Tuplatarkistus: Neljän silmän valvonta osassa 11 ohjelmistojen hallinnassa

Validoitu ohjelmisto säännellyillä toimialoilla: Predikaattisääntöjen noudattamisen valvonta ja neljän silmän periaate

Tiukasti säännellyillä aloilla – kuten lääke-, biologisten lääkkeiden ja lääkinnällisten laitteiden alalla – validoitujen ohjelmistojen käyttöönotto 21 CFR Part 11:n mukaisesti tarjoaa teknisen kehyksen sähköisten tietueiden eheydelle, jäljitettävyydelle ja todennukselle. Pelkkä Part 11 -yhteensopivan ohjelmiston käyttöönotto ei kuitenkaan täytä taustalla olevien predikaattisääntöjen asettamia laajempia velvoitteita (esim. cGMP 21 CFR 211:n mukaisesti, GLP 21 CFR 58:n mukaisesti ja QSR 21 CFR 820:n mukaisesti). Näiden kehysten perustavanlaatuinen hallintovaatimus on "neljän silmän" periaate – varmistaen, että toinen pätevä henkilö tarkistaa, hyväksyy ja allekirjoittaa kaikki kriittiset tietueet.

1. Osa 11 täydentää predikaattisääntöjä – se ei korvaa niitä

FDA:n ohjeistus selventää, että osa 11 koskee vain predikaattisääntöjen edellyttämiä sähköisesti ylläpidettäviä tietueita. Osan 11 tekniset suojatoimet – kuten suojatut tarkastusketjut ja sähköiset allekirjoitukset – vahvistavat, eivätkä poista, velvoitteita, kuten validointia, tietueiden säilyttämistä ja dokumentoituja valvontaprosesseja.

Predikaattisäännöt – kuten 21 CFR 211 – määrittelevät laatuyksikön asiakirjojen hyväksyntään liittyvät erityisvastuut ja edellyttävät toisen henkilön allekirjoitusta tuotanto- ja laboratoriotietueille, jotka pysyvät erillään osan 11 teknisistä vaatimuksista.

2. Ohjelmistotoimittajien yleisiä virheitä

• Pelkästään auditointiketjuihin uskominen takaa vaatimustenmukaisuuden. Monet järjestelmät kirjaavat toiminnot lokiin, mutta eivät vaadi pakollista, aikataulutettua ihmisen tekemää tarkistusta.
• Audit-lokitietojen poistaminen käytöstä tai ohittaminen. Kaikki lokien muuttamis-, arkistointi- tai poistamismahdollisuudet heikentävät tietueiden eheyttä.
• Jaettujen tai yleisten käyttäjätilien käyttäminen. Jaetut valtakirjat heikentävät vastuullisuutta ja jäljitettävyyttä.
• Muutosten perustelujen selvittämättä jättäminen. Ilman syykoodeja tai kommentteja tietojen eheysstandardit, kuten ALCOA++, vaarantuvat.
• Tulosteiden suosiminen sähköisten arvostelujen sijaan. PDF-raportit tai Excel-otteet usein korvaavat asianmukaisen digitaalisen tarkastelun ja luovat menettelyllisiä porsaanreikiä.

3. Neljän silmän periaate on oikeudellisesti sitova

Säännökset, kuten 21 CFR 211.194(a)(8), edellyttävät tuotanto- ja laboratoriotietojen toisen henkilön suorittamaa tarkastusta. Tämä vaatimus koskee myös sähköisiä lomakkeita ja lokitietoja. Täytäntöönpanotoimissa – kuten FDA:n Able Laboratories -tapauksessa – on mainittu lokitietojen tarkistamatta jättämistä rikkomukseksi, vaikka Part 11 -järjestelmät olivat käytössä.

FDA odottaa nyt digitaalisen audit trail -tarkastuksen, joka suoritetaan säännöllisesti ja dokumentoidaan virallisesti ennen tietojen viimeistelyä tai julkaisemista.

4. Auditointipolut: Infrastruktuuri, ei valvonta

Osa 11 edellyttää turvallisia, aikaleimattuja, tietokoneella luotuja lokitietoja. Nämä lokit suojaavat manipuloinnilta, mutta eivät yksinään täytä predikaattisääntöjen vaatimuksia. Tehokkaiden lokitietojen on oltava:

• Kirjaa käyttäjätunnus, aikaleima, muutoksen kuvaus ja perustelut.
• Olla muuttumaton ja suojattu poistamiselta tai käyttökatkoksilta.
• Käy säännöllisissä tarkastusistunnoissa ennen asiakirjojen hyväksymistä.

5. Neljän silmän integrointi järjestelmäsuunnitteluun ja SOP-menettelyihin

Todellinen vaatimustenmukaisuus perustuu teknisten valvontatoimien yhdistämiseen menettelytapojen selkeyteen:

• Validoinnin on vahvistettava täytäntöönpanokelpoiset kaksoiskontrollin työnkulut, tarkastusketjun eheys ja asianmukaiset sähköiset allekirjoitukset.
• Roolipohjaiset käyttöoikeuksien hallinnan mekanismit ovat ratkaisevan tärkeitä tehtävien eriyttämisen valvomiseksi.
• Järjestelmien tulisi automaattisesti merkitä poikkeamat ja estää työnkulun eteneminen ilman riippumatonta tarkistusta.
• SOP-menettelyissä on määriteltävä tarkastajien roolit, ajoitus ja dokumentoinnin keskeiset osat.
• Laatuyksiköiden tulisi suorittaa säännöllisiä hallinnon tarkastuksia ja vaatimustenmukaisuuden tarkastuksia.

6. Digitaalisten ja paperisten järjestelmien hybridit: haavoittuvuus

Järjestelmät, jotka perustuvat tulostettuihin lokitietoihin tai erätietueisiin, aiheuttavat aukkoja. FDA varoittaa, että digitaalinen lokitietojen tarkistus on välttämätöntä ja että pelkkä painettujen versioiden valvonta ei riitä.

7. Tapaustutkimus: Able Laboratories

Able Laboratories otti käyttöön Part 11 -yhteensopivan järjestelmän, mutta ei suorittanut audit trail -tarkastusta. FDA antoi heille huomautuksen 21 CFR 211.194(a)(8):n nojalla ja korosti, että vaatimustenmukaisuuden on ulottuttava järjestelmän konfigurointia pidemmälle ja varsinaiseen hallintaan.

Tämä tapaus vaikutti myöhempiin säädöksiin, kuten EU:n liitteeseen 11 ja sitä seuranneisiin FDA:n ohjeisiin, ja se vahvisti, että järjestelmien on sekä mahdollistettava vaatimustenmukaisuus että käynnistettävä vaatimustenmukaisia ​​toimia.

8. FDA:n viimeaikaiset varoituskirjeet

Vuonna 2022 varoituskirjeessä mainittiin, että GC-järjestelmästä puuttui tarkastusloki, yksilölliset kirjautumistiedot ja että se sisälsi poistettuja tiedostoja – huolimatta ehdotetusta CAPA:sta. FDA hylkäsi tulosteiden ja jaettujen tunnistetietojen käytön.

Myöhemmissä kirjeissä (2024) käsiteltiin laboratoriojärjestelmien puuttuvia tarkastusketjujen tarkastuksia ja vahvistettiin odotuksia dokumentoidusta ja aikataulutetusta valvonnasta – jopa erillisille laitteille, kuten spektrofotometreille.

9. Suunnittelu ALCOA++ mielessä

ALCOA++-standardit (Attributable, Litible, Contemporaneous, Original, Accurate, Complete, Consistent, Enduring, Available, Traceable) muokkaavat järjestelmien suunnittelua. Nykyaikaiset järjestelmät tukevat nyt haettavia lokeja, poikkeusten merkitsemistä ja QMS-integraatiota saumattoman auditointitodentavan aineiston takaamiseksi.

10. Hallinto alkaa ylhäältä

Johdon on kehitettävä laatukulttuuria. FDA korostaa yhä enemmän johdon vastuuta tietojen eheydestä kyseenalaistamalla, tarjoavatko järjestelmät jäljitettävyyttä, aitoutta ja säännöllistä valvontaa.

Kuukausittaiset hallinnon tarkastelut – joissa tarkistetaan auditointiketjun valmistuminen, CAPA-seuranta ja järjestelmän validointi – rakentavat organisaation selviytymiskykyä.

11. Järjestelmän, prosessin ja ihmisten integrointi

Parhaiden käytäntöjen mukaiset yritykset lähestyvät vaatimustenmukaisuutta kokonaisvaltaisesti seuraavien näkökulmasta:

• Järjestelmien validointi kaksoiskontrollin ja auditointiketjun eheyden varmistamiseksi.
• Yksilöllisten käyttäjätunnusten ja rajoitettujen käyttöoikeuksien valvonta.
• Henkilöstön perusteellinen kouluttaminen arviointiodotuksista ja poikkeamiin reagoinnista.
• Riskiperusteisten aikataulujen käyttö tarkastusketjujen ja tietueiden tarkistuksissa.
• Vaatimustenmukaisuuden seuraaminen virallisilla KPI-mittareilla.
• Tarkastusevidenssin ja tarkastusmateriaalien säilyttäminen viranomaistarkastuksia varten.

Yhteenveto

Validoidut Part 11 -järjestelmät ovat elintärkeitä – mutta yksinään riittämättömiä. Todellinen määräystenmukaisuus edellyttää neljän silmän periaatteen, auditoinnin eheyden ja predikaattisääntöjen noudattamisen juurruttamista menettelykurin ja johdon valvonnan avulla. Järjestelmät mahdollistavat ja ihmisen johtaminen varmistaa määräystenmukaisuuden. Yhdessä ne rakentavat todellista tietojen eheyttä ja määräystenmukaisuutta.