Il 21 CFR Part 11 stabilisce quando record e firme elettroniche possono essere considerati affidabili e generalmente equivalenti ai documenti cartacei e alle firme autografe nelle attività regolamentate dalla FDA.
Per sponsor e CRO, non si tratta quindi soltanto di una norma informatica. Il Part 11 riguarda il modo in cui i dati clinici vengono creati, modificati, approvati, conservati e presentati durante un’ispezione.
Un sistema non adeguatamente controllato può compromettere la ricostruzione delle attività svolte, la credibilità del dato e la capacità di dimostrare chi abbia approvato un record e per quale ragione.
Le conseguenze possono includere osservazioni durante le ispezioni, attività correttive, ritardi e dubbi sull’affidabilità della documentazione.
La guida FDA del 2024 sui sistemi elettronici nelle sperimentazioni cliniche conferma la centralità di questi aspetti per sponsor, CRO, sperimentatori, IRB e altri soggetti coinvolti nella ricerca.
Cosa prevede il 21 CFR Part 11
Alla domanda “Cosa significa CFR 21?”, la risposta più precisa è che il Title 21 del Code of Federal Regulations raccoglie la normativa federale statunitense applicabile ad alimenti e farmaci. Il Part 11 disciplina, nello specifico, record elettronici e firme elettroniche utilizzati nell’ambito dei requisiti FDA.
Per i sistemi chiusi, ai quali l’accesso è controllato dalle persone responsabili dei record, il 21 CFR 11.10 richiede procedure e controlli capaci di tutelare:
- autenticità e integrità dei record;
- riservatezza, quando necessaria;
- disponibilità dei dati per l’intero periodo di conservazione;
- accesso riservato agli utenti autorizzati;
- produzione di copie complete e leggibili;
- identificazione dei record non validi o alterati;
- attribuzione delle attività alle persone che le hanno eseguite.
La conformità non coincide quindi con una singola funzionalità.
Password, audit trail o firma elettronica sono componenti indispensabili, ma devono operare all’interno di un sistema governato da ruoli, procedure, formazione, gestione documentale e controlli sul ciclo di vita.
Part 11 e sperimentazioni europee
Il Part 11 è una norma statunitense, ma diventa rilevante anche per studi condotti in Europa quando i record supportano attività o submission soggette alla FDA.
Parallelamente, la linea guida EMA sui sistemi computerizzati e sui dati elettronici nelle sperimentazioni cliniche affronta validazione, sicurezza, gestione degli utenti, audit trail e data integrity nel contesto europeo. Anche ICH E6(R3) rafforza un approccio proporzionato al rischio lungo l’intero ciclo di vita dei dati.
Per uno studio internazionale, la domanda utile non è quindi “Part 11 oppure GCP?”, ma “come possiamo dimostrare che il sistema e i processi soddisfano tutti i requisiti applicabili?”.
ACTide integra raccolta dei dati, controlli, tracciabilità e strumenti operativi in un ecosistema progettato per la ricerca clinica.
Richiedi una demo per esaminare audit trail, firme, gestione degli accessi e workflow di validazione su un caso d’uso vicino al tuo studio.
Firme elettroniche: cosa le rende valide
Una firma elettronica conforme non è semplicemente un nome digitato, una casella selezionata o l’immagine di una firma autografa.
Il sistema deve permettere di collegare la firma a una persona identificata in modo univoco e al record sottoscritto. Secondo il 21 CFR 11.50, il record firmato deve mostrare:
- nome del firmatario;
- data e ora della firma;
- significato della firma, per esempio revisione, approvazione, responsabilità o paternità del record.
Queste informazioni devono comparire anche nella versione leggibile del record. Il 21 CFR 11.70 richiede inoltre che la firma sia collegata al record in modo da impedirne la rimozione, la copia o il trasferimento finalizzati alla falsificazione.
Per le firme non biometriche, il 21 CFR 11.200 prevede almeno due componenti identificative distinte, come codice utente e password, secondo modalità che dipendono dalla continuità della sessione.
La tecnologia non basta
Sponsor e CRO devono governare anche:
- creazione, modifica e disattivazione degli account;
- verifica dell’identità prima dell’assegnazione delle credenziali;
- divieto di condivisione degli account;
- formazione degli utenti;
- gestione delle credenziali compromesse;
- significato delle diverse azioni di firma;
- responsabilità individuale per le attività firmate.
La non ripudiabilità nasce dall’insieme di identificazione, autenticazione, collegamento al record, manifestazione della firma e procedure organizzative. Non dipende da un solo pulsante.
Audit trail: il cuore della compliance
L’audit trail permette di ricostruire la storia del dato. Deve documentare in modo sicuro e automatico le attività che creano, modificano o cancellano record elettronici, conservando data e ora senza oscurare l’informazione precedente.
In un eCRF, per esempio, non basta visualizzare il valore corrente. In fase di revisione o ispezione può essere necessario stabilire:
- quale utente ha inserito o modificato il dato;
- quando è avvenuta l’operazione;
- quale fosse il valore precedente;
- perché sia stata apportata la modifica;
- quali query, revisioni o approvazioni siano intervenute;
- se la sequenza delle attività sia coerente con ruoli e procedure.
L’audit trail deve essere conservato almeno per lo stesso periodo del record cui si riferisce e deve poter essere messo a disposizione dell’autorità. La ricerca scientifica continua a esplorare tecnologie per rendere più robusta la tracciabilità: uno studio su audit trail sicuri per dati di clinical trial mostra quanto la verificabilità della provenienza del dato sia diventata un tema centrale nella ricerca digitale.
Un audit trail utile deve essere anche interpretabile
Registrare migliaia di eventi non è sufficiente se sponsor, monitor o ispettori non riescono a recuperarli e interpretarli. Prima di adottare una piattaforma, è opportuno verificare:
- filtri e funzioni di ricerca;
- esportazione in un formato leggibile;
- associazione tra evento, utente, data e record;
- disponibilità del motivo della modifica;
- gestione coerente del fuso orario;
- protezione dei log da alterazioni;
- conservazione dopo la chiusura dello studio.
ACTide eCRF include audit trail online, profili utente, strumenti di monitoring e SDV e funzioni di esportazione dei dati. Queste capacità possono supportare la tracciabilità, ma devono essere configurate e utilizzate nel quadro validato dello specifico studio.
Validazione del sistema e 21 CFR Part 11
Il Part 11 richiede la validazione dei sistemi per assicurare accuratezza, affidabilità, prestazioni coerenti con l’uso previsto e capacità di rilevare record non validi o alterati.
La Computer System Validation non è quindi un certificato generico applicabile indistintamente a qualsiasi utilizzo. Deve fornire evidenze documentate che il sistema, nella configurazione effettivamente adottata, sia idoneo allo scopo.
Un approccio concreto comprende normalmente:
- requisiti utente chiari e verificabili;
- valutazione del rischio;
- specifiche funzionali e di configurazione;
- test con risultati e deviazioni documentati;
- tracciabilità tra requisiti e test;
- controllo delle modifiche;
- gestione degli aggiornamenti;
- valutazione periodica dello stato validato;
- procedure di backup, ripristino e business continuity.
Anche un software tecnicamente predisposto per il Part 11 può essere utilizzato in modo non conforme se la configurazione è errata, i test sono insufficienti o le procedure non vengono applicate.
ACTide Designer consente di configurare gli studi e gli strumenti di raccolta del dato all’interno dell’ecosistema ACTide. La configurazione deve però rientrare in un processo controllato, verificato e documentato prima dell’uso produttivo.
Una piattaforma realmente adatta non dovrebbe limitarsi a presentare una checklist commerciale. Dovrebbe aiutare sponsor e CRO a ottenere le evidenze necessarie per dimostrare come requisiti, configurazione, test e controllo delle modifiche siano collegati.
Cosa valutare in una piattaforma conforme
Non esiste una singola “certificazione Part 11” che trasferisca automaticamente la conformità dal fornitore allo sponsor o alla CRO. Per questo la vendor qualification deve analizzare sia la tecnologia sia il sistema di qualità che la sostiene.
Controlli di accesso
Verificare che la piattaforma supporti:
- account individuali;
- ruoli e privilegi granulari;
- principio del minimo privilegio;
- procedure di attivazione e disattivazione;
- controlli sulle sessioni;
- autenticazione adeguata al rischio;
- registrazione dei tentativi di accesso e delle attività critiche.
Gestione dei record e audit trail
Chiedere come vengono create copie complete, leggibili ed esportabili dei record. Verificare che audit trail e firme restino collegati ai dati e siano disponibili per tutto il periodo di conservazione.
Integrità, backup e continuità
Backup e disaster recovery devono essere documentati e testati. È utile chiedere obiettivi di ripristino, frequenza dei test, gestione degli incidenti e modalità di restituzione o migrazione dei dati alla fine del contratto.
Validazione e change control
Il fornitore dovrebbe rendere disponibili documentazione, evidenze di test e informazioni sugli aggiornamenti necessarie alla valutazione del sistema. Occorre chiarire chi valida il core software, le configurazioni di studio e le eventuali integrazioni.
Integrazioni native e flussi controllati
Quando eCRF, randomizzazione e safety operano in ambienti separati, interfacce e trasferimenti diventano punti critici. Soluzioni integrate come ACTide RTSM e ACTide Safety Tool possono ridurre le frammentazioni, ma ogni flusso deve comunque essere specificato, testato, monitorato e incluso nel perimetro di validazione.
4 domande da porre al fornitore
Prima di affidare a una piattaforma i dati di uno studio regolamentato, sponsor e CRO dovrebbero chiedere:
- Quali evidenze di validazione fornite per il software, la configurazione dello studio e gli aggiornamenti?
- Come vengono collegati firma, firmatario, data, significato della firma e record sottoscritto?
- Possiamo ricostruire ed esportare un audit trail completo, leggibile e protetto da alterazioni?
- Come vengono gestiti accessi, backup, incidenti, modifiche e conservazione dei dati?
Le risposte devono essere verificabili attraverso documentazione, dimostrazioni e procedure, non limitarsi a una dichiarazione di conformità.
ACTide integra raccolta dei dati, controlli, tracciabilità e strumenti operativi in un ecosistema progettato per la ricerca clinica.
Richiedi una demo per esaminare audit trail, firme, gestione degli accessi e workflow di validazione su un caso d’uso vicino al tuo studio.