1 Введение

В разделе 21 части 11 "Свода федеральных законоположений" (CFR) "Управления по санитарному надзору за качеством пищевых продуктов и медикаментов США" (FDA) и его европейском аналоге, Главе 4, Приложении 11 "Нормативно-правовой базы обращения лекарственных средств в рамках Законодательства Европейского Союза", описываются требования к электронным записям для подконтрольных фармацевтических организаций.

Раздел 21 CFR часть 11 был выпущен в 1997 году и введен в действие в 1999 году. Назначением данных руководств было обеспечение обусловленности, законности, современности, оригинальности, точности и целостности электронных записей.

Данный документ предназначен для пользователей программного обеспечения "Хроматэк Аналитик" версии 3.0, чьи организации обязаны обеспечивать соответствие требованиям указанного нормативного акта.

"Хроматэк Аналитик" осуществляет управление сбором и обработкой данных ГХ, ГХ-МС, ВЭЖХ. К обязанностям пользователя и его организации относится обеспечение корректности использования функционала "Хроматэк Аналитик" при выполнении сбора и обработки данных в лаборатории.

 

2 Особенности 21 CFR часть 11

21 CFR часть 11 описывает:

• требования к безопасности работы с данными;

• атрибуцию работы системы;

• работу с электронными подписями (если используются).

 

2.1 Безопасность

Безопасность подразумевает следующее: "Необходимые люди имеют необходимый доступ к необходимой информации".

Каждый пользователь, имеющий доступ к системе сбора и обработки данных должен быть идентифицирован системой. Доступ должен предоставляться только уполномоченным сотрудникам, прошедшим необходимое обучение. Сотрудники могут иметь различные привилегии при работе с системой (разграничение уровней доступа).

 

2.2 Атрибуция работы

Атрибуция работы описывает: "что, кем, когда, где и почему" будет выполняться.

В автоматизированный протокол (аудит) записываются все действия пользователей, связывая лабораторный персонал с выполняемой им работой. Записи в протоколе аудита позволяют персоналу и проверяющим инспекторам воспроизводить полную историю электронных записей.

Записи в протоколе аудита позволяют:

• точно определить человека, ответственного за конкретное действие при работе в системе;

• точно установить время выполнения данного действия;

• описать действие, включая, если это возможно, старое значение и новое значение изменяемого параметра системы.

• определить объект, подвергшийся воздействию оператора;

• так же в некоторых случаях может быть предусмотрено описание причины действия.

 

2.3 Электронные подписи

Несмотря на это, в данном документе приведены нормативы по использованию цифровых подписей в том случае, если они все-таки используются.

 

2.4 Особенности функционала "Хроматэк Аналитик"

Программное обеспечение "Хроматэк Аналитик" обладает функционалом, обеспечивающим реализацию требований 21 CFR часть 11.

"Хроматэк Аналитик" позволяет:

• Идентифицировать пользователя по его логину и паролю.

• Разделять привилегии пользователей по доступу к данным.

• Вести журнал аудита действий пользователя независимо от него (пользователь не может удалить или изменить записи журнала).

• Вести журнал аудита операций, выполняемых системой автоматически, без участия пользователя.

• Защищать данные от любых изменений сторонним программным обеспечением.

• Создавать ревизии данных для обеспечения прослеживаемости всех изменений.

• Автоматически подписывать все записи в журнале аудита штампом времени создания записи.

Данный функционал в "Хроматэк Аналитик" по умолчанию не активен и может быть включен в любой момент пользователем, имеющим привилегии администратора компьютера.

После включения данного функционала, он может быть выключен лицом, обладающим вышеуказанными привилегиями, однако главный журнал аудита, где содержатся записи об активации/деактивации аудита, не может быть удален или изменен.

 

 

3 Требования 21 CFR часть 11

В таблицах ниже, в столбце Секция и Требование перечислены требования 21 CFR часть 11 в том порядке, в котором они представлены в справочном документе Управления по санитарному надзору за качеством пищевых продуктов и медикаментов США.

Большинство требований выполняются либо посредством технических элементов управления (т. е. функционал ПО), либо процедурных элементов управления (т. е. типовых регламентов испытаний).

Технические элементы управления представляют собой элементы управления, предоставляемые ПО, то есть поставщиком ПО, тогда как за процедурные элементы управления несет ответственность организация пользователя.

Ответственность за каждое из требований приведена в столбце "Отв." ("Ответственность"). "C" ("Система") относится к поставщику аналитической системы (СКБ "Хроматэк"). "П" ("Пользователь") относится к организации пользователя.

 

3.1 Требования к закрытым системам

Если доступ к системе контролируется лицами, которые несут ответственность за содержание электронных документов, тогда система определяется как "закрытая" и к ней могут быть применены следующие требования 21 CFR часть 11:

Секция	Вопрос / требование	Отв.	Реализация в "Хроматэк Аналитик"
11.10(a)	Была ли выполнена валидация системы для обеспечения точности, надежности, единообразия запланированной работы и возможности различать недействительные и измененные записи?	СП	Да. СКБ "Хроматэк" проводит испытания оборудования и программного обеспечения для оценки точности, надежности и единообразия работы. Однако организация пользователя обязана выполнить валидацию своей аналитической системы в соответствии с нормативами, регламентирующими ее деятельность. Обнаружение недействительных или измененных записей выполняется с помощью журнала аудита. Этот журнал позволяет отслеживать любые изменения данных. В "Хроматэк Аналитик" реализован аудит следующих объектов: Аудит прибора. Аудит плана работы (последовательности анализов). Аудит метода. Аудит хроматограммы.
Приложение 11	Аттестована ли инфраструктура?	П	Аттестация таких инфраструктур, как серверы и сети, является обязанностью организации пользователя.
11.10(b)	Может ли система формировать точные и полные копии записей, как в печатной, так и в электронной форме, подходящей для проверки, анализа и копирования FDA?	С	Да. Записи журналов аудита доступны в печатной или электронной версии (в форматах PDF или XPS).
11.10(c)	Защищает ли система записи, чтобы обеспечить их точное и своевременное извлечение в ходе всего периода хранения?	СП	Да. Все необработанные данные и результаты обработки, сформированные "Хроматэк Аналитик", находятся в защищенном хранилище. За физическую безопасность (управление физическим доступом к рабочим станциям и серверам) несет ответственность организация пользователя.
11.10(d)	Имеют ли доступ к системе только уполномоченные лица?	СП	Да. Каждый пользователь идентифицируется по уникальному сочетанию идентификатора и пароля. Для доступа в систему требуется ввод и того, и другого.
11.10(e) #1	Остается ли ранее записанная информация без изменений при изменении записей?	С	Да. "Хроматэк Аналитик" позволяет создавать ревизии данных при изменении. Ревизии располагаются в защищенном хранилище и не могут быть удалены или изменены ни с помощью самого ПО "Хроматэк Аналитик", ни сторонними средствами.
11.10(e) #2	Сохраняется ли информация протокола ревизии в течение периода времени, требуемого для соответствующей электронной записи?	С	Да. Информация протокола ревизии протокола хранится в электронной записи и не может быть отделена от нее.
11.10(e) #3	Доступен ли протокол ревизии для просмотра и копирования FDA?	С	Да. Протоколы ревизии доступны для просмотра и печати.
11.10(f)	Могут ли по необходимости проводиться проверки операционной системы для внедрения разрешенной последовательности шагов и мероприятий?	С	Система поддерживает стандартный хроматографический рабочий процесс, в котором за одним шагом неизбежно следует другой: Сбор данных. Идентификация пиков Определение площади пика Количественное определение состава анализируемого объекта. Создание отчетов.
11.10(g) #1	Имеют ли место проверки полномочий, гарантирующие, что использовать систему, ставить электронную подпись, получать доступ к работе или входным и выходным устройствам компьютерной системы, изменять записи и выполнять текущие действия могут только авторизованные пользователи?	С	Да. Система поддерживает настраиваемые пользовательские привилегии, которые определяют доступ в систему. Пользователь не может получить доступ к данным, пока не укажет свой валидный идентификатор и пароль.
11.10(g) #2	Ведет ли система запись идентификаторов операторов, вводящих, изменяющих, подтверждающих или удаляющих данные, включая дату и время?	C	Да. Личность операторов, выполняющих действия в системе, записывается в журнал аудита.
11.10(h)	Разрешает ли система применение проверок устройств для определения соответствующим образом действительности источника входных данных или рабочей инструкции?1	С	Частично. Система создана для непрерывного обеспечения действующего соединения между прибором и компьютерной рабочей станцией. Идентификация некоторых компонентов оборудования не обозначается в электронных записях, как источник данных.
11.10(i)	Существует ли задокументированное доказательство того, что лица, разрабатывающие, обслуживающие и использующие системы электронной записи или электронной подписи, имеют образование, квалификацию и опыт, необходимые для выполнения назначенных им заданий?	П	Да. СКБ "Хроматэк" проводит курсы пользователей с выдачей свидетельства об обучении работе с системами аудита данных в составе "Хроматэк Аналитик". Инициирует обучение своих сотрудников организация пользователя.
11.10(j)	Существуют ли письменные правила, в которых устанавливается ответственность отдельных лиц за действия, начатые на основании их электронных подписей, в целях выявления фальсификации записей и подписей?	П	Нет. СКБ "Хроматэк" не устанавливает ответственность пользователя за фальсификацию записей и подписей.
11.10(k)	Имеются ли подходящие элементы управления документацией систем, включая следующие: 1) Подходящие элементы управления распределением, доступом и использованием документации по работе и техническому обслуживанию системы. 2) Проверка и изменение процедур управления для ведения протокола ревизии, в котором указывается последовательность разработки и изменения документации системы.	П	Нет. За введение документации систем несет ответственность организация пользователя.

Существует две равнозначные интерпретации этого требования. Системы должны быть разработаны таким образом, чтобы выполнялось следующее:

a) Правильное сообщение установлено между компьютером и "источником" входных данных (т. е. прибором) перед передачей инструкций к "источнику" или данных от "источника".

b) Подконтрольные записи, создаваемые системой, должны однозначно указывать на "источник" данных (т. е. какой инструмент или компонент сформировал данные).

 

3.2 Требования к открытым системам

Если доступ к системе не контролируется лицами, которые несут ответственность за содержание электронных документов, тогда система определяется как "открытая" и к ней могут быть применены следующие требования 21 CFR часть 11:

Секция	Вопрос / требование	Отв.	Реализация в "Хроматэк Аналитик"
11.30 #1	Имеются ли процедуры и элементы управления, созданные для обеспечения подлинности, целостности и должной конфиденциальности электронных записей с момента создания до момента получения?	C	Нет. При работе "Хроматэк Аналитик" в режиме открытой системы данные процедуры не применимы.
11.30 #2	Существуют ли дополнительные меры, например кодировка документа и использование соответствующих стандартов цифровой подписи, для обеспечения необходимых при некоторых обстоятельствах подлинности, целостности и конфиденциальности записи?	С	Нет. При работе "Хроматэк Аналитик" в режиме открытой системы данные процедуры не применимы.

 

3.3 Требования к цифровым подписям

Секция	Вопрос / требование	Отв.	Реализация в "Хроматэк Аналитик"
11.50(a)	Содержат ли подписанные электронные записи информацию, связанную с подписанием, в которой ясно указывается следующее: (1) Имя и фамилия подписанта (2) Дата и время подписи (3) Значение подписи (например, проверка, утверждение, ответственность и авторство)?	СП	Частично. В подписанных электронных записях указывается имя и фамилия подписанта (как было указано при создании учетной записи), дата и время подписания. Значение подписи не указывается.
11.50 (b)	Относятся ли элементы, указанные в пунктах (a)(1), (a) (2) и (a)(3) этого раздела, к тем же элементам управления, что и электронные записи, и входят ли они в читаемый вид электронной записи (например, электронный вариант распечатки)?	С	Да. Все поддерживаемые элементы подписи отображаются.
11.70	Связаны ли все электронные и рукописные подписи с соответствующими электронными записями для обеспечения невозможности удаления, копирования или иного перенесения с целью фальсификации электронной записи традиционными способами?	С	Да. Электронные подписи вставлены в отчеты в формате XPS.
11.100(a)	Является ли каждая электронная подпись уникальной, принадлежащей отдельному лицу, и может ли она использоваться повторно или быть передана кому-то другому?	CП	Да. Каждый пользователь имеет уникальные учетные данные и, следовательно, уникальную подпись, которая не может применяться другим пользователем.
11.100(b)	Проверяет ли организация личность сотрудника перед тем, как установить, назначить, сертифицировать или иным образом санкционировать электронную подпись сотрудника или ее элемент?	П	Нет. Проверка личности сотрудника и его сертификация возлагается на организацию пользователя.
11.200(a) #1	Используются ли в электронных подписях, не основанных на биометрике, как минимум два определенных компонента идентификации, например идентификационный код и пароль?	CП	Да. Для создания электронной подписи требуется учетная запись (идентификатор пользователя) и пароль.
11.200(a) #1 (I)	При проставлении сотрудником серии электронных подписей в течение одного продолжительного промежутка времени управляемого системой доступа используются ли при создании первой подписи все компоненты электронной подписи?	C	Да. Для создания электронной подписи требуется учетная запись (идентификатор пользователя) и пароль.
11.200(a) #1 (I)	При проставлении сотрудником серии электронных подписей в течение одного продолжительного промежутка времени управляемого системой доступа создаются ли последующие подписи с применением как минимум одного компонента электронной подписи, который предназначен исключительно для применения этим сотрудником?	C	Да. Для создания электронной подписи требуется учетная запись (идентификатор пользователя) и пароль.
11.200(a) #1 (II)	При проставлении сотрудником одной или нескольких электронных подписей не в течение одного продолжительного промежутка времени управляемого системой доступа используются ли при создании каждой подписи все компоненты электронной подписи?	C	Да. Для создания электронной подписи требуется учетная запись (идентификатор пользователя) и пароль.
11.200(a) #2	Имеются ли элементы управления, обеспечивающие использование электронных подписей, не основанных на биометрике, исключительно их подлинными владельцами?	C	Да. Для создания электронной подписи требуется учетная запись (идентификатор пользователя) и пароль.
11.200(a) #3	Выполняется ли администрирование и создание электронных подписей таким образом, чтобы обеспечить необходимость участия в попытке несанкционированного использования электронной подписи двух и более лиц?	CП	Да. Неправомерное использование электронных подписей лицами, отличными от их владельцев, потребует целенаправленного сотрудничества пользователя и системного администратора.
11.200(b)	Созданы ли электронные подписи, основанные на биометрике, таким образом, чтобы обеспечить невозможность их использования никем иным, кроме подлинных владельцев?	С	Нет. Биометрическая проверка подлинности не поддерживается в "Хроматэк Аналитик".
11.300(a)	Имеются ли элементы управления для сохранения уникальности каждого объединенного идентификационного кода и пароля, таким образом, чтобы не было двух лиц с одинаковой комбинацией идентификационного кода и пароля?	СП	Да. "Хроматэк Аналитик" не позволяет создавать учетные записи с одинаковыми идентификационными данными.
11.300(b)	Имеются ли элементы управления, обеспечивающие периодическую проверку, отзыв и пересмотр выдачи идентификационных кодов и паролей (например, чтобы компенсировать такие события, как устаревание пароля)?	СП	Нет. Истечение срока действия пароля не предусмотрено в "Хроматэк Аналитик".