Validace počítačových systémů

Data integritySÚKL

Státní ústav pro kontrolu léčiv

Jiří Moninec Jr.

www.gmproject.cz

Validace počítačových systémů CSV

• Co se rozumí Validací počítačových systémů?

• Proč je validace počítačových systémů zapotřebí?

• Které procesy jsou zapotřebí pro úspěšnou validaci?

www.gmproject.cz

Osnova školení

• Validace počítačových systémů• Regulatorní požadavky, GAMP 5, Doplněk 11• Co se rozumí validací, Validace Počítačového systému

• Provoz počítačového systému a řízená dokumentace

• Data integrity

www.gmproject.cz

ISPE: GAMP 5 – Good Automated Manufacturing PracticeA Risc-Based Approach to Compliant GxP Computerized Systems

Základní principy• Porozumění produktu a procesů (URS, AR)• Řízení celého životního cyklu v rámci QMS• Koncept, projekt, provoz, vyřazení CS/PS

• Přizpůsobení aktivit v rámci životního cyklu• Bezpečnost pacienta, kvalita produktu, datová integrita, složitost systému, dodavatel

• Přístup na základě vědecké analýzy rizik (QRM)• Zapojení dodavatelů => validace a kvalifikace

Cílem GAMPu je poskytnout metodiku k prokázání, že PS jsou vhodné pro zamýšlené použití a splňují současné regulatorní požadavky

www.gmproject.cz

GAMP 5 – Good Automated Manufacturing PracticeA Risc-Based Approach to Compliant GxP Computerized Systems

• Hlavní přínosy • metodika k dosažení souladu s GxP• kategorizace SW a HW • „V model“ validačních aktivit• aplikace analýzy rizik• řízení životního cyklu

není právně závazný, odpovědnost na straně uživatele

www.gmproject.cz

• Rozsah, platnost pro:• GMP pro farmacii, API, veterinária, krevní deriváty• GCP – klinická praxe• GLP – laboratorní praxe• GDP- distribuční praxe• MDR – praxe pro zdravotnické prostředky• GVP – farmakoviliganční praxe

=> GxP

GAMP 5 – Good Automated Manufacturing PracticeA Risc-Based Approach to Compliant GxP Computerized Systems

www.gmproject.cz

GAMP 5 – documentation structure

www.gmproject.cz

GAMP 5 – Definice pojmů• Vlastník procesu - osoba odpovědná za podnikový proces.

Většinou vedoucí jednotky, řízení změn, validační status, uživatelský manuál, školení uživatelů, PS je ve shodě.., v souladu s SOP, přístup

• Vlastník systému - osoba odpovědná za dostupnost a údržbu počítačového systému a za bezpečnost dat uložených na tomto systému.Většinou IT, Zálohování, DRP, nastavení systému, řízení přístupu, provedení validace

• QA IT (SME) – osoba odpovědná za schválení všech ověřovacích dokumentůje odpovědná za inventář systémů, evidence ve VMP, shoda s GMP požadavky a interními SOP, koordinuje validace, akceptační kritéria, testovací metody, schvaluje výsledky

• Dodavatelé

www.gmproject.cz

GAMP 5 – Definice pojmů

• Životní cyklus - všechny fáze životnosti systému od počátečních požadavků do ukončení používání systému, zahrnující návrh, specifikaci požadavků, programování úprav, interface na jiné systémy, implementaci, testování, instalaci, provoz, řízení změn a údržbu, vyřazení

• IT infrastruktura - hardware a software ve formě počítačových sítí a operačních systémů, které umožňují fungování aplikací.

www.gmproject.cz

GAMP 5 – Definice pojmů

• Aplikace - Software nainstalovaný na definované hardwarové platformě poskytující konkrétní funkčnost

• Počítačový systém na zakázku nebo vlastní – elektronický systém individuálně navržený tak, aby vyhovoval konkrétnímu podnikovému procesu

• Komerční software - Software komerčně dostupný, jehož vhodnost pro použití je prokázána širokým spektrem uživatelů.

www.gmproject.cz

Dodavatelé a poskytovatelé služeb

Odpovědnost za shodu s GxP -> výrobce, regulovaná firma,doporučení zapojit dodavatele do procesu

• Kompetence a spolehlivost dodavatele jsou klíčovými faktory při výběru produktu nebo poskytovatele služeb.

• Potřeba auditu dodavatele má být založena na posouzení rizik a na schopnosti dodat požadovanou službu• Obecné informace, interní systém kvality, řízení projektů, vývoj

produktu, uvolnění verze, řízení podpory, školení zákazníka, atd.• Dostupnost zpráv z auditu týkající se dodavatele systémů a

poskytovatelů služeb

www.gmproject.cz

Dodavatelé a poskytovatelé služeb

Pokud jsou využívány třetí strany pro dodatečné služby • poskytování přístupu k Internetu, instalace, konfigurace,

integrace, údržba, zpracování dat, atd.

musí existovat formální dohody mezi výrobcem a jakoukoliv třetí stranou a tyto dohody musí obsahovat jasné prohlášení o odpovědnosti třetích stran

www.gmproject.cz

Management

• Každá výrobní jednotka, výrobní závod je odpovědný za zavedení politiky požadavků pro validace počítačových systémů

• Výrobní jednotka je odpovědná za:• Zavedení SOP pro validace počítačových systémů, včetně

validačních protokolů a validační dokumentace• Systém inventarizace používaných IS a jejich hodnocení

• SOP musí být v souladu s politikou pro Validaci počítačových systémů, musí být schváleny

www.gmproject.cz

Pracovníci • Má existovat úzká spolupráce mezi všemi příslušnými

pracovníky, jako jsou• vlastník procesu• vlastník systému (IT)• QA IT (SME)• QC, QA, QP• Všichni pracovníci mají mít

• odpovídající kvalifikaci• přístupová práva• definované odpovědnosti k plnění svých přidělených

povinností

www.gmproject.cz

Řízení rizik

Na základě: ICH Q9 QRM guideline

• Hodnocení rizika pro kvalitu by mělo být založeno na vědeckých poznatcích a v konečném důsledku by mělo být spojeno s ochranou pacienta.

• Úroveň úsilí, formality a dokumentace procesu řízení rizik kvality by měla být úměrná úrovni rizika.

www.gmproject.cz

Řízení rizik

• Řízení rizik (QRM) PS – systematický proces posouzení, kontroly, komunikace a přezkoumání rizik. Má být použito v celém životním cyklu počítačového systému s ohledem na:• Bezpečnost pacienta, jakost výrobků a integritu dat• Podpora firemních procesů, uživatelské požadavky, systémové komponenty

a architektura, systémová funkcionalita, schopnosti dodavatele, …• Regulatorní požadavky

• V rámci systému řízení rizik má být rozhodnutí o rozsahu validací a kontrolách integrity dat založeno na odůvodněném a zdokumentovaném posouzení rizik počítačového systému.

www.gmproject.cz

Typy analýz

• Obecná analýza – obecná analýza celkového řešení ve fázi návrhu systému

• Designová/Funkční analýza SW/HW – od návrhu po finální řešení, analýza dopadu selhání SW a HW komponent systému

• Procesní analýza – analýza výrobních procesů, dopad na kvalitu produktu a opakovatelnost výrobního procesu

www.gmproject.cz

Jak dosáhnout minimalizace rizik?

• Eliminace v rámci designu systému

• Redukce na akceptovatelnou úroveň• Prokázání zvládnutí rizik na přijatelnou úroveň

• Odpovědnost managementu

• Odpovědnost, povinnost pracovníků• Odpovědnost dodavatelů a poskytovatelů služeb

www.gmproject.cz

Typický proces QRM• Identifikace rizika

• Co by mohlo selhat? Jaká je pravděpodobnost tohoto selhání? Jaké jsou důsledky?Jaká je detekovatelnost chyby, selhání

• Posouzení rizik• Kontrola rizika

• Přesahuje riziko přijatelnou úroveň?• Co lze udělat pro snížení/odstranění rizika?• Rovnováha mezi rizikem a náklady

• Přezkoumání rizik

www.gmproject.cz

Analýza rizik – důvody aktualizace

• Nový cyklus začíná (nový produkt / proces)

• Změny provozních/výrobních podmínek• V designu SW/HW je provedena změna

• Zavádějí se nová regulatorní nařízení• Zpětná vazba od zákazníka naznačuje problém

Analýza rizik před a po validaci počítačového

systému

www.gmproject.cz

QRM proces dle GAMP 5

Provedení vstupní analýzy a stanovení dopadu

Identifikace funkcí s dopadem na kvalitu produktu, bezpečnost pacienta a DI

Provedení funkční analýzy rizik a stanovení kontrol

Implementace a ověření příslušných kontrol

Revize rizik a monitorování kontrol

Krok 1

Krok 2

Krok 3

Krok 4

Krok 5

www.gmproject.cz

Metodiky pro Řízení rizik

• Failure Mode and Effects Analysis (FMEA) analytická metoda s cílem identifikace možných vad ve výrobě, USA, 60-tá léta

• Failure Mode, Effects, and Criticality Analysis (FMECA)• Hazard and Operability Analysis (HAZOP)• Computer Hazards and Operability Analysis (CHAZOP)• Fault Tree Analysis (FTA)• Hazard Analysis and Critical Control Points (HACCP)• Basic Risk Management Facilitation Methods• Preliminary Hazard Analysis (PHA)• Risk Ranking and Filtering

www.gmproject.cz

GAMP 5 – životní cyklus PS

• Koncept• Znalost procesů, regulatorních požadavků, interní Q pož.

• Projekt• Plánování, Specifikace, Verifikace, Schválení a uvolnění

• Provoz• Řízení poruch, změn, bezpečnosti, B&R, BCP, DRP, Periodic review

• Vyřazení z provozu

www.gmproject.cz

Fáze životního cyklu

4. Retirement2. Project

Supplier involvement

3. Operation1. Concept

Potential retention,Migration, Destruction

Retirement

Planning Reporting andRelease

Specification Verification

Configuration(& Coding)

Changes

Risk Management, Design Review, Change and Configuration Management, Traceability, Document Management

Development Phase

Supporting Processes

Release & Handover

Potential migration

RequirementsGxP Assessment

Phase:

www.gmproject.cz

Činnosti „regulované firmy“

• Řízení dosažení shody GxP• Zavedení politik a procedur

pro PS• Role a odpovědnosti• Školení uživatelů• Řízení vztahu s dodavateli• Inventarizace systémů• Plánování validací, přezkumů

• Specifické aktivity pro daný PS Dle Životního cyklu a „V modelu“• VP, URS, AR, AD• Klíčoví uživatelé• Specifikace • Testování• ZVZ a uvolnění do provozu• Provoz PS• Vyřazení PS

www.gmproject.cz

Co se rozumí Validací?Procesem Validace se rozumí vytvoření dokumentové evidence, která poskytne vysoký stupeň jistoty, že daný proces bude trvale produkovat výrobek splňující jeho předem definované vlastnosti a kvalitativní parametry.

Tato definice znamená, že validace může být použitá pro jakýkoliv proces, včetně procesu řízeného počítačovým systémem

FDA Guidelines on General Principles of Process Validation, 1987

www.gmproject.cz

Validace obecně - předpoklady

• Má být k dispozici aktuální seznam všech příslušných systémů a podrobný přehled jejich funkcí v oblasti SVP.

• Pro kritické systémy má být k dispozici aktuální popis systému podrobně popisující fyzické a logické uspořádání, toky dat a rozhraní s jinými systémy nebo procesy, požadavky na hardware a software, bezpečnostní opatření

• Hlavní validační plán (VMP), Validační plán (VP)

www.gmproject.cz

Validační dokumentace

• Validační dokumentace a zprávy mají zahrnovat příslušné kroky v životním cyklu počítačového systému.

• Výrobci mají být schopni na základě hodnocení rizik odůvodnit• Použité standardy• Použité protokoly• Akceptační kritéria• Postupy a záznamy

www.gmproject.cz

Validace

• Pro validaci počítačových systémů vytvořených na zakázku nebo vlastních má být zaveden vhodný postup, který zajišťuje formální hodnocení a podávání zpráv o hodnocení kvality systému a jeho fungování v průběhu všech stadií životního cyklu systému.

• Zejména se mají vzít v úvahu limitní parametry systému (procesu), datové limity a řešení chybových hlášení.

• Automatizované zkušební přístroje a zkušební prostředí mají mít dokumentované posouzení jejich přiměřenosti (zda jsou odpovídající).

www.gmproject.cz

Typy validací

Prospective validation – validace nově zaváděných informačních systémů

Retrospective validation – validace již používaných systémů

Concurrent validation* – na základě dat shromážděných během provozu již dříve implementovaného systému, vhodný pro zavedené výrobce mající dobře řízené procesy

www.gmproject.cz

Kategorie SW (dle GAMP 5)

Kat 1: Infrastrukturní SWOperační systémy, Databáze, Programovací jazyky, Nástroje pro monitorování sítě

Kat 3: Operační parametry mohou být vkládány a ukládányPříklad – FW, komerční balíky (MS Office),

Zkrácený životní cyklus, URS, audit dodavatele, ověření instalace, kalibrace,…

Kat 4: Velké komplexní systémy, uživatel může měnit konfiguraci, zdrojový kód není měněnPříklad – ERP, LIMS, WMS, MES, EDMS, CRM, …

Standardní životní cyklus, ….

Kat 5: Zakázkový SW

www.gmproject.cz

Kategorie HW (dle GAMP 5)

• Kat 1: Standardní HW komponenty

• Kat 2: HW komponenty na zakázku

www.gmproject.cz

V-Model

Plánování Závěrečné zprávy

Specifikace Verifikace

Konfigurace a programování

www.gmproject.cz

Nekonfigurovaný SW – Kategorie 3

• Uživatel vyžaduje• Specifikaci PS• Popis nastavení

• Dodavatel zabezpečuje• Dodávku, dokumentaci, školení, podpora, údržba

• Testovaní zahrnuje• Ověření správnosti instalace• Testování dle analýzy rizik

www.gmproject.cz

Nekonfigurovaný SW – Kategorie 3

Nekonfigurovatelný produkt

Testování požadavků

Uživatelská specifikace

www.gmproject.cz

Konfigurovaný SW – Kategorie 4Velké, komplexní systémy, uživatel může měnit konfiguraci, zdrojový kód není měněn• Uživatel vyžaduje

• Specifikaci a verifikaci• Detailní popis konfigurace včetně nastavení

• Testování konfigurace

• Dodavatel zabezpečuje• Dodávku PS• Specifikaci produktu a testování• Uživatelskou dokumentaci, školení uživatelů,

podpora, údržba

• Testování zahrnuje• Ověření správnosti instalace produktu• Ověření konfigurace produktu• Testování funkčnosti produktu dle

analýzy rizik a uživatelské specifikace

www.gmproject.cz

Konfigurovaný SW – Kategorie 4, V model

FS

URS

IQDS

OQ

PQ

Implementace

VMP, VPZVZ

AR

Dodavatel

Zákazník

ADTM

MI

TM

LegendaVMP – Validační master plánVP – Validační plánRA – Analýza rizikTM – Matice dohledatelnostiURS – Uživatelská specifikacceFS – Funkční specifikaceDS – Design specifikace HW/SWIQ – Instalační kvalifikaceOQ – Operační kvalifikacePQ – Procesní kvalifikaceVZ – Závěrečná validační zprávaMI – Master index, seznam docs

www.gmproject.cz

Zakázkový SW – Kategorie 5• Testování zahrnuje

• Ověření správnosti instalace systému

• Ověření funkčnosti

• Testování funkcionality (mezní limity dat, chybová hlášení, atd.)

• Testování případné integrace s jinými systémy

• Další testy dle Analýzy rizik

• Uživatel vyžaduje• Specifikaci a verifikaci

• Detailní popis konfigurace včetně nastavení parametrů systému

• Testování funkčnosti a řádné vedení projektu implementace a popř. vývoje SW

• Dodavatel zabezpečuje• Specifikaci, vývoj a testování nového SW

• Podpora při konfiguraci a testování systému

• Uživatelskou dokumentaci, školení, podporu, údržbu

www.gmproject.cz

Zakázkový SW – Kategorie 5, V model

FS

URS

IQDS

OQ

PQ

ProgramováníImplementace

VMP, VPVSR

RA

Dodavatel

Zákazník

ADTM

MI

MS MT

www.gmproject.cz

ISPE GAMP 5 – Kat. 5, V model

Modules Coding

Module (Unit) Specification

Module (Unit) Testing

Configurationspecification

Functional Specification

Functional TestingOQ

Requirements TestingPQ

User RequirementsSpecification

Configuration TestingIQ

Dodavatel

Zákazník

www.gmproject.cz

Příklad implementace počítačového systémuID Fáze implementace / validace 1. m 2. m 3. m 4. m 5. m 6. m 7. m

1 Vytvoření Validačního plánu

2 Uživatelská specifikace požadavků

3 Analýza rizik

4 Výběr řešení a dodavatele, AD

5 Studie proveditelnosti + FS, DS => implementace

6 Testovací scénáře pro IQ, OQ a PQ

7 Testovací protokoly IQ, OQ a PQ

8 Provedení IQ testů, zpráva

9 Provedení OQ testů, zpráva

10 Vypracování uživatelské dokumentace, SOP,….

11 Zahájení ostrého provozu

12 Provedení PQ testů, zpráva, Závěrečná validační zpráva, TM

www.gmproject.cz

Projektová fáze životního cyklu

Requirements Specification and Design Verification

Acceptance Testing and Release

Product Knowledge

Process Knowledge

Regulatory Requirements

Company Quality Requirements

Risk Management

Design Review

Change Management

Good Engineering Practice

Operation and continuous improvement

www.gmproject.cz

Validační plán

• Odděleně pro každý GxP počítačový systém• Definuje

• Předmět validace• Role a odpovědnosti• Validační strategie – AR, AD, ..• Které aktivity jsou požadovány, jak budou provedeny a odpovědnosti• Jaké budou výstupy validačního procesu• Kritéria pro akceptaci• Jak bude zabezpečena validita systému během následujícího provozu

www.gmproject.cz

Analýza rizik• Priorita rizika (Simplified FMEA, Failure Mode and Effects Analysis)

• Identifikace rizika + Závažnost rizika, Pravděpodobnost rizika, Detekovatelnost rizika => Priorita rizika

• Riziko -> důsledky, ohodnocení, opatření pro kontrolu rizika

Třída rizika Priorita rizikaPravděpodob

nostDetekovatelno

stL M H H M L

Záva

žnos

t

H 2 1 1R

isk

Cla

ss 1 M H H

M 3 2 1 2 L M H

L 3 3 2 3 L L M

www.gmproject.cz

Uživatelská specifikace požadavků PSJaké požadavky/funkce musí systém splňovat, trvale aktuální• Obecné, regulatorní, funkční

• Musí a měl by, bylo by dobré

• Požadavky • Musí být testovatelné, tzn. konkrétní, jednoznačné, měřitelné, realistické,

trasovatelné, dokument je identifikovatelný a verzovatelný

• Zohlednění analýzy rizik, výstup z Auditu dodavatele

• Požadavky – provozní, funkční, integrita dat, technické, interface, výkonové, dostupnost, bezpečnost, podpora dodavatele, regulatorní, migrace dat, …

www.gmproject.cz

Správně formulovaný požadavek!

Room shall be controlled at 20 deg C

Room shall be controlled at 20 deg C +/- 2 deg C. Excursions of no greater than 7 deg C are permitted for < 10 minutes

nebo

www.gmproject.cz

Testovací protokoly – IQ, OQ, PQ

• Instalační kvalifikace• Dokumentované ověření, že systém odpovídá Projektové dokumentaci – HW, SW,

IS, dokumentace, licence

• Operační kvalifikace• Dokumentované ověření že systém pracuje dle Funkční specifikace, kontrola

funkcí, oprávnění, zadávání dat, výstupy, tisky, revizní stopa, el. podpisů a záznamů

• Procesní kvalifikace• Dokumentované ověření že systém pracuje dle Uživatelských požadavků, průchod

zakázky systémem (nejhorší případ), integritu dat, zabezpečení systému

www.gmproject.cz

Testovací protokoly IQ, OQ a PQPříklad protokolu pro Operační kvalifikaci

www.gmproject.cz

Validační zpráva

Validační zpráva obsahuje• Úvod a rozsah zprávy• Souhrn všech validačních aktivit• Souhrn odchylek a nápravných opatření• Kontrola existence dokumentů citovaných ve VP• Závěr: Jasné stanovisko o stavu systému a že je vhodný pro

dané použití a jak bude udržován ve validním stavu• Příloha: Matice dohledatelnosti (URS (AR) vs. IQ, OQ, PQ)

www.gmproject.cz

Výběr IS – postřehy z praxe: výrobce• Široká nabídka, riziko nesprávné volby, IS pro strojírenství,

NE Pharma => doprogramování funkcionality => kat. 5• URS -> nabídky dodavatelů (zjednodušená FS) => srovnání nabídek• Výběr dodavatele

• Audit dodavatele – Interní systém řízení kvality, řízení projektu, interní zdroje, znalost prostředí farmacie

• Referenční návštěvy• Komfort, přehlednost, intuitivnost, design IS, řešení dalších firemních

procesů• Počítačová a jazyková znalost budoucích uživatelů, přístupy• Řízení implementace, projektový tým, spolupráce

Provoz počítačového systémua řízená dokumentace

www.gmproject.cz

Fáze životního cyklu

4. Retirement2. Project

*Supplier Involvement

3. Operation1. Concept

Potentialretention, migration,destruction

Retirement

Planning Reporting andRelease

Specification Verification

Configuration(& Coding) Changes

Risk Management, Design Review, Change and Configuration Management, Traceability, Document Management

Development Phase

Supporting Processes

Release & Handover

Potential migration

RequirementsGxP Assessment

Phase:

AudityAudity

www.gmproject.cz

Provoz počítačového systému

• Cíl – obhájení, že počítačový systém je trvale validní a splňuje požadavky na podporu firemních procesů a regulatorních úřadů na současné GMP požadavky

• Zavedení provozních kontrol • Velká rozmanitost PS a organizací => být schopen prokázat, že jsou

zváženy potřeby údržby a podpory pro každý systém => zavedeny vhodné postupy, procesy a záznamy k provozování a udržování PS

www.gmproject.cz

Pravidelný přezkum (Periodic review)

• Pravidelný přezkum se prování během celého životního cyklu

• Dokumentované ověření, že systém zůstává trvale ve shodě se současnými regulatorními požadavky, je vhodný pro daný účel, podporuje podnikové procesy

• Přezkum by měl potvrdit, že u všech součástí systému jsou stanoveny požadované podpůrné a údržbové procesy a že jsou stanoveny a používány očekávané regulatorní kontroly (plány, postupy a záznamy)

www.gmproject.cz

Validační dokumentace = Řízená dokumentace

Co je Řízená dokumentace (Managed Documents)• Řízená dokumentace znamená, že jednotlivé verze

dokumentů a celý proces jejich vytváření, kontroly, schválení a uvolňování je pod kontrolou a že všichni uživatelé ví, která verze dokumentu je platná

• U všech dokumentů, podle kterých se řídí procesy, chování nebo rozhodování lidí je třeba přesně znát jejich obsah a pokud se v čase mění tak i verzi, časovou platnost a podobně

www.gmproject.cz

Řízení změn a konfigurací

• Jakékoli změny počítačového systému včetně jeho konfigurace mají být provedeny pouze kontrolovaným způsobem v souladu s definovaným postupem.

www.gmproject.cz

Kontrola správnosti dat

• Tam, kde se kritická data zadávají ručně, je zapotřebí další kontrola správnosti dat

• Tato kontrola může být provedena druhým operátorem /nadřízeným nebo ověřenými elektronickými prostředky

• Kritičnost a možné následky chybných nebo nesprávně zadaných údajů do systému mají být pokryty řízením rizik

www.gmproject.cz

Dohledatelnost dat

• Má se zvážit, na základě posouzení rizik, zda do systému zabudovat vytváření záznamů o všech významných změnách a odstranění údajů týkajících se SVP (systém dohledatelnosti / revizní stopy, Audit trail).

• Revizní stopa musí být dostupná, převeditelná do obecně srozumitelné formy a pravidelně přezkoumávána

• Má být zdokumentován důvod pro změnu nebo odstranění významných údajů SVP.

www.gmproject.cz

Uchování/zálohování dat• Data mají být zajištěna jak fyzickými, tak elektronickými

prostředky před poškozením• Uložená data mají být prokazatelně kontrolována na

dostupnost, srozumitelnost a správnost• Integrita a správnost zálohování dat a schopnost

obnovit data mají být kontrolovány během validace a pravidelně monitorovány

• Přístup k datům má být zajištěn po celou dobu uchovávání• Má být prováděno pravidelné zálohování všech

příslušných dat

www.gmproject.cz

Tiskové výstupy

• Má být možné získat zřetelné tištěné kopie elektronickyuložených dat

• Pro záznamy, které jsou podporou pro propuštění šarže, má být možné vytvořit tiskové výstupy udávající, zda některý z údajů byl změněn oproti původnímu záznamu

www.gmproject.cz

Správa incidentů

• Všechny incidenty, a to nejen selhání systému a chyby v datech, mají být hlášeny a vyhodnoceny

• Příčiny kritické události mají být objasněny a mají tvořit základ nápravných a preventivních opatření

www.gmproject.cz

Kontinuita činnosti (BCP)• Pro dostupnost počítačových systémů podporujících kritické

procesy mají být zavedena taková opatření, která zajistí nepřetržitou podporu těchto procesů v případě poruchy systému (např. manuální nebo alternativní systém)

• Doba potřebná k zavedení alternativních systémů do provozu má být založena na riziku a vhodná pro daný systém a podnikový proces, který podporuje

• Tato opatření mají být dostatečně zdokumentována a otestována

www.gmproject.cz

Archivace dat

• Data mají být archivována.

• Tato data mají být kontrolována z hlediska přístupnosti, srozumitelnosti a integrity.

• Pokud mají být provedeny příslušné změny v systému (např. počítačové vybavení nebo programy), pak má být zajištěna schopnost systému obnovit archivovaná data

www.gmproject.cz

Zabezpečení přístupu k PS

• V místě mají být zajištěny fyzické a/nebo logické kontroly omezující přístup k počítačovému systému na oprávněné osoby

• Vhodné metody zabraňující neoprávněnému vstupu do systému mohou zahrnovat použití• Klíče, přístupové karty• Osobní kódy, hesla• Biometrické údaje• Omezený přístup k výpočetní technice a oblasti ukládání dat

www.gmproject.cz

Zabezpečení

• Rozsah bezpečnostních kontrol závisí na kritičnostipočítačového systému.

• Vytvoření, změna a zrušení povolení přístupu mají být zaznamenány.

• Systémy řízení dat a dokumentů mají být navrženy tak, aby zaznamenávaly totožnost uživatelů, kteří vkládají data, provádějí jejich změny, potvrzení nebo odstranění, včetně zaznamenávání data a času

www.gmproject.cz

Elektronický podpis

• Elektronické záznamy mohou být podepsány elektronicky. Od elektronických podpisů se očekává, že:• mají stejný dopad jako rukou psané podpisy v rámci společnosti• jsou trvale propojeny s jejich příslušným záznamem• zahrnují i čas a datum jejich použití

www.gmproject.cz

Pravidelné hodnocení PS (Periodic review)

• Počítačové systémy mají být pravidelně vyhodnocovány, aby se potvrdilo, že zůstávají ve validním stavu a jsou v souladu se současnými požadavky GxP

• Hodnocení má zahrnovat• současný rozsah funkčnosti – aktuální URS a AR• historii aktualizací a změn SW a HW• záznamy o odchylkách a provedených nápravných opatření• kontrola uživatelských profilů a seznam uživatelů oprávněných k přístupu do

systému• Kontrola záznamů o školení zaměstnanců, uživatelských manuálů• Výstup z přezkumu

www.gmproject.cz

Vhodná SOP na podporu provozu PS

• SOP na řízení změn PS

• SOP na zálohování a obnovu dat, + BCP, + DRP• SOP na zabezpečení bezpečnosti dat (přístupy – aplikace, DC)

• SOP pro periodický přezkum• SOP na školení uživatelů, + manuály

• Analýza rizik, Audit dodavatele PS, VMP, atd.

www.gmproject.cz

S čím dále se můžete setkat?

• Kvalifikace Excelovských tabulek

• Kvalifikace infrastruktury• Kvalifikace mobilních aplikací

• Kvalifikace Globálních informačních systémů• Kvalifikace PS v distribuci léčiv

www.gmproject.cz

Excel tabulky• Excel jako takový nevyžaduje validaci, aplikace vyžadují validaci• Aplikace – dle rizika; ANO - kde aplikace může ovlivnit kvalitu

produktu, účinnost nebo datové záznamy => zdraví pacienta• Seznam, kritické tab., ohodnotit rizika, zásady a postupy pro použití,

prvky pro integritu dat,

• Auditor očekává, že výrobce prokáže zdokumentovaným způsobem, že tabulky fungují správně a důsledně vytvářejí přesná data• Datové vstupy, vzorce, přístupy, zamykání buněk, umístění server

www.gmproject.cz

Kvalifikace infrastrukturyISPE GAMP Guide: IT infrastructure Control and Compliance, 2017

• Podobný přístup jako pro Počítačové systémy, použití QMS• Použití analýzy rizik – procesy a komponenty, eliminace• Použití modelu životního cyklu

• Míra zapojení dodavatelů jako dodavatele služby • XaaS mngmt model – tradiční IT, IaaS, PaaS, SaaS

Aplikace

Data

Runtime

Middleware

OS

Virtualizace

Servery, Storage

Networking

Aplikace

Data

Runtime

Middleware

OS

Virtualizace

Servery, Storage

Networking

Aplikace

Data

Runtime

Middleware

OS

Virtualizace

Servery, Storage

Networking

www.gmproject.cz

GAMP: Kvalifikace infrastrukturyInfrastruktura, která podporuje GxP kritické systémy• IT infrastruktura

• Platforma: LAN, periferie, firmware, OS, servery, klienti, aplikace, nové vs. používané• Procesy: Řízení změn, konfigurací, bezpečnosti, serverů, stanic, LAN, B&R, archivace dat

• Validační kroky – dle „V modelu“• Plánování, Specifikace a design, Analýza rizik• Validační plán – odpovědnosti, dokumentace, časový plán, rozsah infrastruktury, SOP, …• Instalační testování – dokumentace, prostředí DC, servery, klienti, LAN• Operační testování – db konektivita, ověření IP adres, FW nastavení, OS funkce

• Udržení ověřeného stavu během provozu• Nastavení procesů, AR změn, kvalifikace změn, dokumentace, Periodic review, vyřazení

www.gmproject.cz

Mobilní aplikaceGAMP: A Risk-Based Approach to Regulated Mobile App

• Mobilní aplikace• Mobilní zařízení jako zdravotnický prostředek (vzdálená plocha)• Mobilní zařízení používané jako součást GxP provozu (vstup a

zobrazení dat)

• Porozumění produktu a procesu• Použití životního cyklu v rámci QMS, „V“• Použití QRM• Zapojení dodavatele• Kat 5 dle GAMP

www.gmproject.cz

GAMP: Globální informační systémyGAMP: Global Information Systems Control and Compliance

• Stejný přístup jako pro standardní podnikové systémy, zohlednit globální aspekty

• Vyšší nároky projektu na definici globálních procesů, design app., organizaci projektu, pilotní projekt, validaci GxP modulů a funkcí

• Dokumentace – VP, (URS), (IQ), (OQ), PQ, + lokální interface, VSR, odkazy na Globální dokumenty, Periodic review

• Procesy – řízení změn, aktualizace, správa konfigurace, +incidentů, bezpečnost, B&R, archivace dat, definice odpovědností – service desk CoE vs. local, BCP&DRP, Periodic review

www.gmproject.cz

Počítačové systémy v distribuci

Legislativní rámec• Zákon 378/2007 o léčivech

Oddíl 2: Distribuce léčivých přípravků a jejich zprostředkování

• Vyhláška 229/2008 Sb. – Vyhláška o výrobě a distribuci léčiv Část osmá: Správná distribuční praxe

www.gmproject.cz

Počítačové systémy v distribuci

• Porozumění produktu a procesu (URS, AR)

• Řízení celého životního cyklu v rámci QMS• Koncept, projekt, provoz, vyřazení PS

• Použití životního cyklu v rámci QMS, „V“• Bezpečnost pacienta, kvalita produktu, datová integrita

• Přístup na základě vědecké analýzy rizik (QRM)• Zapojení dodavatelů => validace a kvalifikace

www.gmproject.cz

Řízená dokumentace pro počítačové systémy

• Plánovací fáze, řízení projektu• VMP, VP – validační plány• RA – funkční, procesní, …

• Specifikační fáze• URS• FS, DS HW a SW

• Testovací fáze• IQ, OQ, PQ (SAT, FAT)

FS

URS

IQDS

OQ

PQ

Implementace

VP (VMP) VSR

RA

FAT SAT

TMMI

• Akceptační fáze• ZVZ• TM – RA, URS vs. FS, IQ,

OQ, PQ

www.gmproject.cz

Desatero auditora

Minimální požadavky co je třeba auditovat

• VMP se seznamem PS, GxP kritičnost, perioda pro Periodický přezkum

• Pro každý GxP PS: VP (AR, AD,…), ZVZ (+TM), zpráva z Periodického přezkumu

• SOP na řízení procesů během provozu PSProč?

• Vliv PS na kvalitu léčivých přípravků, zajištění jejich vhodnosti …

www.gmproject.cz

Odpovědi na úvodní otázkyCo se rozumí Validací počítačových systémů?

• Účelem validačního procesu je poskytnout vysoký stupeň jistoty, že specifické procesy podporované informačními systémy budou trvale vytvářet produkt, který splňuje předem definované specifikace a atributy kvality

Proč je validace PS zapotřebí?

• Požadavek Regulatorního průmyslu

Které procesy jsou zapotřebí pro úspěšnou validaci?

Data Integrityvs. Farmaceutický

systém kvality

www.gmproject.cz

Pozice kvality ve firmě

Farmaceutická firma má dvě podstatné části

Systém kvality je zásadním nástrojem pro podporu obchodu

ObchodKvalita

www.gmproject.cz

Pozice Kvality z pohledu odpovědnosti

Kvalita

Standardizace výroby a kontroly

Povolení k výrobě a kontrole

Vyhovění auditů klientů

Hlavní nástroj Kvality – Farmaceutický systém kvality PQS

www.gmproject.cz

Pokyny GMP pro PQS

• Systém Farmaceutického systému jakosti je povinný pro všechny farmaceutické výrobce

• Je to vždy otázka filosofie jakosti celé firmy• Jednoznačná odpovědnost managementu firmy• Povinnost všech spolupracovníků firmy

• Pharmaceutical Quality System = EU GMP (Vol. 4, Ch. 1) + Q10 PQS, ICH Q9 QRM (VYR-32, kap. 1, v4)

• Data Integrity and Compliance With CGMP, Guidance for Industry, US, FDA 2016

www.gmproject.cz

Data Integrity• Správa dat

• Nic nového, je to staré, čím dál větší význam

• Máme informační systém – ekonomové, obchodníci, plánovači výroby, sklady, management, … => spoléhání se na data

• K dalšímu předpokládanému a požadovanému využívání potřebujeme mít důvěryhodná data

• Doložit jednoznačná a věrohodná data o výrobě, kontrole, skladování a dopravě produktu v souladu s požadavky kvality

Správa dat je seznam opatření, která poskytují záruku kvality údajů. Tato opatření

zajišťují, že data, bez ohledu na proces, formát nebo technologii, ve které jsou

vytvářena, zaznamenávána, zpracovávána, uchovávána a používána, zajistí přiřaditelné, čitelné, souběžné, originální, přesné, úplné, konzistentní, trvalé a dostupné záznamy v

průběhu celého životního cyklu dat

www.gmproject.cz

Integrita dat ve výrobě (regulatorní průmysl)Data Integrity = doložení jednoznačných a věrohodných dat o výrobě, kontrole, skladování a dopravě produktu v souladu s požadavky kvality

Audit dodavateleNákup výchozích látekNákup obalůDopravaPříjem, evidence, karanténaVzorkování QC, propuštěníSkladování

Předání a převzetí surovin do výrobyVýrobní operaceZáznamy o výrobě, IPC - QCPropuštěníSkladováníDoprava

www.gmproject.cz

ISPE: Data Integrity, Global guide

• Integrita údajů je předpokladem pro regulovaný zdravotnický průmysl, neboť rozhodnutí a předpoklady o kvalitě výrobků a dodržování platných regulatorních požadavků jsou založeny na údajích/datech. Na údaje/data se spoléhají výrobci léčiv a zdravotnických prostředků, zdravotnické organizace, regulatorní orgány a další vládní organizace a uživatelé, tzn. pacienti a zdravotníci.

• Porušení integrity dat může mít negativní důsledky a může vést k poškození pacienta nebo dokonce k jeho smrti.

www.gmproject.cz

ISPE: Základní koncept Data integrity

• Přístup na základě analýzy rizik

• Řízení dat• Životní cyklus dat

• Princip ALCOA+• Kritické myšlení

• Životní cyklus počítačových systémů

www.gmproject.cz

Dokumentace = Řízená dokumentace

Je nezbytnou součástí QMS

• Má být zaveden systém řízení dokumentace• Mají být navrženy a prováděny vhodné kontroly všech

dokumentů na shodu s prováděnými činnostmi• Správnost a integrita dokumentů je podstatná pro správné

fungování QMS a pro účely inspekcí

www.gmproject.cz

Data integrity ve farmacii – legislativa • Pokyny EU pro GMP – Volume 4, Chapter 1 – Pharmaceutical

Quality System, +Anex 11• MHRA – DI definitions and Guidance for Industry, March 2015• PIC/S – GP for DM&I in regulated GMP/GDP environments• ICH Q10 Guideline PQS + Q9 Guideline QRM• US FDA: Data Integrity and Compliance With cGMP, Guidance

for Industry, Dec 2018=> Souvislost DI s PQS – filosofie celé firmy

• Odpovědnost managementu a povinnost pracovníků

www.gmproject.cz

Koncept Data integrity dle FDA

• Metadata – kontextové informace potřebné k pochopení dat (datum, čas, ID uživatele, ID nástroje, ..), zachována vazba na data

• Audit trail – zabezpečený, systémem generovaný záznam, dovolující rekonstrukci událostí související s pořízením, modifikací popř. smazáním elektronických záznamů

• Statické vs. Dynamické záznamy dat – papírové a elektronické záznamy vs. záznamy, které vznikly interakcí mezi uživatelem a zařízením

• Záloha dat – kopie původních dat, která byla bezpečně udržována po celou dobu uchování záznamů, včetně matadat,

• Validace systému – SW, HW, periferie, LAN, servery/clouda související dokumenty

www.gmproject.cz

Co je Data integrity?• Stav dat, v němž jsou všechna data kompletní, konzistentní a

přesná v celém životním cyklu dat. Jsou vhodná pro zamýšlený účel při plánování, rozhodování, atd.

• Data – z pohledu GMP jde primárně o data mající přímý a nebo i nepřímý vliv na kvalitu a účinnost léčivého přípravku nebo léčivé látky

• Metadata jsou údaje doplňující primární data tak, aby byly srozumitelná a přiřaditelná

• Audit trail je zabezpečený, časově určený záznam o vytvoření, změně a smazání dat

www.gmproject.cz

Co je Data integrity?

• Datová integrita se týká nejen dat elektronických, ale i dat v papírové podobě, stejné požadavky na integritu

• Datová integrita souvisí s tzv. Správnou dokumentační praxí (GDocP)

• Životní cyklus od počátečního vzniku a zaznamenání dat, přes zpracování, použití, uchování archivaci, vyhledání a likvidaci

www.gmproject.cz

Porušení Integrity dat• Umělé vytváření výsledků• Zpětné datování vzniku dat• Prezentace dříve pořízených dat jako data nové• Reportování pouze vyhovujících výsledků• Změna nebo likvidace dat• Reporty dat bez podpory primárních dat• Nezaznamenávání dat v reálném čase• Neautorizované podpisy• Chyby při přenosu dat mezi systémy• SW chyby, chyby HW, změny v technologii – použití nové

www.gmproject.cz

Jak zabezpečit integritu dat• IS – řízený přístup – uživatelé, IT admin, ověření neměnnosti dat • Systém uchovávání papírových dokumentů• Záznam dat/opravy/doplnění – nesmazatelným způsobem + datum, podpis• Dostupnost originálů/kopie v místě kde činnosti probíhaly• Interface mezi IS – ověřování přenosu dat• Backup/restore, DRP, ověřování obnovy včetně kontroly správnosti dat• Možnost tisku elektronicky uložených dat• Dohledatelnost dat – Audit trail• Fyzické zabezpečení dat/datových center

www.gmproject.cz

Důsledky porušení integrity dat

• Trh spoléhá na přesné informace o lécích, přípravcích, …

• Ztráta důvěry mezi regulatorními autoritami a výrobcem• Ztráta důvěry trhu v garanci kvality a účinnosti přípravku

• Stahování z trhu, vyšetřování, atd• Poškození zdraví pacienta

• Získání důvěry zpět stojí peníze navíc a čas

www.gmproject.cz

Integrita dat se týká

• Výrobců léčivých přípravků

• Výrobců API• Výrobců zdravotnických prostředků

• Laboratoří produkujících registrační data• Smluvních výrobců a kontrolních laboratoří

• Smluvních dodavatelů IT, kalibrací, kvalifikací

www.gmproject.cz

Co se rozumí pod „Data Integrity?“

Integrita dat je kritická během celého životního cyklu dat cGMP

Zahrnuje:• Vytváření • Úpravy • Zpracování, vyhledávání• Údržba• Archivace, likvidace dat

www.gmproject.cz

ALCOA princip• Attributable – přisouditelná

• PS - jednoznačná identifikace uživatele, zda byl oprávněn, el. podpis• Papírová evidence - podpisy, datum, popř. i čas

• Legible – čitelná, po celou dobu životního cyklu• PS - ukládání v okamžiku pořízení, možnost Audit trailu,

backup/restore dat• Papírová evidence – permanentní pera, bez opravné běloby, jen

oprava záznamu s podpisem a datem provedení opravy – do řízené dokumentace

• Contemporaneous – souběžná• Zaznamenání dat v čase vzniku (NE později a ani předem)

www.gmproject.cz

ALCOA princip

• Original – původní• Zaznamenat všechna měření včetně metadat, ne jen ta dobrá

• Accurate – správná• Data by měla být platná, úplná a správná• Používat validované IS, přístroje a metody• Data pořizovat automaticky, manuálně – data verifikovat

www.gmproject.cz

ALCOA (+) princip

• Complete – uloženy jsou všechny data včetně metadat

• Consistent – souhlas v časové ose vzniku dat• Enduring – trvale přístupná, řízení dat v průběhu celého

životního cyklu• Available – dostupnost dat během celého životního cyklu

www.gmproject.cz

Jak dosáhnout správné Data integrity?

• Firemní kultura• Motivace lidí, podpora dosažení vyšších cílů, ochota přijmout

nové technologie a iniciativy, přístupy do znalostních db, zaměstnanecké výhody

• Systém řízení kvality• Firemní politiky týkající se kvality, SOP, automatické zařízení,

efektivní eskalační mechanismy, validace & kvalifikace• PS – bezpečnostní funkce, SW validace, kvalifikace infrastruktury,

vhodný IS

www.gmproject.cz

Jak dosáhnout správné Data integrity?

• Podpora vedení• Nezávislé QA, předpisy k DI, efektivní školení, infrastruktura, interní

audity

• Školení zaměstnanců• Školení pro všechny zaměstnance, školení pro nové nástupy,

hodnocení školení, externí školení a vzdělávání

• DI je všeobecným požadavkem GMP a hlavně PQS

www.gmproject.cz

Dotazy?

www.gmproject.cz

Děkuji za pozornost