EudraLex Annex 11 e FDA 21 CFR Part 11: Compliance per Sistemi Computerizzati GxP

Il Quadro Normativo: Annex 11 e 21 CFR Part 11

Nel panorama regolatorio farmaceutico e life sciences, i sistemi informatizzati che gestiscono, trasmettono o archiviano record GxP sono soggetti a requisiti normativi specifici e stringenti. In Europa, il riferimento è EudraLex Volume 4, Annex 11 — “Computerised Systems” — nella sua versione del 2011. Negli Stati Uniti, il quadro di riferimento è la FDA 21 CFR Part 11 — “Electronic Records; Electronic Signatures”. Per le aziende che operano su entrambi i mercati, la compliance deve essere simultaneamente soddisfatta secondo entrambi i framework.

EudraLex Annex 11 (2011) — Struttura e requisiti chiave

L’Annex 11 di EudraLex Volume 4 è strutturato in tre sezioni principali — Project Phase, Operational Phase, e requisiti trasversali — e disciplina l’intero ciclo di vita dei sistemi computerizzati utilizzati nella produzione farmaceutica GMP europea.

I requisiti fondamentali dell’Annex 11 includono:

• Validazione: ogni sistema computerizzato con impatto GxP deve essere formalmente validato
• Data Storage: i dati devono essere archiviati in modo sicuro
• Audit Trail: i sistemi devono registrare automaticamente tutte le modifiche ai dati rilevanti per GMP
• Change and Configuration Management: le modifiche ai sistemi devono essere gestite tramite un processo formale di change control
• Periodic Evaluation: i sistemi devono essere soggetti a revisione periodica
• Security: il sistema di sicurezza deve prevenire accessi non autorizzati
• Electronic Signature: le firme elettroniche devono avere lo stesso valore legale di quelle manoscritte
• Business Continuity: devono essere disponibili procedure per garantire la continuità operativa

FDA 21 CFR Part 11 — Electronic Records e Electronic Signatures

La FDA 21 CFR Part 11, entrata in vigore nel 1997, definisce i criteri secondo i quali la FDA considera affidabili i record elettronici e le firme elettroniche generati da sistemi soggetti a regolamentazione FDA.

Requisiti per i sistemi closed (§11.10):

• Controllo degli accessi mediante autenticazione univoca per utente
• Audit trail informatizzato con timestamp sicuro
• Copie di backup dei record elettronici
• Procedure operative per proteggere la riservatezza e l’integrità dei dati
• Formazione del personale che usa o mantiene i sistemi

Requisiti per le firme elettroniche (§11.50, §11.100, §11.200):

• Le firme elettroniche devono essere univocamente associate a ciascun individuo
• Ogni firma deve includere il nome del firmatario, data e ora, e il significato della firma
• Non devono poter essere riutilizzate o “trasferite” ad altri individui

Differenze tra Annex 11 e 21 CFR Part 11

Sebbene entrambi i framework condividano gli obiettivi fondamentali, esistono differenze significative:

• Giurisdizione: Annex 11 — Unione Europea; 21 CFR Part 11 — Stati Uniti
• Approccio: Annex 11 — principi e best practice, orientamento risk-based; 21 CFR Part 11 — requisiti prescrittivi dettagliati
• Supplier assessment: Annex 11 lo richiede esplicitamente; 21 CFR Part 11 non lo prescrive esplicitamente

Le aziende che operano in entrambe le giurisdizioni devono costruire un sistema di compliance che soddisfi entrambi i framework in modo simultaneo. Dalia IA ha sviluppato una metodologia di assessment integrata che valuta la conformità a entrambi i regolamenti con una singola campagna di analisi.

Audit Trail: Requisiti, Revisione e Governance

L’audit trail è uno dei requisiti più critici e più frequentemente oggetto di osservazioni ispettive in ambienti GxP. Un audit trail conforme deve:

• Essere generato automaticamente dal sistema (non manuale)
• Registrare ogni creazione, modifica e cancellazione di record GxP
• Contenere per ogni evento: identificativo utente, data e ora, valore precedente, valore nuovo, tipo di operazione
• Essere protetto da modifiche non autorizzate
• Essere retained per almeno il periodo richiesto dalla normativa applicabile

La revisione dell’audit trail è un’attività GxP che deve essere eseguita periodicamente da personale qualificato. Dalia IA supporta le organizzazioni nella progettazione di procedure operative per l’audit trail review.

Controllo degli Accessi e Gestione delle Utenze

Il controllo degli accessi in ambienti GxP è un requisito normativo diretto. Annex 11 e 21 CFR Part 11 richiedono entrambi che:

• Ogni utente abbia credenziali univoche e non condivise
• I diritti di accesso siano definiti in base al ruolo (role-based access control, RBAC)
• Il principio del least privilege sia applicato
• La gestione delle utenze sia documentata
• Le password rispettino criteri di complessità e scadenza definiti

Backup, Business Continuity e Disaster Recovery

L’Annex 11 richiede esplicitamente che i sistemi GxP siano dotati di procedure di backup dei dati elettronici e che la continuità operativa sia garantita in caso di guasto. I requisiti includono:

• Frequenza di backup proporzionata al volume e alla criticità dei dati
• Archiviazione delle copie di backup in una location fisica separata
• Protezione delle copie di backup dall’accesso non autorizzato
• Test di restore periodici: la sola esistenza di copie di backup non è sufficiente

Il Business Continuity Plan (BCP) e il Disaster Recovery Plan (DRP) devono definire i Recovery Time Objective (RTO) e Recovery Point Objective (RPO) per ogni sistema critico.

Gap Assessment e Remediation: Il Nostro Servizio

Il nostro servizio di Gap Assessment Annex 11 / 21 CFR Part 11 è strutturato in tre fasi distinte:

• Fase 1 — Discovery e raccolta documentale: raccolta e revisione di inventario dei sistemi GxP, documentazione di validazione esistente, procedure operative relative ai sistemi, registro delle utenze, configurazione dell’audit trail, procedure di backup e BCP/DRP.
• Fase 2 — Assessment tecnico e normativo: valutazione strutturata di ogni sistema rispetto ai requisiti di Annex 11 e/o 21 CFR Part 11, con identificazione puntuale dei gap.
• Fase 3 — Gap Report e Remediation Plan: produzione del Gap Report con classificazione dei gap per criticità (Critical / Major / Minor), e del Remediation Plan con azioni concrete, responsabilità, timeline e criteri di chiusura.

Perché Dalia IA

• 20+ anni di esperienza in audit e assessment GxP
• Competenza normativa su entrambi i framework (EU e USA), con approccio integrato
• Team con background sia regolatorio che tecnico-informatico
• Supporto continuativo post-remediation per il mantenimento della compliance nel tempo
• Documentazione progettata per resistere a ispezioni FDA, EMA, AIFA, ANSM