Pista de auditoría (GxP): Quién, qué, cuándo y por qué para los registros electrónicos

Este tema es parte de la SG Systems Global serie de glosarios regulatorios.

Actualizado en octubre de 2025 • Integridad de los datos • 21 CFR Parte 11 / Anexo 11 de la UE / ALCOA+

Un registro de auditoría es un registro seguro, generado por computadora y con marca de tiempo, que documenta las acciones que afectan los datos y la configuración GxP, registrando quién hizo qué , cuándo y, cuando corresponda, por qué . Es la base de la integridad de los datos electrónicos y la expresión práctica de 21 CFR Parte 11 , el Anexo 11 de la UE y ALCOA+ . En entornos regulados (productos farmacéuticos, biológicos, dispositivos médicos, suplementos dietéticos y alimentos), las decisiones sobre liberación y seguridad dependen de registros completos, atribuibles y permanentes. Si un registro puede modificarse sin dejar rastro, no es confiable; si no se puede recuperar con su historial, no se puede confiar en él para defender el producto.

Si un registro puede cambiar sin dejar huella, no es evidencia, es ficción. El registro de auditoría convierte los datos en evidencia defendible.

1) Qué es

En esencia, un registro de auditoría es un control , no una conveniencia. Se genera automáticamente mediante el sistema informático de registro y se vincula a dicho registro durante el período de retención requerido. Debe mostrar: (1) la identidad del usuario o instrumento; (2) el evento realizado (crear, editar, aprobar, disponer, importar, imprimir, invalidar, configurar, calcular); (3) la marca de tiempo/zona horaria y la secuencia; (4) el identificador del objeto (lote, prueba, especificación, etiqueta, receta, equipo, documento); (5) los valores anteriores y nuevos para cambios significativos; y (6) el motivo/comentario cuando el cambio es significativo o cuando el flujo de trabajo requiere justificación (p. ej., anulación, disposición fuera de especificación, cambio de calificación de riesgo). El registro debe ser generado por computadora , a prueba de manipulaciones , completo y legible por humanos cuando se solicite.

Tipos de registros de auditoría que debe esperar:

• registros de auditoría de datos – cambios a nivel de registro (resultados de pruebas, pesajes, cálculos, etiquetas, contenido de CoA, instrucciones de lote).
• Registros de auditoría de configuración – datos maestros controlados y configuraciones del sistema (recetas/especificaciones, límites, plantillas de etiquetas, roles/permisos, factores del instrumento).
• Flujo de trabajo/rutas de firma – aprobaciones, rechazos, redirecciones y significado de la firma para Flujos de trabajo de aprobación.
• Senderos de seguridad/administración – creación/desactivación de cuentas, cambios de política de contraseñas, elevación de privilegios, claves API, asignaciones de integración.
• Rutas de dispositivos/instrumentos – parámetros de adquisición, versión del método, ubicación de los datos sin procesar, estado de integración.
• Los eventos del sistema – importaciones/exportaciones, eventos de impresión, copias de seguridad/restauraciones, sincronización horaria, cambios de parches/aplicaciones.

Alcance. Todo sistema que cree, procese, almacene o transmita registros relevantes para las Buenas Prácticas de Fabricación (BPF) debe mantener registros de auditoría: MES/eBR–eBMR , LIMS , QMS (desviación/CAPA/cambio), WMS/control de etiquetas, sistemas de capacitación y equipos, e interfaces ERP donde se conviertan en el sistema de registro para las decisiones de liberación/trazabilidad. Los instrumentos y las hojas de cálculo no están exentos; deben proporcionar registros de auditoría o estar rodeados de verificación y controles independientes proporcionales al riesgo.

Cumplimiento normativo. Las normas subyacentes (por ejemplo, 21 CFR 210/211 , 111 , dispositivo 820 y alimentos 117 ) definen qué registros deben existir; la Parte 11 y el Anexo 11 definen cómo deben controlarse los registros electrónicos. Las pistas de auditoría son el elemento clave que garantiza la fiabilidad de la evidencia electrónica.

2) Implementación práctica (lo que los inspectores esperan ver)

Ciclo de vida y validación. Trate los registros de auditoría como una función validada, no como una casilla de verificación. Defina los requisitos en URS/FDS, evalúe los riesgos, escriba criterios de aceptación comprobables y cuestione el comportamiento en IQ/OQ/PQ: ¿Se pueden desactivar las entradas? ¿Es posible editar? ¿Están sincronizados los relojes (NTP)? ¿Se almacenan las zonas horarias? ¿La exportación conserva el contexto? ¿Las impresiones presentan con precisión el mismo contenido y secuencia? ¿Se registran los inicios de sesión fallidos y las escaladas de privilegios? ¿Se aplican las solicitudes de motivo de cambio para las ediciones significativas? La evidencia se incluye en el paquete de validación con trazabilidad a las pruebas.

Identidad y acceso. Identificadores de usuario únicos; permisos basados ​​en roles; principio de mínimo privilegio; segregación de funciones (ejecutor frente a verificador, originador frente a aprobador, administrador frente a control de calidad). Los privilegios elevados deben controlarse y auditarse rigurosamente . Las cuentas compartidas y los usuarios genéricos de laboratorio no tienen cabida en los sistemas GxP. La autenticación multifactor para el acceso remoto y las funciones administrativas se está convirtiendo rápidamente en un requisito indispensable.

Contenido capturado. Para eventos importantes, el registro debe incluir el ID del registro, el tipo de evento, la marca de tiempo, el usuario/instrumento, los valores anteriores y nuevos, y un motivo/comentario cuando corresponda. No confíe en acciones genéricas de "actualización" sin contexto a nivel de campo. Para firmas electrónicas, capture la identidad del firmante, el significado de la firma (p. ej., Realizado, Revisado, Aprobado, Dispuesto) y el enlace a la versión del registro. Para la impresión de etiquetas, capture la versión de la plantilla, la fuente de datos y los recuentos.

Seguridad e integridad. Los registros de auditoría deben ser inamovibles por diseño. Proteja los registros con comprobaciones de integridad criptográfica o almacenamiento de solo escritura, respaldado por rigurosas pruebas de copia de seguridad y restauración. Si la plataforma permite la anonimización formal por motivos de privacidad o secretos comerciales, dicha anonimización debe estar separada del registro operativo, justificada y, a su vez, completamente registrada mediante auditoría.

Retención y legibilidad. Conserve los datos sin procesar, los metadatos y los registros de auditoría del período de referencia. Prevea la obsolescencia del formato : la visualización debe seguir siendo posible tras actualizaciones, cambios de proveedor o archivado. Las actividades de migración están sujetas a control de cambios y verificación: comprobaciones puntuales, comparaciones de sumas de comprobación, acceso paralelo y aprobación documentada.

Revise las prácticas. Los registros de auditoría no solo se utilizan después de un incidente; se revisan periódicamente. Incorpore la revisión por excepción en la disposición de lotes y los cierres del SGC: filtre las anulaciones, las firmas tardías, las ediciones repetidas, los cambios fuera de tendencia y los inicios de sesión fallidos. La revisión periódica de la gerencia debe analizar las excepciones de los registros de auditoría por área y usuario, alimentando las acciones correctivas y preventivas (CAPA) y la capacitación.

Hojas de cálculo e instrumentos. Si no se dispone de registros de auditoría, añada controles compensatorios: plantillas con versiones, fórmulas/celdas protegidas, acceso restringido, verificación documentada, comprobaciones independientes por parte de un tercero e impresión controlada a PDF con hash o marca de agua. Mejor aún: integre los instrumentos y las hojas de cálculo en plataformas validadas que proporcionen registros nativos.

3) Patrones de diseño que funcionan

• Aplicación de las razones del cambio. Exigir razones estructuradas para realizar ediciones a datos o configuraciones importantes; bloquear el guardado sin justificación.
• Disciplina del tiempo. Sincronizar servidores y clientes; almacenar marcas de tiempo con zona horaria; marcar la desviación del reloj más allá del umbral.
• Exportaciones inmutables. Proporcione archivos PDF/CSV firmados con hashes integrados y encabezados contextuales (ID de registro, versión, filtros, zona horaria) para que las copias impresas permanezcan rastreables.
• Supervisión de acceso privilegiado. Enrutar las acciones administrativas al control de calidad para su revisión periódica; notificar sobre cambios de roles y acceso de emergencia (“romper el cristal”).
• Correlación de eventos. Vincular rutas entre sistemas (MES↔LIMS↔QMS↔WMS) a través de identificadores de registros globales; habilitar la genealogía.
• Puertas de evidencia. Vincular las aprobaciones a la presencia de evidencia (archivos adjuntos, cálculos); los botones de firma se desactivan hasta que se cumplan los requisitos previos.
• Panel de control. Reporte excepciones de superficie (anulaciones, firmas tardías, ediciones repetidas) a supervisores de turno y control de calidad en tiempo real.

4) Métricas que importan

• Densidad de excepciones por lote/documento (número de eventos de seguimiento marcados vs. pasos): señal principal del estado del proceso.
• Tasa de firma tardía y retraso medio de la firma desde ejecutar→verificar→aprobar.
• Recuento de acciones privilegiadas y proporción con revisión de control de calidad dentro del SLA.
• Incidentes de deriva del reloj detectado y tiempo hasta la corrección.
• Finalización de la revisión del registro de auditoría Tarifa por lotes, desviaciones, CAPA y cambios.
• Eficacia de CAPA (recurrencia de excepciones similares en un plazo de 6 a 12 meses).

5) Modos de falla comunes y cómo evitarlos

• Senderos editables. Cualquier posibilidad de eliminar o editar entradas de registro socava la integridad. Solución: inmutabilidad a nivel de plataforma y separación de funciones; certificación del proveedor.
• Captura parcial. Registro de rutas actualizado sin deltas de campo ni identidad de usuario. Corrección: configurar el registro a nivel de campo; requerir motivos para ediciones significativas.
• Cuentas compartidas. "LabUser" firma todo. Solución: usuarios únicos, sin cuentas genéricas; desactivación tras inactividad; autenticación multifactor para administradores.
• Exportaciones huérfanas. PDF/CSV sin contexto ni hashes. Solución: encabezados contextuales, firmas digitales/hashes, almacenados junto con el archivo fuente.
• Caos en el reloj. La sincronización horaria interrumpe la reconstrucción. Corrección: NTP, monitoreo, alarmas de deriva, captura de zona horaria.
• Reseña de teatro. Existen registros, pero nadie los lee. Solución: revisión por excepción en la disposición; muestreo periódico de control de calidad; KPI para la finalización de la revisión.
• Amnesia migratoria. Pistas perdidas durante cambios de sistema. Solución: protocolo de migración, sumas de comprobación, acceso paralelo, cierre de sesión; conservar imágenes antiguas del sistema si es necesario.

6) Cómo se relaciona con V5

V5 por SG Systems Global Integra registros de auditoría en los datos maestros y la ejecución para que cada cálculo, movimiento y aprobación críticos sean atribuibles, seguros y revisables. Sistema de gestión de eventos V5Los pasos de eBMR, los pesajes, las ediciones de recetas y las retenciones generan entradas con marca de tiempo, identidad del usuario y códigos de motivo. WMS V5 registra la recepción de registros, los movimientos de contenedores, los cambios de estado, las impresiones de etiquetas y la conciliación. Sistema de gestión de calidad V5 Captura desviaciones → CAPA, control de cambios, gestión de quejas y certificaciones de capacitación con firmas vinculadas y comprobaciones de eficacia. Integración con LIMS mediante API de conexión V5 Vincula los metadatos del instrumento y las aprobaciones de resultados a la misma genealogía utilizada por el CoA.

Revisión por excepción. V5 ofrece filtros configurables: muestra todas las anulaciones, firmas tardías (> X horas), intentos de ejecución y aprobación del mismo usuario (bloqueados), discrepancias de versión y ediciones repetidas de límites. Los revisores de control de calidad pueden ver el historial de un lote o cambio de un vistazo, en lugar de tener que desplazarse por los registros sin procesar. Para las auditorías, V5 genera informes listos para la inspección que incluyen el contexto del registro de auditoría (zona horaria, filtros aplicados, identificadores de versión), de modo que la evidencia exportada es autoexplicativa.

Seguridad y retención. Los registros de actividad no son editables y están sujetos a validación de copia de seguridad y restauración. El acceso a los visores de registros está restringido por roles; las acciones privilegiadas se notifican a los paneles de control de calidad. La legibilidad a largo plazo se gestiona mediante perfiles de exportación (PDF/CSV/XML firmados con hash) y procedimientos de migración controlados bajo control de cambios.

Control de etiquetas e impresión. Las versiones de las plantillas y los eventos de impresión se registran y se vinculan a la SKU/lote; el sistema registra quién imprimió, qué plantilla/versión y la cantidad, lo que soluciona un problema común que provoca retiradas de productos.

7) Manual de implementación (Listo para el equipo)

• Definir alcance. Enumere todos los sistemas que generan registros GxP (MES, LIMS, QMS, WMS, interfaces ERP, sistemas de etiquetas, instrumentos, hojas de cálculo). Determine cuál es el sistema de registro para cada tipo de dato y si requiere registros de auditoría o controles de compensación.
• Redactar requisitos. Especifique los eventos que se capturarán, los campos que requieren el motivo del cambio, la captura de la zona horaria, la identidad y los formatos de exportación. Incluya los requisitos de los informes para la revisión por excepción.
• Validar. Desafíe la inmutabilidad, la captura de identidad, la sincronización horaria, el registro administrativo, la integridad de las exportaciones y el rendimiento en carga (lotes largos). Documente las desviaciones y el CAPA.
• Tren. Enseñe el significado de la firma, cuándo se requieren razones, cómo leer los registros y cómo detectar anomalías. Capacite a los administradores en la higiene del acceso privilegiado.
• Funcionar. Incorpore verificaciones de seguimiento en la disposición de lotes, el cierre de desviaciones y la aprobación de cambios. Registre las excepciones y aliméntelas en APR/PQR.
• Mantener. Pruebe periódicamente la integridad de las copias de seguridad/restauración, NTP y los informes de seguimiento. Vuelva a validarlas al realizar actualizaciones, parches o migraciones.

Lectura relacionada

• 21 CFR Parte 11 – Registros y firmas electrónicas
• Anexo 11 de las BPF de la UE: Sistemas informatizados
• Integridad de datos de ALCOA+ | Validación de software GAMP® 5
• Registro electrónico de lotes (eBR/eBMR) | Certificado de Análisis (CoA)
• Sistema de gestión de eventos V5 | Sistema de gestión de calidad V5 | WMS V5

8) Preguntas frecuentes

P1. ¿Qué debe capturar un registro de auditoría?
Identidad, tipo de evento, marca de tiempo/zona horaria, ID de objeto/registro, valores anteriores/nuevos para cambios significativos y motivo/comentario cuando corresponda, además del significado de la firma cuando se producen aprobaciones.

P2. ¿Es posible editar los registros de auditoría?
No. Deben ser solo para anexar y a prueba de manipulaciones. Si se permite la censura de privacidad, debe estar segregada, justificada y auditada sin alterar el original.

P3. ¿Con qué frecuencia se deben revisar los registros de auditoría?
En disposición de lote/registro (revisión por excepción) y periódicamente (por ejemplo, mensual/trimestral) para tendencias, con supervisión de control de calidad y KPI para finalización.

P4. ¿Las hojas de cálculo y los instrumentos necesitan registros de auditoría?
Si crean o transforman datos GxP utilizados para la toma de decisiones, sí, ya sean registros nativos o controles compensatorios (versiones, protección, verificación independiente). La mejor práctica es integrarlos en sistemas con registros nativos.

Q5. ¿Cómo se gestionan las zonas horarias?
Almacenar marcas de tiempo con zonas horarias o diferencias UTC y sincronizar relojes. La detección y corrección de desviaciones horarias debe registrarse.

P6. ¿Durante cuánto tiempo se deben conservar los registros de auditoría?
Mientras el registro subyacente deba conservarse según la regla predicada, con legibilidad garantizada después de actualizaciones y migraciones.

P7. ¿Son suficientes los archivos PDF impresos?
Los archivos PDF facilitan la lectura, pero los inspectores pueden solicitar datos sin procesar, metadatos y el registro en tiempo real del sistema de registro. Asegúrese de que las exportaciones sean autodescriptivas y protejan su integridad.

P8. ¿Cómo ayuda V5 durante las auditorías?
V5 ofrece vistas listas para inspección que unen registros de auditoría con el contexto del registro (quién/qué/cuándo/por qué), incluyen significados de firmas y muestran filtros de excepción, lo que reduce el tiempo dedicado a demostrar el control.

Enlaces de glosario relacionados:
• Registros electrónicos: 21 CFR Parte 11 | UE: Anexo 11 | Principios: ALCOA +
• Farmacia/Dispositivos/Alimentos: 210/211 | 820 | 117
• Sistemas: Sistema de gestión de eventos V5 | Sistema de gestión de calidad V5 | WMS V5