Los requisitos de 21 CFR Part 11 aplican cuando los registros exigidos por normas predicado reguladas por la FDA se crean, modifican, mantienen, archivan, recuperan o transmiten electrónicamente, y cuando se utilizan firmas electrónicas como equivalentes de las firmas manuscritas. Por tanto, la primera tarea no consiste en adquirir una funcionalidad de cumplimiento ni en aplicar indiscriminadamente todos los controles: consiste en establecer el fundamento del registro en la norma predicado, cómo se apoya la organización en el registro electrónico y si se utiliza una firma electrónica. Part 11 sigue siendo una regulación de la FDA. La guía Scope and Application de la FDA describe una interpretación limitada de su alcance y anuncia discrecionalidad de aplicación para controles concretos; no deroga Part 11 ni elimina las obligaciones derivadas de las normas predicado.
Comience por la aplicabilidad: la prueba del registro, la dependencia y la firma
Part 11 es una regulación codificada de la FDA que regula los registros electrónicos y las firmas electrónicas. Complementa las «normas predicado» aplicables de la FDA: los requisitos subyacentes que exigen crear, conservar, presentar o firmar registros. Una decisión de alcance defendible debe partir del proceso de negocio regulado, y no de la etiqueta tecnológica. Una aplicación en la nube, una hoja de cálculo, un instrumento o un proceso en papel no están automáticamente dentro o fuera de alcance por su formato.
Árbol práctico de decisión sobre el alcance
- Identifique el requisito predicado. ¿La información es un registro exigido por una regulación FDA aplicable, por ejemplo, un requisito GMP, de laboratorio, clínico u otro requisito regulado por la FDA?
- Trace el ciclo de vida electrónico. ¿Ese registro exigido se crea, modifica, mantiene, archiva, recupera o transmite en formato electrónico? Identifique el registro autoritativo, no simplemente cada copia temporal de conveniencia.
- Establezca la dependencia. ¿El registro electrónico se mantiene en lugar de papel, debe ser electrónico o se utiliza para realizar una actividad regulada? Documente el fundamento frente a la guía Scope and Application de la FDA.
- Evalúe las firmas por separado. ¿La firma electrónica está destinada a ser el equivalente jurídicamente vinculante de una firma manuscrita? Si es así, las disposiciones sobre firmas electrónicas son directamente pertinentes.
- Defina el perímetro del sistema. Incluya interfaces, datos de instrumentos, metadatos, informes, mecanismos de archivo, gestión de identidades y cualquier paso manual necesario para preservar el registro regulado.
- Registre el resultado. Apruebe una evaluación de alcance que indique la norma predicado, el conjunto de registros, el sistema de registro, el uso de firmas, los controles aplicables y cualquier justificación basada en la discrecionalidad de aplicación de la FDA.
La guía de la FDA indica que pretende ejercer discrecionalidad de aplicación respecto de validación, trazas de auditoría, conservación de registros y requisitos de copia de registros en disposiciones específicas de Part 11, mientras sigue esperando el cumplimiento de las normas predicado. Es una política de aplicación regulatoria expresada en una guía no vinculante, no una exención de proteger los registros, conservarlos durante el período exigido o ponerlos a disposición de una inspección. Las organizaciones no deben interpretar la palabra «discrecionalidad» como prueba de que los controles son innecesarios.
Requisitos esenciales de 21 CFR Part 11 para registros electrónicos
Para los sistemas dentro de alcance, Part 11 diferencia entre sistemas cerrados, en los que el acceso está controlado por las personas responsables del contenido de los registros electrónicos, y sistemas abiertos, en los que el acceso no está controlado por quienes son responsables del contenido del registro. Los sistemas cerrados se abordan principalmente en 21 CFR 11.10; los sistemas abiertos requieren las medidas adicionales de 11.30 necesarias para asegurar la autenticidad, la integridad y, según corresponda, la confidencialidad de los registros.
| Área de control | Enfoque de Part 11 | Evidencia preparada para auditoría |
|---|---|---|
| Validación y uso previsto | Los sistemas deben validarse para asegurar exactitud, fiabilidad, desempeño consistente conforme al uso previsto y capacidad para distinguir registros no válidos o alterados. | Declaración aprobada de uso previsto, registros del ciclo de vida basados en riesgo, pruebas, desviaciones y evidencia de liberación y cambios. |
| Protección y conservación de registros | Los registros deben protegerse para permitir una recuperación exacta y rápida durante todo el período de conservación exigido. | Calendario de conservación, diseño del archivo, prueba de recuperación, evidencia de copia de seguridad/restauración y formato legible del registro. |
| Trazas de auditoría | Las trazas de auditoría seguras, generadas por ordenador y con marca de tiempo deben registrar de forma independiente las acciones del operador que crean, modifican o eliminan registros electrónicos. | Especificación de configuración, muestras de revisiones de trazas, procedimiento de revisión y evidencia de que los cambios no ocultan la información previa. |
| Acceso y autoridad | El acceso debe limitarse a personas autorizadas; las comprobaciones de autoridad deben garantizar que solo estas puedan realizar las operaciones pertinentes. | Matriz de roles, registros de altas/cambios/bajas, revisión periódica de accesos y justificación de segregación de funciones. |
| Comprobaciones operativas | Las comprobaciones deben imponer la secuencia permitida de pasos y acontecimientos cuando corresponda. | Configuración de flujos de trabajo, tratamiento de excepciones y evidencia de pruebas para la secuenciación de procesos críticos. |
| Copias para la FDA | Las copias de los registros deben estar disponibles en formato legible por personas y electrónico, adecuado para la revisión y copia por la FDA. | Procedimiento de exportación para inspecciones, prueba de exportación representativa y explicación de los metadatos y la traza de auditoría asociados. |
| Protección de sistemas abiertos | Se requieren medidas adicionales, según corresponda, para asegurar autenticidad, integridad y confidencialidad. | Evaluación documentada de amenazas y salvaguardas implantadas adecuadas al perímetro del sistema. |
Part 11 también aborda procedimientos y controles que incluyen comprobaciones de dispositivos, cualificación del personal, políticas escritas que responsabilicen a las personas de las acciones iniciadas bajo sus firmas electrónicas y controles sobre la documentación del sistema. La implantación adecuada debe ser proporcionada al uso previsto y al riesgo, pero debe preservar el valor probatorio del registro regulado.
Las firmas electrónicas son más que un inicio de sesión
Las firmas electrónicas deben estar vinculadas a sus respectivos registros electrónicos de modo que no puedan eliminarse, copiarse ni transferirse de otro modo para falsificar un registro por medios ordinarios. Los registros firmados deben mostrar el nombre impreso del firmante, la fecha y hora de firma y el significado asociado a esta, como revisión, aprobación, responsabilidad o autoría. Los controles de firma de Part 11 también contemplan unicidad, verificación de identidad, no reutilización y, según las firmas sean no biométricas o biométricas, los requisitos pertinentes de ejecución y control.
Una cuenta de usuario autentica el acceso; no demuestra automáticamente que una acción configurada satisfaga el requisito de firma de la norma predicado de la organización. Defina qué acciones requieren firma, el significado de la firma, la autoridad requerida del firmante y la presentación del registro disponible para quien lo revise.
Procesos híbridos: evite el error del «documento impreso en papel»
Un proceso híbrido combina elementos en papel y electrónicos. Requiere una designación explícita del registro oficial y una relación controlada entre datos fuente, datos derivados, impresiones, evidencia de revisión y archivo. Imprimir un resultado desde un instrumento no convierte por sí mismo en irrelevantes los datos electrónicos dinámicos, los metadatos o la traza de auditoría cuando esos elementos son necesarios para reconstruir lo ocurrido.
- Resultado de instrumento impreso para revisión de lote: determine si los datos brutos electrónicos y la traza de auditoría asociada siguen siendo la evidencia autoritativa del resultado y de cualquier cambio.
- Formulario en papel transcrito a una aplicación: defina el registro fuente, la verificación de la transcripción cuando se requiera, el tratamiento de correcciones y la conservación de la fuente.
- Aprobación electrónica seguida de una copia en papel: conserve el registro electrónico firmado, incluida la manifestación de firma y su vinculación, en lugar de apoyarse únicamente en una impresión sin firma o estática.
La recomendación de implantación de GuideGxP es someter la decisión de alcance y el mapa de flujo de registros a gobernanza de calidad antes de configurar los flujos de trabajo. Para consideraciones sobre proveedores, responsabilidad compartida y ciclo de vida en plataformas alojadas, consulte la guía de GuideGxP sobre validación GxP de SaaS y cloud.
Part 11 y EU GMP Annex 11: alinee los controles sin tratarlos como idénticos
Part 11 y Annex 11 abordan ambos la información electrónica controlada en entornos regulados, pero proceden de marcos diferentes y no deben presentarse como intercambiables. Part 11 es una regulación de la FDA con disposiciones definidas para registros y firmas electrónicas. EU GMP Annex 11 se publica en EudraLex Volume 4 y trata los sistemas informatizados utilizados en actividades GMP de la UE. Debe evaluarse en el contexto jurídico y de inspección GMP de la UE aplicable, y no utilizarse como sustituto de una evaluación de Part 11.
| Tema | 21 CFR Part 11 | EU GMP Annex 11 | Enfoque práctico |
|---|---|---|---|
| Foco regulatorio | Registros y firmas electrónicas sujetos a normas predicado reguladas por la FDA. | Sistemas informatizados utilizados en actividades GMP de la UE. | Mantenga evaluaciones de aplicabilidad específicas para cada jurisdicción y proceso. |
| Controles del sistema | Aborda validación, acceso, autoridad, comprobaciones operativas, trazas de auditoría, protección de registros y copias. | Aborda la gestión del ciclo de vida y los controles de sistemas informatizados GMP. | Construya un único conjunto de evidencias controlado y, después, asígnelo a cada marco aplicable. |
| Firmas | Contiene disposiciones específicas sobre firmas electrónicas y requisitos de vinculación entre firma y registro. | Evalúe las expectativas de firma y aprobación en el contexto del proceso GMP de la UE. | Especifique significado, identidad, autoridad y posibilidad de revisión para cada aprobación regulada. |
| Consulta actual | La guía FDA Scope and Application sigue siendo una guía, no una regulación. | La consulta de la Comisión de 2025 sobre Chapter 4, Annex 11 y Annex 22 es material de consulta. | No implante el texto de consulta como si ya fuera un requisito final; supervise y evalúe las publicaciones definitivas. |
Un fallo global frecuente es declarar que un sistema «cumple Annex 11» o «cumple Part 11» sin indicar el uso previsto, el alcance de los registros, las configuraciones y las evidencias que sustentan la afirmación. Una posición más sólida consiste en un mapa de requisitos trazable, una evaluación de riesgos, evidencias de verificación y una revisión periódica adaptada al uso regulado real.
Lista de comprobación preparada para inspección
- ¿Hemos identificado cada norma predicado aplicable y el registro, período de conservación y requisito de firma exigidos?
- ¿Existe una decisión aprobada de aplicabilidad de Part 11 para cada proceso regulado y perímetro de sistema?
- ¿Hemos identificado el registro autoritativo, los datos fuente, los metadatos, la traza de auditoría y la salida legible por personas?
- ¿Está definido el uso previsto y existe evidencia documentada del ciclo de vida adecuada al riesgo y a los cambios del sistema?
- ¿Se pueden demostrar cuentas únicas, autorización de acceso, comprobaciones de autoridad y revisiones periódicas de acceso?
- ¿Las trazas de auditoría están habilitadas cuando se requieren, son seguras, se conservan y se revisan conforme a un procedimiento aprobado?
- ¿Puede la organización recuperar registros completos, comprensibles y copias electrónicas adecuadas durante todo el período de conservación exigido?
- ¿Las firmas electrónicas son atribuibles de forma única, están configuradas con un significado y vinculadas a sus registros?
- ¿Están controlados los traspasos híbridos papel/electrónico, las comprobaciones de transcripción y las correcciones?
- ¿Se han justificado y evidenciado salvaguardas adicionales para elementos de sistemas abiertos?
- ¿Puede el propietario del sistema explicar las responsabilidades del proveedor, la gestión de incidencias, la copia de seguridad, la restauración y la recuperación del archivo?
- ¿Part 11, Annex 11 y los materiales de consulta están claramente diferenciados en los procedimientos y la formación?
Preguntas frecuentes
¿Ha derogado la FDA 21 CFR Part 11?
No. Part 11 continúa vigente en el eCFR. La guía Scope and Application de la FDA explica su interpretación del alcance y su discrecionalidad de aplicación para determinadas disposiciones; no elimina la necesidad de cumplir las normas predicado aplicables.
¿Todo sistema GMP electrónico necesita controles de Part 11?
No se deriva una conclusión automática por el hecho de que el sistema sea electrónico o esté relacionado con GMP. Evalúe el registro de la norma predicado, la dependencia electrónica y el uso de firmas electrónicas. Documente la decisión y revísela cuando cambie el uso previsto.
¿Es Annex 11 la versión europea de Part 11?
No. Coinciden en temas de control importantes, pero pertenecen a marcos regulatorios distintos, tienen estructuras diferentes y deben evaluarse por separado.
Fuentes primarias
- eCFR: Title 21, Part 11, Electronic Records; Electronic Signatures
- FDA: Part 11 Electronic Records; Electronic Signatures — Scope and Application
- Comisión Europea: EudraLex Volume 4, incluido Annex 11
- Comisión Europea: consulta de 2025 sobre Chapter 4, Annex 11 y Annex 22
Mantenga un enfoque pragmatico: The Pragmatic GMP
Suscribase a The Pragmatic GMP para recibir analisis GMP basados en fuentes, listas de comprobacion y novedades regulatorias.
