EudraLex Volumen 4 Anexo 11: lista de comprobación del cumplimiento y perspectivas de futuro

El documento revisado incluirá directrices para la aceptación de algoritmos de IA/ML utilizados en aplicaciones críticas de GMP. Se trata de un ámbito en el que la orientación reguladora es muy necesaria, ya que no está cubierta por ninguna orientación reglamentaria existente en la industria farmacéutica y las empresas farmacéuticas ya están aplicando este tipo de algoritmos.

Con respecto a la integridad de los datos, el Anexo 11 incluirá requisitos para "datos en movimiento" y "datos en reposo" (copia de seguridad, archivo y eliminación). Se espera que el endurecimiento de la configuración y los controles integrados respalden y salvaguarden la integridad de los datos; Las soluciones técnicas y la automatización sustituyen a los controles manuales.

Se considerará una actualización del documento con las expectativas regulatorias hacia la "transformación digital" y conceptos similares más recientes.

La lista de servicios para "operar" debe incluir un sistema computarizado, por ejemplo, servicios "en la nube".

En el caso de los sistemas críticos validados y/o operados por proveedores de servicios (por ejemplo, servicios en la nube), las expectativas deben ir más allá de que "deben existir acuerdos formales". Los usuarios acreditados deben tener acceso a la documentación completa para la validación y el funcionamiento seguro de un sistema y ser capaces de presentarla durante las inspecciones reglamentarias, por ejemplo, con la ayuda del proveedor de servicios.

A pesar de que se menciona en el Glosario, el término "productos comerciales listos para usar" (COTS) no está adecuadamente definido y puede entenderse fácilmente de manera demasiado amplia.

Los productos COTS críticos, incluso los utilizados por "un amplio espectro de usuarios", deben ser calificados por el proveedor o por el usuario regulado, y la documentación para ello debe estar disponible para su inspección.

Debe aclararse el uso del término y las expectativas de cualificación, validación y funcionamiento seguro de dichos sistemas (por ejemplo, «en la nube»).

Debe reconocerse y abordarse que el desarrollo de software hoy en día muy a menudo sigue procesos de desarrollo ágiles y criterios para aceptar dichos productos y la documentación correspondiente, que puede no consistir en documentos tradicionales.

Una funcionalidad de audit trail que registre automáticamente todas las interacciones manuales en los sistemas críticos de GMP, donde los usuarios, los datos o la configuración se pueden cambiar manualmente, debe considerarse obligatoria; no solo "considerado sobre la base de una evaluación de riesgos".

No es aceptable controlar procesos o capturar, mantener o transferir datos electrónicos en dichos sistemas sin la funcionalidad de seguimiento de auditoría; Cualquier período de gracia dentro de esta área ha expirado hace mucho tiempo.

El concepto y el propósito de la revisión del audit trail no se describen adecuadamente. El proceso debe centrarse en una revisión de la integridad de los cambios manuales realizados en un sistema, por ejemplo, una verificación del motivo de los cambios y si los cambios se han realizado en fechas y horas inusuales y por usuarios inusuales. (Fuente)

Hay que tener en cuenta que muchos sistemas generan una gran cantidad de alarmas y datos de eventos y que a menudo se mezclan con las entradas de seguimiento de auditoría. Si bien las alarmas y los eventos pueden requerir sus propios registros, reconocimientos y revisiones, esto no debe confundirse con una revisión de seguimiento de auditoría de las interacciones manuales del sistema. Por lo tanto, como mínimo, debería ser posible poder ordenarlos. (Fuente)

La sección actual solo se ha centrado en restringir el acceso al sistema a las personas autorizadas; Sin embargo, hay otros temas importantes. De acuerdo con la norma ISO 27001, una sección sobre seguridad informática debe centrarse en la confidencialidad, integridad y disponibilidad del sistema y de los datos. (Fuente)