21 CFR część 11

Ten termin ze słownika jest częścią SG Systems Global biblioteka przewodników regulacyjnych i operacyjnych.

Zaktualizowano w styczniu 2026 r. • 21 CFR część 11, zapisy elektroniczne, podpisy elektroniczne, gotowość do części 11, ślady audytu, ALCOA+, unikalne identyfikatory użytkowników, kontrola dostępu, podział obowiązków, znaczenie podpisu, przechowywanie zapisów, dowody walidacji, zapobieganie omijaniu integracji • Branże regulowane przez FDA (farmacja, biotechnologia, urządzenia medyczne, żywność, suplementy diety, kosmetyki, klinika)

Część 11 21 CFR to rozporządzenie FDA, które definiuje, kiedy elektroniczne zapisy i podpisy elektroniczne są dopuszczalne zamiast zapisów papierowych i podpisów odręcznych w przypadku zapisów wymaganych przez „zasady predykatów” FDA. Część 11 nie jest etykietą, którą przykleja się systemowi. To model kontroli: dowody tożsamości, autorytetu, audytowalności, przechowywania i walidacji muszą być wystarczająco silne, aby zapis elektroniczny mógł wytrzymać kontrolę bez rekonstrukcji lub „poprawiania historii”.

W nowoczesnym przemyśle zgodność z Częścią 11 jest nierozerwalnie związana z integralnością wykonania. Jeśli Twój system MES zezwala na współdzielone logowania, niekontrolowane obejścia lub edycję rekordów bez bezpiecznego śladu audytu, nie masz zaufanych elektronicznych rekordów — masz szybszą dokumentację. Część 11 istnieje, ponieważ tryby awarii są przewidywalne: luki w atrybucjach, ciche edycje, niejednoznaczne zatwierdzenia i rekordy, których nie da się niezawodnie odzyskać po latach.

Część 11 wymusza również jasność co do znaczenia terminu „w zakresie”. Reguły predykatów (np. 21 CFR część 211 , 21 CFR część 820 , 21 CFR część 111 ) określają, które rekordy są wymagane i przechowywane. Część 11 określa, jak powinna zachowywać się wersja elektroniczna. Dlatego część 11 jest ściśle powiązana z regułami predykatów , integralnością danych , ALCOA/ALCOA+ i śladem audytu (GxP).

Z punktu widzenia operacyjnego, zgodność z częścią 11 opiera się na koncepcjach kontroli warstwy wykonawczej, takich jak kontrola wykonania oparta na uprawnieniach , podział obowiązków w systemie MES , podwójna kontrola operacji produkcyjnych oraz macierz autoryzacji operatora . To nie są funkcje „miłe, ale pozwalające uniknąć oszustw i przypadkowego nadużycia w rzeczywistych zakładach”.

„Część 11 nie dotyczy braku papieru. Chodzi o to, że nie da się po cichu przepisać historii”.

1) Czym właściwie jest Część 11 (i dlaczego istnieje)

Część 11 istnieje, ponieważ systemy elektroniczne mogą tworzyć piękne zapisy, którymi niebezpiecznie łatwo manipulować, jeśli kontrola jest słaba. Papier ma tarcie: trudno go zmienić bez widocznych dowodów. Zapisy elektroniczne eliminują to tarcie, co jest świetne dla szybkości, ale fatalne dla integralności, chyba że zastąpi się „tarcie przed manipulacją” papieru cyfrowymi kontrolami: unikalną tożsamością, granicami uprawnień, śladami audytu i walidacją zachowania.

Część 11 najlepiej rozumieć jako minimalną architekturę integralności dla dowodów elektronicznych. Oczekuje ona od użytkownika kontroli nad tym, kto co zrobił, kiedy to zrobił, co zmieniło i czy rekord jest chroniony przed edycją dla wygody. Oczekuje również od użytkownika wykazania, że ​​system działa konsekwentnie zgodnie z przeznaczeniem. Dlatego Część 11 jest nierozerwalnie związana z walidacją systemów komputerowych (CSV) i ustrukturyzowanym zarządzaniem jakością.

W środowiskach o dużym natężeniu realizacji, Część 11 staje się operacyjna, gdy „systemem ewidencji” jest system, który zarządza pracą, a nie arkusz kalkulacyjny czy podsumowanie zmiany. Właśnie na tym polega Integralność Realizacji Produkcji i Egzekwowanie Zgodności w Procesie : gromadzenie dowodów w momencie realizacji i utrudnianie lub uniemożliwianie podejmowania nieprawidłowych działań.

2) Czym nie jest Część 11: mity, które tworzą ustalenia audytu

3) Zakres: reguły predykatów, „wymagane rekordy” i co uruchamia część 11

Część 11 ma zastosowanie w przypadku tworzenia, modyfikowania, utrzymywania, archiwizowania, pobierania lub przesyłania dokumentacji elektronicznej wymaganej przez reguły predykatów FDA. Reguły predykatów to faktyczne przepisy „musisz zachować tę dokumentację”. Część 11 to nakładka „jeśli jest elektroniczna, musi być wiarygodna”. Zakres należy rozpocząć od mapowania reguł predykatów , a nie od inwentaryzacji oprogramowania.

Praktyczna metoda określania zakresu: zidentyfikuj zapisy, które wpływają na decyzje dotyczące jakości, wydania, etykietowania, bezpieczeństwa lub regulacji; zmapuj miejsca, w których te zapisy są tworzone i zatwierdzane; a następnie zmapuj systemy (i „systemy cieni”), które ich dotyczą. Jeśli arkusz kalkulacyjny zmienia decyzję o wydaniu, funkcjonalnie mieści się w zakresie jako proces elektronicznej dokumentacji, niezależnie od tego, czy nazywa się go systemem, czy nie.

Zakres Części 11 również ulega ewolucji. Nowe integracje, nowe witryny, nowe przepływy pracy i migracje systemów zmieniają granice kontroli. Dlatego Kontrola Zmian i Kontrola Dokumentów muszą traktować konfigurację i przepływ pracy jako część walidowanego systemu.

4) Zapisy elektroniczne: co należy kontrolować (i typowe przykłady)

Elektroniczne zapisy zgodne z Częścią 11 muszą być wiarygodne i rzetelne. Wymaga to kontrolowania tworzenia, modyfikacji, przeglądu, zatwierdzania i pobierania zapisów. „Zapis” to pojęcie szersze niż plik PDF. Obejmuje on ustrukturyzowane dane i kontekst, który nadaje mu znaczenie: kto wykonał czynność, kontekst sprzętu/linii, obowiązującą wersję instrukcji oraz ślad audytu zmian.

W realizacji produkcji integralność danych zależy od systemów wykonawczych rejestrujących rzeczywistość w czasie rzeczywistym – zwłaszcza pod presją. Właśnie dlatego tak ważne są koncepcje realizacji, takie jak realizacja w czasie rzeczywistym na hali produkcyjnej (RFT) i realizacja produkcji sterowana zdarzeniami (Event-Driven Manufacturing Execution ): zmniejszają one konieczność późniejszej transkrypcji i ograniczają możliwość „poprawiania historii” po fakcie.

Przykłady kategorii zapisów powszechnie kwestionowanych podczas inspekcji obejmują:

• Akta egzekucji: ukończenie kroku, podpisanie przez operatora, przypisanie sprzętu, potwierdzenie parametrów i obsługa wyjątków w MES.
• Decyzje jakościowe: odchylenia, dochodzenia, dyspozycje, decyzje CAPA (często w QMS).
• Dane główne i instrukcje: receptury, specyfikacje, wzorce etykiet, dokumenty kontrolowane, podlegające przepisom Kontrola wersji oraz Kontrola danych głównych.
• Dowód zatwierdzenia: zatwierdzenia elektroniczne, zatwierdzenia przeglądów i autoryzacje wydań.
• Eksport danych: raporty wykorzystywane jako dowody muszą być powtarzalne, spójne i możliwe do odtworzenia w źródłach.

5) Podpisy elektroniczne: znaczenie, przejawy i wiązanie

Podpisy elektroniczne z Części 11 to nie „klik”. Są kontrolowanym poświadczeniem, które musi być przypisane konkretnej osobie i musi nieść ze sobą znaczenie: przegląd, zatwierdzenie, autorstwo lub odpowiedzialność. Jeśli Twój interfejs użytkownika ma jeden ogólny przycisk „Podpisz”, używany do wszystkiego, tworzysz niejednoznaczność podpisu – co właśnie sprawia, że ​​podpisy są mniej obronione.

Oczekiwania dotyczące podpisu obejmują również jego wiążący charakter: podpis musi być powiązany z konkretnym dokumentem, tak aby nie można go było usunąć, skopiować ani przenieść w celu sfałszowania innych dokumentów. Dlatego podpisy muszą być powiązane ze śladami audytu i modelem rekordów, który zachowuje powiązanie poprzez eksport i przechowywanie.

Jeśli chcesz uzyskać praktyczne wskazówki dotyczące wdrożenia, połącz wymogi regulacyjne z praktykami gotowości opisanymi w Części 11 Gotowość oraz ze wzorcami wdrażania opisanymi w Podpisach elektronicznych (Część 11).

6) Systemy zamknięte kontra otwarte: ryzyko graniczne bez machnięcia ręką

Część 11 rozróżnia „systemy zamknięte” (gdzie organizacja kontroluje dostęp i działanie) od „systemów otwartych” (gdzie środowisko rekordów lub ścieżka transmisji nie są w pełni kontrolowane). W nowoczesnych architekturach większość środowisk ma charakter mieszany: wewnętrzne wykonywanie może być zamknięte, podczas gdy hosting w chmurze, dostęp dostawców i portale zewnętrzne wprowadzają cechy systemów otwartych.

Zamiast spierać się o etykiety, potraktuj to jak analizę granic: gdzie zapis mógłby zostać przechwycony, zmieniony, błędnie przekierowany lub błędnie przypisany? To są miejsca, w których należy wzmocnić zabezpieczenia i dowody. Jeśli granica systemu jest niejasna, inspektorzy będą naciskać, aż się wyjaśni – i zazwyczaj znajdą słaby punkt.

7) Tożsamość, dostęp i uprawnienia: UAM, RBAC i SoD

Część 11 wymaga atrybucji. Atrybucja wymaga unikalnych użytkowników. Unikalni użytkownicy wymagają rzeczywistego zarządzania dostępem, a nie nieformalnego udostępniania identyfikatorów. Podstawowy stos kontroli obejmuje:

• Unikalne referencje rządzony przez Zarządzanie dostępem użytkowników (UAM) i dostarczane przez Zapewnianie dostępu.
• Władza o najmniejszych uprawnieniach wdrożone z Dostęp oparty na rolach i weryfikowane okresowymi przeglądami.
• Wymuszanie poświadczeń na poziomie wykonawczym wyrównany do Kontrola realizacji oparta na poświadczeniach.
• Podział obowiązków egzekwowane przez projekt (nie tylko przez politykę) Podział obowiązków w MES.

W wielu zakładach luka w integralności stwarzająca największe ryzyko to nadmierna liczba uprawnień (każdy może je obejść) oraz dostęp z możliwością „rozbicia szyby” używany jako normalny tryb pracy. Jeśli przełożeni zatwierdzają własną pracę lub operatorzy mogą edytować dane podstawowe, obrona na podstawie Części 11 szybko staje się krucha.

Środowiska wykonawcze korzystają z jawnych modeli autoryzacji, takich jak macierz autoryzacji operatora (Operator Authorization Matrix) , oraz ograniczonego zachowania środowiska wykonawczego poprzez wykonywanie z ograniczeniami ról ( Role-Constrained Execution ). W przypadku działań wysokiego ryzyka, postawa podwójnej kontroli (dwuosobowej kontroli) wzmacnia integralność, jeśli jest poprawnie wdrożona (patrz Operacje produkcyjne z podwójną kontrolą ).

8) Ślady audytu: projektowanie, ochrona i dyscyplina przeglądu

Ślady audytu to moment, w którym Część 11 przestaje być polityką, a staje się kontrolowanym zachowaniem systemu. Ślad audytu (GxP) zgodny z Częścią 11 musi być bezpieczny, opatrzony znacznikiem czasu i generowany komputerowo, rejestrując utworzenie, modyfikację, zatwierdzenia/podpisy oraz (w dozwolonych przypadkach) usunięcia. Musi być również chroniony przed zmianami wprowadzanymi przez zwykłych użytkowników i przechowywany przez okres przechowywania rekordu.

Projekt ma znaczenie. Dziennik z informacją „pole uległo zmianie” bez pokazania wartości przed/po jest słabym dowodem. Dziennik rejestrujący, kto co zmienił, z jakiej wartości na jaką, kiedy i dlaczego (przyczyna zmiany) jest dowodem kontrolnym. „Dlaczego” to nie biurokracja, to sposób na odróżnienie kontrolowanej korekty od manipulacji.

Przegląd również ma znaczenie. Wiele organizacji wdraża ścieżki audytu i nigdy ich nie weryfikuje. To swoisty teatr kontroli. Dojrzałe programy Części 11 ustanawiają praktyki przeglądu ścieżek audytu oparte na ryzyku i mogą je demonstrować pod presją. Praktyczne wzorce wdrożenia są omówione w oprogramowaniu do śledzenia audytu oraz w centrach zarządzania integralnością, takich jak Integralność Danych, Część 11, Załącznik 11 i Ścieżki audytu.

9) Integralność cyklu życia rekordu: poprawki, kontrola wersji i dane główne

Większość błędów Części 11 nie dotyczy początkowego wpisu. Dotyczą one tego, co dzieje się później: korekt, obejść i zmian „zasad gry”. System zgodny z przepisami musi obsługiwać kontrolowane korekty bez niszczenia pierwotnej prawdy. Oznacza to: pierwotny wpis pozostaje widoczny, korekta jest przypisywalna i opatrzona znacznikiem czasu, a powód zmiany jest rejestrowany w razie potrzeby.

Postępowanie w zakresie korekt musi być zgodne z dyscypliną dokumentacji. Jeśli proces korekcji polega na „edytowaniu pola, aż będzie wyglądać poprawnie”, stwarzasz ryzyko integralności, któremu Część 11 ma zapobiegać. Dyscyplina korekt operacyjnych jest wzmacniana przez Dobre Praktyki Dokumentacyjne i praktyczne zarządzanie korektami za pośrednictwem Korekt Rekordów Wsadowych.

Integralność rekordu zależy również od kontrolowania definicji źródłowych: specyfikacji, receptur, instrukcji i wzorców etykiet. Dlatego kontrola wersji , kontrola danych głównych i kontrolowana kontrola dokumentów są częścią rzeczywistości Części 11, a nie „odrębnymi zagadnieniami jakości”. Jeśli można zmienić specyfikację bez nadzoru, znaczenie rekordu może zostać wstecznie zmienione.

10) Dowody walidacyjne: CSV, testy oparte na ryzyku i „testy dowodowe”

Część 11 wymaga dowodów na to, że system działa zgodnie z przeznaczeniem i spójnie. To właśnie jest walidacja. W środowiskach regulowanych zarządzanie nią odbywa się zazwyczaj za pomocą podejścia CSV zgodnego z ramami takimi jak GAMP 5. Kluczem jest ryzyko: walidacja tego, co ma największe znaczenie dla jakości produktu, bezpieczeństwa pacjenta/konsumenta i integralności danych.

Walidacja, która testuje tylko przepływy pracy zgodne ze ścieżką bezpieczeństwa, jest słaba. Rzeczywiste awarie integralności występują w warunkach stresu: wyjątki, obejścia, poprawki, niewłaściwe użycie ról i próby obejścia integracji. Dlatego programy gotowości powinny uruchamiać „testy dowodowe”, które demonstrują zachowanie odmowy, kompletność śladu audytu i wiązanie podpisów. Praktyczny podręcznik znajduje się w części „Walidacja systemu” i jest często oceniany w części 11 „Gotowość”.

11) Czas, znaczniki czasu i atrybucja: uczynienie „kiedy” możliwym do obrony

Rekordy Części 11 muszą być opatrzone znacznikiem czasu w sposób dający się obronić. „Kiedy” nie jest szczegółem kosmetycznym, lecz dowodem. Jeśli zegary systemowe się przesuwają, strefy czasowe są niespójne lub użytkownicy mogą manipulować znacznikami czasu, ślad audytu staje się wątpliwy. W dochodzeniach liczy się kolejność: co wydarzyło się najpierw, co wydarzyło się później i jak długo utrzymywał się dany stan.

Obronny model czasu zazwyczaj obejmuje scentralizowaną synchronizację czasu, spójne zarządzanie strefami czasowymi oraz ścieżki audytu, które rejestrują znaczniki czasu zdarzeń w spójnym systemie czasu. W przypadku operacji obejmujących wiele lokalizacji, integralność czasu staje się jeszcze ważniejsza, ponieważ ludzie będą porównywać zdarzenia w różnych systemach i lokalizacjach.

Mów jak jest: jeśli nie potrafisz wiarygodnie odpowiedzieć na pytanie „kto, co i kiedy zrobił”, nie możesz wiarygodnie obronić zapisu. System może nadal działać, ale nie będzie stanowił dowodu zgodności, gdy pojawi się presja.

12) Przechowywanie i wyszukiwanie: trwałe zapisy na przestrzeni wielu lat

Retencja to miejsce, w którym projekty „bezpapierowe” umierają. Pierwszy rok wygląda świetnie. W piątym roku nie można odzyskać rekordów, eksporty nie zawierają śladów audytu, a migracja systemu zerwała powiązanie podpisów. Część 11 wymaga, aby rekordy pozostały dostępne, czytelne i możliwe do pobrania przez cały okres retencji wymagany przez regułę predykatu.

Skuteczne programy retencji to nie tylko przechowywanie danych. Obejmują one zweryfikowane funkcje tworzenia kopii zapasowych i przywracania danych, sprawdzone procedury odzyskiwania, udokumentowane okresy retencji oraz kontrolowane migracje, które zachowują znaczenie rekordów. Postawa ta jest wspierana przez program Record Retention – Data Integrity & Archival (Rejestracja – Integralność Danych i Archiwizacja) , a jej operacjonalizacja odbywa się za pośrednictwem polityki Record Retention Policy ( Rejestracja – Polityka Retencji ).

Jeden praktyczny standard: powinieneś móc szybko pobrać rekord, wyświetlić manifestacje sygnatur i wyświetlić odpowiednie wpisy w dzienniku audytu bez potrzeby korzystania z „historyka systemu”, który pamięta starsze konfiguracje. Jeśli pobranie wymaga wiedzy plemiennej, nie jest to kontrola, lecz luka w zabezpieczeniach.

13) Integracje: zatrzymywanie ścieżek obejściowych i prawd podzielonych

Nowoczesne systemy integrują systemy ERP , WMS, MES, QMS, LIMS, urządzenia i systemy raportowania. Integracje stwarzają największe ryzyko w rozumieniu Części 11: ścieżki omijania. Jeśli system zewnętrzny może zmodyfikować prawdziwość rekordu bez przechodzenia przez te same reguły i logikę ścieżki audytu, Twój model kontroli się załamie.

Przykłady błędów integralności spowodowanych integracją:

• Importy lub interfejsy API aktualizujące wyniki bez generowania równoważnych wpisów rejestru audytu.
• Transakcje ERP, które „naprawiają” zużycie produkcyjne po fakcie, bez kontrolowanego działania korygującego.
• Zewnętrzne ścieżki drukowania etykiet, które umożliwiają drukowanie zastąpionych wersji poza kontrolowanymi zatwierdzeniami.

Architektura zgodna z Częścią 11 wymaga jednego, autorytatywnego zestawu reguł i równoważnego egzekwowania niezależnie od ścieżki wejścia (UI, API, import). Wzorce integracji i zarządzanie są powszechnie uwzględniane w wytycznych dotyczących integracji ERP i szerszego zakresu architektury, takich jak MES, WMS, QMS i ERP Architecture Hub.

14) Procedury, które sprawiają, że Część 11 jest realna: PKB, szkolenia, okresowy przegląd

Część 11 nigdy nie ma charakteru wyłącznie technicznego. Potrzebne jest zarządzanie proceduralne, które zapobiegnie degradacji mechanizmów kontroli: cykl życia dostępu, szkolenia, praktyki przeglądu, kontrolowane korekty i kontrola zmian. Jeśli nie ma procedur operacyjnych (SOP) odpowiadających rzeczywistemu zachowaniu, system będzie dryfował w kierunku „czegokolwiek, co wykona zadanie”, co właśnie w ten sposób normalizuje współdzielone logowania i nieformalne nadpisania.

Procedury, które mają nieproporcjonalnie dużą wagę w rozumieniu Części 11, obejmują:

• Zarządzanie dostępem: prośba/zatwierdzenie/zapewnienie/usunięcie zapewnienia (zobacz Zapewnianie dostępu).
• Dyscyplina dokumentacji: poprawne wpisy bez wymazywania prawdy (zob. PKB).
• Dyscyplina korekcyjna: upewnij się, że kontrolowane zachowanie korekcyjne jest normalne (patrz Korekty rekordów wsadowych).
• Przegląd okresowy: przeglądy dostępu, pobieranie próbek z przeglądu śladu audytu i monitorowanie erozji kontroli.

Prawidłowo wykonane procedury nie spowalniają operacji — wręcz przeciwnie, zapobiegają konieczności przeprowadzania końcowych analiz kryminalistycznych i zmniejszają częstotliwość dochodzeń opartych na słabych dowodach.

15) Gotowość do kontroli: co sprawdzają audytorzy i jak wykazać kontrolę

Inspektorzy rzadko zaczynają od prośby o „segregator części 11”. Zaczynają od ważnego zapisu: decyzji dotyczącej partii, dyspozycji dotyczącej odchylenia, zatwierdzenia etykiety lub krytycznego wyniku testu. Następnie analizują go wstecz: kto go utworzył, co zostało zmienione, kto zatwierdził, co oznacza podpis i czy system może zapobiec oszustwom.

Praktyczną procedurą gotowości do inspekcji jest przeprowadzenie kontrolowanych demonstracji, które wymuszają wystąpienie awarii. Nie pokazuj pulpitów nawigacyjnych. Pokaż elementy sterujące. Podręcznik gotowości jest wspierany przez program Audit Readiness i wzmacniany przez programy takie jak Część 11 Readiness.

16) Typowe tryby awarii: gdzie część 11 ulega awarii w rzeczywistych zakładach

• Wspólne logowania: wygoda bierze górę nad zgodnością; atrybucja zostaje zniszczona.
• Administracja jako operacje: uprzywilejowany dostęp staje się domyślną ścieżką przepływu pracy.
• Ślady audytu bez wartości przed/po: logi istnieją, ale nie dowodzą integralności.
• Niesprawdzone ślady audytu: „Kamera” jest zainstalowana, ale nikt na nią nie patrzy.
• Niejednoznaczne podpisy: „znak” nie ma określonego znaczenia; zatwierdzenia stają się niejasne.
• Niekontrolowane korekty: Edycje nadpisują prawdę zamiast zachować historię.
• Ominięcie integracji: systemy zewnętrzne mogą zmieniać rekordy bez równoważnej kontroli.
• Słaba retencja: rekordów nie da się odnaleźć wiele lat później, w pełnym kontekście.
• Walidacja ignorująca wyjątki: testowana jest tylko ścieżka happy-path; prawdziwe awarie zdarzają się w przypadkach brzegowych.

17) Jak to mapuje się do wersji V5 SG Systems Global

Wersja 5 obsługuje operacje zgodne z Częścią 11, wymuszając zachowania wymagane przez Część 11: przypisywalne działania (unikalni użytkownicy), uprawnienia oparte na rolach, podział obowiązków, bezpieczne ścieżki audytu, kontrolowane podpisy elektroniczne z istotnym znaczeniem, regulowane korekty oraz zapisy gotowe do przechowywania. Celem nie jest generowanie ładniejszych zapisów, lecz utrudnienie ich kwestionowania, ponieważ system zapobiega tworzeniu wygodnych fikcji.

• Dowody realizacji produkcji: System realizacji produkcji V5 (MES) obsługuje kontrolowane przepływy pracy i jednoczesne gromadzenie dowodów.
• Zarządzanie jakością i zatwierdzenia: V5 System Zarządzania Jakością (SZJ) obsługuje kontrolowane decyzje, zatwierdzenia, dyspozycje i gotowe do audytu przepływy pracy.
• Integralność stanu zapasów: System zarządzania magazynem V5 (WMS) obsługuje kontrolowane stany zapasów, które muszą być zgodne ze stanem realizacji i jakości.
• Integracja bez obejścia: Interfejs API połączenia V5 obsługuje strukturalną łączność, dzięki czemu systemy zewnętrzne nie mogą ignorować autorytatywnego zestawu reguł.
• Widok platformy: Przegląd rozwiązania V5.

Część 11 jest najskuteczniejsza, gdy jest wdrażana jako stos integralności obejmujący realizację, jakość i zapasy, a nie jako pole wyboru IT. Ten stos jest istotny w regulowanych branżach, takich jak produkcja farmaceutyczna , produkcja wyrobów medycznych i produkcja suplementów diety.

18) Rozszerzone FAQ

P1. Czym jest 21 CFR część 11?
Część 11 tytułu 21 CFR definiuje kryteria, na podstawie których zapisy elektroniczne i podpisy elektroniczne są uznawane za wiarygodne i akceptowalne zamiast zapisów papierowych i podpisów odręcznych w przypadku zapisów wymaganych na mocy przepisów FDA.

P2. Kiedy stosuje się Część 11?
Część 11 ma zastosowanie w przypadku tworzenia lub utrzymywania zapisów elektronicznych wymaganych przez reguły predykatów (patrz Reguła predykatu) i/lub używać podpisów elektronicznych do zatwierdzania lub podpisywania tych zapisów.

P3. Co jest największym sygnałem ostrzegawczym dla Części 11?
Współdzielone loginy i nadmiernie uprzywilejowane role. Jeśli nie można udowodnić unikalnej atrybucji i granic uprawnień, integralność rekordów ulega załamaniu, niezależnie od tego, jak dopracowany jest interfejs użytkownika.

P4. Czy ślady audytu mają znaczenie, jeśli QA dokonuje przeglądu wszystkiego?
Tak. Przegląd nie zastępuje możliwości śledzenia. Bezpieczne ścieżka audytu w ten sposób można udowodnić, co uległo zmianie i dlaczego, zwłaszcza podczas dochodzeń i inspekcji.

P5. Jaki jest najszybszy sposób sprawdzenia, czy system jest gotowy na Część 11?
Przeprowadź „testy dowodowe”: podejmij próby nieautoryzowanych działań, podejmij próby edycji po zatwierdzeniu, wprowadź kontrolowane poprawki, weryfikuj znaczenie podpisu i przetestuj ścieżki integracji. Prawdziwy program blokuje, rejestruje i zachowuje dowody (patrz Część 11 Gotowość).

P6. Jaki jest związek między Częścią 11 a Załącznikiem 11?
To różne ramy, ale mają te same kwestie integralności: sprawdzone systemy, kontrolowany dostęp, ślady audytu i zapisy obronne. Zobacz Załącznik 11 dla oczekiwań UE.

Powiązane artykuły
• Linki krzyżowe słownika: Reguła predykatu | Integralność danych | ALCOA / ALCOA+ | Ślad audytu (GxP) | Podpisy elektroniczne | Zarządzanie dostępem użytkowników (UAM) | Podział obowiązków w MES | Walidacja systemu komputerowego (CSV) | GRA 5 | Załącznik 11 | 21 CFR część 211
• Przewodniki wdrażania: Część 11 Gotowość | Podpisy elektroniczne (część 11) | Oprogramowanie do śledzenia audytu | Walidacja systemu | Dobre praktyki dokumentacyjne | Korekty rekordów wsadowych | Polityka przechowywania dokumentacji | Gotowość do audytu | Integracja ERP | Centrum architektury MES/WMS/QMS/ERP