Anteriormente, logramos definir el alcance del proceso de validación, al momento de enfrentar un proyecto que involucre sistemas computarizados (Leer articulo previo). Como complemento a dicho artículo, seguiremos analizando el “Anexo 11” de la comisión europea (Eudralex) , para abordar el enfoque de “operación” y conocer los requerimientos normativos para llevar a buen puerto nuestro proyecto.

La fase de operación de validación de sistemas computarizados, la podemos definir como: la evidencia documentada de un sistema computarizado para cumplir con los requerimientos operacionales y funcionales descritos en la especificación, con base en el propósito de diseño definido. A continuación, mencionaremos aspectos operativos relevantes al enfrentar un proceso de validación en su etapa de “operación”.

Fase de proyecto «OPERACIÓN»

Durante la etapa de calificación de operación de sistemas computarizados, debemos considerar que las pruebas deben evidenciar el cumplimiento regulatorio y de funciones operacionales de diseño. Los atributos para revisar y evidenciar son los siguientes:

Datos. Los sistemas informáticos que intercambian datos electrónicamente con otros sistemas, deben incluir controles integrados adecuados para la introducción (captura) y el correcto y seguro procesamiento estos, con el fin de minimizar los riesgos.

Controles de precisión. En el caso de datos críticos introducidos manualmente, se debe realizar una comprobación adicional de su precisión. Esta comprobación puede ser realizada por un segundo usuario o por medios electrónicos validados. La criticidad y las posibles consecuencias de la introducción errónea o incorrecta de datos en un sistema deben estar cubiertas por la gestión de riesgos.

Almacenamiento de datos. Los datos deben protegerse contra daños, la protección será por medios físicos y/o electrónicos. Durante la validación del presente requerimiento, se debe comprobar la: accesibilidad, legibilidad y precisión de los datos almacenados. El acceso a los datos debe garantizarse durante todo el período de retención.También, se deben realizar copias de seguridad periódicas de todos los datos y registros relevantes. Así como, pruebas de integridad y precisión de los datos obtenidos de copias de seguridad, verificando con esto la capacidad de restauración.

Impresiones (Inspeccionalidad de registros). Debe ser posible obtener copias impresas nítidas de los datos almacenados electrónicamente y, a su vez, que estas impresiones muestren la información precisa respecto a la mostrada en el sistema.

Registros de auditoría y/o «LOG» de trazabilidad. Se debe considerar, con base en una evaluación de riesgos, la integración dentro del sistema de un mecanismo de registro de cambios y eliminaciones de datos y registros. Para cambios y/o eliminación de datos relevantes GxP, se debe documentar y/o trazar mediante una justificación el motivo de dicho cambio. Los registros (reportes) de auditoría deben estar disponibles, ser convertibles a un formato generalmente inteligible, estar siempre activos y permitir su revisión de forma periódica.

Gestión de cambios y configuración. Cualquier cambio en un sistema informático, que incluya las configuraciones del sistema, deben realizarse de forma controlada, bajo un procedimiento definido de controles de cambio. Para cambios de atributos de configuración, el sistema debe ser capaz de gestionar la trazabilidad de dichos cambios mediante perfiles de acceso autorizados.

Evaluación periódica (Mantenimiento de estado validado). Los sistemas informáticos deben evaluarse periódicamente para confirmar que se mantienen en un estado válido y, estos siguen cumpliendo con los parámetros GxP. Dichas evaluaciones deben incluir, cuando corresponda: la funcionalidad actual, los registros de desviaciones, los incidentes, los problemas, el historial de actualizaciones, el rendimiento, la fiabilidad, la seguridad, los controles de cambios, los hallazgos de auditoría y los informes de mantenimiento de estado validado previos.

Seguridad. Para los sistemas informáticos se deben implementar controles físicos y/o lógicos para restringir el acceso al sistema a personas autorizadas. Los métodos adecuados para prevenir el acceso no autorizado al sistema, pueden incluir el uso de llaves (ID), tarjetas de acceso, códigos personales con contraseñas, datos biométricos etc. El alcance de los controles de seguridad depende de la criticidad del sistema informático. El sistema debe ser operativamente funcional para registrar la creación, modificación y cancelación de autorizaciones de acceso. Los sistemas de gestión de datos y documentos deben estar diseñados para registrar la identidad de los usuarios que:  introducen, modifican, confirman o eliminan datos, incluyendo fecha y hora.

Gestión de Incidentes. Todos los incidentes, no solo las fallas del sistema y los errores de datos deben reportarse y evaluarse. Se debe identificar la causa raíz de un incidente crítico y, esta debe ser la base de implementación para las acciones correctivas y preventivas.

Firma Electrónica. Si el sistema computarizado tiene alcance para firma electrónica, se espera que las firmas electrónicas, cumplan con los siguientes atributos:

• tengan el mismo impacto que las firmas manuscritas dentro de los límites de la organización,
• estén vinculadas permanentemente a su respectivo registro,
• incluyan la hora y fecha de aplicación.

Continuidad del negocio. Para la disponibilidad de los sistemas informáticos que dan soporte a procesos críticos, se deberán establecer disposiciones para garantizar la continuidad del soporte para dichos procesos, en caso de una falla del sistema (por ejemplo, un sistema manual o alternativo validado). El tiempo necesario para la puesta en funcionamiento de las soluciones alternativas, deberá basarse en el riesgo y ser adecuado para cada sistema y proceso de negocio en particular al que brinda soporte.

Archivo. Deben existir procesos de archivo de datos. Los datos archivados deben permitir la verificación, la accesibilidad, la legibilidad y la integridad. Si se realizan cambios relevantes en el sistema (por ejemplo, en equipos o programas informáticos), se debe garantizar y probar la capacidad de recuperación de los datos.

Recuerda que, Deappharma, tienes un proveedor de soluciones informáticas en cumplimiento con la normatividad local NOM-059 BPF e internacional. Te invitamos a conocer nuestras soluciones, las cuales cumplen con los requerimientos CFR21 y Anexo 11 de la comisión europea. Nuestras soluciones satisfacen las regulaciones más exigentes de nuestro sector farmacéutico.

Conoce como transformamos el control de Libros de Excel con, eDocuSeed, y la gestión de validación de métodos analíticos con, eADMxL.

¡Te esperamos!