Що насправді перевіряють інспектори
Резюме
Багато команд ставляться до частини 11 21 CFR як до контрольного списку функцій програмного забезпечення. Інспектори рідко підходять до цього таким чином. На практиці частина 11 перевіряється за допомогою невеликої кількості операційних питань: Хто що зробив? Коли вони це зробили? Що змінилося? Чому це змінилося? Чи можна довіряти вашим записам без наративної реконструкції? Коли ці відповіді невизначені, перевірка швидко розширюється, оскільки довіра до записів стає невизначеною.
Цей документ пропонує практичну, незалежну від постачальника модель того, як інспектори оцінюють електронні записи та електронні підписи в реальних установах. Він зосереджений на поверхнях контролю, які інспектори зазвичай досліджують: управління ідентифікацією та доступом, поведінка журналу аудиту, значення та прив'язка електронного підпису, контрольовані редагування та виправлення, зберігання та пошук записів, цілісність системного часу та докази, що підтверджують валідацію комп'ютерної системи (CSV) . У документі також висвітлюються процедурні засоби контролю, які часто ігноруються, але часто перевіряються, включаючи управління привілейованим доступом, періодичний перегляд доступу, навчання/компетентність та дисципліну контролю змін.
Мета не в тому, щоб переформулювати правила. Мета полягає в тому, щоб описати, що є важливим, коли інспектори запитують демонстрації, спільний доступ до екранів та записи на місці. Документ містить набір «інспекційних тренувань», які ви можете проводити внутрішньо, щоб оцінити, чи є ваша позиція згідно з Частиною 11 обґрунтованою на практиці, а не лише на папері. Там, де застосовуються концепції цілісності даних, у документі згадуються цілісність даних та такі принципи, як ALCOA+, як практичні основи для довіри до записів.
Сувора позиція згідно з Частиною 11 — це не про досконалість. Йдеться про послідовний, видимий контроль над створенням, зміною, затвердженням та зберіганням записів, підтверджений доказами, які можна швидко отримати, під тиском, без імпровізації.
- Сфера застосування Частини 11: що насправді відбувається
- Як інспектори перевіряють Частину 11 на практиці
- Ідентифікація та доступ: доказ того, хто що зробив
- Аудиторські сліди: підтвердження того, що змінилося, коли та чому
- Електронні підписи: значення, мета та обов'язковість
- Виправлення, переробка та контрольоване редагування
- Час, позначки часу та цілісність годинника
- Зберігання, пошук та експорт записів
- Валідаційні докази: як виглядає «адекватний»
- Інспектори процедурного контролю все ще очікують
- Інтерфейси та інтеграції: режими граничних відмов
- Перевірки: 10 тестів, які ви можете провести внутрішньо
- Дорожня карта впровадження
- Заключна записка
абстрактний
Частина 11, частина 21 якої часто використовується як контрольний список функцій, проте інспектори оцінюють її як систему доказів: здатність демонструвати достовірні електронні записи та електронні підписи в умовах аудиту. У цій статті пропонується практична модель, орієнтована на інспекцію, організована навколо поверхонь контролю, які інспектори зазвичай досліджують: управління ідентифікацією та доступом, поведінка журналу аудиту, значення та прив'язка підпису, контрольовані редагування, цілісність позначок часу, збереження та пошук, а також докази перевірки. Модель підтримується процедурними засобами контролю для управління та змін, які підтримують перевірений стан з часом.
У статті також наведено навчальні вправи, які вимірюють, чи може організація швидко надати обґрунтовані докази, не покладаючись на реконструкцію наративу. За умови належного виконання ці вправи знижують ризик перевірки, прискорюють розслідування та покращують стан цілісності даних.
1) Сфера застосування Частини 11: що насправді відбувається
Частина 11 застосовується, коли електронні записи або електронні підписи використовуються замість паперових записів або рукописних підписів, яких вимагають правила предикатів. Багато організацій перевищують сферу застосування Частини 11, розглядаючи кожен електронний артефакт як «дані Частини 11». Інші недооцінюють її, вважаючи, що правило застосовується лише до «системи якості». Інспектори зазвичай зосереджуються на тому, де електронні записи підтримують регульовані рішення: випуск, утилізація, розслідування, зміни та затвердження.
Практичний спосіб визначення обсягу – це інвентаризація: (1) записів, що підтверджують прийняття регульованих рішень, (2) тих, хто їх створює/змінює/затверджує, (3) тих систем, які їх зберігають, та (4) того, на яку «правду» спирається організація під час аудиту та розслідування. Цей процес визначення обсягу має бути простежуваним до цільового використання та ризику, що зазвичай документується у форматі CSV.
Якби аудитор попросив надати цей документ завтра, чи розглядали б ви електронну версію як офіційний документ? Якщо так, то контрольні заходи та очікувані докази, ймовірно, входять до сфери застосування Частини 11.
2) Як інспектори перевіряють Частину 11 на практиці
Інспектори часто оцінюють Частину 11 за допомогою демонстрацій та вибірки записів. Схема є послідовною: вони вибирають запис (запис партії, відхилення, зміни, лабораторний результат, навчання, калібрування, рішення про випуск), потім відстежують назад і вперед, хто його створив, хто його затвердив, що змінилося та чи контролювалися зміни. Тест полягає не в тому, «чи має система журнал аудиту», а в тому, «чи створює журнал аудиту достовірну історію для важливих записів».
У таблиці нижче наведено типові перевірки інспекторів та те, що організації повинні мати змогу швидко пред'явити.
| Інспекторський зонд | Що вони зазвичай просять показати | Що має бути правдою |
|---|---|---|
| Хто що зробив? | Унікальні ідентифікатори користувачів, підтвердження ролей, надання доступу та записи перегляду. | Облікові записи є індивідуальними, контрольованими та прив'язаними до ролей; привілейований доступ регулюється. |
| Що змінилося? | Записи журналу аудиту для ключових полів та подій, включаючи причину змін. | Журнал аудиту є безпечним, повним для регульованих полів і не може бути вимкнений користувачами. |
| Коли це відбулося? | Позначки часу та поведінка джерела часу; узгодженість часового поясу в усіх експортованих даних. | Цілісність годинника контролюється; позначки часу є узгодженими та зрозумілими. |
| Чи має підпис сенс? | Значення підпису, намір та прив'язка до стану запису; правила підпису після зміни. | Підписи представляють конкретні дії; зміни після підпису контрольовані та видимі. |
| Чи можете ви швидко отримати записи? | Пошук, зберігання, експорт та повнота записів в умовах обмеженого часу. | Записи доступні, повні та контекстуалізовані; їх зберігання визначено та забезпечується дотриманням правил. |
| Це підтверджено? | Цільове використання, оцінка ризиків, протоколи, результати, відхилення, затвердження, контроль змін. | Докази валідації можна відстежувати та зосереджувати на контрольних поверхнях та регламентованому використанні. |
У решті цієї статті ці зонди розбиваються на практичні засоби контролю та види несправностей, з акцентом на те, що інспектори перевіряють за допомогою демонстрацій, а не на те, що команди заявляють у політиках.
3) Ідентифікація та доступ: доведення того, хто що зробив
Частина 11 починається з ідентифікації. Якщо організація не може довести, що дії відносяться до окремих осіб, довіра до записів руйнується. Інспектори часто запитують, як створюються облікові записи, хто затверджує доступ, як призначаються ролі, чи існують спільні облікові записи та як доступ видаляється, коли ролі змінюються або люди звільняються.
Контроль ідентифікації та доступу часто реалізується за допомогою керування доступом користувачів та доступу на основі ролей . Захистна позиція включає документоване забезпечення, періодичний перегляд доступу та управління привілейованими ролями. Контроль сеансів (тайм-аути) також часто перевіряється; див. контроль часу очікування облікових даних.
- Унікальні облікові записи: немає спільних логінів для регульованої роботи.
- Ролі з найменшими привілеями: ролі відповідають потребам роботи; права адміністратора мінімізовані.
- Управління привілейованим доступом: хто може перевизначати, редагувати захищені поля або керувати налаштуваннями аудиту.
- Каденція перегляду доступу: періодичний огляд з доказами та корекційними заходами.
- Деініціалізація: швидке звільнення, коли люди змінюють ролі або йдуть.
4) Журнали аудиту: підтвердження того, що змінилося, коли та чому
Поведінка журналу аудиту є однією з найпоширеніших точок ескалації згідно з Частиною 11. Інспектори часто запитують демонстрації: редагування критичного поля, показ того, як система реєструє зміни, а потім показ того, як ця історія отримується пізніше. Вони також можуть запитати, чи можна журнали аудиту вимкнути, відфільтрувати, перезаписати або очистити.
Журнал аудиту, що відповідає GxP, має бути безпечним, мати позначку часу, атрибутивним та включати як старі, так і нові значення, де це доречно. Він також повинен фіксувати причину змін, коли зміни вносяться до захищених полів. Див. журнал аудиту (GxP).
| Питання, що ставлять інспектори | Що показати | Типовий режим відмови |
|---|---|---|
| Які поля перевіряються? | Визначення захищених/регульованих полів та подій, що ініціюють аудит. | Журнал аудиту існує, але не містить ключових полів або ключових подій. |
| Чи можуть користувачі редагувати без слідів? | Продемонструвати поведінку редагування та створення запису журналу аудиту. | Редагування відбуваються без пояснення причини або без старих/нових значень. |
| Чи можна змінити журнал аудиту? | Контроль ролей та технічний контроль, що запобігає відключенню/очищенню. | Адміністратори можуть непомітно видаляти історію; її збереження незрозуміло. |
| Як ви переглядаєте журнали аудиту? | Процедури перегляду та підтвердження періодичного перегляду, де це необхідно. | Немає процесу перевірки; проблеми виявляються лише під час аудитів. |
Достовірність журналу аудиту тісно пов'язана з цілісністю даних. Якщо поведінку журналу аудиту неможливо чітко пояснити, організації повинні припускати, що інспектори посилять перевірку концепцій довіри до записів відповідно до цілісності даних та ALCOA+.
5) Електронні підписи: значення, намір та обов'язковість
Інспектори ставляться до електронних підписів не лише як до «кнопки». Вони перевіряють, чи мають підписи значення та чи пов’язані вони зі змістом запису в момент підписання. Вони часто запитують, що представляє собою підпис (перевірка, затвердження, перевірка, звільнення), як автентифікується підписувач і що відбувається, якщо запис змінюється після підписання.
Коли використовуються електронні підписи, організація повинна мати можливість показати: значення підпису, прояв підпису в записі, кроки автентифікації та зв'язок підпису з підписаною версією запису. Див. електронні підписи.
- Значення: підписи відповідають визначеним діям (наприклад, «розподіл контролю якості», «перевірку завершено»).
- Прив'язка: підпис прив'язується до стану запису; зміна після підпису контрольована та видима.
- Аутентифікація: Підписувач однозначно ідентифікується та автентифікований відповідно до політики та ризиків.
- Видимість: підписані записи показують, хто підписав, коли та яку дію було виконано.
6) Виправлення, переробка та контрольоване редагування
Реальні операції вимагають виправлень. Інспектори не очікують «відсутності редагувань». Вони очікують, що редагування будуть прозорими, пояснювальними та регульованими. Перевіркою є те, чи зберігають виправлення оригінальні записи, і чи є причини для змін та затверджень доречними з огляду на ризик.
До поширених тригерів ескалації належать: тихі перезаписи, видалення регульованих записів або редагування, виконане привілейованими користувачами без документального обґрунтування. Контрольовану поведінку редагування слід демонструвати під час внутрішніх перевірок: вибір запису, виправлення значення, відображення журналу аудиту, відображення причини зміни, відображення перевірки або затвердження, де це необхідно, та відображення того, як виправлений запис буде отримано пізніше.
7) Час, позначки часу та цілісність годинника
Цілісність позначок часу часто недооцінюють. Інспектори можуть запитувати, як керується системний час, чи синхронізовано час, як обробляються часові пояси та що відбувається, якщо годинники зміщуються. Вони також можуть порівнювати позначки часу в різних системах, коли йдеться про інтеграцію.
Захищена позиція включає визначені джерела часу, чіткі правила відображення часового поясу та докази того, що поведінка позначок часу є послідовною протягом життєвого циклу запису, експорту та журналів аудиту. Якщо позначки часу є заплутаними або суперечливими, реконструкція запису стає наративною, а наратив не є доказом.
8) Зберігання, пошук та експорт записів
Інспектори часто перевіряють, чи можна швидко та повністю отримати записи. «Ми можемо отримати їх пізніше» — це непереконлива відповідь. Там, де організації повинні реагувати швидко (іноді це описується як очікування відповіді на записи протягом 24 годин у певних контекстах), можливість отримання записів стає практичним засобом контролю.
Зберігання має бути визначеним та забезпеченим. Отримання даних має зберігати контекст: хто, що, коли, схвалення, історію журналу аудиту та будь-які пов'язані записи. Очікування щодо архівування та зберігання часто обговорюються в розділі « Зберігання/архівування записів» . Експорт не повинен позбавляти їх сенсу; CSV, який втрачає історію аудиту, не є еквівалентом офіційного запису.
9) Валідаційні докази: як виглядає «адекватний»
Інспектори рідко запитують кожен тестовий сценарій. Вони вимагають послідовного обґрунтування валідації: цільове використання, обсяг на основі ризиків, докази того, що контрольні поверхні працюють, та контроль змін, який зберігає перевірений стан. Найсильніші програми можуть продемонструвати компактний пакет доказів, узгоджений з принципами та рекомендаціями CSV , такими як GAMP 5.
Для Частини 11, докази валідації зазвичай зосереджуються на поверхнях контролю: засоби контролю доступу, поведінка журналу аудиту, поведінка електронного підпису, зберігання та процедурне управління. Валідація повинна включати негативні тести (спроби заборонених дій), оскільки ці тести дають найпереконливіші докази запобігання.
| Артефакт | Що це має демонструвати | Червоний прапор інспектора |
|---|---|---|
| Цільове використання та сфера застосування | Які записи та рішення залежать від системи та її меж. | Сфера застосування є розпливчастою; «Частина 11 застосовується до всього» або «ні до чого». |
| Оцінка ризику | Чому були обрані засоби контролю та чому обсяг є доцільним. | Немає зв'язку між ризиками та тим, що було протестовано. |
| Протоколи та результати | Докази того, що контрольні поверхні працюють, включаючи негативні тести. | Тільки тестування «щасливого шляху»; слабкі докази профілактики. |
| Відхилення та рішення | Як досліджувалися та усувалися відхилення від тестів. | Невирішені відхилення або неофіційне закриття без доказів. |
| Змінити контроль | Як оцінюються та повторно перевіряються зміни. | Перевірений стан досягається один раз, потім відбуваються некеровані зміни. |
10) Інспектори процедурного контролю все ще очікують
Частина 11 не є лише технічною. Інспектори регулярно оцінюють, чи процедури підтримують технічні засоби контролю. Загальні процедурні очікування включають процеси надання доступу, періодичний перегляд доступу, документування навчання/компетентності, обробку інцидентів, перегляд журналу аудиту, де це необхідно, та управління контролем змін.
Постійним слабким місцем є привілейований доступ. Якщо адміністратори можуть змінювати конфігурації, створювати користувачів або змінювати критичні налаштування без належного управління, технічні засоби контролю втрачають довіру. Процедури повинні чітко визначати, хто може мати привілейовані ролі, коли вони можуть використовуватися, як перевіряється використання та як документуються винятки.
11) Інтерфейси та інтеграції: режими граничних відмов
Інтеграція – це та область, де перевірки часто виявляють прогалини, оскільки інформація про те, «хто що зробив», стає розподіленою. Коли ідентифікаційні дані, статус або позначки часу перетинають системи, журнал аудиту може фрагментуватися. Інспектори можуть запитати, яка система є системою обліку для певних елементів даних і як здійснюється узгодження, коли системи розходяться в думках.
Захищені моделі інтеграції включають чітке право власності на кожен елемент даних, визначені контракти інтерфейсу, обробку помилок та механізми узгодження. Якщо вирівнювання основних даних є основою, див. синхронізацію основних даних.
12) Перевірки: 10 тестів, які можна провести внутрішньо
Найшвидший спосіб зрозуміти готовність до Частини 11 – це виконати вправи, що імітують поведінку інспектора. Кожна вправа має бути швидко виконуваною, а отримані докази повинні бути самостійними без наративної реконструкції.
- Унікальний ідентифікаційний документ: вибрати запис; довести, що автор і особа, яка його затвердила, мають унікальну ідентифікацію та є авторизованими.
- Тест на межі ролі: спробувати виконати заборонену дію з неавторизованої ролі; показати запобігання та ведення журналу.
- Демонстрація журналу аудиту: змінити захищене поле; показати старі/нові значення, причину зміни, користувача, позначку часу.
- Перевірка журналу аудиту: показати, як перевіряються записи журналу аудиту (де це необхідно) та як вирішуються проблеми.
- Значення електронного підпису: продемонструвати, що означає підпис і як він відображається в записі.
- Зміна після підпису: спробувати внести зміни після підписання; показати контрольну поведінку та видимість.
- Управління привілейованим доступом: показати, як схвалюється, реєструється та перевіряється доступ адміністратора.
- Цілісність позначки часу: відображати обробку та узгодженість часового поясу в інтерфейсі користувача, журналі аудиту та експорті.
- Вилучення під тиском: швидко отримати повний набір записів; включити пов'язані записи та історію аудиту.
- Зміна контролю тренування: показати останню зміну системи, оцінку її впливу та будь-яке необхідне повторне тестування.
13) Дорожня карта впровадження
Покращення позиції згідно з Частиною 11 рідко пов'язане з додаванням додаткових технологій. Зазвичай це стосується посилення поверхонь керування та забезпечення можливості отримання доказів. Наведена нижче дорожня карта розроблена для швидкого покращення захищеності без створення зайвих накладних витрат.
- Сфера застосування за рішенням: інвентаризувати записи, що використовуються для прийняття регульованих рішень, та визначити системи ведення документації.
- Ідентифікатор блокування: унікальні облікові записи, ролі з найменшими привілеями, частота перевірки доступу, дисципліна скасування налаштування.
- Визначте захищені поля: що має бути перевірено аудитом, що вимагає обґрунтування змін, що вимагає підпису.
- Довести поведінку журналу аудиту: демонструвати безпечну, атрибутивну історію для захищених елементів даних.
- Посилити електронні підписи: значення, зв'язування та контроль змін після підпису.
- Перевірте поверхні керування: CSV-файл на основі оцінки ризиків, зосереджений на доступі, журналах аудиту, підписах, зберіганні даних, винятках.
- Впровадження управління: привілейований контроль доступу, контроль змін, періодичні огляди, ритм свердління.
Заключна записка
Готовність до Частини 11 – це щоденний операційний процес. Інспектори перевіряють її, запитуючи, чи можна довіряти електронним записам без наративної реконструкції, чи є підписи змістовними та переплетеними, чи є журнали аудиту повними та безпечними, а також чи регулюється доступ та внесення змін. Організації, які можуть швидко продемонструвати ці засоби контролю, як правило, проводять коротші, вужчі перевірки та швидші розслідування.
Для отримання допоміжних визначень дивіться сторінки глосарію, посилання на які є в цій статті, зокрема 21 CFR Part 11 , журнал аудиту , електронні підписи , управління доступом користувачів , цілісність даних та CSV . Ці посилання необов'язкові; операційна модель у цій статті навмисно є нейтральною до постачальника.
