- 21 CFR Part 11 e Annex 11, pur condividendo le finalità, adottano filosofie e requisiti operativi distinti.
- Dallo status giuridico all’ambito di applicazione, fino ai requisiti operativi chiave: mettiamo a confronto CFR 21 part 11 e l’allegato numero 11 (Annex 11) all’Eudralex Volume 4.
- Per entrambi i regolamenti, un software non validato non può generare record legalmente validi, ma cambiano le priorità. La visione FDA (Part 11) pone l’accento sull’affidabilità e la coerenza delle prestazioni. L’UE adotta, invece, un approccio basato sul Life Cycle (SLC).
- La conformità normativa è solo una faccia della medaglia. La qualità reale di un software clinico dipende dalla definizione accurata e completa dei requisiti utente (URS) e dal rispetto maniacale di tali requisiti durante lo sviluppo.
Il fattore 11
Nello sviluppo di software per i settori farmaceutico, medicale e clinico, la garanzia dell’integrità dei dati e la qualità del prodotto finale sono obiettivi universali.
In un precedente articolo dedicato all’impatto dell’EDQM a livello di progettazione, validazione e gestione di software destinato alla gestione o alla registrazione delle informazioni di attività cliniche, abbiamo aperto una finestra sul regolamento 21 CFR Part 11 della Food&Drug Administration. Si tratta del codice normativo americano che definisce i criteri affinché i record elettronici e le firme elettroniche siano considerati equivalenti a quelli cartacei. Sul versante europeo, dal canto suo, l’Annex11 pone un accento molto significativo sul controllo del ciclo di vita del software e sull’analisi del rischio.
Chi opera su mercati globali deve confrontarsi con questi due quadri regolatori che, pur condividendo le finalità, adottano filosofie e requisiti operativi distinti. Dallo status giuridico all’ambito di applicazione: mettiamo a confronto il 21 CFR Part 11 negli Stati Uniti e l’Annex 11 nell’Unione europea per comprendere cosa significhi davvero sviluppare oggi software clinici compliant.
21 CFR Part 11 e Annex 11: status giuridico e ambito di applicazione
La prima distinzione fondamentale risiede nella natura stessa delle norme.
- 21 CFR Part 11 è un regolamento federale statunitense, obbligatorio per legge. Si focalizza specificamente sui record elettronici e sulle firme elettroniche, definendo i criteri affinché siano considerati equivalenti ai documenti cartacei.
- L’Annex 11 è un’appendice delle linee guida EU-GMP (Volume 4)². Sebbene non sia una legge a sé stante, è considerata uno standard obbligatorio dalle autorità nazionali europee durante le ispezioni GMP per i prodotti medicinali. Il suo raggio d’azione è più ampio, coprendo l’intero ciclo di vita dei sistemi computerizzati.
Confronto operativo: i quattro pilastri
Le differenze di approccio tra la Food&Drug Administration e la European Medicines Agency emergono chiaramente analizzando i requisiti operativi chiave.
| Requisito | 21 CFR Part 11 (FDA) | Annex 11 (UE) |
|---|---|---|
| Audit Trail | Prescrittivo: obbligatorio e dettagliato per ogni modifica ai record | Risk-Based: richiesto dove appropriato in base alla criticità dei dati |
| Gestione rischi | Implicita: focalizzata sull’affidabilità del dato | Esplicita: richiede una gestione documentata lungo tutto il ciclo di vita |
| Audit fornitori | Non esplicitamente dettagliato come requisito diretto | Obbligatorio: richiede audit formali e accordi di qualità (SLA) con i fornitori IT |
| Revisione periodica | Dedotta dai requisiti di affidabilità generale | Formale: i sistemi devono essere sottoposti a revisioni periodiche dello stato di convalida |
Strategie di validazione del sistema
Per entrambi i regolamenti, un software non validato non può generare record legalmente validi, ma cambiano le priorità.
- La visione FDA (Part 11) pone l’accento sull’affidabilità e la coerenza delle prestazioni. La validazione deve dimostrare l’accuratezza, l’affidabilità e la capacità del sistema di distinguere tra record originali e alterati (concetto di falsification-proof).
- L’UE (Annex 11) adotta, invece, un approccio basato sul Life Cycle (SLC). La validazione non è un evento, ma un processo che parte dai requisiti utente (URS), passa per la fornitura e l’uso operativo, fino alla dismissione del software.
Il Risk Management come motore della compliance
Nell’Annex 11, la gestione del rischio è l’elemento imprescindibile. L’equivalenza tra digitale e cartaceo è accettata solo se i rischi associati (perdita dati, manomissioni) sono stati identificati e mitigati con controlli tecnici e procedurali.
Questo approccio “basato sul rischio” significa che il rigore della validazione deve essere proporzionale all’impatto che il software ha sulla sicurezza del paziente e sulla qualità del prodotto. Ogni modifica (Change Control) o aggiornamento infrastrutturale deve innescare una nuova valutazione del rischio per determinare l’estensione della ri-validazione necessaria.
Firme elettroniche e sicurezza dei dati
Un accenno anche alla questione firme elettroniche. Tanto la norma 21 CFR Part 11, quanto Annex 11 richiedono che la firma:
- sia univocamente legata all’individuo;
- includa il timestamp (data/ora) e il significato dell’apposizione (es. approvazione, revisione).
Tuttavia, mentre la FDA richiede che la firma sia visivamente identificabile sul record, l’Annex 11 pone maggiore enfasi sulla sicurezza del sistema gestionale e sul rispetto della legislazione UE (regolamento eIDAS).
La conformità non basta
Da questa panoramica emerge come un software rispettoso dei regolamenti e sviluppato secondo standard internazionali sarà certamente sicuro e protetto (Safety and Security). Tuttavia, la conformità normativa è solo una faccia della medaglia. La qualità reale di un software clinico dipende da altri due capisaldi. Ovvero:
- la definizione accurata e completa dei requisiti utente (URS).
- Il rispetto maniacale di tali requisiti durante lo sviluppo del software.
Senza questi ultimi, il rischio è quello di ottenere un sistema formalmente perfetto ma funzionalmente disallineato rispetto alle reali necessità cliniche e operative.
NOTE
¹ Scopri di più: Part 11, Electronic Records; Electronic Signatures – Scope and Application
² Per approfondire: GMP EudraLex. The Rules Governing Medicinal Products in the European Union Volume 4 Good Manufacturing Practice Medicinal Products for Human and Veterinary Use. Annex 11: Computerised Systems
AUTORE
MAURO PASQUALI
Consulente di direzione, strategia e organizzazione. Presidente e amministratore delegato di Itamedical
