Begutachtung der SoftMax Pro Software durch die GxP-regulierte Industrie
Dieses Dokument fasst Verweise auf die Regulierungen 21 CFR Part 11 und EudraLex Annex zusammen und erörtert, wie diese auf die Nutzung der SoftMax® Pro GxP Data Acquisition and Analysis Software in regulierten Umgebungen anzuwenden sind.
Was ist Teil 11?
Obwohl Part kein Mandat für die Verwendung elektronischer oder computergestützter Systeme 11 ist, ermöglicht es die Verwendung elektronischer Aufzeichnungen, schützt die Integrität computergestützter Systeme, Daten und die Gültigkeit elektronischer Signaturen. In jüngster Zeit setzt die FDA die Datenintegrität als einen wichtigen Teil der Gewährleistung der Sicherheit von Medizinprodukten für den menschlichen und tierärztlichen Gebrauch durch. Die FDA kann in den Bereichen Validierung, Audit Trails, Aufbewahrung von Aufzeichnungen und Kopieren von Aufzeichnungen auf elektronischen Aufzeichnungen „Vollstreckungsdiskretion“ ausüben.
Anwender, die regulierte Datensätze erstellen, ändern oder löschen, können einen Audit Trail überprüfen, da dieser böswillige Absichten aufdeckt, wie z. B. die Manipulation von Daten und die Erstellung von Ergebnissen.
Was ist Anhang 11?
Anhang 11 ist ein Leitfaden, der die GMP-Regeln der Europäischen Union ergänzt: EudraLex-Regeln für Arzneimittel in der Europäischen Union, Band 4, Gute Herstellungspraxis, die für alle in der Europäischen Union hergestellten oder verkauften Human- und Tierarzneimittel gilt.
Dieser Anhang gilt für alle computergestützten Systeme, die bei GMP-regulierten Aktivitäten verwendet werden, und stellt sicher, dass computergestützte Systeme, die bei der Herstellung von Arzneimitteln verwendet werden, keine Auswirkungen auf die Produktqualität oder die Produktsicherheit haben.
Wenn ein computergestütztes System einen manuellen Betrieb ersetzt, stellt Anhang im Allgemeinen 11 sicher, dass keine zusätzlichen Risiken bestehen.
Während Anhang 11 und Teil 11 gemeinsam mit dem Ziel sicherer, validierter computergestützter Systeme für die Herstellung von Arzneimitteln und Medizinprodukten übereinstimmen, ist ihr Ansatz für dieses Ziel anders. Anhang 11 ist eher eine Richtlinie und keine gesetzliche Anforderung, wenn Teil nach Bundesrecht voll durchsetzbar 11 ist.
Wessen Verantwortung liegt in der Validierung des Systems?
Ein regulierter Kunde oder solche, die Lebensmittel oder Arzneimittel für den menschlichen und tierärztlichen Verzehr herstellen, müssen die Vorschriften einhalten. Die SoftMax Pro GxP Datenerfassungs- und -analysesoftware, einschließlich des GxP Admin Portals (Molecular Devices ), unterliegt nicht den regulatorischen Anforderungen der FDA, kann jedoch sicherstellen, dass ihre Kunden die Anforderungen von 21 CFR Part 11 und EudraLex Annex erfüllen11.
Anhang 11 nennt einen Prozesseigentümer, Systemeigentümer, eine qualifizierte Person und IT. Auf Kundenseite sind letztendlich der „Systemeigentümer“ (in der Regel IT-Management) oder der „Geschäftsprozesseigentümer“ (in der Regel Labormanager) für die Validierung verantwortlich. Ein Validierungsteam sollte für mehrere Interessengruppen repräsentativ sein.
- Die Qualitätssicherung (QA) stellt eine gründliche Prüfung sicher, um sicherzustellen, dass die lokalen Qualitätsstandards des Unternehmens erfüllt werden.
- Abteilungsleiter sind von entscheidender Bedeutung, da sie den Geschäftsfall und die Ressourcen für die Validierung bereitstellen.
Auswirkungen der Compliance vs. Nichteinhaltung
Die Kosten für die Validierung mehrerer computergestützter Systeme können erheblich sein, und es müssen sorgfältig Anstrengungen geplant werden, um Ressourcen-, Beschaffungs- und Projektausgaben zu identifizieren. Einige Organisationen können Dritte mit der Entwicklung und Durchführung der Validierung computergestützter Systeme beauftragen, aber die Verantwortung für den Validierungsaufwand und die Aufrechterhaltung eines konformen validierten Systems kann nicht übertragen werden und verbleibt beim regulierten Kunden gemäß den Vorschriften in 21 CFR Part 11 und EudraLex Annex 11.
Öffentliche Aufzeichnungen von Urteilen gegen pharmazeutische oder unabhängige Labore/Auftragslabore zeigen, dass die Kosten für die Nichteinhaltung erheblich sind (können in Millionenhöhe liegen) für Produktivitäts- und Umsatzverluste, Kosten für Nacharbeiten und den Ruf von Investoren und Kunden.
Bundesbehörden sind befugt, unangekündigt zu erscheinen, um Audits/Untersuchungen durchzuführen. Wenn Prüfer Beobachtungen finden, können sie mündliche Abmahnungen oder das Formular 483s ausstellen. Diese können bei schwerwiegenderen Verstößen in Warnschreiben eskalieren. Diese können zur Abschaltung des Produktionsbetriebs führen, oder Produkte dürfen nicht innerhalb der Vereinigten Staaten vertrieben werden.
Der CFR ist die Aufzeichnung der allgemeinen und ständigen Vorschriften, die von den exekutiven Abteilungen und Behörden der US-Bundesregierung im Federal Register veröffentlicht werden.
Sie ist in 50 Titel unterteilt, die breite Bereiche repräsentieren, die der Bundesverordnung unterliegen.
Der Titel 21 des CFR ist den Regeln vorbehalten, die von der Food and Drug Administration (Dept. of Health and Human Services), der Drug Enforcement Administration (Dept. of Justice) und der Richtlinie des Office of National Drug Control reguliert werden.
- Teil 11 – Elektronische Datensätze; Elektronische Signaturen
Das Band 4 „Die Regeln für Arzneimittel in der Europäischen Union“ enthält Leitlinien für die Auslegung der Grundsätze und Leitlinien guter Herstellungspraktiken für Human- und Tierarzneimittel.
Der GMP-Leitfaden wird in drei Teilen präsentiert und durch Anhänge ergänzt, die breite Bereiche darstellen, die der Bundesverordnung unterliegen.
- Anhang 11 – Computergestützte Systeme
Tabelle 1: Bewertung der 21 CFR Part 11 Compliance für die SoftMax Pro GxP Software.
Molecular Devices
Produkte und Dienstleistungen
§11,10 – Kontrollen für geschlossene Systeme
Personen, die geschlossene Systeme verwenden, um elektronische Aufzeichnungen zu erstellen, zu modifizieren, zu pflegen oder zu übertragen, müssen Verfahren und Kontrollen anwenden, die darauf ausgelegt sind, die Authentizität, Integrität und gegebenenfalls die Vertraulichkeit elektronischer Aufzeichnungen zu gewährleisten und sicherzustellen, dass der Unterzeichner die unterzeichneten Aufzeichnungen nicht ohne weiteres als nicht echt zurückweisen kann. Zu diesen Verfahren und Kontrollen gehören:
Jede Datendokumentdatei der SoftMax Pro GxP Software verfügt über einen eigenen Audit Trail.
Die GxP Admin Portal Software verwaltet System-Audit Trail-Informationen, die die Aktivitäten des Endbenutzers innerhalb der Software und Datenbank melden.
(k) Verwendung geeigneter Kontrollen der Systemdokumentation, einschließlich:
- Angemessene Kontrollen der Verteilung, des Zugriffs auf und der Verwendung von Dokumentation für den Betrieb und die Wartung des Systems.
- Revisions- und Änderungskontrollverfahren zur Pflege eines Audit Trails, der die zeitgesteuerte Entwicklung und Änderung der Systemdokumentation dokumentiert.
§11,50 – Signaturmanifestationen
(a) Unterzeichnete elektronische Aufzeichnungen müssen mit der Unterzeichnung verbundene Informationen enthalten, die eindeutig alle folgenden Angaben enthalten:
- Der Name des Unterzeichners in Druckbuchstaben;
- Das Datum und die Uhrzeit der Unterzeichnung; und
- Die Bedeutung (wie Prüfung, Genehmigung, Verantwortung oder Autorschaft), die mit der Unterschrift verbunden ist.
Erklärungen und Audit Trails für Dokumente sind in der SoftMax Pro GxP Software verfügbar.
Der Audit Trail des Systems ist in der GxP Admin Portal Software verfügbar.
§11,70 – Unterschriftsaufzeichnung/-verknüpfung
Elektronische Signaturen und handgeschriebene Signaturen, die in elektronischen Aufzeichnungen ausgeführt werden, müssen mit ihren jeweiligen elektronischen Aufzeichnungen verknüpft werden, um sicherzustellen, dass die Signaturen nicht herausgeschnitten, kopiert oder anderweitig übertragen werden können, um elektronische Aufzeichnungen auf übliche Weise zu fälschen.
Allgemeine Anforderungen
(a) Jede elektronische Signatur muss für eine Einzelperson eindeutig sein und darf von keiner anderen Person wiederverwendet oder an diese übertragen werden.
§11,200 – Komponenten und Kontrollen der elektronischen Signatur
(a) Elektronische Signaturen, die nicht auf Biometrie basieren, müssen:
- Verwenden Sie mindestens zwei verschiedene Identifikationskomponenten, wie einen Identifikationscode und ein Passwort.
- Wenn eine Person eine Reihe von Signaturen während eines einzigen, kontinuierlichen Zeitraums des kontrollierten Systemzugriffs ausführt, muss die erste Signatur unter Verwendung aller Komponenten der elektronischen Signatur ausgeführt werden; nachfolgende Signaturen müssen unter Verwendung mindestens einer Komponente der elektronischen Signatur ausgeführt werden, die nur von der Person ausgeführt werden kann und nur von dieser verwendet werden darf.
- Wenn eine Person eine oder mehrere Signaturen ausführt, die nicht während eines einzigen, kontinuierlichen Zeitraums des kontrollierten Systemzugriffs durchgeführt wurden, muss jede Signatur unter Verwendung aller elektronischen Signaturkomponenten ausgeführt werden.
§11,300 – Kontrollen für Identifikationscodes/Kennwörter
Personen, die aufgrund der Verwendung von Identifizierungscodes in Kombination mit Passwörtern elektronische Signaturen verwenden, müssen Kontrollen anwenden, um ihre Sicherheit und Integrität zu gewährleisten. Solche Kontrollen müssen Folgendes umfassen:
Tabelle 2: Beurteilung der Einhaltung des EudraLex-Volumens 4 (Anhang 11) für die SoftMax Pro GxP Software.
Molecular Devices
Produkte und Dienstleistungen
1. Risikomanagement
Das Risikomanagement sollte über den gesamten Lebenszyklus des computergestützten Systems hinweg angewendet werden, wobei die Patientensicherheit, Datenintegrität und Produktqualität zu berücksichtigen sind. Im Rahmen eines Risikomanagementsystems sollten Entscheidungen über den Umfang der Validierung und Datenintegritätskontrollen auf einer begründeten und dokumentierten Risikobewertung des computergestützten Systems basieren.
2. Personal
Es sollte eine enge Zusammenarbeit zwischen allen relevanten Mitarbeitern wie dem Prozesseigentümer, dem Systemeigentümer, den qualifizierten Personen und der IT-Abteilung bestehen. Alle Mitarbeiter sollten über die entsprechenden Qualifikationen, den Zugangsgrad und die definierten Verantwortlichkeiten verfügen, um ihre zugewiesenen Aufgaben zu erfüllen.
3. Lieferanten und Dienstleister
3,1 Wenn Dritte (z. B. Lieferanten, Dienstleister) eingesetzt werden, z. B. zur Bereitstellung, Installation, Konfiguration, Integration, Validierung, Wartung (z. B. über Fernzugriff), Änderung oder Beauftragung eines computergestützten Systems oder damit verbundener Dienstleistungen oder zur Datenverarbeitung, müssen zwischen dem Hersteller und Dritten formelle Vereinbarungen bestehen, und diese Vereinbarungen sollten klare Angaben über die Verantwortlichkeiten des Dritten enthalten. IT-Abteilungen sollten als analog betrachtet werden.
Molecular Devices bietet kundenspezifische Softwarevalidierungsdienstleistungen an, die automatisierte Prozesse umfassen können.
Die zertifizierten Field Service Engineers (FSEs) von Molecular Devices bieten IQ/OQ- oder PM/OQ-Dienstleistungen für Plattenreader an.
4. Validierung
4,2 Die Validierungsdokumentation sollte Änderungskontrollaufzeichnungen (falls zutreffend) und Berichte über während des Validierungsprozesses beobachtete Abweichungen enthalten.
Die SoftMax Pro GxP Software verfügt über integrierte Protokolldateien, die mit den SpectraTest Validierungsplatten funktionieren.
Die SoftMax Pro GxP Software ermöglicht anpassbare Protokolldateien.
7. Datenspeicherung
7,1 Die Daten sollten sowohl auf physische als auch auf elektronischem Wege vor Schäden geschützt werden. Gespeicherte Daten sollten auf Zugänglichkeit, Lesbarkeit und Genauigkeit überprüft werden. Der Zugriff auf Daten sollte während der gesamten Aufbewahrungsfrist gewährleistet sein.
8. Ausdrucke
8,1 Es sollte möglich sein, eindeutige Ausdrucke elektronisch gespeicherter Daten zu erhalten.
9. Prüfpfad
Basierend auf einer Risikobewertung sollte berücksichtigt werden, dass im System eine Aufzeichnung aller GMP-relevanten Änderungen und Löschungen erstellt wird (ein vom System generierter „Audit Trail“). Bei Änderung oder Löschung GMP-relevanter Daten ist der Grund zu dokumentieren. Audit Trails müssen verfügbar und in eine allgemein verständliche Form umwandelbar sein und regelmäßig überprüft werden.
10. Änderungs- und Konfigurationsmanagement
Änderungen an einem computergestützten System, einschließlich Systemkonfigurationen, sollten nur kontrolliert und in Übereinstimmung mit einem definierten Verfahren vorgenommen werden.
11. Periodische Evaluierung
Computergestützte Systeme sollten regelmäßig evaluiert werden, um zu bestätigen, dass sie in einem gültigen Zustand bleiben und GMP-konform sind. Solche Bewertungen sollten gegebenenfalls den aktuellen Funktionsumfang, die Abweichungsaufzeichnungen, Vorfälle, Probleme, den Aktualisierungsverlauf, die Leistung, Zuverlässigkeit, Sicherheit und den Validierungsstatus umfassen.
12. Sicherheit
12,1 Physische und/oder logische Kontrollen sollten vorhanden sein, um den Zugang zum computergestützten System auf autorisierte Personen zu beschränken. Geeignete Methoden zur Verhinderung des unbefugten Zugriffs auf das System können die Verwendung von Schlüsseln, Passkarten, persönlichen Codes mit Passwörtern, Biometrie, eingeschränkten Zugriff auf Computerausrüstung und Datenspeicherbereiche umfassen.
Benutzer-IDs und Passwörter werden in der GxP Admin Portal Software konfiguriert.
Der Benutzerzugang kann deaktiviert und die Passwörter in der GxP Admin Portal Software zurückgesetzt werden. Der Token-Zugriff wird nicht von der SoftMax Pro GxP Software verwendet und kann auch nicht in der GxP Admin Portal Software konfiguriert werden.
14. Elektronische Signaturen
Elektronische Aufzeichnungen können elektronisch unterzeichnet werden. Von elektronischen Signaturen wird erwartet, dass sie:
- haben die gleichen Auswirkungen wie handgeschriebene Signaturen innerhalb der Grenzen des Unternehmens
- dauerhaft mit ihrem jeweiligen Datensatz verknüpft sein
- Geben Sie die Uhrzeit und das Datum an, an dem sie angewendet wurden
16. Geschäftskontinuität
Für die Verfügbarkeit computergestützter Systeme, die kritische Prozesse unterstützen, sollten Vorkehrungen getroffen werden, um die Kontinuität der Unterstützung dieser Prozesse im Falle eines Systemausfalls sicherzustellen (z. B. ein manuelles oder alternatives System). Die Zeit, die erforderlich ist, um die alternativen Vereinbarungen in Betrieb zu nehmen, sollte auf dem Risiko basieren und für ein bestimmtes System und den von ihm unterstützten Geschäftsprozess angemessen sein. Diese Vorkehrungen sollten angemessen dokumentiert und getestet werden.
17. Archivierung
Daten können archiviert werden. Diese Daten sollten auf Zugänglichkeit, Lesbarkeit und Integrität überprüft werden. Wenn relevante Änderungen am System vorgenommen werden sollen (z. B. Computerausrüstung oder -programme), sollte die Fähigkeit, die Daten abzurufen, sichergestellt und getestet werden.
Bewährte GxP-Lösungen zur Sicherstellung der Datenintegrität und Compliance
Unsere Mission bei Molecular Devices ist es, unsere Kunden dabei zu unterstützen, die Compliance in GLP- (Good Laboratory Practices) und GMP- (Good Manufacturing Practice) regulierten Laboren zu erreichen. Mit Mikroplatten-Detektionssystemen und Software haben wir bewährte GxP-Konformitätslösungen entwickelt. In Kombination mit dem Validierungsservice und der Validierungsunterstützung stellen unsere Lösungen die Datenintegrität sicher.