21 CFR الجزء 11 هو اللائحة التي تُحدد الشروط التي تعتبر بموجبها FDA السجلات الإلكترونية والتوقيعات الإلكترونية موثوقة وموثَّقة وتُعادل السجلات الورقية والتوقيعات اليدوية.
منذ صدوره عام 1997، أصبح الجزء 11 من أكثر المجالات التي تُفتّش عليها FDA في تصنيع الأدوية. وعلى الرغم من مرور سنوات على صدوره، لا تزال شركات كثيرة تحمل ثغرات امتثال جوهرية - لا سيما حول مسارات التدقيق وضوابط الوصول - تُفضي إلى رسائل تحذير وتنبيهات استيراد.
النطاق: متى يُطبَّق الجزء 11؟
يُطبَّق الجزء 11 حين تتحقق كلتا الحالتين:
- السجلات مُنشأة أو مُعدَّلة أو محفوظة أو مؤرشفة أو مسترجعة أو مُرسلة إلكترونياً
- تلك السجلات مطلوبة بموجب لوائح FDA المرجعية (21 CFR الجزء 211 للأدوية، والجزء 820 للأجهزة الطبية، وغيرها)
إذا احتفظت بسجلات ورقية أصلية وأبقيت على النسخ الإلكترونية احتياطياً فقط، قد لا يسري الجزء 11 - لكن اللائحة المرجعية تسري على أي حال. تُنشئ معظم أنظمة GxP الحديثة سجلات إلكترونية باعتبارها السجل الأساسي، مما يجعل الجزء 11 سارياً بصورة تلقائية.
متطلبات السجلات الإلكترونية
يُحدد الجزء الفرعي B من الجزء 11 أربعة متطلبات أساسية للسجلات الإلكترونية:
يجب التحقق من صحة الأنظمة لضمان الدقة والموثوقية والأداء المتسق والقدرة على اكتشاف السجلات غير الصالحة أو المُعدَّلة.
مسارات تدقيق مُولَّدة حاسوبياً ومُختومة زمنياً تُسجّل بصورة مستقلة تاريخ ووقت إدخالات المشغّل والإجراءات التي تُنشئ السجلات الإلكترونية أو تُعدّلها أو تحذفها.
يجب حماية السجلات لتمكين استرجاعها الدقيق والفوري طوال فترة الاحتفاظ المطلوبة باللائحة المرجعية.
يجب أن يقتصر وصول النظام على الأفراد المخوّلين، مع ضوابط لمنع استخدام بيانات غير مخوّلة أو مُزوَّرة.
مسار التدقيق - المتطلب الأكثر استشهاداً
تُعدّ ثغرات مسار التدقيق باستمرار من أبرز الخمس ملاحظات في عمليات تفتيش FDA للأدوية. إليك ما تستلزمه المادة §11.10(e) تحديداً:
- يجب أن تكون مسارات التدقيق مُولَّدة حاسوبياً - لا سجلات يدوية
- يجب أن تُسجّل تاريخ ووقت الإدخال أو الإجراء
- يجب أن تُسجّل من قام بالإجراء
- في حالة التغييرات، يجب تسجيل القيمة القديمة والقيمة الجديدة
- يجب الاحتفاظ بمسارات التدقيق للمدة ذاتها التي تُحفظ فيها السجلات الإلكترونية التي تحميها
- يجب أن تكون مسارات التدقيق متاحة للمراجعة أثناء التفتيش - ويجب أن تكون قد خضعت للمراجعة من قبل المنظمة المشغّلة، لا الاكتفاء بتخزينها فقط
صياغة رسالة التحذير التي تريد تجنّبها: "فشلت شركتكم في وضع إجراءات لمراجعة مسارات التدقيق بشكل دوري... كانت مسارات التدقيق مُفعَّلة لكن لم يُعثر على أي دليل على مراجعتها." هذه الصياغة تظهر في عشرات رسائل التحذير الصادرة عن FDA كل عام.
التوقيعات الإلكترونية
يغطي الجزء الفرعي C من الجزء 11 التوقيعات الإلكترونية. المتطلبات الرئيسية:
- يجب أن يكون كل توقيع إلكتروني فريداً لشخص واحد - لا حسابات مشتركة
- قبل استخدام التوقيعات الإلكترونية، يجب على المنظمات إشعار FDA (عبر خطاب) بأنها تعتزم استخدامها مكافئةً للتوقيعات اليدوية التقليدية
- يجب أن ترتبط التوقيعات الإلكترونية بسجلاتها المقابلة بحيث لا يمكن استخراجها أو نسخها أو نقلها لتزوير السجلات
- يجب تصميم التوقيعات البيومترية بحيث لا يتمكن أحد سوى مالكها الحقيقي من استخدامها
- التوقيعات غير البيومترية (الأكثر شيوعاً: اسم مستخدم + كلمة مرور) تستلزم مكوّنين: مكوّن واحد على الأقل فريد للشخص ومكوّن آخر لا يعلمه سواه
ضوابط الوصول وأمن النظام
تُحدد المادتان §11.10(d) و§11.10(g) إطار ضوابط الوصول:
- تقييد وصول النظام على الأفراد المخوّلين فقط
- استخدام فحوصات نظام التشغيل لفرض تسلسل الخطوات والأحداث المسموح بها
- استخدام فحوصات الصلاحية للتأكد من أن الأفراد المخوّلين فقط يمكنهم استخدام النظام والتوقيع الإلكتروني على السجلات والوصول إلى العمليات
- استخدام فحوصات الأجهزة (مثل الأطراف الطرفية) للتحقق من صحة مصدر إدخال البيانات أو تعليمات التشغيل
- التحقق من امتلاك الأشخاص الذين يطوّرون الأنظمة الإلكترونية أو يصونونها أو يستخدمونها للتعليم والتدريب والخبرة اللازمين لأداء مهامهم
ثغرات الامتثال الشائعة
بناءً على نتائج تفتيش FDA وتحليل رسائل التحذير، أبرز ثغرات الجزء 11:
- مسار التدقيق غير مُفعَّل - أو مُفعَّل في بعض الحقول فقط، لا في جميع حقول GxP ذات الصلة
- مسار التدقيق غير مُراجَع - محفوظ لكن لا يُفحص كجزء من العمليات الاعتيادية
- حسابات مشتركة أو عامة - تقاسم تقنيي المختبر لبيانات الدخول يُفسد متطلب المعرّف الفريد
- ساعة النظام غير مضبوطة - قدرة المستخدمين على تعديل ساعة النظام تُقوّض نزاهة الطابع الزمني
- كلمات المرور لا تنتهي صلاحيتها - أو متطلبات التعقيد غير مفروضة من قبل النظام
- غياب إجراءات مكتوبة لإدارة وصول النظام ومراجعة مسار التدقيق والاستجابة للحوادث
- ثغرات التحقق - النظام قيد الاستخدام لكن لم يُنجز أي IQ/OQ/PQ قط
فحص ذاتي سريع: هل يمكنك الآن - في هذه اللحظة - تقديم مسار تدقيق مطبوع لأي سجل GxP من الاثني عشر شهراً الماضية، مع دليل موثَّق على مراجعته؟ إذا لم يكن كذلك، فتلك هي الثغرة التي يجب معالجتها قبل عملية التفتيش القادمة لـ FDA.