Quando se trata de conformidade regulamentar para empresas de dispositivos médicos, pode haver alguma confusão em torno do FDA 21 CFR Parte 11. Uma grande armadilha que descobrimos é que muitas empresas pensam que estão em conformidade (muitas vezes devido a não entender os requisitos), mas, na realidade, não estão.
Se você foi levado a acreditar que se trata apenas de sua validação, trilha de auditoria, registros e retenção, e que você está “seguro” por causa de seu arquivo “mestre” em papel, você deve entender A Parte 11 é muito mais complexa do que isso.
As empresas de dispositivos médicos podem usar essas dicas para garantir a conformidade com o 21 CFR Parte 11:
- Determine se o 21 CFR Parte 11 se aplica à sua empresa.
- Siga as melhores práticas em proteção de dados e segurança de senha.
- Estabeleça trilhas de auditoria claras para rastreabilidade.
- Siga as diretrizes sobre assinaturas eletrônicas.
- Não terceirize a responsabilidade: você é responsável pela conformidade com o 21 CFR parte 11.
- Valide para IQ, OQ e PQ.
- Considere a conformidade com o 21 CFR parte 11 ao escolher seu QMS.
Este guia irá expandir essas dicas e fornecer informações úteis para esclarecer pontos comuns de confusão em torno deste regulamento. Aqui está o que as empresas de dispositivos médicos precisam saber para se familiarizar com o regulamento e cumprir o 21 CFR Parte 11 da FDA:
O QUE É 21 CFR PARTE 11?
21 CFR Parte 11 são os regulamentos da FDA para documentação eletrônica e assinaturas eletrônicas. administração de registros eletrônicos no sistema de gerenciamento de qualidade de uma empresa de dispositivos médicos.
Desde que o 21 CFR Parte 11 foi publicado pela primeira vez em 1997, nossos sistemas eletrônicos e suas capacidades avançaram tremendamente. No entanto, o objetivo do 21 CFR Parte 11 ainda permanece aplicável após duas décadas depois.
A Parte 11 foi projetada para atender às necessidades em evolução da indústria de dispositivos médicos, com o objetivo de ajudar as empresas:
- Saiba como para usar sistemas de computador e software, especialmente quando não está funcionando corretamente.
- Mantenha os dados com segurança e d com segurança e garantir que os dados não sejam corrompidos ou perdidos.
- Certifique-se de que as assinaturas de aprovação e revisão não possam ser contestadas.
- Rastreie as alterações nos dados
- Previna e / ou detectar registros falsificados
Também tivemos que ser mais práticos sobre como a papelada é gerenciada em organizações que podem ter vários escritórios ou várias pessoas que precisam acessar e atualizar registros. Usar um sistema baseado em papel em um único escritório é desafiador e, com escritórios localizados ao redor do mundo, simplesmente não é prático.
Com os registros eletrônicos sendo amplamente usados na indústria, a grande maioria das empresas descobrirá que o FDA 21 CFR Parte 11 se aplica a eles. Tal como acontece com muitos regulamentos, isso nem sempre é bem recebido.
Muitas empresas acham a perspectiva de validação do 21 CFR Parte 11 assustadora. É necessário provar aos reguladores que seu sistema é robusto o suficiente para atender aos seus padrões, e isso pode ser um desafio.
Por exemplo, há várias empresas que estão um tanto apreensivas com o 21 CFR Parte 11 porque das coisas necessárias para provar que um sistema é robusto o suficiente para atender aos seus padrões.
# 1. DETERMINE SE O 21 CFR PARTE 11 SE APLICA À SUA EMPRESA
As empresas que não desejam adotar o 21 CFR Parte 11 costumam dizer que seus “registros mestre” são em papel, embora façam upload de documentos para um arquivo compartilhado ou algum lugar acessível em um servidor. Eles pensam que os registros “em papel” significam que não há necessidade de lidar com a Parte 11, mas este não é o caso.
Para começar, “registros mestre” é um uso indevido do termo. As pessoas vão dizer que o pedaço de papel é o seu “registro mestre” e pensar que o que fazem depois (como digitalizar e enviar) não não importa, desde que a folha de papel-mestre permaneça intacta. A verdade é que, no momento em que o documento é carregado em um servidor, a empresa está sujeita ao cumprimento do 21 CFR Parte 11.
Na seção 11.3, o FDA define “registro eletrônico” como “qualquer combinação de texto, gráficos, dados, áudio, imagens ou outra representação de informação em forma digital que é criada, modificada, mantida, arquivada, recuperada ou distribuída por um sistema de computador. ” Como você pode ver, isso torna a definição coberta pelo 21 CFR Parte 11 bastante ampla, e a maioria das empresas será afetada.
Portanto, mesmo que as empresas digam que têm um sistema baseado em papel, provavelmente têm tem um sistema eletrônico difundido, mesmo que seja por meio de árvores de pastas. Você ainda precisa validar seus registros para garantir que a versão digitalizada corresponde à versão em papel.
# 2. SIGA O 21 CFR PARTE 11 MELHORES PRÁTICAS DE SEGURANÇA DE DADOS E PROTEÇÃO DE SENHAS
A segurança de dados é um grande aspecto da Parte 11.Todos os usuários com acesso precisam das funções e permissões corretas. Isso é verdade quer você use uma solução de sistema de qualidade como o Greenlight Guru ou tenha uma estrutura de árvore de pastas simples. Se você optar por árvores de pastas, observe que elas tendem a ser complicadas.
Você precisa ir em pastas individuais e verificar as permissões. Você precisará extrair recursos valiosos de TI para verificar tudo, o que é um grande problema para a conformidade.
Quando se trata de segurança digital, as senhas são um componente importante. Como você acessará o sistema? A segurança é a maior área de preocupação com 21 CFR Parte 11 porque você deve saber que as pessoas certas têm as permissões certas e que não apenas qualquer um pode entrar.
As práticas recomendadas de senha devem ser aplicadas, mas o próprio regulamento é vago.
Consultamos especialistas no 21 CFR Parte 11 sobre o design de nossa plataforma Greenlight Guru e a abordagem com relação à segurança. Queríamos garantir que atenderíamos à conformidade com a Parte 11 e poderíamos aconselhar os usuários sobre isso.
Com relação às senhas, temos algumas dicas de “melhores práticas”, que incluímos em um guia imprimível abaixo:
O acesso aos registros eletrônicos deve ser controlado por um login exclusivo, com nome de usuário e senha. Os usuários inativos por 10-20 minutos devem ser desconectados automaticamente.
Nós também avise que seu sistema bloqueie usuários após 3 a 5 tentativas de senha sem sucesso.
Se a conta ficar inativa por um período de tempo, o usuário deve ser bloqueado. O período recomendado para isso é 30 dias.
Todas essas práticas recomendadas são implementadas no sistema Greenlight Guru.
# 3. ESTABELEÇA TRILHAS DE AUDITORIA CLARAS PARA RASTREABILIDADE
Trilhas de auditoria claras são necessárias para você pode ver qual usuário executou uma determinada ação, a que horas, em seus registros. Quando os registros foram criados, modificados, excluídos ou tornados obsoletos?
Todos os eventos devem ser registrados com o e x nome de usuário, data e hora exata. A plataforma Greenlight Guru atribui uma função a um usuário que pode acessar trilhas de auditoria para essa finalidade.
Além do gerenciamento de mudanças, trilhas de auditoria se aplicam a momentos de acesso. Você deve sempre saber quando os usuários estão fazendo login e quando eles estão bloqueados. Você pode chamá-lo de “histórico completo de seu sistema de manutenção de registros”.
Uma parte importante de sua trilha de auditoria é que o FDA pode visualizar esses registros durante a inspeção. Quanto mais fácil é encontrar e compreender essas informações , é provável que sua inspeção seja mais suave.
# 4. SIGA AS DIRETRIZES DO 21 CFR PARTE 11 SOBRE ASSINATURAS ELETRÔNICAS
Você pode cumprir as diretrizes do 21 CFR Parte 11 sobre revisão e aprovação de informações uma série de maneiras diferentes:
- Biométrica, por exemplo, impressão digital ou digitalização da retina
- Assinaturas digitais
- Digitalização
- Captura de escrita no software
- Assinaturas eletrônicas (usamos no Greenlight Guru)
Usamos assinaturas eletrônicas, que atribuem nomes de usuário e senhas exclusivos aos assinantes. Nomes de usuário de departamentos genéricos não são recomendado. Para manter a transparência, os nomes de usuário devem ser vinculados a uma única pessoa, não a um grupo.
Quando algo requer aprovação no Greenlight Guru, um botão “Aprovar” ou “Rejeitar” pode ser cli solicitado para transmitir a intenção, bem como a data e a hora. Uma vez que algo é assinado desta forma, o item é permanentemente bloqueado e não pode ser revisado ou editado novamente.
Com o papel, isso é um pouco uma brecha porque existe uma oportunidade de marcar o papel manualmente ou rastrear mudanças em programas de processamento de texto. Há menos controle do que com Greenlight Guru. Em nossa plataforma, o documento está bloqueado no processo de aprovação para que você fique em conformidade com o 21 CFR Parte 11.
Nenhuma edição é permitida; caso contrário, você estará de volta aos processos de aprovação formais.
Outra coisa que você deve estar ciente se pretende usar assinaturas eletrônicas é a expectativa de notificar o FDA de que está fazendo isso: você precisa para enviar uma carta informando que você está usando assinaturas eletrônicas.
# 5. NÃO OFEREÇA A RESPONSABILIDADE: VOCÊ ESTÁ RESPONSÁVEL PELA SUA CONFORMIDADE COM 21 CFR PARTE 11
Vimos uma tendência de plataformas de software alegando que podem cuidar de toda a conformidade com 21 CFR Parte 11. Em última análise, isso não é verdade porque a conformidade com a Parte 11 é SEMPRE responsabilidade da empresa do dispositivo médico. Uma empresa de software não deveria dizer que cuidou de tudo, porque sua empresa não está isenta da responsabilidade.
O Greenlight Guru faz testes e valida a plataforma e pode fornecer documentação de suporte, mas conformidade em última análise, é sua responsabilidade.
Também podemos fornecer o seguinte:
- Uma lista de verificação de conformidade da Parte 11
- Um modelo de carta para enviar ao FDA para informá-los de sua intenção para usar assinaturas eletrônicas
- Um certificado de conformidade para o design da plataforma
- Uma solução de QMS compatível com 21 CFR Parte 11, incluindo modelos pré-validados e recursos que passaram por centenas de auditorias e inspeções
# 6. VALIDAR PARA IQ, OQ E PQ
IQ, OQ e PQ são acrônimos que significam qualificação de instalação, qualificação operacional e qualificação de desempenho. Como o regulamento foi escrito há 20 anos, as siglas originalmente se referiam a equipamentos.
É assim que você pode pensar sobre IQ, OQ e PQ em termos de software:
- Qualificação de instalação: o software está instalado corretamente?
- Qualificação operacional: o software é capaz de atender aos requisitos regulamentares?
- Qualificação de desempenho: o software é
O software Greenlight Guru tem uma lista de verificação interna integrada para garantir se seus navegadores, sistemas operacionais, etc., estão em conformidade com o IQ. OQ foi feito internamente e um relatório está disponível. Oferecemos protocolos PQ, bem como integração e treinamento.
# 7. CONSIDERE A CONFORMIDADE DO 21 CFR PARTE 11 AO ESCOLHER UMA SOLUÇÃO QMS
A conformidade é um processo contínuo, e você precisará garantir que está lidando com documentos eletrônicos e assinaturas corretamente durante todo o ciclo de vida do projeto.
Sua escolha de QMS terá um papel fundamental na conformidade com CFR Parte 11. Se seu QMS não estiver alinhado com o CFR Parte 11 ou não vier com modelos pré-validados, você precisará levar isso em consideração em seu plano de negócios. As soluções de uso geral exigirão muita configuração, treinamento de equipe, teste de validação e talvez ajuda externa para garantir a conformidade.
Tudo isso requer tempo significativo e investimento de capital. Recomendamos que você analise várias soluções de QMS e considere as necessidades de sua empresa quando se trata de validação para CFR Parte 11. Sua solução oferece tudo que você precisa para levar seu dispositivo ao mercado?
Considerações finais sobre o 21 CFR Parte 11
Em conformidade com o 21 O CFR Parte 11 não precisa ser uma tarefa onerosa, principalmente se você se lembrar de que qualquer ideia de “registro mestre em papel” é um nome totalmente impróprio no segundo em que qualquer coisa é enviada para um sistema de computador.
Em outras palavras, quase todas as empresas de dispositivos médicos devem cumprir o 21 CFR Parte 11, a menos que realmente tenham tudo em papel, sem cópias eletrônicas de documentos armazenados em qualquer lugar.
Siga estas dicas para garantir a segurança e integridade de seus registros e você deve estar preparado para uma inspeção do FDA. Lembre-se: as empresas de dispositivos médicos estão respondendo sível para seu próprio cumprimento, não importa o que terceiros possam prometer.
Ainda usa uma abordagem manual ou baseada em papel para gerenciar seus controles de design ou processos de qualidade? Clique aqui para saber mais sobre como a plataforma de software QMS (MDQMS) de dispositivos médicos da Greenlight Guru, exclusivamente para empresas de dispositivos médicos, está ajudando os fabricantes de dispositivos em mais de 270 cidades e 25 países a colocar produtos mais seguros no mercado com mais rapidez e menos risco, ao mesmo tempo em que garante a regulamentação conformidade.
Procurando uma solução de controle de design para ajudá-lo a trazer dispositivos médicos mais seguros para o mercado com mais rapidez e menos risco? Clique aqui para fazer um tour rápido dos Greenlight Guru “s Software de QMS de dispositivo médico →
