, el Audit Trail debe estar siempre activado y bloqueado y no debe existir la posibilidad de desactivar la funcionalidad, ni de borrar o modificar (sin rastro) la información relevante. En caso de que las opciones de desactivación y/o edición estén disponibles, sólo los administradores del sistema (no implicados en el proceso GMP) deberían tener acceso. Se añadirán nuevas directrices detalladas sobre la frecuencia de revisión de Audit Trail de acuerdo con el siguiente principio: cuanto mayor sea la criticidad del sistema, con mayor frecuencia deberán revisarse.
Las actualizaciones mencionadas de las pistas de auditoría podrían afectar a los siguientes documentos de validación:
La versión actualizada será más detallada sobre los controles de seguridad (es decir, físicos y lógicos) que deben aplicarse (por ejemplo, medidas de seguridad adicionales como autenticación multifactor, gestión de plataforma, etc.) para garantizar el acceso al sistema solo a usuarios autorizados. En particular, no se aceptará el uso exclusivo de “tarjetas de acceso” porque podrían perderse o compartirse entre diferentes usuarios. En estos casos, dependiendo de la criticidad del sistema, se recomienda el uso de un método de autenticación multifactor.
A la hora de diseñar y configurar los grupos de usuarios del sistema y los privilegios correspondientes, deben tenerse en cuenta los principios de "segregación de funciones" y "privilegio mínimo". Además, la creación, modificación y cancelación de las autorizaciones de acceso no solo deben registrarse (por ejemplo, dentro del registro de acceso) sino que también deben revisarse con frecuencia dado que las personas pueden asumir o cambiar sus funciones dentro de la empresa o renunciar a su trabajo.
Las actualizaciones de la seguridad de los datos antes mencionadas podrían afectar los siguientes entregables de validación:
La última vez que se actualizó el Anexo 11 para incluir nuevas directrices sobre Validación de Sistemas Informatizados, supuso un impacto significativo en el enfoque de validación y en los entregables pertinentes.
La revisión del Anexo 11 será crucial y pondrá en práctica muchos comentarios recibidos de usuarios y proveedores regulados con el fin de aclarar mejor la normativa aplicable actual. Se espera que las directrices introduzcan más "herramientas" y recomendaciones para garantizar la conformidad del sistema con los requerimientos de calidad, seguridad, integridad, trazabilidad y responsabilidad desde una perspectiva de validación. Por último, teniendo en cuenta que han pasado (relativamente) muchos años desde que se actualizó el Anexo 11, se espera que el impacto sobre el enfoque de validación del sistema y los resultados relacionados sea importante, en función de las mejoras y los detalles que se proporcionarán en las nuevas directrices.
