
Data Integrity e Computer System Validation: normative e nuove tecnologie
Torniamo con questo articolo a parlare del tema della Data Integrity, più volte affrontato nei blog di S4BT e PRAGMA4U sotto differenti prospettive.
Articoli correlati: Cosa sono i principi ALCOA e perché sono fondamentali nel Data Integrity
In questo approfondimento ci soffermeremo in particolare sul legame tra Computer System Validation e Data Integrity. Faremo riferimento alle normative FDA 21 Cfr Part 11 e EU cGMP Annex 11, con un accenno a MHRA con il Framework ALCOA+.
Successivamente ci soffermeremo sull’automazione dei processi a garanzia della Data Integrity, con uno sguardo in merito alle nuove tecnologie di Blockchain, Intelligenza Artificiale e Robotic Process Automation (RPA).
Cosa significa Computer System Validation (CSV)?
- farà ripetutamente e in modo affidabile ciò per cui è progettato
- è idoneo all’uso previsto
- rispetta le norme e i regolamenti applicabili.
In altre parole, la CSV dimostra che un determinato sistema computerizzato è in grado di svolgere in modo coerente e riproducibile le funzioni previste, mantenendo l’integrità dei dati che gestisce, in termini di:
- produzione di risultati accurati e affidabili
- tracciabilità, protezione e non alterabilità dei dati.
Le principali normative di riferimento per la Data Integrity
Numerose sono le normative di riferimento internazionali che affrontano il tema della Data Integrity e della validazione dei sistemi all’interno del settore farmaceutico e dei settori regolamentati affini. Tra le principali di riferimento vediamo la FDA 21 cfr part 11 e EU cGMP Annex 11.
FDA 21 cfr part 11
La normativa FDA CFR 21 part 11 definisce i requisiti minimi per sistemi che generano record soggetti alle predicate rule/GMP, sottomessi all’FDA o soggetti a ispezioni FDA, oppure che prevedano la gestione di firme per tali record, in formato elettronico. L’obiettivo è assicurare che record elettronici, firme elettroniche e firme manuali effettuate su record elettronici siano considerati affidabili, sicuri ed equivalenti (legalmente) a registrazioni su carta e a firme manoscritte su carta.
La Data Integrity è un principio fondamentale in questa normativa, anche se non viene menzionato esplicitamente con questo termine. Le sue disposizioni garantiscono infatti che i dati elettronici siano affidabili, autentici e protetti da alterazioni. Nello specifico, troviamo riferimenti alla Data Integrity nelle sezioni:
- 11.10 e 11.30 Part B, dove si definiscono i controlli per garantire l’integrità, l’accuratezza e affidabilità dei dati elettronici, di cui i punti chiave relativi alla Data Integrity (Audit Trail; controllo degli accessi; Protezione dei Record, Validazione dei Sistemi Computerizzati, per garantire l’accuratezza, l’affidabilità, la coerenza delle prestazioni previste e la capacità di distinguere i record non validi o alterati, …)
- 11.50 Part B, dove si richiede che ogni firma elettronica sia associata a informazioni che dimostrino chi, cosa, quando e perché il record è stato registrato (concetto ALCOA+).
- 11.70 Part B, stabilisce che le firme elettroniche debbano essere legate in modo univoco e non modificabile al record firmato, evitando manomissioni.
Reference: https://www.ecfr.gov/current/title-21/chapter-I/subchapter-A/part-11
EU cGMP Annex 11
La normativa EU cGMP Annex 11 “Computerized Systems” fornisce una guida dettagliata su come garantire la conformità ai requisiti delle Direttive GMP europee quando un sistema computerizzato sostituisce un’operazione manuale.
L’Annex 11 si divide in 17 sezioni, molte delle quali riguardano direttamente la Data Integrity, anche se non esplicitamente citato nel testo. I principi fanno infatti riferimento al Framework ALCOA+ e tra queste citiamo ad esempio:
- Sezione 5 “Dati”. Richiede controlli automatici in caso di dati scambiati elettronicamente (interfacce) per minimizzare i rischi di processare dati errati (built-in checks vs device checks).
- Sezione 6 “Controlli di correttezza”. Per i dati critici inseriti manualmente è richiesto un ulteriore controllo di esattezza, effettuato da un secondo operatore o da un sistema automatico validato.
- Sezione 7 “Conservazione dei dati”. I dati devono essere preservati da danneggiamenti per tutto il periodo di ritenzione. Il Backup deve essere eseguito regolarmente. La possibilità di ripristino e quindi la leggibilità e l’integrità dei dati, devono essere verificati periodicamente, oltre che durante la convalida iniziale.
- Sezione 9 “Audit Trail”. Devono essere automaticamente registrate, in base a un’analisi dei rischi, modifiche e cancellazioni di dati GMP con il motivo della modifica. L’Audit Trail deve essere disponibile e convertibile in formato leggibile e deve essere periodicamente rivisto.
- Sezione 12 “Sicurezze”. L’accesso ai sistemi deve essere limitato al personale autorizzato tramite controlli fisici e/o logici. Le modifiche alle autorizzazioni di accesso devono essere registrate.
- Sezione 17 “Archiviazione”. I dati possono essere archiviati. In tal caso occorre verificarne accessibilità, leggibilità e integrità. In caso di modifiche rilevanti al sistema (HW o SW), la capacità di ripristinare i dati deve essere garantita e testata.
Il presupposto che affronta la normativa è che senza una validazione adeguata, non si può garantire che i dati siano affidabili.
Reference: Volume 4 Good Manufacturing Practice Medicinal Products for Human and Veterinary Use Annex 11: Computerised Systems
Linea Guida MHRA e Principi ALCOA+
Del framework dei principi ALCOA+, oggi evoluto in ALCOA++, abbiamo scritto in un precedente articolo. Offriamo qui un approfondimento rispetto al legame tra Data Integrity e Computer System Validation nella linea guida inglese di MHRA “‘GXP’ Data Integrity Guidance and Definitions”.
La linea guida fa riferimento alla data integrity, in formato tanto elettronico, quanto ibrido e cartaceo. Come nel caso di Annex 11, c’è anche qui il presupposto che un sistema computerizzato validato assicura che i dati generati siano accurati e non alterabili in modo non autorizzato; c’è quindi un rapporto di interdipendenza tra il processo di convalida e la linea guida.
La Computer System Validation (CSV) fornisce la struttura e le garanzie tecniche e/o procedurali (audit trail, controlli, change management) necessarie per assicurare che il sistema supporti la raccolta, l’elaborazione e la conservazione dei dati in conformità con le normative.
La Data Integrity verifica che i dati siano accurati, completi e protetti da alterazioni non autorizzate: il che è maggiormente applicabile se il sistema è stato adeguatamente validato.
Se il sistema non è correttamente validato, può aumentare il rischio di errori o manipolazioni che potrebbero compromettere la qualità e la sicurezza dei prodotti farmaceutici.
Nuove tecnologie a supporto della Data Integrity
Le nuove tecnologie e l’automazione sono sempre più utilizzate per garantire la Data Integrity, andando a ridurre o eliminare il fattore degli errori umani nei processi GMP oltreché aumentarne i controlli.
Una recente ricerca propone l’adozione di sistemi computerizzati ottimizzati mediante modelli matematici e algoritmi per il monitoraggio continuo della qualità dei record elettronici, riducendo così il rischio di errori umani.
Tra le tecnologie emergenti, lo studio discute il potenziale della blockchain, che presenta notevoli vantaggi per garantire l’integrità dei dati in ambito farmaceutico. Grazie, infatti, alla sua natura di registro distribuito e crittografato, la blockchain assicura che ogni operazione, una volta registrata, diventi immutabile e trasparente, eliminando il rischio di manomissioni o alterazioni non autorizzate.
In un settore in cui la tracciabilità dei dati è fondamentale, l’adozione di questa tecnologia offre un supporto solido agli audit trail, poiché ogni modifica viene registrata in modo permanente e verificabile.
Integrata con altre tecnologie come l’Intelligenza artificiale e la Robotic Process Automation (RPA), essa contribuisce a un approccio multidisciplinare per la gestione dei record elettronici, riducendo l’intervento manuale e gli errori umani, e potenziando la capacità di individuare tempestivamente anomalie e rischi.
L’approccio multidisciplinare proposto nello studio favorisce l’integrazione tra sistemi legacy e nuove tecnologie digitali, offrendo raccomandazioni per future implementazioni e miglioramenti nella validazione dei sistemi computerizzati.
I risultati mostrano un significativo incremento nell’affidabilità e nel controllo della qualità dei record elettronici, ponendo le basi per processi più sicuri e conformi ai requisiti regolatori.
Reference: Adla Padma, Mangayarkarasi Ramaiah, Blockchain based solution for secure information sharing in pharma supply chain management, Heliyon, Volume 10, Issue 22, 2024, e40273, ISSN 2405-8440, https://doi.org/10.1016/j.heliyon.2024.e40273
Il punto di vista normativo
Spostandoci sul lato normativo, ad oggi tuttavia l’implementazione di queste nuove tecnologie è al vaglio degli enti regolatori, che in questi anni hanno rilasciato considerazioni in merito al loro utilizzo. Un esempio è il documento FDA in stato draft “Considerations for the Use of Artificial Intelligence to Support Regulatory Decision-Making for Drug and Biological Products” di gennaio 2025 e il documento EMA “Reflection paper on the use of Artificial Intelligence (AI) in the medicinal product lifecycle” di settembre 2024 rilasciato da EMA.
Un altro apporto interessante al tema, lo troviamo nell’appendice D11 (Artificial Intelligence and Machine Learning (AI/ML)) della guida GAMP5 2nd Edition, che fornisce una conoscenza di base di queste soluzioni digitali e indicazioni su come garantirne la compliance integrativa e l’idoneità all’uso in un ambiente convalidato.
Concentrandoci sulla Data Integrity, l’appendice descrive l’importanza dell’integrità dei dati per la qualità complessiva di AI/ML oltre a presentare una comprensione dei rischi inerenti.
Nonostante una discussione sul tema, quindi è ancora in corso una direzione normativa.
Conclusioni
Il legame interdipendente tra Data Integrity e Computer System Validation è un requisito normativo, e allo stesso tempo una necessità operativa nel settore farmaceutico. Senza una validazione adeguata, non si può infatti garantire che i dati siano affidabili.
Le normative FDA 21 CFR Part 11, EU GMP Annex 11 e la linea guida MHRA stabiliscono principi chiari per garantire che i dati siano affidabili, accurati e protetti, indipendentemente dall’evoluzione tecnologica.
L’adozione di Blockchain, AI e RPA rappresenta una grande opportunità per automatizzare le operazioni e rafforzare i meccanismi di controllo e ridurre il rischio di errori o manomissioni.
L’introduzione di queste tecnologie deve essere gestita con un approccio di convalida rigoroso, in linea con le aspettative degli enti regolatori, che si stanno muovendo nella definizione di linee guida e normative.
Servizio di consulenza in Computer System Validation & Data Integrity Compliance
Abbiamo un’esperienza ventennale nella validazione dei sistemi computerizzati in accordo alle normative e linee guida di riferimento per il settore Pharma & Life Science, in particolare FDA CFR 21, Eudralex Vol.4. Seguiamo ogni fase di ciascun progetto dalla pianificazione inziale alla reportistica finale.