Firme elettroniche in laboratorio: approvazioni e collegamento ai record

Un nome in fondo a un rapporto non chiarisce, da solo, chi abbia approvato il risultato, con quale autorità e su quale versione. Una firma elettronica utile al processo deve collegare identità, atto e contenuto in modo verificabile, anche quando il record viene corretto o il sistema cambia.

Il punto di partenza non è scegliere un’icona di firma. È definire la decisione richiesta nel laboratorio e le evidenze che devono accompagnarla. I controlli seguenti riguardano flussi GMP da valutare nel loro ambito normativo, non una certificazione universale delle tecnologie di firma.

1. Identifica l’atto prima del meccanismo

Distingui esecuzione dell’analisi, revisione tecnica, approvazione del risultato e altre decisioni previste dal sistema qualità. Non ogni salvataggio richiede una firma, né ogni firma equivale al rilascio di un lotto. Per ciascun passaggio identifica requisito, responsabile, record interessato e prerequisiti.

L’autenticazione verifica l’identità che accede. La firma elettronica registra un atto del firmatario con il significato previsto. Un nome digitato o un’immagine della firma possono essere elementi visibili, ma non dimostrano da soli identità controllata, intenzione e collegamento al record. I meccanismi crittografici possono proteggere autenticità e integrità; non sostituiscono l’autorità del firmatario o la completezza dei dati valutati.

Parti dalla valutazione di applicabilità di Annex 11 e Part 11. Nell’UE, eIDAS disciplina anche categorie ed effetti giuridici delle firme; non sostituisce automaticamente i controlli GMP del flusso. Non dedurre che ogni approvazione interna debba usare una firma qualificata, né che un certificato crittografico dimostri da solo conformità GMP.

2. Disegna la catena di approvazione

La matrice originale seguente descrive un possibile flusso di laboratorio. Adatta i passaggi alle responsabilità reali; “revisione” e “approvazione” non sono etichette intercambiabili. La versione firmata deve identificare anche gli allegati o gli oggetti collegati che fanno parte dell’ambito della decisione.

3. Controlla identità, autorità e manifestazione

Il firmatario deve essere identificato, formato e autorizzato all’atto. Mantieni coerenti i ruoli e privilegi del laboratorio digitale con il flusso. L’amministratore che configura il sistema non acquisisce per questo il diritto di approvare dati analitici.

Quando Part 11 è applicabile, §11.50 richiede che il record firmato mostri nome del firmatario, data e ora della firma e significato dell’atto, anche nelle forme leggibili dall’uomo. §11.70 riguarda il collegamento che impedisce di separare o trasferire la firma per falsificare un record con mezzi ordinari. Annex 11 §14 richiede collegamento permanente, data/ora ed effetto della firma elettronica equivalente alla firma manoscritta entro i confini dell’azienda.

Per firme non biometriche, §11.200 prevede almeno due componenti identificative distinte, per esempio identificativo e password. Non è sinonimo automatico di autenticazione a due fattori di categorie diverse. La norma distingue la prima firma in un periodo continuo di accesso controllato dalle firme successive; fuori da tale periodo richiede tutte le componenti a ogni firma. Valuta e prova la gestione delle sessioni effettivamente adottata. §11.100 include unicità, verifica dell’identità e la certificazione alla FDA prevista per chi utilizza firme elettroniche nel relativo ambito.

4. Verifica il flusso con prove positive e negative

Prima della prova definisci quale contenuto viene presentato al firmatario, quale significato è selezionabile e quali condizioni permettono la firma. Un rapporto incompleto o un allegato mancante non diventano completi perché il sistema accetta l’autenticazione.

In un ambiente di test autorizzato verifica firma consentita, ruolo non autorizzato, record non pronto, sessione terminata e annullamento dell’operazione. Conferma che un tentativo fallito non lasci un’approvazione apparente. Se il contenuto cambia mentre il revisore lo sta leggendo, il controllo deve impedire che venga approvata inconsapevolmente una versione diversa: definisci la risposta attesa e verificane l’efficacia.

Controlla anche visualizzazione ed esportazione: nome, momento, significato e oggetti firmati devono restare interpretabili. L’audit trail documenta eventi e modifiche; non sostituisce automaticamente la firma o la decisione di revisione. Conserva esiti osservati e deviazioni, non soltanto una schermata con l’icona “firmato”.

5. Caso simulato: correzione dopo l’approvazione

Il risultato R7, versione 1, è stato approvato. Si scopre poi un’unità errata nel rapporto. La valutazione distingue l’errore di presentazione da un possibile errore di calcolo e considera l’uso già fatto del risultato. Non basta cambiare l’unità lasciando inalterata l’apparenza di approvazione.

Il flusso autorizza la riapertura, conserva versione 1, firma originaria e motivo della correzione, quindi genera la versione 2 con i collegamenti pertinenti. La nuova versione segue la revisione e l’approvazione richieste dall’impatto. La vecchia firma resta evidenza della decisione sul vecchio contenuto: non viene trasferita al nuovo. Gli utilizzatori possono distinguere stato attuale, contenuto superato e storia delle decisioni.

6. Mantieni verificabile il legame nel tempo

La conservazione deve includere record, componenti necessari, firme e relazioni. Quando cambiano formato, applicazione o archivio, verifica che sia ancora possibile ricostruire chi ha firmato cosa, quando e con quale significato. Se sono impiegati meccanismi crittografici, considera le dipendenze necessarie alla verifica futura; un’immagine della firma non le sostituisce.

Definisci responsabilità e controlli prima di dismettere il sistema. La revoca dell’accesso di un ex dipendente non deve rendere anonime le sue firme storiche. Una verifica di recupero con record rappresentativi rende visibili problemi che il solo elenco dei documenti archiviati non dimostra.

Fonti e stato — verifica: 2 ottobre 2026. EU GMP Annex 11, revisione gennaio 2011, §§7, 12, 14, 17; 21 CFR Part 11, eCFR aggiornato al 30 settembre 2026, §§11.50, 11.70, 11.100, 11.200; FDA Data Integrity, guidance finale non vincolante, dicembre 2018, Q11; regolamento (UE) 910/2014, eIDAS, testo consolidato 18 ottobre 2024, definizioni e articoli 25–26, per la distinzione delle categorie e degli effetti giuridici. Matrice e caso sono esempi, da adattare ai requisiti applicabili.