Annex 11 e 21 CFR Part 11 in laboratorio: quando si applicano

La presenza di un computer non rende automaticamente ogni file un record soggetto a 21 CFR Part 11. Neppure una stampa permette, da sola, di escludere il sistema che ha prodotto il risultato. Per definire l’applicabilità occorre seguire il lavoro: quale attività viene svolta, quale registrazione è richiesta, chi usa quel dato e per quale decisione.

Nel laboratorio farmaceutico la valutazione deve distinguere requisiti UE, requisiti statunitensi e guidance interpretative. Questa mappa aiuta a documentare il ragionamento; non certifica un software né sostituisce la valutazione del processo da parte delle funzioni competenti.

1. Parti dal processo, dal mercato e dal record

Identifica prodotto, attività, mercati serviti e obblighi applicabili. Un laboratorio QC che prova medicinali destinati agli Stati Uniti può avere obblighi sulle registrazioni derivanti, per esempio, da 21 CFR 211.194. Sono i requisiti sottostanti, spesso chiamati predicate rules: stabiliscono quali evidenze devono esistere, indipendentemente dall’acquisto di un modulo software.

Segui poi il record dal dato strumentale al risultato approvato. Considera dati originali, calcoli, metodi, metadati necessari, revisioni e collegamenti. Distingui registrazioni richieste da copie di comodità e materiali di esercitazione. La distinzione va motivata in base all’uso effettivo: un foglio dichiarato “solo informativo” che determina un risultato QC non resta fuori dal processo per effetto dell’etichetta.

2. Costruisci una matrice di applicabilità per il laboratorio

La tabella è un esempio originale da adattare. Ogni riga deve diventare una decisione documentata, con proprietario, giurisdizione pertinente ed evidenze verificabili; una casella “conforme” senza motivazione non basta.

3. Leggi Part 11 insieme ai requisiti sottostanti

21 CFR 11.1 definisce il campo dei record elettronici e delle firme elettroniche. La guidance FDA del 2003 chiarisce l’interpretazione restrittiva del campo: rilevano, fra l’altro, record richiesti mantenuti elettronicamente al posto della carta, oppure usati elettronicamente nello svolgimento dell’attività regolata anche quando esiste una copia cartacea. Conta ciò su cui si fa affidamento.

Il regolamento resta in vigore. La discrezionalità annunciata dalla FDA nell’applicazione di alcune disposizioni non equivale a cancellare Part 11 o i requisiti sottostanti. Non usarla per giustificare dati incompleti, accessi incontrollati o l’assenza di evidenze sull’idoneità del processo.

Valuta separatamente il record e l’eventuale firma: quali atti sono richiesti, chi è autorizzato e come la firma resta associata alla versione approvata. I controlli dipendono anche dalla classificazione del sistema. Nelle definizioni di Part 11, “aperto” e “chiuso” riguardano il controllo degli accessi da parte dei responsabili del contenuto: cloud o connessione Internet, da soli, non decidono la categoria.

4. Collega Annex 11 al sistema qualità

Per le attività GMP UE pertinenti, Annex 11 richiede un approccio basato sul rischio lungo il ciclo di vita dei sistemi computerizzati. La valutazione deve tradursi in responsabilità, requisiti, validazione, sicurezza, gestione delle modifiche, revisione periodica e conservazione. Non basta affiancare una lista di funzioni a un certificato del fornitore.

Alla verifica del 2 ottobre 2026, l’indice ufficiale EudraLex riporta ancora Annex 11, revisione gennaio 2011. La consultazione del 2025 non va citata come testo già vigente. Annex 11 e Part 11 hanno fonti e perimetri diversi: una matrice comune può confrontare i controlli, senza dichiararli intercambiabili.

Lo stesso vale per i sistemi legacy: l’età non è un’esenzione generale. Le condizioni della guidance FDA per i sistemi operativi prima del 20 agosto 1997 devono essere valutate specificamente, insieme agli obblighi sottostanti e alle evidenze di idoneità. L’evoluzione normativa sulle firme richiede inoltre una valutazione del contesto; non rende obbligatoria ogni possibile tecnologia di firma.

5. Caso simulato: lo stesso file, due usi diversi

Un file con dati fittizi viene usato in un ambiente isolato per un’esercitazione informale, senza generare evidenze formali di formazione. Successivamente un analista propone di copiarlo nel flusso QC per calcolare un risultato destinato alla revisione. Il formato è identico; il ruolo nel processo cambia.

Prima dell’impiego operativo, il responsabile identifica il record richiesto, la formula, gli ingressi, la versione, l’approvazione e la conservazione. Valuta i requisiti applicabili e le prove necessarie. Il precedente uso didattico non dimostra l’idoneità GMP. Per sviluppare questa parte, vedi fogli elettronici e controlli nel laboratorio GMP.

6. Trasforma il perimetro in decisioni verificabili

Chiudi la valutazione con ambito e motivazione, riferimenti vigenti, controlli esistenti, lacune, responsabili e criteri di accettazione. Associa le lacune a decisioni prima dell’uso o a misure autorizzate nel sistema qualità. Il passaggio successivo è collegare requisiti e rischio alle prove di validazione e al rilascio di LIMS e CDS.

Riesamina l’applicabilità quando cambiano uso, mercati, flussi, firme o conservazione. Un documento corretto all’avvio può non descrivere più il processo reale dopo un’integrazione o un cambio di destinazione dei dati.

Fonti e stato — verifica: 2 ottobre 2026. 21 CFR Part 11, regolamento, eCFR aggiornato al 30 settembre 2026, §§11.1, 11.3 e 11.10–11.70; 21 CFR 211.194 e 211.68, requisiti statunitensi pertinenti alle CGMP farmaceutiche; FDA, Part 11 — Scope and Application, guidance finale non vincolante del 2003 (PDF agosto, catalogo settembre), sezioni III.A–C; EudraLex Volume 4, Annex 11 e Chapter 4, revisioni gennaio 2011. La matrice e il caso sono esempi editoriali, non checklist normative esaustive.