Denetim İzi (GxP) – Elektronik Kayıtlar için Kim, Ne, Ne Zaman ve Neden

Bu konu, şu konunun bir parçasıdır: SG Systems Global düzenleyici sözlük dizisi.

Ekim 2025'te güncellendi • Veri Bütünlüğü • 21 CFR Bölüm 11 / AB Ek 11 / ALCOA+

Denetim izi, GxP verilerini ve yapılandırmasını etkileyen eylemleri kaydeden, kimin neyi , ne zaman ve uygun durumlarda neden yaptığını yakalayan, güvenli, bilgisayar tarafından oluşturulmuş, zaman damgalı bir kayıttır . Elektronik veri bütünlüğünün omurgası ve 21 CFR Bölüm 11 , AB Ek 11 ve ALCOA+ 'nın pratik ifadesidir . Düzenlemeye tabi ortamlarda (ilaçlar, biyolojik ürünler, tıbbi cihazlar, besin takviyeleri ve gıda) serbest bırakma ve güvenlik kararları, eksiksiz, ilişkilendirilebilir ve kalıcı kayıtlara bağlıdır. Bir kayıt iz bırakmadan değiştirilebiliyorsa, ona güvenilemez; geçmişiyle birlikte geri getirilemiyorsa, ürünü savunmak için ona güvenilemez.

"Bir kayıt, ayak izi olmadan değişebiliyorsa, kanıt değil, kurgudur. Denetim izi, verileri savunulabilir kanıtlara dönüştürür."

1) Nedir?

Özünde, denetim izi bir kolaylık değil, bir kontrol mekanizmasıdır . Kayıt sisteminin bilgisayar ortamında otomatik olarak oluşturulur ve gerekli saklama süresi boyunca bu kayda bağlanır. Şunları göstermelidir: (1) kullanıcının veya cihazın kimliği ; (2) gerçekleştirilen olay (oluşturma, düzenleme, onaylama, işlem yapma, içe aktarma, yazdırma, geçersiz kılma, yapılandırma, hesaplama); (3) zaman damgası/saat dilimi ve sıralama; (4) nesne tanımlayıcısı (parti, lot, test, spesifikasyon, etiket, reçete, ekipman, belge); (5) önemli değişiklikler için önceki ve yeni değerler ; ve (6) değişikliğin önemli olduğu veya iş akışının gerekçe gerektirdiği durumlarda neden/yorum (örneğin, geçersiz kılma, spesifikasyon dışı işlem, risk derecelendirme değişikliği). İz, bilgisayar tarafından oluşturulmuş , kurcalamaya karşı dayanıklı , eksiksiz ve talep üzerine insan tarafından okunabilir olmalıdır.

Beklemeniz gereken denetim izi türleri:

• Veri denetim izleri – kayıt düzeyindeki değişiklikler (test sonuçları, tartımlar, hesaplamalar, etiketler, CoA içeriği, parti talimatları).
• Yapılandırma denetim izleri – Kontrol edilen ana veriler ve sistem ayarları (tarifler/özellikler, limitler, etiket şablonları, roller/izinler, cihaz faktörleri).
• İş akışı/imza izleri – onaylar, retler, yeniden yönlendirmeler ve imzanın anlamı Onay İş Akışları.
• Güvenlik/yönetim izleri – hesap oluşturma/devre dışı bırakma, parola politikası değişiklikleri, ayrıcalık yükseltme, API anahtarları, entegrasyon eşlemeleri.
• Cihaz/enstrüman izleri – edinim parametreleri, yöntem versiyonu, ham veri konumu, entegrasyon durumu.
• Sistem olayları – ithalat/ihracat, baskı olayları, yedeklemeler/geri yüklemeler, zaman senkronizasyonu, yama/uygulama değişiklikleri.

Kapsam. GxP ile ilgili kayıtları oluşturan, işleyen, depolayan veya ileten her sistem denetim izleri tutmalıdır: MES/eBR–eBMR , LIMS , QMS (sapma/CAPA/Değişiklik), WMS/etiket kontrolü, eğitim ve ekipman sistemleri ve serbest bırakma/izlenebilirlik kararları için kayıt sistemi haline gelen ERP arayüzleri. Cihazlar ve elektronik tablolar da muaf değildir; ya denetim izleri sağlamalı ya da riske orantılı bağımsız doğrulama ve kontrollerle çevrelenmelidir.

Mevzuata uygunluk. Temel kurallar (örneğin, 21 CFR 210/211 , 111 , cihaz 820 ve gıda 117 ) hangi kayıtların mevcut olması gerektiğini tanımlar ; Bölüm 11 ve Ek 11 , elektronik kayıtların nasıl kontrol edilmesi gerektiğini tanımlar . Denetim izleri, elektronik kanıtları güvenilir kılan bağlantı dokusudur.

2) Pratik Uygulama (Müfettişlerin Görmeyi Bekledikleri)

Yaşam döngüsü ve doğrulama. Denetim izlerini bir onay kutusu olarak değil, doğrulanmış bir işlev olarak ele alın. Gereksinimleri URS/FDS'de tanımlayın, riskleri değerlendirin, test edilebilir kabul kriterleri yazın ve IQ/OQ/PQ'da davranışı sorgulayın: Girişler kapatılabilir mi? Düzenlemeler mümkün mü? Saatler senkronize mi (NTP)? Saat dilimleri saklanıyor mu? Dışa aktarma bağlamı koruyor mu? Yazdırma çıktıları aynı içeriği ve sırayı doğru bir şekilde sunuyor mu? Başarısız oturum açmalar ve ayrıcalık yükseltmeleri kaydediliyor mu? Önemli düzenlemeler için değişiklik nedeni istemleri uygulanıyor mu? Kanıtlar, testlere izlenebilirlik ile doğrulama paketine dahil edilir.

Kimlik ve erişim. Benzersiz kullanıcı kimlikleri; rol tabanlı izinler; en az ayrıcalık; görev ayrımı (uygulayıcı vs. doğrulayıcı, başlatıcı vs. onaylayıcı, yönetici vs. kalite kontrol). Yüksek ayrıcalıklar sıkı bir şekilde kontrol edilmeli ve denetlenmelidir . Paylaşılan hesaplar ve genel "laboratuvar" kullanıcılarının GxP sistemlerinde yeri yoktur. Uzaktan erişim ve yönetim rolleri için çok faktörlü kimlik doğrulama hızla olmazsa olmaz hale geliyor.

Yakalanan içerik. Önemli olaylar için, izleme kaydında kayıt kimliği, olay türü, zaman damgası, kullanıcı/cihaz, önceki ve yeni değerler ve uygunsa neden/yorum bulunmalıdır. Alan düzeyinde bağlam olmadan genel "güncellendi" eylemlerine güvenmeyin. Elektronik imzalar için, imzalayanın kimliğini, imzanın anlamını (örneğin, Gerçekleştirildi, Gözden Geçirildi, Onaylandı, Sonuçlandırıldı) ve kayıt sürümüne bağlantıyı kaydedin. Etiket yazdırma için, şablon sürümünü, veri kaynağını ve sayıları kaydedin.

Güvenlik ve bütünlük. Denetim kayıtları, tasarım gereği düzenlenemez olmalıdır. Kayıtları, kriptografik bütünlük kontrolleri veya yalnızca ekleme yapılabilen depolama ile koruyun ve bu işlemleri sıkı yedekleme/geri yükleme testleriyle destekleyin. Platform, gizlilik veya ticari sırlar için resmi olarak karartmaya izin veriyorsa, karartma işlemi operasyonel kayıttan ayrı tutulmalı, gerekçelendirilmeli ve kendisi de tamamen denetim kaydı altında tutulmalıdır.

Veri saklama ve okunabilirlik. Ham verileri, meta verileri ve denetim kayıtlarını belirtilen süre boyunca saklayın. Biçim eskimesini göz önünde bulundurun : yükseltmelerden, tedarikçi değişikliklerinden veya arşivlemeden sonra bile görüntüleme mümkün kalmalıdır. Geçiş faaliyetleri de değişiklik kontrolüne tabi tutulur ve doğrulanır: rastgele kontroller, sağlama toplamı karşılaştırmaları, paralel erişim ve belgelenmiş onay.

Denetim uygulamalarını gözden geçirin. Denetim izleri yalnızca bir olaydan sonra değil, düzenli olarak gözden geçirilir. İstisna bazlı incelemeyi toplu işlem ve Kalite Yönetim Sistemi (QMS) kapanışlarına entegre edin: geçersiz kılmaları, geç imzaları, tekrarlanan düzenlemeleri, trend dışı değişiklikleri ve başarısız oturum açma işlemlerini filtreleyin. Periyodik yönetim incelemesi, alan ve kullanıcıya göre denetim izi istisnalarının trendini belirlemeli ve bu da Düzeltici ve Önleyici Eylemler (CAPA) ve eğitime katkı sağlamalıdır.

Elektronik tablolar ve araçlar. Denetim izleri yoksa, telafi edici kontroller ekleyin: sürümlü şablonlar, korumalı formüller/hücreler, kısıtlı erişim, belgelenmiş doğrulama, bağımsız ikinci şahıs kontrolleri ve karma kod veya filigran ile kontrollü PDF'ye yazdırma. Daha iyisi: araçları ve elektronik tabloları, yerel izler sağlayan doğrulanmış platformlara entegre edin.

3) İşe Yarayan Tasarım Modelleri

• Değişiklik gerekçesinin uygulanması. Önemli verilerde/yapılandırmada yapılacak düzenlemeler için yapılandırılmış nedenler gerektir; gerekçe göstermeden kaydetmeyi engelle.
• Zaman disiplini. Sunucuları ve istemcileri senkronize edin; zaman damgalarını saat dilimiyle birlikte saklayın; saat kaymasını eşik değerinin ötesine işaretleyin.
• Değiştirilemez ihracatlar. Baskılı kopyaların izlenebilir kalması için gömülü karmalar ve bağlamsal başlıklar (kayıt kimliği, sürüm, filtreler, saat dilimi) içeren imzalı PDF/CSV dosyaları sağlayın.
• Ayrıcalıklı erişim denetimi. Yönetici eylemlerini periyodik inceleme için QA'ya yönlendirin; rol değişiklikleri ve acil erişim konusunda bildirimde bulunun ("cam kırma").
• Olay korelasyonu. Küresel kayıt tanımlayıcıları aracılığıyla sistemler arası bağlantı yollarını (MES↔LIMS↔QMS↔WMS) etkinleştirin; soyağacını etkinleştirin.
• Delil kapıları. Onayların kanıt varlığına (ekler, hesaplamalar) bağlanması; ön koşullar karşılanana kadar imza düğmeleri devre dışı bırakıldı.
• Gösterge paneli. Yüzey istisnaları (geçersiz kılmalar, geç imzalar, tekrarlanan düzenlemeler) gerçek zamanlı olarak denetçileri ve QA'yı değiştirmek için kullanılır.

4) Önemli Metrikler

• İstisna yoğunluğu parti/belge başına (işaretlenen izleme olaylarının sayısı ve adımlar) - süreç sağlığı için öncü sinyal.
• Geç imza oranı hem de ortalama imza gecikmesi gerçekleştir→doğrula→onayla.
• Ayrıcalıklı eylem sayısı ve SLA dahilinde QA incelemesiyle orantılıdır.
• Saat kayması olayları tespit edildi ve düzeltme zamanı.
• Denetim izi incelemesinin tamamlanması partiler, sapmalar, CAPA ve değişiklikler için oran.
• CAPA etkinliği (Benzer istisnaların 6-12 ay içinde tekrarlanması).

5) Yaygın Arıza Türleri ve Bunlardan Nasıl Kaçınılır

• Düzenlenebilir yollar. İz kayıtlarını silme veya düzenleme yetkisi bütünlüğü zedeler. Düzeltme: Platform düzeyinde değişmezlik ve görev ayrımı; satıcı onayı.
• Kısmi yakalama. Saha farkları veya kullanıcı kimliği olmadan parkur günlüğü "güncellendi". Düzeltme: Saha düzeyinde günlük kaydı yapılandırın; önemli düzenlemeler için nedenler belirtin.
• Paylaşılan hesaplar. "LabUser" her şeyi imzalıyor. Düzeltme: benzersiz kullanıcılar, genel hesap yok; etkin olmadığında devre dışı bırak; yöneticiler için MFA.
• Yetim ihracatlar. Bağlam veya karma değerleri olmayan PDF/CSV. Düzeltme: Kaynak kodun yanında saklanan bağlamsal başlıklar, dijital imzalar/karma değerleri.
• Saat kaosu. Senkronize olmayan zamanlar yeniden yapılandırmayı bozar. Düzeltme: NTP, izleme, kayma alarmları, zaman dilimi yakalama.
• Tiyatroyu incele. Denemeler mevcut ancak kimse onları okumuyor. Çözüm: İstisna bazında inceleme; periyodik QA örneklemesi; incelemenin tamamlanması için KPI'lar.
• Göç amnezisi. Sistem değişikliği sırasında kaybolan izler. Düzeltme: geçiş protokolü, toplam kontrol değerleri, paralel erişim, imza; gerekirse eski sistem görüntülerini saklayın.

6) V5 ile İlişkisi

V5 tarafından SG Systems Global Ana veriler ve yürütme boyunca denetim izlerini yerleştirir, böylece her kritik hesaplama, hareket ve onay atfedilebilir, güvenli ve incelenebilir olur. V5 MES, eBMR adımları, tartımlar, tarif düzenlemeleri ve tutmalar, kullanıcı kimliği ve neden kodlarıyla zaman damgalı girişler oluşturur. V5 WMS kayıt alma, kutu taşıma, durum değişiklikleri, etiket baskıları ve uzlaştırma işlemlerini izler. V5 KYS Sapmaları yakalar→CAPA, değişiklik kontrolü, şikayet yönetimi ve eğitim sertifikalarını bağlantılı imzalar ve etkinlik kontrolleriyle birleştirir. LIMS ile entegrasyon V5 Bağlantı API'si enstrüman meta verilerini ve sonuç onaylarını, tarafından kullanılan aynı soyağacına bağlar KoA.

İstisnai durumlara göre inceleme. V5, yapılandırılabilir filtreler sunar: tüm geçersiz kılmaları, geç imzaları (> X saat), aynı kullanıcı tarafından gerçekleştirilen+onaylanan girişimleri (engellendi), sürüm uyuşmazlıklarını ve sınırlara yapılan tekrarlanan düzenlemeleri göster. Kalite güvence inceleyicileri, ham günlükleri kaydırmak yerine bir parti veya değişikliğin öyküsünü bir bakışta görürler. Denetimler için V5, denetim izi bağlamını (saat dilimi, uygulanan filtreler, sürüm tanımlayıcıları) içeren, incelemeye hazır raporlar oluşturur, böylece dışa aktarılan kanıtlar kendi kendini açıklayıcı olur.

Güvenlik ve saklama. İzleme kayıtları düzenlenemez ve yedekleme/geri yükleme doğrulamasıyla korunmaktadır. İzleme kaydı görüntüleyicilerine erişim rol kısıtlamalıdır; ayrıcalıklı işlemler QA panolarına raporlanır. Uzun vadeli okunabilirlik, dışa aktarma profilleri (karma kodlu imzalı PDF/CSV/XML) ve değişiklik kontrolü altındaki kontrollü geçiş prosedürleri aracılığıyla yönetilir.

Etiket ve baskı kontrolü. Şablon sürümleri ve baskı olayları denetim izleme sistemine kaydedilir ve SKU/parti numarasına bağlanır; sistem kimin baskı yaptığını, hangi şablonu/sürümü kullandığını ve sayısını kaydeder; bu da geri çağırmaları tetikleyen yaygın bir açığı kapatır.

7) Uygulama Kılavuzu (Ekip Hazır)

• Kapsamı tanımlayın. GxP kayıtları üreten tüm sistemleri listeleyin (MES, LIMS, QMS, WMS, ERP arayüzleri, etiket sistemleri, cihazlar, elektronik tablolar). Her veri türü için hangi kayıt sisteminin kullanılacağına ve denetim izleri veya telafi edici kontrollerin gerekli olduğuna karar verin.
• Gereksinimleri yazın. Yakalanacak olayları, değişiklik nedeni gerektiren alanları, saat dilimi yakalamayı, kimliği ve dışa aktarma biçimlerini belirtin. İstisna bazında inceleme için rapor gereksinimlerini ekleyin.
• Doğrula. Değiştirilemezlik, kimlik yakalama, zaman senkronizasyonu, yönetici günlüğü kaydı, dışa aktarma bütünlüğü ve yük altında performans (uzun gruplar) sorunlarını çözün. Sapmaları ve CAPA'yı belgelendirin.
• Tren. İmzanın anlamını, nedenlerin ne zaman gerekli olduğunu, izlerin nasıl okunacağını ve anormalliklerin nasıl tespit edileceğini öğretin. Yöneticilere ayrıcalıklı erişim hijyeni konusunda eğitim verin.
• Çalıştır. Toplu işlem düzenleme, sapma kapatma ve değişiklik onayı süreçlerine izleme kontrollerini ekleyin. İstisna eğilimlerini belirleyin ve APR/PQR'ye aktarın.
• Koruyun. Yedekleme/geri yükleme, NTP ve izleme raporu bütünlüğünü düzenli olarak test edin. Yükseltmeler, yamalar veya geçişler sırasında yeniden doğrulama yapın.

İlgili Okuma

• 21 CFR Bölüm 11 – Elektronik Kayıtlar ve İmzalar
• AB GMP Ek 11 – Bilgisayarlı Sistemler
• ALCOA+ Veri Bütünlüğü | GAMP® 5 Yazılım Doğrulaması
• Elektronik Parti Kaydı (eBR/eBMR) | Analiz Sertifikası (CoA)
• V5 MES | V5 KYS | V5 WMS

8) SSS

S1. Denetim izi neleri yakalamalıdır?
Kimlik, olay türü, zaman damgası/zaman dilimi, nesne/kayıt kimliği, önemli değişiklikler için önceki/yeni değerler ve uygun durumlarda neden/yorum; ayrıca onaylar gerçekleştiğinde imza anlamı.

S2. Denetim kayıtları düzenlenebilir mi?
Hayır. Yalnızca eklemeli ve kurcalamaya karşı korumalı olmalıdırlar. Gizlilik düzenlemesine izin veriliyorsa, orijinali değiştirmeden ayrı tutulmalı, gerekçelendirilmeli ve kendisi de denetim izlemesine tabi tutulmalıdır.

S3. Denetim kayıtları ne sıklıkla incelenmelidir?
Toplu/kayıt düzenlemesinde (istisnaya göre inceleme) ve periyodik olarak (örneğin aylık/üç aylık) trendler için, QA denetimi ve tamamlanma için KPI'lar ile.

S4. Elektronik tabloların ve araçların denetim izlerine ihtiyacı var mı?
Kararlar için kullanılan GxP verilerini oluşturur veya dönüştürürlerse, evet - yerel denemeler veya telafi edici kontroller (sürümleme, koruma, bağımsız doğrulama). En iyi uygulama, yerel denemelere sahip sistemlere entegre etmektir.

S5. Saat dilimleri nasıl işlenir?
Zaman damgalarını saat dilimi veya UTC ofsetleriyle birlikte saklayın ve saatleri senkronize edin. Saat kayması tespiti ve düzeltmesi kaydedilmelidir.

S6. Denetim kayıtlarının ne kadar süreyle tutulması gerekir?
Temel kayıt, yükseltmeler ve geçişlerden sonra garantili okunabilirlikle, öngörü kuralı uyarınca tutulduğu sürece.

S7. Basılı PDF'ler yeterli mi?
PDF'ler okunabilirliği artırır, ancak denetçiler kayıt sisteminden ham verileri, meta verileri ve canlı izlemeyi talep edebilir. Dışa aktarımların kendi kendini tanımladığından ve bütünlüğünün korunduğundan emin olun.

S8. V5 denetimler sırasında nasıl yardımcı olur?
V5, denetim izlerini kayıt bağlamına (kim/ne/ne zaman/neden) bağlayan, imza anlamlarını içeren ve istisna filtrelerini gösteren denetime hazır görünümler sunar; böylece kontrolü kanıtlamak için harcanan süreyi azaltır.

İlgili Sözlük Bağlantıları:
• Elektronik Kayıtlar: 21 CFR Bölüm 11 | AB: Ek 11 | İlkeler: ALCOA +
• İlaç/Cihaz/Gıda: 210/211 | 820 | 117
• Sistemler: V5 MES | V5 KYS | V5 WMS