Elektronik İmzalar

Bu konu, şu konunun bir parçasıdır: SG Systems Global düzenleyici ve operasyonel terimler sözlüğü.

Aralık 2025'te güncellendi • Bölüm 11 / Ek 11 Kontroller, Onaylar ve Atıf • Kalite Güvencesi, Uyumluluk, BT, Operasyonlar

Elektronik imzalar, imza olayının belirli bir bireye özgü olduğu ve belirli bir kayıt ve anlamla (örneğin, "incelendi", "onaylandı", "gerçekleştirildi", "serbest bırakıldı") bağlantılı olduğu, elektronik bir sistem içinde gerçekleştirilen yasal olarak anlamlı onaylar ve imza işlemleridir. Düzenlemeye tabi üretim ve kalite sistemlerinde, elektronik imza sadece bir onay kutusu veya yazılı bir isim değildir. İmzalanan kaydın denetimler ve soruşturmalar sırasında güvenilir ve savunulabilir olması için kimliği , niyeti ve kayıt bağlantısını kanıtlaması gereken kontrollü bir olaydır. Bu nedenle elektronik imzalar, 21 CFR Bölüm 11 , AB Ek 11 , veri bütünlüğü ve kimin imzaladığını, neyi imzaladığını, ne zaman imzaladığını ve imzanın ne anlama geldiğini kaydeden atfedilebilir bir denetim iziyle yakından ilişkilidir .

Elektronik imzalar önemlidir çünkü elektronik kayıtları uyumluluk düzeyinde kanıtlara dönüştürürler. İmzalar zayıfsa –ortak hesaplar, belirsiz anlam, eksik atıf veya imzalandıktan sonra düzenlenebilir kayıtlar– altta yatan süreç iyi olsa bile sistemi savunmak zorlaşır. Güçlü elektronik imzalar, kağıtsız işlemleri, daha hızlı yayın döngülerini, kontrollü iş akışlarını ve parti yürütme ( eBMR ), sapmalar, CAPA, belge kontrolü, eğitim ve tedarikçi/kalite kararları genelinde güvenilir hesap verebilirliği sağlar. Amaç basittir: elektronik kayıt, imzalı bir kağıt kaydı gibi –çoğu zaman daha iyi– geçerli olmalıdır, çünkü kanıt zaman damgalıdır ve izlenebilirdir.

“Elektronik imza, ancak kimliği, niyeti ve imzalanan kayda olan kopmaz bağlantıyı kanıtladığı takdirde değerlidir.”

1) Elektronik İmza Gerçekte Neyi Kanıtlar?

Geçerli bir elektronik imza üç şeyi kanıtlamalıdır:

• Kimlik: İmzalayan kişi benzersiz bir şekilde tanımlanır (ortak kimlik bilgileri kullanılmaz) ve kimliği doğrulanır.
• niyet: İmzalayan kişi imzalamayı amaçlamış ve imzanın ne anlama geldiğini anlamıştır (gözden geçirilmiş/onaylanmış/gerçekleştirilmiş/serbest bırakılmış).
• Kayıt ciltleme: İmza, imzalandığı anda belirli kayda bağlanır ve ayrılamaz veya yanlış uygulanamaz.

Bu unsurlar mevcut olduğunda, elektronik imza, zaman damgalı, ilişkilendirilebilir ve sistem bağlamına (rol, iş akışı adımı, kayıt sürümü) bağlı olduğu için el yazısı imzadan daha güçlü hale gelir. Bu unsurlar eksik olduğunda ise, "e-imza" yalnızca zayıf kanıt değeri olan bir kullanıcı arayüzü öğesi haline gelir.

2) Elektronik İmzalar ve Elektronik Kayıtlar

Elektronik kayıt, verinin kendisidir: parti kaydı, sapma, düzeltici ve önleyici eylem (CAPA), test sonucu, kontrollü belge, eğitim tamamlama. Elektronik imza ise bu kayda uygulanan bir onay veya tasdik işlemidir. İkisi birlikte çalışmalıdır. Kontrollü imzası olmayan bir kayıt, yayınlanmak üzere eksik olabilir. Kontrollü kayıt olmadan imza anlamsızdır.

Bu nedenle Bölüm 11 genellikle "elektronik kayıtlar ve elektronik imzalar" olarak özetlenir. Kaydı (bütünlük, saklama, denetim izleri) ve imzayı (kimlik, niyet, bağlayıcılık) kontrol etmelisiniz. Taraflardan biri zayıfsa, uyumluluk durumu çöker.

3) Düzenlemeye Tabi İşlemlerde Elektronik İmzaların Var Olmasının Sebebi

Elektronik imzalar, düzenlenmiş üretimin belgelenmiş kararlar üzerine kurulu olması nedeniyle mevcuttur. Onaylar, neyin izin verildiğini tanımlar: hangi parti adımları gerçekleştirildi, hangi sapmalar kabul edildi, hangi düzeltici ve önleyici eylemler (CAPA) kapatıldı, hangi spesifikasyonlar geçerli, hangi partiler serbest bırakıldı. İmzalar olmadan kararlar belirsizdir. İmzalarla kararlar ilişkilendirilebilir ve savunulabilir hale gelir.

Elektronik imzalar ayrıca kağıtsız işlemleri mümkün kılar ve süreçteki sürtünmeyi azaltır. Kuruluş, formları yazdırmak ve taramak yerine, imzaları işlem anında yakalayabilir ve kayda ve denetim izine anında bağlayabilir. İyi yapıldığında, bu hem uyumluluğu hem de verimliliği artırır çünkü yazım hatalarını azaltır ve işlem ile belgeleme arasındaki zaman farkını kısaltır.

4) İmza Anlamı: “İncelendi” “Onaylandı” ile Aynı Anlamda Değildir

İmza anlamı, en çok göz ardı edilen gereksinimlerden biridir. Bir imzanın tanımlanmış bir amacı olmalıdır. Yaygın imza amaçları şunlardır:

• gerçekleştirilen: “Bu adımı/işlemi gerçekleştirdim.”
• Doğrulanmış: “Bu sonucun/adımın gereksinimleri karşıladığını doğruladım.”
• yorum: "Kayıtları inceledim ve kabul edilebilir buldum."
• Onaylandı: “Bu kaydı/kararı kullanım için onaylıyorum.”
• Çıkış: “Bu partiyi/grupu/belgeyi bir sonraki aşamaya gönderiyorum.”

Sistem, anlamı açık ve tutarlı hale getirmelidir. Her şey sadece "imzalandı" ise, imzanın anlamı zayıftır çünkü imzalayanın neyi onayladığı belirsizdir. Güçlü sistemler, imza anlamını meta veri olarak yakalar ve bunu kayıtta ve denetim izlerinde açıkça gösterir.

5) Kimlik Doğrulama Kontrolleri: Kimliği Savunulabilir Hale Getirmek

Kimlik temeldir. En güçlü imza programı bile kimlik doğrulama zayıfsa çöker. Savunulabilir bir program en azından şunları gerektirir:

• Benzersiz kullanıcı hesapları: Paylaşımlı giriş yok, genel "operatör" hesapları yok.
• Güçlü kimlik doğrulama: Parola standartları, uygun yerlerde çok faktörlü kimlik doğrulama (MFA) ve sıfırlama kontrolleri.
• Kontrollü tedarik: yönetilir erişim sağlama ve devre dışı bırakma.
• Rol tabanlı izinler: Yalnızca yetkili kişiler imzalayabilir ve yalnızca izin verilen işlemler için imza atabilirler (RBAC).

Birçok sistem, toplu onay veya sapma onayı gibi yüksek etkili imzalar için "imza sırasında yeniden kimlik doğrulama" (örneğin, parolayı yeniden girme veya kimliği doğrulama) gerektirir. Amaç, niyet ve kimliği yalnızca oturum açma anında değil, imzalama anında da açıkça belirtmektir.

6) Kayıt Bağlama ve İmza Sonrası Değişiklik Kontrolü

Bir imza, imzalandığı anda kayıt durumuna bağlı olmalıdır. Temel sorun "imza sonrası düzenlemeler"dir. Bir kayıt, onaylandıktan sonra izlenebilirlik olmadan değiştirilebiliyorsa, onay anlamsızdır. Savunulabilir bir yaklaşım genellikle şunları içerir:

• Kilitleme: İmza atıldıktan sonra, kritik kayıt alanları kilitlenir veya revizyon kontrolüne alınır.
• Revizyon kontrolü: İmza sonrası değişiklikler, yeni onaylarla yeni bir revizyon oluşturulmasını gerektirir (bağlantılar şunlarla ilgilidir): Doküman Kontrolü hem de kontrolü değiştir).
• Denetim izi görünürlüğü: İmza atıldıktan sonra yapılan tüm değişiklikler kaydedilir ve görünür hale gelir; kimin neyi ve neden değiştirdiği de dahil.
• İmza geçersiz kılma mantığı: Bazı değişiklikler önceki imzaları otomatik olarak geçersiz kılar ve yeniden imzalanmasını gerektirir.

Bağlama işlemi, ek dosya kontrolünü de içerir. Bir kayıt ek dosyalara (raporlar, PDF'ler, resimler) atıfta bulunuyorsa, imza yalnızca tek bir alana değil, kayıt paketine uygulanmalıdır.

7) Elektronik İmzaların Kullanıldığı Yerler (Yaygın Kullanım Örnekleri)

Elektronik imzalar, kararların kime ait olduğunun ve neden verildiğinin doğrulanmasının gerektiği her yerde kullanılır. Yaygın kullanım alanları şunlardır:

• Toplu yürütme: Adım tamamlama, süreç içi kontroller, hat temizleme onayı ve son parti onayı işlemleri eBMR.
• Basılı tut/bırak: yerleştirme ve serbest bırakma karantina/ambar Parti ve lotların durumu.
• Sapmalar ve araştırmalar: Sapma onayı, soruşturma sonuçları ve etkinlik kontrolleri.
• KAPA: CAPA onayı, işlem tamamlama imzası ve kapanış.
• Kontrolü değiştir: Değişiklik talebi onayı, uygulama onayı ve uygulama sonrası değerlendirme.
• Belge kontrolü: SOP onayı, geçerlilik tarihi yetkilendirmesi, kullanım ömrünün sona ermesine ilişkin onaylar.
• Eğitim: Eğitim tamamlama belgesi ve yeterlilik onayları.
• Tedarikçi ve kalite kararları: MRB kararları ve tedarikçi düzeltici eylem onayları.

Her durumda, imza doğru anlamı yansıtmalı ve yetkisiz kullanıcıların yüksek riskli kararları imzalayamaması için rollerle sınırlandırılmalıdır.

8) Önemli Olaylar İçin Denetim İzleme Beklentileri

İmza işlemleri izlenebilir olmalıdır. Elektronik imzalar için savunulabilir bir denetim izi genellikle şunları içerir:

• İmzalayanın kimliği: Kullanıcı kimliği ve uygunsa, adın yazılı hali.
• timestamp: İmza tarihi/saati (saat dilimi tutarlılığı dahil).
• Anlamı: Gözden geçirildi/onaylandı/gerçekleştirildi/yayınlandı.
• Kayıt referansı: Hangi kayıt ve hangi sürüm/revizyon imzalandı?
• Kimlik doğrulama yöntemi: Yüksek etkili adımlar için imza sırasında yeniden kimlik doğrulama işleminin gerçekleşip gerçekleşmediği.

Denetçiler ayrıca imza hataları ve geçersiz kılma işlemleriyle de ilgilenirler: başarısız oturum açma girişimleri, imza iptalleri, parola sıfırlamaları ve yetkilendirmeyi tehlikeye atabilecek her türlü yönetici işlemi. Bu nedenle imza sistemleri, kontrollü erişim sağlama ile ilişkilendirilmeli ve olağandışı kalıplar açısından izlenmelidir.

9) Yaygın Arıza Modları (Elektronik İmzaların Zayıflaması)

Elektronik imza programları genellikle tahmin edilebilir şekillerde başarısız olur:

• Paylaşılan hesaplar: Bu durum, sorumluluğun belirlenmesini engeller ve imzaları savunulamaz hale getirir.
• Anlamı belirsiz: "Belirli bir niyet olmaksızın imzalandı."
• İmzalandıktan sonra düzenlenebilir kayıtlar: Kayıtlar kontrollü revizyon olmaksızın değiştirilebiliyorsa, onaylar anlamsız hale gelir.
• Aşırı geniş imza yetkileri: Çok fazla kullanıcı yüksek etkili adımları onaylayabildiğinden, görev ayrımı zayıflayabilir.
• Zayıf kaynak tahsisi: Rol kayması ve güncel olmayan erişim, yetkisiz imzalama olanağına yol açar.
• Yetersiz denetim izi incelemesi: İmza niteliğindeki olaylar mevcut ancak izlenmiyor; şüpheli kalıplar tespit edilemiyor.

Çözüm, yönetim ve tasarımda yatıyor: güçlü kimlik kontrolleri, net imza amacı, zorunlu kayıt kilitleme/revizyon kuralları ve kalite sistemiyle uyumlu rol tabanlı izinler.

10) Pratik Yol Haritası: Savunulabilir Elektronik İmzaların Uygulanması

Pratik bir uygulama planı şöyle görünmektedir:

• 1) Önemli noktaları tanımlayın: İmza gerektiren iş akışlarını listeleyin (toplu işlem adımları, sürüm, sapmalar, CAPA, değişiklik kontrolü, dokümanlar).
• 2) İmza anlamlarını tanımlayın: Gözden geçirilmiş/onaylanmış/gerçekleştirilmiş/yayınlanmış olanları kontrol edin ve sistemin bunları kaydettiğinden emin olun.
• 3) Rolleri tanımlayın: İmza haklarını rollere göre haritalandırın ve görev ayrımını uygulayın.
• 4) Kimlik doğrulama kontrollerini uygulayın: Benzersiz hesaplar, güçlü kimlik doğrulama, kontrollü yetkilendirme.
• 5) İmzaları kayıtlara bağlayın: İmzalı kayıtları kilitleyin veya revizyon kontrolü uygulayın; ekleri ve bağlamı koruyun.
• 6) Denetim kayıtlarını yakalayın: Önemli olaylar kaydedilir, incelenebilir ve gerekli süreler boyunca saklanır.
• 7) İzleme ve değerlendirme: İmza anormalliklerine yönelik periyodik erişim incelemeleri ve denetim izi takibi.

Bu plan, elektronik imzaları "sadece bir onay kutusu özelliği" olmaktan ziyade bir uyumluluk gücü haline getiriyor. Amaç, imzaların kullanımını doğal ve kötüye kullanımını zorlaştırmaktır.

11) Bu V5 ile Nasıl Uyumlu? SG Systems Global

Kontrollü uygulama ve onaylar. V5 platformunda , elektronik imzalar modüller genelinde kontrollü uygulamayı destekler: MES adım onayları, denetime hazır eBMR'ye aktarım , WMS bekletme ve serbest bırakma işlemleri ve QMS sapmalar, CAPA, MRB ve değişiklik kontrolü için onaylar. RBAC ve kontrollü yetkilendirme, yalnızca yetkili rollerin belirli kararları imzalayabilmesini sağlar.

Denetlenebilirlik. İmza olayları, atıf, anlam ve zaman damgalarıyla birlikte kaydedilir; bu da denetim izlerini güçlendirir ve Bölüm 11/Ek 11 ile uyumlu kanıtları destekler. Kayıtlar kilitlenebilir veya revizyon kontrolüne tabi tutulabilir, böylece imzalar doğru kayıt durumuna bağlı kalır.

Özetle: V5, hesap verebilirliği sağlamak ve veri bütünlüğünü korumak için elektronik imzalar kullanır; onayları kağıtsız, savunulabilir ve denetime hazır kanıtlara dönüştürür.

12) SSS

S1. Elektronik imzalar yasal olarak geçerli midir?
Birçok düzenlemeye tabi bağlamda, evet; kimlik, niyet ve kayıt bağlantısı için uygun kontrollerle uygulandığında ve geçerli düzenlemeler ve kuruluş politikalarıyla uyumlu olduğunda.

S2. Elektronik imzalar için parolanın tekrar girilmesi gerekiyor mu?
Genellikle yüksek etkili imzalar için kullanılır. Bazı sistemler, niyeti açıkça belirtmek için imzalama anında yeniden kimlik doğrulaması gerektirir. Uygulanacak özel yaklaşım, risk modelinize ve düzenleyici beklentilerinize uygun olmalıdır.

S3. İmzalanmış bir kayıt daha sonra değiştirilebilir mi?
İzlenebilirlik olmadan değiştirilemez olmalıdır. Tipik olarak, imzalı kayıtlar kilitlenir veya değişiklikler yeni bir revizyon ve yeniden onay gerektirir; bu süreçte neyin değiştiğini ve neden değiştiğini gösteren eksiksiz bir denetim izi bulunur.

Soru 4. Elektronik imzaları en hızlı şekilde ne bozar?
Paylaşımlı hesaplar, belirsiz imza anlamı, görev ayrımı olmaksızın geniş imza yetkileri ve kontrollü revizyon olmaksızın imzadan sonra kayıtları düzenleme olanağı.

S5. Elektronik imzalar öncelikle nerede kullanılmalıdır?
Öncelikle yüksek değerli kontrol noktalarıyla başlayın: parti aşamasının tamamlanması ve onaylanması, sapma/CAPA onayları, değişiklik kontrol onayları ve kontrollü belge onayları. Bunlar, denetçilerin ve soruşturmaların en çok güvendiği imzalardır.

S6. Bir imza için denetim izinde nelerin kaydedilmesi gerekir?
Kim imzaladı, ne zaman, hangi kayıt/sürüm imzalandı, imzanın anlamı neydi ve (uygulanabilirse) kimlik doğrulama nasıl yapıldı? Bu kayıtlar saklanmalı ve erişilebilir olmalıdır.

İlgili Okuma
• Temel Gereksinimler: 21 CFR Bölüm 11 | Ek 11 | Veri bütünlüğü | Denetim İzi
• Erişim Kontrolleri: Rol Tabanlı Erişim | Erişim Sağlama | Kullanıcı Erişim Yönetimi
• İş Akışı Bağlamı: eBMR | MES | V5 KYS | Kontrolü değiştir