O que a FDA exige de sistemas computadorizados, e onde a maioria das operações falha
O que é o 21 CFR Part 11
O 21 CFR Part 11 é a parte do Código de Regulamentos Federais dos Estados Unidos que define quando a FDA aceita registros eletrônicos e assinaturas eletrônicas como equivalentes a registros em papel e assinaturas manuscritas.
Publicado como regra final pela U.S. Food and Drug Administration (FDA) em março de 1997, com vigência a partir de agosto do mesmo ano, o regulamento é estruturado em três subpartes: escopo e definições, registros eletrônicos e assinaturas eletrônicas.
Ponto crítico e mal compreendido: o Part 11 não cria novas obrigações de manter registros. Ele define as condições sob as quais registros que você já é obrigado a manter podem existir em formato eletrônico.
Predicate rules: o que determina se o Part 11 se aplica
O Part 11 só incide sobre registros exigidos pelas chamadas predicate rules, ou seja, os requisitos estabelecidos no Federal Food, Drug, and Cosmetic Act, no Public Health Service Act e nas demais regulamentações da FDA que obrigam a criação, manutenção ou submissão de registros.
A lógica prática é sequencial:
- Existe uma predicate rule que obriga a manter aquele registro? Se não, o Part 11 não se aplica.
- Você optou por manter esse registro em formato eletrônico no lugar do papel? Se sim, o Part 11 se aplica.
- Você usa assinatura eletrônica no lugar de assinatura manuscrita? Se sim, a Subparte C também se aplica.
Registros em papel simplesmente transmitidos por meio eletrônico (um PDF anexado em e-mail, por exemplo) não entram automaticamente no escopo.
Requisitos centrais do 21 CFR Part 11
Os controles exigidos combinam tecnologia, procedimento e responsabilidade organizacional. Os principais são:
- Validação de sistemas, com evidência documentada de que o sistema executa consistentemente o que se espera dele, incluindo detecção de registros inválidos ou alterados.
- Trilha de auditoria, um registro seguro, gerado pelo computador e com marcação de data e hora, que documenta criação, alteração e exclusão de registros sem sobrescrever a informação anterior.
- Controle de acesso, limitando o sistema a indivíduos autorizados, com credenciais únicas e não compartilhadas.
- Cópias legíveis, com capacidade de gerar cópias exatas e completas dos registros em forma legível e eletrônica para inspeção.
- Retenção, protegendo os registros por todo o período exigido, com recuperação garantida.
- Verificações operacionais e de dispositivo, impondo a sequência correta de etapas e validando a origem dos dados.
- Treinamento, com pessoal que tenha educação, treinamento e experiência para executar as tarefas atribuídas.
Nenhum desses controles é opcional quando o registro está sob escopo. A ausência de trilha de auditoria funcional é uma das causas mais recorrentes de observação em inspeção.
Assinatura eletrônica: o que a FDA exige
Uma assinatura eletrônica conforme o Part 11 precisa conter, de forma associada ao registro assinado:
- O nome impresso do signatário.
- A data e hora da execução da assinatura.
- O significado da assinatura, seja revisão, aprovação, responsabilidade ou autoria.
Assinaturas não biométricas devem usar pelo menos dois componentes de identificação distintos, como código de identificação e senha. Assinaturas biométricas precisam ser projetadas de modo que ninguém além do indivíduo genuíno consiga executá-las.
A FDA não considera assinaturas desenhadas com o dedo ou com caneta stylus como equivalentes a assinaturas manuscritas.
Sistemas abertos e sistemas fechados
O regulamento distingue sistemas fechados, cujo acesso é controlado pelas pessoas responsáveis pelo conteúdo dos registros, de sistemas abertos, onde esse controle não existe.
Sistemas abertos exigem medidas adicionais para garantir autenticidade, integridade e, quando aplicável, confidencialidade, tipicamente por criptografia e assinatura digital. Com a adoção crescente de plataformas em nuvem e serviços de TI terceirizados, essa distinção voltou ao centro das discussões de conformidade.
Atualização de 2024: a guidance sobre sistemas eletrônicos
Em outubro de 2024 a FDA finalizou a guidance Electronic Systems, Electronic Records, and Electronic Signatures in Clinical Investigations: Questions and Answers, publicada no Federal Register em 2 de outubro de 2024. O documento finaliza o draft de março de 2023 e substitui a guidance Computerized Systems Used in Clinical Investigations, de 2007.
A versão final organiza 29 perguntas cobrindo registros eletrônicos, sistemas implantados por entidades reguladas, provedores de serviços de TI, tecnologias digitais de saúde (DHTs) e assinaturas eletrônicas. Um ponto relevante: a FDA esclareceu que não pretende exigir conformidade com o Part 11 de sistemas de prontuário eletrônico que sirvam como fonte de dados de mundo real.
O texto do regulamento em si não mudou desde 1997. O que mudou foi a expectativa da agência sobre como demonstrar conformidade em ambientes digitais, distribuídos e baseados em nuvem.
Abordagem baseada em risco
A guidance de 2003, Part 11, Electronic Records; Electronic Signatures, Scope and Application, introduziu a abordagem baseada em risco que segue sendo a base prática de implementação. Em vez de tratar todo sistema com o mesmo rigor, a organização avalia:
- O impacto do registro sobre a qualidade do produto e a segurança do paciente.
- A criticidade da decisão que depende daquele dado.
- A complexidade e a maturidade do sistema envolvido.
Essa avaliação determina a profundidade da validação, o escopo da trilha de auditoria e o nível de controle procedural aplicado. Documentar o racional dessa decisão é tão importante quanto a decisão em si.
Part 11 no ambiente laboratorial
Em laboratórios, o Part 11 alcança sistemas que geram ou armazenam dados sob predicate rules: cromatógrafos e seus softwares de aquisição, LIMS, sistemas de monitoramento de água purificada, registradores de temperatura, balanças com saída digital e plataformas de gestão documental.
Os pontos de falha mais comuns são previsíveis:
- Instrumentos com trilha de auditoria desativada ou configurável pelo usuário.
- Logins compartilhados entre analistas.
- Dados brutos armazenados apenas localmente no PC do equipamento, sem backup validado.
- Ausência de controle de alteração de método analítico.
- Falta de qualificação documentada (IQ/OQ/PQ) do sistema computadorizado.
Resolver isso exige tratar o instrumento e seu software como um único sistema qualificado, e não como hardware acompanhado de um programa acessório.
21 CFR Part 11 e Anexo 11 da União Europeia
O equivalente europeu é o Anexo 11 do Guia GMP da UE, que trata de sistemas computadorizados. Os dois convergem em validação, trilha de auditoria, controle de acesso e integridade de dados, mas diferem em estrutura e ênfase: o Part 11 detalha requisitos de assinatura eletrônica com muito mais profundidade, enquanto o Anexo 11 se apoia mais fortemente no conceito de gestão de risco de qualidade.
Operações que exportam para os dois mercados normalmente constroem um sistema de controle único que satisfaça o requisito mais restritivo de cada tema.
Como demonstrar conformidade
A conformidade se sustenta em três camadas que precisam existir simultaneamente:
- Tecnologia, com sistema validado, trilha de auditoria segura, acesso por perfil e retenção confiável.
- Procedimento, com POPs de validação, controle de mudanças, gestão de acessos, backup e recuperação.
- Responsabilidade, com treinamento registrado, definição clara de quem responde por cada sistema e política de assinatura eletrônica.
Vale registrar um esclarecimento que a própria FDA faz: a agência não certifica sistemas. Não existe software "certificado Part 11". O que existe é um sistema configurado, validado e operado de modo a atender ao regulamento, e a responsabilidade por isso é da entidade regulada, não do fornecedor.