Validace počítačových systémů Data integrity
Transcript of Validace počítačových systémů Data integrity
www.gmproject.cz
Validace počítačových systémů CSV
• Co se rozumí Validací počítačových systémů?
• Proč je validace počítačových systémů zapotřebí?
• Které procesy jsou zapotřebí pro úspěšnou validaci?
www.gmproject.cz
Osnova školení
• Validace počítačových systémů• Regulatorní požadavky, GAMP 5, Doplněk 11• Co se rozumí validací, Validace Počítačového systému
• Provoz počítačového systému a řízená dokumentace
• Data integrity
www.gmproject.cz
ISPE: GAMP 5 – Good Automated Manufacturing PracticeA Risc-Based Approach to Compliant GxP Computerized Systems
Základní principy• Porozumění produktu a procesů (URS, AR)• Řízení celého životního cyklu v rámci QMS• Koncept, projekt, provoz, vyřazení CS/PS
• Přizpůsobení aktivit v rámci životního cyklu• Bezpečnost pacienta, kvalita produktu, datová integrita, složitost systému, dodavatel
• Přístup na základě vědecké analýzy rizik (QRM)• Zapojení dodavatelů => validace a kvalifikace
Cílem GAMPu je poskytnout metodiku k prokázání, že PS jsou vhodné pro zamýšlené použití a splňují současné regulatorní požadavky
www.gmproject.cz
GAMP 5 – Good Automated Manufacturing PracticeA Risc-Based Approach to Compliant GxP Computerized Systems
• Hlavní přínosy • metodika k dosažení souladu s GxP• kategorizace SW a HW • „V model“ validačních aktivit• aplikace analýzy rizik• řízení životního cyklu
není právně závazný, odpovědnost na straně uživatele
www.gmproject.cz
• Rozsah, platnost pro:• GMP pro farmacii, API, veterinária, krevní deriváty• GCP – klinická praxe• GLP – laboratorní praxe• GDP- distribuční praxe• MDR – praxe pro zdravotnické prostředky• GVP – farmakoviliganční praxe
=> GxP
GAMP 5 – Good Automated Manufacturing PracticeA Risc-Based Approach to Compliant GxP Computerized Systems
www.gmproject.cz
GAMP 5 – Definice pojmů• Vlastník procesu - osoba odpovědná za podnikový proces.
Většinou vedoucí jednotky, řízení změn, validační status, uživatelský manuál, školení uživatelů, PS je ve shodě.., v souladu s SOP, přístup
• Vlastník systému - osoba odpovědná za dostupnost a údržbu počítačového systému a za bezpečnost dat uložených na tomto systému.Většinou IT, Zálohování, DRP, nastavení systému, řízení přístupu, provedení validace
• QA IT (SME) – osoba odpovědná za schválení všech ověřovacích dokumentůje odpovědná za inventář systémů, evidence ve VMP, shoda s GMP požadavky a interními SOP, koordinuje validace, akceptační kritéria, testovací metody, schvaluje výsledky
• Dodavatelé
www.gmproject.cz
GAMP 5 – Definice pojmů
• Životní cyklus - všechny fáze životnosti systému od počátečních požadavků do ukončení používání systému, zahrnující návrh, specifikaci požadavků, programování úprav, interface na jiné systémy, implementaci, testování, instalaci, provoz, řízení změn a údržbu, vyřazení
• IT infrastruktura - hardware a software ve formě počítačových sítí a operačních systémů, které umožňují fungování aplikací.
www.gmproject.cz
GAMP 5 – Definice pojmů
• Aplikace - Software nainstalovaný na definované hardwarové platformě poskytující konkrétní funkčnost
• Počítačový systém na zakázku nebo vlastní – elektronický systém individuálně navržený tak, aby vyhovoval konkrétnímu podnikovému procesu
• Komerční software - Software komerčně dostupný, jehož vhodnost pro použití je prokázána širokým spektrem uživatelů.
www.gmproject.cz
Dodavatelé a poskytovatelé služeb
Odpovědnost za shodu s GxP -> výrobce, regulovaná firma,doporučení zapojit dodavatele do procesu
• Kompetence a spolehlivost dodavatele jsou klíčovými faktory při výběru produktu nebo poskytovatele služeb.
• Potřeba auditu dodavatele má být založena na posouzení rizik a na schopnosti dodat požadovanou službu• Obecné informace, interní systém kvality, řízení projektů, vývoj
produktu, uvolnění verze, řízení podpory, školení zákazníka, atd.• Dostupnost zpráv z auditu týkající se dodavatele systémů a
poskytovatelů služeb
www.gmproject.cz
Dodavatelé a poskytovatelé služeb
Pokud jsou využívány třetí strany pro dodatečné služby • poskytování přístupu k Internetu, instalace, konfigurace,
integrace, údržba, zpracování dat, atd.
musí existovat formální dohody mezi výrobcem a jakoukoliv třetí stranou a tyto dohody musí obsahovat jasné prohlášení o odpovědnosti třetích stran
www.gmproject.cz
Management
• Každá výrobní jednotka, výrobní závod je odpovědný za zavedení politiky požadavků pro validace počítačových systémů
• Výrobní jednotka je odpovědná za:• Zavedení SOP pro validace počítačových systémů, včetně
validačních protokolů a validační dokumentace• Systém inventarizace používaných IS a jejich hodnocení
• SOP musí být v souladu s politikou pro Validaci počítačových systémů, musí být schváleny
www.gmproject.cz
Pracovníci • Má existovat úzká spolupráce mezi všemi příslušnými
pracovníky, jako jsou• vlastník procesu• vlastník systému (IT)• QA IT (SME)• QC, QA, QP• Všichni pracovníci mají mít
• odpovídající kvalifikaci• přístupová práva• definované odpovědnosti k plnění svých přidělených
povinností
www.gmproject.cz
Řízení rizik
Na základě: ICH Q9 QRM guideline
• Hodnocení rizika pro kvalitu by mělo být založeno na vědeckých poznatcích a v konečném důsledku by mělo být spojeno s ochranou pacienta.
• Úroveň úsilí, formality a dokumentace procesu řízení rizik kvality by měla být úměrná úrovni rizika.
www.gmproject.cz
Řízení rizik
• Řízení rizik (QRM) PS – systematický proces posouzení, kontroly, komunikace a přezkoumání rizik. Má být použito v celém životním cyklu počítačového systému s ohledem na:• Bezpečnost pacienta, jakost výrobků a integritu dat• Podpora firemních procesů, uživatelské požadavky, systémové komponenty
a architektura, systémová funkcionalita, schopnosti dodavatele, …• Regulatorní požadavky
• V rámci systému řízení rizik má být rozhodnutí o rozsahu validací a kontrolách integrity dat založeno na odůvodněném a zdokumentovaném posouzení rizik počítačového systému.
www.gmproject.cz
Typy analýz
• Obecná analýza – obecná analýza celkového řešení ve fázi návrhu systému
• Designová/Funkční analýza SW/HW – od návrhu po finální řešení, analýza dopadu selhání SW a HW komponent systému
• Procesní analýza – analýza výrobních procesů, dopad na kvalitu produktu a opakovatelnost výrobního procesu
www.gmproject.cz
Jak dosáhnout minimalizace rizik?
• Eliminace v rámci designu systému
• Redukce na akceptovatelnou úroveň• Prokázání zvládnutí rizik na přijatelnou úroveň
• Odpovědnost managementu
• Odpovědnost, povinnost pracovníků• Odpovědnost dodavatelů a poskytovatelů služeb
www.gmproject.cz
Typický proces QRM• Identifikace rizika
• Co by mohlo selhat? Jaká je pravděpodobnost tohoto selhání? Jaké jsou důsledky?Jaká je detekovatelnost chyby, selhání
• Posouzení rizik• Kontrola rizika
• Přesahuje riziko přijatelnou úroveň?• Co lze udělat pro snížení/odstranění rizika?• Rovnováha mezi rizikem a náklady
• Přezkoumání rizik
www.gmproject.cz
Analýza rizik – důvody aktualizace
• Nový cyklus začíná (nový produkt / proces)
• Změny provozních/výrobních podmínek• V designu SW/HW je provedena změna
• Zavádějí se nová regulatorní nařízení• Zpětná vazba od zákazníka naznačuje problém
Analýza rizik před a po validaci počítačového
systému
www.gmproject.cz
QRM proces dle GAMP 5
Provedení vstupní analýzy a stanovení dopadu
Identifikace funkcí s dopadem na kvalitu produktu, bezpečnost pacienta a DI
Provedení funkční analýzy rizik a stanovení kontrol
Implementace a ověření příslušných kontrol
Revize rizik a monitorování kontrol
Krok 1
Krok 2
Krok 3
Krok 4
Krok 5
www.gmproject.cz
Metodiky pro Řízení rizik
• Failure Mode and Effects Analysis (FMEA) analytická metoda s cílem identifikace možných vad ve výrobě, USA, 60-tá léta
• Failure Mode, Effects, and Criticality Analysis (FMECA)• Hazard and Operability Analysis (HAZOP)• Computer Hazards and Operability Analysis (CHAZOP)• Fault Tree Analysis (FTA)• Hazard Analysis and Critical Control Points (HACCP)• Basic Risk Management Facilitation Methods• Preliminary Hazard Analysis (PHA)• Risk Ranking and Filtering
www.gmproject.cz
GAMP 5 – životní cyklus PS
• Koncept• Znalost procesů, regulatorních požadavků, interní Q pož.
• Projekt• Plánování, Specifikace, Verifikace, Schválení a uvolnění
• Provoz• Řízení poruch, změn, bezpečnosti, B&R, BCP, DRP, Periodic review
• Vyřazení z provozu
www.gmproject.cz
Fáze životního cyklu
4. Retirement2. Project
Supplier involvement
3. Operation1. Concept
Potential retention,Migration, Destruction
Retirement
Planning Reporting andRelease
Specification Verification
Configuration(& Coding)
Changes
Risk Management, Design Review, Change and Configuration Management, Traceability, Document Management
Development Phase
Supporting Processes
Release & Handover
Potential migration
RequirementsGxP Assessment
Phase:
www.gmproject.cz
Činnosti „regulované firmy“
• Řízení dosažení shody GxP• Zavedení politik a procedur
pro PS• Role a odpovědnosti• Školení uživatelů• Řízení vztahu s dodavateli• Inventarizace systémů• Plánování validací, přezkumů
• Specifické aktivity pro daný PS Dle Životního cyklu a „V modelu“• VP, URS, AR, AD• Klíčoví uživatelé• Specifikace • Testování• ZVZ a uvolnění do provozu• Provoz PS• Vyřazení PS
www.gmproject.cz
Co se rozumí Validací?Procesem Validace se rozumí vytvoření dokumentové evidence, která poskytne vysoký stupeň jistoty, že daný proces bude trvale produkovat výrobek splňující jeho předem definované vlastnosti a kvalitativní parametry.
Tato definice znamená, že validace může být použitá pro jakýkoliv proces, včetně procesu řízeného počítačovým systémem
FDA Guidelines on General Principles of Process Validation, 1987
www.gmproject.cz
Validace obecně - předpoklady
• Má být k dispozici aktuální seznam všech příslušných systémů a podrobný přehled jejich funkcí v oblasti SVP.
• Pro kritické systémy má být k dispozici aktuální popis systému podrobně popisující fyzické a logické uspořádání, toky dat a rozhraní s jinými systémy nebo procesy, požadavky na hardware a software, bezpečnostní opatření
• Hlavní validační plán (VMP), Validační plán (VP)
www.gmproject.cz
Validační dokumentace
• Validační dokumentace a zprávy mají zahrnovat příslušné kroky v životním cyklu počítačového systému.
• Výrobci mají být schopni na základě hodnocení rizik odůvodnit• Použité standardy• Použité protokoly• Akceptační kritéria• Postupy a záznamy
www.gmproject.cz
Validace
• Pro validaci počítačových systémů vytvořených na zakázku nebo vlastních má být zaveden vhodný postup, který zajišťuje formální hodnocení a podávání zpráv o hodnocení kvality systému a jeho fungování v průběhu všech stadií životního cyklu systému.
• Zejména se mají vzít v úvahu limitní parametry systému (procesu), datové limity a řešení chybových hlášení.
• Automatizované zkušební přístroje a zkušební prostředí mají mít dokumentované posouzení jejich přiměřenosti (zda jsou odpovídající).
www.gmproject.cz
Typy validací
Prospective validation – validace nově zaváděných informačních systémů
Retrospective validation – validace již používaných systémů
Concurrent validation* – na základě dat shromážděných během provozu již dříve implementovaného systému, vhodný pro zavedené výrobce mající dobře řízené procesy
www.gmproject.cz
Kategorie SW (dle GAMP 5)
Kat 1: Infrastrukturní SWOperační systémy, Databáze, Programovací jazyky, Nástroje pro monitorování sítě
Kat 3: Operační parametry mohou být vkládány a ukládányPříklad – FW, komerční balíky (MS Office),
Zkrácený životní cyklus, URS, audit dodavatele, ověření instalace, kalibrace,…
Kat 4: Velké komplexní systémy, uživatel může měnit konfiguraci, zdrojový kód není měněnPříklad – ERP, LIMS, WMS, MES, EDMS, CRM, …
Standardní životní cyklus, ….
Kat 5: Zakázkový SW
www.gmproject.cz
Kategorie HW (dle GAMP 5)
• Kat 1: Standardní HW komponenty
• Kat 2: HW komponenty na zakázku
www.gmproject.cz
V-Model
Plánování Závěrečné zprávy
Specifikace Verifikace
Konfigurace a programování
www.gmproject.cz
Nekonfigurovaný SW – Kategorie 3
• Uživatel vyžaduje• Specifikaci PS• Popis nastavení
• Dodavatel zabezpečuje• Dodávku, dokumentaci, školení, podpora, údržba
• Testovaní zahrnuje• Ověření správnosti instalace• Testování dle analýzy rizik
www.gmproject.cz
Nekonfigurovaný SW – Kategorie 3
Nekonfigurovatelný produkt
Testování požadavků
Uživatelská specifikace
www.gmproject.cz
Konfigurovaný SW – Kategorie 4Velké, komplexní systémy, uživatel může měnit konfiguraci, zdrojový kód není měněn• Uživatel vyžaduje
• Specifikaci a verifikaci• Detailní popis konfigurace včetně nastavení
• Testování konfigurace
• Dodavatel zabezpečuje• Dodávku PS• Specifikaci produktu a testování• Uživatelskou dokumentaci, školení uživatelů,
podpora, údržba
• Testování zahrnuje• Ověření správnosti instalace produktu• Ověření konfigurace produktu• Testování funkčnosti produktu dle
analýzy rizik a uživatelské specifikace
www.gmproject.cz
Konfigurovaný SW – Kategorie 4, V model
FS
URS
IQDS
OQ
PQ
Implementace
VMP, VPZVZ
AR
Dodavatel
Zákazník
ADTM
MI
TM
LegendaVMP – Validační master plánVP – Validační plánRA – Analýza rizikTM – Matice dohledatelnostiURS – Uživatelská specifikacceFS – Funkční specifikaceDS – Design specifikace HW/SWIQ – Instalační kvalifikaceOQ – Operační kvalifikacePQ – Procesní kvalifikaceVZ – Závěrečná validační zprávaMI – Master index, seznam docs
www.gmproject.cz
Zakázkový SW – Kategorie 5• Testování zahrnuje
• Ověření správnosti instalace systému
• Ověření funkčnosti
• Testování funkcionality (mezní limity dat, chybová hlášení, atd.)
• Testování případné integrace s jinými systémy
• Další testy dle Analýzy rizik
• Uživatel vyžaduje• Specifikaci a verifikaci
• Detailní popis konfigurace včetně nastavení parametrů systému
• Testování funkčnosti a řádné vedení projektu implementace a popř. vývoje SW
• Dodavatel zabezpečuje• Specifikaci, vývoj a testování nového SW
• Podpora při konfiguraci a testování systému
• Uživatelskou dokumentaci, školení, podporu, údržbu
www.gmproject.cz
Zakázkový SW – Kategorie 5, V model
FS
URS
IQDS
OQ
PQ
ProgramováníImplementace
VMP, VPVSR
RA
Dodavatel
Zákazník
ADTM
MI
MS MT
www.gmproject.cz
ISPE GAMP 5 – Kat. 5, V model
Modules Coding
Module (Unit) Specification
Module (Unit) Testing
Configurationspecification
Functional Specification
Functional TestingOQ
Requirements TestingPQ
User RequirementsSpecification
Configuration TestingIQ
Dodavatel
Zákazník
www.gmproject.cz
Příklad implementace počítačového systémuID Fáze implementace / validace 1. m 2. m 3. m 4. m 5. m 6. m 7. m
1 Vytvoření Validačního plánu
2 Uživatelská specifikace požadavků
3 Analýza rizik
4 Výběr řešení a dodavatele, AD
5 Studie proveditelnosti + FS, DS => implementace
6 Testovací scénáře pro IQ, OQ a PQ
7 Testovací protokoly IQ, OQ a PQ
8 Provedení IQ testů, zpráva
9 Provedení OQ testů, zpráva
10 Vypracování uživatelské dokumentace, SOP,….
11 Zahájení ostrého provozu
12 Provedení PQ testů, zpráva, Závěrečná validační zpráva, TM
www.gmproject.cz
Projektová fáze životního cyklu
Requirements Specification and Design Verification
Acceptance Testing and Release
Product Knowledge
Process Knowledge
Regulatory Requirements
Company Quality Requirements
Risk Management
Design Review
Change Management
Good Engineering Practice
Operation and continuous improvement
www.gmproject.cz
Validační plán
• Odděleně pro každý GxP počítačový systém• Definuje
• Předmět validace• Role a odpovědnosti• Validační strategie – AR, AD, ..• Které aktivity jsou požadovány, jak budou provedeny a odpovědnosti• Jaké budou výstupy validačního procesu• Kritéria pro akceptaci• Jak bude zabezpečena validita systému během následujícího provozu
www.gmproject.cz
Analýza rizik• Priorita rizika (Simplified FMEA, Failure Mode and Effects Analysis)
• Identifikace rizika + Závažnost rizika, Pravděpodobnost rizika, Detekovatelnost rizika => Priorita rizika
• Riziko -> důsledky, ohodnocení, opatření pro kontrolu rizika
Třída rizika Priorita rizikaPravděpodob
nostDetekovatelno
stL M H H M L
Záva
žnos
t
H 2 1 1R
isk
Cla
ss 1 M H H
M 3 2 1 2 L M H
L 3 3 2 3 L L M
www.gmproject.cz
Uživatelská specifikace požadavků PSJaké požadavky/funkce musí systém splňovat, trvale aktuální• Obecné, regulatorní, funkční
• Musí a měl by, bylo by dobré
• Požadavky • Musí být testovatelné, tzn. konkrétní, jednoznačné, měřitelné, realistické,
trasovatelné, dokument je identifikovatelný a verzovatelný
• Zohlednění analýzy rizik, výstup z Auditu dodavatele
• Požadavky – provozní, funkční, integrita dat, technické, interface, výkonové, dostupnost, bezpečnost, podpora dodavatele, regulatorní, migrace dat, …
www.gmproject.cz
Správně formulovaný požadavek!
Room shall be controlled at 20 deg C
Room shall be controlled at 20 deg C +/- 2 deg C. Excursions of no greater than 7 deg C are permitted for < 10 minutes
nebo
www.gmproject.cz
Testovací protokoly – IQ, OQ, PQ
• Instalační kvalifikace• Dokumentované ověření, že systém odpovídá Projektové dokumentaci – HW, SW,
IS, dokumentace, licence
• Operační kvalifikace• Dokumentované ověření že systém pracuje dle Funkční specifikace, kontrola
funkcí, oprávnění, zadávání dat, výstupy, tisky, revizní stopa, el. podpisů a záznamů
• Procesní kvalifikace• Dokumentované ověření že systém pracuje dle Uživatelských požadavků, průchod
zakázky systémem (nejhorší případ), integritu dat, zabezpečení systému
www.gmproject.cz
Validační zpráva
Validační zpráva obsahuje• Úvod a rozsah zprávy• Souhrn všech validačních aktivit• Souhrn odchylek a nápravných opatření• Kontrola existence dokumentů citovaných ve VP• Závěr: Jasné stanovisko o stavu systému a že je vhodný pro
dané použití a jak bude udržován ve validním stavu• Příloha: Matice dohledatelnosti (URS (AR) vs. IQ, OQ, PQ)
www.gmproject.cz
Výběr IS – postřehy z praxe: výrobce• Široká nabídka, riziko nesprávné volby, IS pro strojírenství,
NE Pharma => doprogramování funkcionality => kat. 5• URS -> nabídky dodavatelů (zjednodušená FS) => srovnání nabídek• Výběr dodavatele
• Audit dodavatele – Interní systém řízení kvality, řízení projektu, interní zdroje, znalost prostředí farmacie
• Referenční návštěvy• Komfort, přehlednost, intuitivnost, design IS, řešení dalších firemních
procesů• Počítačová a jazyková znalost budoucích uživatelů, přístupy• Řízení implementace, projektový tým, spolupráce
www.gmproject.cz
Fáze životního cyklu
4. Retirement2. Project
*Supplier Involvement
3. Operation1. Concept
Potentialretention, migration,destruction
Retirement
Planning Reporting andRelease
Specification Verification
Configuration(& Coding) Changes
Risk Management, Design Review, Change and Configuration Management, Traceability, Document Management
Development Phase
Supporting Processes
Release & Handover
Potential migration
RequirementsGxP Assessment
Phase:
AudityAudity
www.gmproject.cz
Provoz počítačového systému
• Cíl – obhájení, že počítačový systém je trvale validní a splňuje požadavky na podporu firemních procesů a regulatorních úřadů na současné GMP požadavky
• Zavedení provozních kontrol • Velká rozmanitost PS a organizací => být schopen prokázat, že jsou
zváženy potřeby údržby a podpory pro každý systém => zavedeny vhodné postupy, procesy a záznamy k provozování a udržování PS
www.gmproject.cz
Pravidelný přezkum (Periodic review)
• Pravidelný přezkum se prování během celého životního cyklu
• Dokumentované ověření, že systém zůstává trvale ve shodě se současnými regulatorními požadavky, je vhodný pro daný účel, podporuje podnikové procesy
• Přezkum by měl potvrdit, že u všech součástí systému jsou stanoveny požadované podpůrné a údržbové procesy a že jsou stanoveny a používány očekávané regulatorní kontroly (plány, postupy a záznamy)
www.gmproject.cz
Validační dokumentace = Řízená dokumentace
Co je Řízená dokumentace (Managed Documents)• Řízená dokumentace znamená, že jednotlivé verze
dokumentů a celý proces jejich vytváření, kontroly, schválení a uvolňování je pod kontrolou a že všichni uživatelé ví, která verze dokumentu je platná
• U všech dokumentů, podle kterých se řídí procesy, chování nebo rozhodování lidí je třeba přesně znát jejich obsah a pokud se v čase mění tak i verzi, časovou platnost a podobně
www.gmproject.cz
Řízení změn a konfigurací
• Jakékoli změny počítačového systému včetně jeho konfigurace mají být provedeny pouze kontrolovaným způsobem v souladu s definovaným postupem.
www.gmproject.cz
Kontrola správnosti dat
• Tam, kde se kritická data zadávají ručně, je zapotřebí další kontrola správnosti dat
• Tato kontrola může být provedena druhým operátorem /nadřízeným nebo ověřenými elektronickými prostředky
• Kritičnost a možné následky chybných nebo nesprávně zadaných údajů do systému mají být pokryty řízením rizik
www.gmproject.cz
Dohledatelnost dat
• Má se zvážit, na základě posouzení rizik, zda do systému zabudovat vytváření záznamů o všech významných změnách a odstranění údajů týkajících se SVP (systém dohledatelnosti / revizní stopy, Audit trail).
• Revizní stopa musí být dostupná, převeditelná do obecně srozumitelné formy a pravidelně přezkoumávána
• Má být zdokumentován důvod pro změnu nebo odstranění významných údajů SVP.
www.gmproject.cz
Uchování/zálohování dat• Data mají být zajištěna jak fyzickými, tak elektronickými
prostředky před poškozením• Uložená data mají být prokazatelně kontrolována na
dostupnost, srozumitelnost a správnost• Integrita a správnost zálohování dat a schopnost
obnovit data mají být kontrolovány během validace a pravidelně monitorovány
• Přístup k datům má být zajištěn po celou dobu uchovávání• Má být prováděno pravidelné zálohování všech
příslušných dat
www.gmproject.cz
Tiskové výstupy
• Má být možné získat zřetelné tištěné kopie elektronickyuložených dat
• Pro záznamy, které jsou podporou pro propuštění šarže, má být možné vytvořit tiskové výstupy udávající, zda některý z údajů byl změněn oproti původnímu záznamu
www.gmproject.cz
Správa incidentů
• Všechny incidenty, a to nejen selhání systému a chyby v datech, mají být hlášeny a vyhodnoceny
• Příčiny kritické události mají být objasněny a mají tvořit základ nápravných a preventivních opatření
www.gmproject.cz
Kontinuita činnosti (BCP)• Pro dostupnost počítačových systémů podporujících kritické
procesy mají být zavedena taková opatření, která zajistí nepřetržitou podporu těchto procesů v případě poruchy systému (např. manuální nebo alternativní systém)
• Doba potřebná k zavedení alternativních systémů do provozu má být založena na riziku a vhodná pro daný systém a podnikový proces, který podporuje
• Tato opatření mají být dostatečně zdokumentována a otestována
www.gmproject.cz
Archivace dat
• Data mají být archivována.
• Tato data mají být kontrolována z hlediska přístupnosti, srozumitelnosti a integrity.
• Pokud mají být provedeny příslušné změny v systému (např. počítačové vybavení nebo programy), pak má být zajištěna schopnost systému obnovit archivovaná data
www.gmproject.cz
Zabezpečení přístupu k PS
• V místě mají být zajištěny fyzické a/nebo logické kontroly omezující přístup k počítačovému systému na oprávněné osoby
• Vhodné metody zabraňující neoprávněnému vstupu do systému mohou zahrnovat použití• Klíče, přístupové karty• Osobní kódy, hesla• Biometrické údaje• Omezený přístup k výpočetní technice a oblasti ukládání dat
www.gmproject.cz
Zabezpečení
• Rozsah bezpečnostních kontrol závisí na kritičnostipočítačového systému.
• Vytvoření, změna a zrušení povolení přístupu mají být zaznamenány.
• Systémy řízení dat a dokumentů mají být navrženy tak, aby zaznamenávaly totožnost uživatelů, kteří vkládají data, provádějí jejich změny, potvrzení nebo odstranění, včetně zaznamenávání data a času
www.gmproject.cz
Elektronický podpis
• Elektronické záznamy mohou být podepsány elektronicky. Od elektronických podpisů se očekává, že:• mají stejný dopad jako rukou psané podpisy v rámci společnosti• jsou trvale propojeny s jejich příslušným záznamem• zahrnují i čas a datum jejich použití
www.gmproject.cz
Pravidelné hodnocení PS (Periodic review)
• Počítačové systémy mají být pravidelně vyhodnocovány, aby se potvrdilo, že zůstávají ve validním stavu a jsou v souladu se současnými požadavky GxP
• Hodnocení má zahrnovat• současný rozsah funkčnosti – aktuální URS a AR• historii aktualizací a změn SW a HW• záznamy o odchylkách a provedených nápravných opatření• kontrola uživatelských profilů a seznam uživatelů oprávněných k přístupu do
systému• Kontrola záznamů o školení zaměstnanců, uživatelských manuálů• Výstup z přezkumu
www.gmproject.cz
Vhodná SOP na podporu provozu PS
• SOP na řízení změn PS
• SOP na zálohování a obnovu dat, + BCP, + DRP• SOP na zabezpečení bezpečnosti dat (přístupy – aplikace, DC)
• SOP pro periodický přezkum• SOP na školení uživatelů, + manuály
• Analýza rizik, Audit dodavatele PS, VMP, atd.
www.gmproject.cz
S čím dále se můžete setkat?
• Kvalifikace Excelovských tabulek
• Kvalifikace infrastruktury• Kvalifikace mobilních aplikací
• Kvalifikace Globálních informačních systémů• Kvalifikace PS v distribuci léčiv
www.gmproject.cz
Excel tabulky• Excel jako takový nevyžaduje validaci, aplikace vyžadují validaci• Aplikace – dle rizika; ANO - kde aplikace může ovlivnit kvalitu
produktu, účinnost nebo datové záznamy => zdraví pacienta• Seznam, kritické tab., ohodnotit rizika, zásady a postupy pro použití,
prvky pro integritu dat,
• Auditor očekává, že výrobce prokáže zdokumentovaným způsobem, že tabulky fungují správně a důsledně vytvářejí přesná data• Datové vstupy, vzorce, přístupy, zamykání buněk, umístění server
www.gmproject.cz
Kvalifikace infrastrukturyISPE GAMP Guide: IT infrastructure Control and Compliance, 2017
• Podobný přístup jako pro Počítačové systémy, použití QMS• Použití analýzy rizik – procesy a komponenty, eliminace• Použití modelu životního cyklu
• Míra zapojení dodavatelů jako dodavatele služby • XaaS mngmt model – tradiční IT, IaaS, PaaS, SaaS
Aplikace
Data
Runtime
Middleware
OS
Virtualizace
Servery, Storage
Networking
Aplikace
Data
Runtime
Middleware
OS
Virtualizace
Servery, Storage
Networking
Aplikace
Data
Runtime
Middleware
OS
Virtualizace
Servery, Storage
Networking
www.gmproject.cz
GAMP: Kvalifikace infrastrukturyInfrastruktura, která podporuje GxP kritické systémy• IT infrastruktura
• Platforma: LAN, periferie, firmware, OS, servery, klienti, aplikace, nové vs. používané• Procesy: Řízení změn, konfigurací, bezpečnosti, serverů, stanic, LAN, B&R, archivace dat
• Validační kroky – dle „V modelu“• Plánování, Specifikace a design, Analýza rizik• Validační plán – odpovědnosti, dokumentace, časový plán, rozsah infrastruktury, SOP, …• Instalační testování – dokumentace, prostředí DC, servery, klienti, LAN• Operační testování – db konektivita, ověření IP adres, FW nastavení, OS funkce
• Udržení ověřeného stavu během provozu• Nastavení procesů, AR změn, kvalifikace změn, dokumentace, Periodic review, vyřazení
www.gmproject.cz
Mobilní aplikaceGAMP: A Risk-Based Approach to Regulated Mobile App
• Mobilní aplikace• Mobilní zařízení jako zdravotnický prostředek (vzdálená plocha)• Mobilní zařízení používané jako součást GxP provozu (vstup a
zobrazení dat)
• Porozumění produktu a procesu• Použití životního cyklu v rámci QMS, „V“• Použití QRM• Zapojení dodavatele• Kat 5 dle GAMP
www.gmproject.cz
GAMP: Globální informační systémyGAMP: Global Information Systems Control and Compliance
• Stejný přístup jako pro standardní podnikové systémy, zohlednit globální aspekty
• Vyšší nároky projektu na definici globálních procesů, design app., organizaci projektu, pilotní projekt, validaci GxP modulů a funkcí
• Dokumentace – VP, (URS), (IQ), (OQ), PQ, + lokální interface, VSR, odkazy na Globální dokumenty, Periodic review
• Procesy – řízení změn, aktualizace, správa konfigurace, +incidentů, bezpečnost, B&R, archivace dat, definice odpovědností – service desk CoE vs. local, BCP&DRP, Periodic review
www.gmproject.cz
Počítačové systémy v distribuci
Legislativní rámec• Zákon 378/2007 o léčivech
Oddíl 2: Distribuce léčivých přípravků a jejich zprostředkování
• Vyhláška 229/2008 Sb. – Vyhláška o výrobě a distribuci léčiv Část osmá: Správná distribuční praxe
www.gmproject.cz
Počítačové systémy v distribuci
• Porozumění produktu a procesu (URS, AR)
• Řízení celého životního cyklu v rámci QMS• Koncept, projekt, provoz, vyřazení PS
• Použití životního cyklu v rámci QMS, „V“• Bezpečnost pacienta, kvalita produktu, datová integrita
• Přístup na základě vědecké analýzy rizik (QRM)• Zapojení dodavatelů => validace a kvalifikace
www.gmproject.cz
Řízená dokumentace pro počítačové systémy
• Plánovací fáze, řízení projektu• VMP, VP – validační plány• RA – funkční, procesní, …
• Specifikační fáze• URS• FS, DS HW a SW
• Testovací fáze• IQ, OQ, PQ (SAT, FAT)
FS
URS
IQDS
OQ
PQ
Implementace
VP (VMP) VSR
RA
FAT SAT
TMMI
• Akceptační fáze• ZVZ• TM – RA, URS vs. FS, IQ,
OQ, PQ
www.gmproject.cz
Desatero auditora
Minimální požadavky co je třeba auditovat
• VMP se seznamem PS, GxP kritičnost, perioda pro Periodický přezkum
• Pro každý GxP PS: VP (AR, AD,…), ZVZ (+TM), zpráva z Periodického přezkumu
• SOP na řízení procesů během provozu PSProč?
• Vliv PS na kvalitu léčivých přípravků, zajištění jejich vhodnosti …
www.gmproject.cz
Odpovědi na úvodní otázkyCo se rozumí Validací počítačových systémů?
• Účelem validačního procesu je poskytnout vysoký stupeň jistoty, že specifické procesy podporované informačními systémy budou trvale vytvářet produkt, který splňuje předem definované specifikace a atributy kvality
Proč je validace PS zapotřebí?
• Požadavek Regulatorního průmyslu
Které procesy jsou zapotřebí pro úspěšnou validaci?
www.gmproject.cz
Pozice kvality ve firmě
Farmaceutická firma má dvě podstatné části
Systém kvality je zásadním nástrojem pro podporu obchodu
ObchodKvalita
www.gmproject.cz
Pozice Kvality z pohledu odpovědnosti
Kvalita
Standardizace výroby a kontroly
Povolení k výrobě a kontrole
Vyhovění auditů klientů
Hlavní nástroj Kvality – Farmaceutický systém kvality PQS
www.gmproject.cz
Pokyny GMP pro PQS
• Systém Farmaceutického systému jakosti je povinný pro všechny farmaceutické výrobce
• Je to vždy otázka filosofie jakosti celé firmy• Jednoznačná odpovědnost managementu firmy• Povinnost všech spolupracovníků firmy
• Pharmaceutical Quality System = EU GMP (Vol. 4, Ch. 1) + Q10 PQS, ICH Q9 QRM (VYR-32, kap. 1, v4)
• Data Integrity and Compliance With CGMP, Guidance for Industry, US, FDA 2016
www.gmproject.cz
Data Integrity• Správa dat
• Nic nového, je to staré, čím dál větší význam
• Máme informační systém – ekonomové, obchodníci, plánovači výroby, sklady, management, … => spoléhání se na data
• K dalšímu předpokládanému a požadovanému využívání potřebujeme mít důvěryhodná data
• Doložit jednoznačná a věrohodná data o výrobě, kontrole, skladování a dopravě produktu v souladu s požadavky kvality
Správa dat je seznam opatření, která poskytují záruku kvality údajů. Tato opatření
zajišťují, že data, bez ohledu na proces, formát nebo technologii, ve které jsou
vytvářena, zaznamenávána, zpracovávána, uchovávána a používána, zajistí přiřaditelné, čitelné, souběžné, originální, přesné, úplné, konzistentní, trvalé a dostupné záznamy v
průběhu celého životního cyklu dat
www.gmproject.cz
Integrita dat ve výrobě (regulatorní průmysl)Data Integrity = doložení jednoznačných a věrohodných dat o výrobě, kontrole, skladování a dopravě produktu v souladu s požadavky kvality
Audit dodavateleNákup výchozích látekNákup obalůDopravaPříjem, evidence, karanténaVzorkování QC, propuštěníSkladování
Předání a převzetí surovin do výrobyVýrobní operaceZáznamy o výrobě, IPC - QCPropuštěníSkladováníDoprava
www.gmproject.cz
ISPE: Data Integrity, Global guide
• Integrita údajů je předpokladem pro regulovaný zdravotnický průmysl, neboť rozhodnutí a předpoklady o kvalitě výrobků a dodržování platných regulatorních požadavků jsou založeny na údajích/datech. Na údaje/data se spoléhají výrobci léčiv a zdravotnických prostředků, zdravotnické organizace, regulatorní orgány a další vládní organizace a uživatelé, tzn. pacienti a zdravotníci.
• Porušení integrity dat může mít negativní důsledky a může vést k poškození pacienta nebo dokonce k jeho smrti.
www.gmproject.cz
ISPE: Základní koncept Data integrity
• Přístup na základě analýzy rizik
• Řízení dat• Životní cyklus dat
• Princip ALCOA+• Kritické myšlení
• Životní cyklus počítačových systémů
www.gmproject.cz
Dokumentace = Řízená dokumentace
Je nezbytnou součástí QMS
• Má být zaveden systém řízení dokumentace• Mají být navrženy a prováděny vhodné kontroly všech
dokumentů na shodu s prováděnými činnostmi• Správnost a integrita dokumentů je podstatná pro správné
fungování QMS a pro účely inspekcí
www.gmproject.cz
Data integrity ve farmacii – legislativa • Pokyny EU pro GMP – Volume 4, Chapter 1 – Pharmaceutical
Quality System, +Anex 11• MHRA – DI definitions and Guidance for Industry, March 2015• PIC/S – GP for DM&I in regulated GMP/GDP environments• ICH Q10 Guideline PQS + Q9 Guideline QRM• US FDA: Data Integrity and Compliance With cGMP, Guidance
for Industry, Dec 2018=> Souvislost DI s PQS – filosofie celé firmy
• Odpovědnost managementu a povinnost pracovníků
www.gmproject.cz
Koncept Data integrity dle FDA
• Metadata – kontextové informace potřebné k pochopení dat (datum, čas, ID uživatele, ID nástroje, ..), zachována vazba na data
• Audit trail – zabezpečený, systémem generovaný záznam, dovolující rekonstrukci událostí související s pořízením, modifikací popř. smazáním elektronických záznamů
• Statické vs. Dynamické záznamy dat – papírové a elektronické záznamy vs. záznamy, které vznikly interakcí mezi uživatelem a zařízením
• Záloha dat – kopie původních dat, která byla bezpečně udržována po celou dobu uchování záznamů, včetně matadat,
• Validace systému – SW, HW, periferie, LAN, servery/clouda související dokumenty
www.gmproject.cz
Co je Data integrity?• Stav dat, v němž jsou všechna data kompletní, konzistentní a
přesná v celém životním cyklu dat. Jsou vhodná pro zamýšlený účel při plánování, rozhodování, atd.
• Data – z pohledu GMP jde primárně o data mající přímý a nebo i nepřímý vliv na kvalitu a účinnost léčivého přípravku nebo léčivé látky
• Metadata jsou údaje doplňující primární data tak, aby byly srozumitelná a přiřaditelná
• Audit trail je zabezpečený, časově určený záznam o vytvoření, změně a smazání dat
www.gmproject.cz
Co je Data integrity?
• Datová integrita se týká nejen dat elektronických, ale i dat v papírové podobě, stejné požadavky na integritu
• Datová integrita souvisí s tzv. Správnou dokumentační praxí (GDocP)
• Životní cyklus od počátečního vzniku a zaznamenání dat, přes zpracování, použití, uchování archivaci, vyhledání a likvidaci
www.gmproject.cz
Porušení Integrity dat• Umělé vytváření výsledků• Zpětné datování vzniku dat• Prezentace dříve pořízených dat jako data nové• Reportování pouze vyhovujících výsledků• Změna nebo likvidace dat• Reporty dat bez podpory primárních dat• Nezaznamenávání dat v reálném čase• Neautorizované podpisy• Chyby při přenosu dat mezi systémy• SW chyby, chyby HW, změny v technologii – použití nové
www.gmproject.cz
Jak zabezpečit integritu dat• IS – řízený přístup – uživatelé, IT admin, ověření neměnnosti dat • Systém uchovávání papírových dokumentů• Záznam dat/opravy/doplnění – nesmazatelným způsobem + datum, podpis• Dostupnost originálů/kopie v místě kde činnosti probíhaly• Interface mezi IS – ověřování přenosu dat• Backup/restore, DRP, ověřování obnovy včetně kontroly správnosti dat• Možnost tisku elektronicky uložených dat• Dohledatelnost dat – Audit trail• Fyzické zabezpečení dat/datových center
www.gmproject.cz
Důsledky porušení integrity dat
• Trh spoléhá na přesné informace o lécích, přípravcích, …
• Ztráta důvěry mezi regulatorními autoritami a výrobcem• Ztráta důvěry trhu v garanci kvality a účinnosti přípravku
• Stahování z trhu, vyšetřování, atd• Poškození zdraví pacienta
• Získání důvěry zpět stojí peníze navíc a čas
www.gmproject.cz
Integrita dat se týká
• Výrobců léčivých přípravků
• Výrobců API• Výrobců zdravotnických prostředků
• Laboratoří produkujících registrační data• Smluvních výrobců a kontrolních laboratoří
• Smluvních dodavatelů IT, kalibrací, kvalifikací
www.gmproject.cz
Co se rozumí pod „Data Integrity?“
Integrita dat je kritická během celého životního cyklu dat cGMP
Zahrnuje:• Vytváření • Úpravy • Zpracování, vyhledávání• Údržba• Archivace, likvidace dat
www.gmproject.cz
ALCOA princip• Attributable – přisouditelná
• PS - jednoznačná identifikace uživatele, zda byl oprávněn, el. podpis• Papírová evidence - podpisy, datum, popř. i čas
• Legible – čitelná, po celou dobu životního cyklu• PS - ukládání v okamžiku pořízení, možnost Audit trailu,
backup/restore dat• Papírová evidence – permanentní pera, bez opravné běloby, jen
oprava záznamu s podpisem a datem provedení opravy – do řízené dokumentace
• Contemporaneous – souběžná• Zaznamenání dat v čase vzniku (NE později a ani předem)
www.gmproject.cz
ALCOA princip
• Original – původní• Zaznamenat všechna měření včetně metadat, ne jen ta dobrá
• Accurate – správná• Data by měla být platná, úplná a správná• Používat validované IS, přístroje a metody• Data pořizovat automaticky, manuálně – data verifikovat
www.gmproject.cz
ALCOA (+) princip
• Complete – uloženy jsou všechny data včetně metadat
• Consistent – souhlas v časové ose vzniku dat• Enduring – trvale přístupná, řízení dat v průběhu celého
životního cyklu• Available – dostupnost dat během celého životního cyklu
www.gmproject.cz
Jak dosáhnout správné Data integrity?
• Firemní kultura• Motivace lidí, podpora dosažení vyšších cílů, ochota přijmout
nové technologie a iniciativy, přístupy do znalostních db, zaměstnanecké výhody
• Systém řízení kvality• Firemní politiky týkající se kvality, SOP, automatické zařízení,
efektivní eskalační mechanismy, validace & kvalifikace• PS – bezpečnostní funkce, SW validace, kvalifikace infrastruktury,
vhodný IS
www.gmproject.cz
Jak dosáhnout správné Data integrity?
• Podpora vedení• Nezávislé QA, předpisy k DI, efektivní školení, infrastruktura, interní
audity
• Školení zaměstnanců• Školení pro všechny zaměstnance, školení pro nové nástupy,
hodnocení školení, externí školení a vzdělávání
• DI je všeobecným požadavkem GMP a hlavně PQS