FDA 21 CFR Partie 11 Signatures électroniques : Guide pratique

Le Part 11 commence par l'enregistrement, pas par la signature

Le 21 CFR Part 11 ne transforme pas chaque approbation électronique utilisée par une entreprise de sciences de la vie en enregistrement réglementé. La première question est de savoir si une règle préalable nécessite que l'enregistrement soit conservé ou soumis à la FDA et si l'organisation dépend de la version électronique pour effectuer l'activité réglementée. Si c'est le cas, l'enregistrement électronique et sa signature associée peuvent tomber dans le champ du Part 11. Cette décision de portée doit être documentée avant que les équipes ne choisissent des méthodes d'authentification, configurent les champs de signature ou valident une plateforme. Le Part 11 ne rend pas non plus le logiciel seul conforme : l'organisation réglementée reste responsable de l'utilisation prévue, des procédures, de la formation, de la gouvernance de l'accès, des décisions de validation et des contrôles continus.

Que vise à protéger la Partie 11

La règle se concentre sur le fait que les enregistrements et signatures électroniques restent fiables, fiables, attribuables et accessibles tout au long de leur cycle de vie requis.

01

Portée : identifier les enregistrements requis par une règle préalable de la FDA et déterminer si la version électronique ou papier est utilisée.

02

Intégrité des enregistrements : protéger les enregistrements réglementés contre l'accès non autorisé, la modification, la perte ou la reconstruction incomplète.

03

Responsabilité de la signature : relier un signataire unique et vérifié à l'enregistrement signé, à l'heure et au sens de l'action de signature.

04

Prêt à l'inspection : conserver les enregistrements et produire des copies exactes, complètes, lisibles par l'homme et électroniques lorsque cela est nécessaire.

Un test de portée pratique avant la mise en œuvre

Commencer par la règle préalable applicable et la pratique opérationnelle réelle. La même technologie peut soutenir à la fois les processus de la Partie 11 et ceux qui ne sont pas de la Partie 11.

La Partie 11 est plus susceptible de s'appliquer lorsque

Une règle préalable nécessite le maintien de l'enregistrement et l'enregistrement électronique remplace le papier.
Un enregistrement requis existe dans les deux formats, mais la version électronique est utilisée pour l'activité réglementée.
Un enregistrement est soumis électroniquement à la FDA via un itinéraire de soumission accepté.
Une signature électronique est utilisée comme équivalent d'une signature manuscrite, d'une initiale, d'une approbation, d'une révision ou d'une vérification requise par une règle préalable.

La Partie 11 peut ne pas être déclenchée lorsque

Les informations électroniques ne sont pas tenues de être conservées sous une règle préalable de la FDA.
Un ordinateur ne génère qu'un enregistrement papier et l'enregistrement papier conforme est la version réellement utilisée.
Le flux de travail tombe dans une exclusion spécifique stipulée à la 21 CFR 11.1.
L'enregistrement est purement opérationnel et ne soutient pas une activité réglementée, une soumission ou une obligation de conservation d'enregistrement requise.

Traduire les exigences de la Partie 11 en preuve que vous pouvez examiner

Une liste de fonctionnalités ne suffit pas. Pour chaque contrôle, confirmez comment il fonctionne dans le flux de travail prévu et quelles preuves peuvent être produites pendant la validation, l'audit ou l'inspection.

Validation du système

Précision, fiabilité, performance intentionnelle constante et capacité à détecter des enregistrements invalides ou modifiés.

Utilisation intentionnelle documentée, évaluation des risques, exigences, tests, écarts, approbations et contrôle des modifications proportionnés au risque des enregistrements.

Copies exactes

Des copies complètes doivent être disponibles sous forme lisible par l'homme et électronique pour examen et copie.

Exporter le fichier signé et les preuves associées sans perdre le contenu, le sens, les données de signature ou l'historique des événements pertinents.

Conservation et récupération

Les enregistrements doivent rester protégés et facilement récupérables pendant la période de conservation requise.

Confirmez la propriété de la conservation, la recherche et la récupération, la sauvegarde, la migration, les contrôles de suppression et l'accès après un changement de contrat ou de compte.

Accès et autorité

L'accès, la signature, la modification et les actions réglementées doivent être limités aux personnes autorisées.

Revoyez la fourniture de compte, les permissions de rôle, l'autorité d'approbation, la séparation des fonctions, la désactivation et l'examen périodique de l'accès.

Journal d'audit

Des enregistrements sécurisés, générés par ordinateur et temporellement étiquetés devraient reconstruire les actions qui créent, modifient ou suppriment des enregistrements réglementés.

Vérifiez la couverture des événements, la référence temporelle, l'attribution de l'acteur, la préservation de la valeur précédente, l'exportabilité, la conservation et la protection contre les modifications ordinaires de l'utilisateur.

Manifestation de la signature

Le fichier signé doit montrer le nom imprimé du signataire, la date et l'heure de signature, et le sens de la signature.

Vérifiez que la revue, l'approbation, la responsabilité ou l'auteur sont clairement capturés et restent visibles dans le résultat lisible par l'homme.

Liage du fichier signé

Une signature doit être liée à son fichier de sorte qu'elle ne puisse pas être copiée ou transférée pour falsifier un autre fichier par des moyens ordinaires.

Testez les contrôles de l'intégrité du document et confirmez que le paquet de preuves lie le signataire, l'action, le temps et le fichier final ensemble.

Contrôles d'identité et de signature

Chaque signature doit être unique à une personne, l'identité doit être vérifiée, et les signatures non biométriques nécessitent des composants d'identification contrôlés.

Cartographiez la preuve d'identité, l'authentification, la propriété des pièces d'identité, les contrôles des mots de passe ou des jetons, la récupération et la détection de l'utilisation abusive dans le flux de travail des risques.

Comment eSign.AI peut soutenir un flux de travail de signature de la Partie 11

eSign.AI fournit des capacités de signature électronique et de preuve qui peuvent être configurées comme partie d'un processus réglementé. L'adéquation dépend toujours de l'utilisation prévue par le client, des règles préalables applicables, des procédures, de l'approche de validation, de la méthode d'identité et des preuves conservées.

Sens et manifestation de la signature

Les flux de travail peuvent capturer la raison de la signature ainsi que les informations sur le signataire et l'événement de signature, aidant les équipes à représenter des actions telles que la revue, l'approbation ou la responsabilité.

Vérification de la signature et contrôles de compte

Des options de vérification du signataire et de sécurité du compte configurables peuvent soutenir les exigences d'identité et d'accès. La méthode sélectionnée doit être évaluée par rapport au flux de travail et au modèle de risque de l'organisation.

Preuves d'audit

Les événements de signature, les informations de complétion et les preuves à l'appui peuvent aider les équipes à reconstruire qui a agi, ce qui a été signé et quand l'événement s'est produit.

Intégration des flux de travail et des systèmes

L'intégration de l'API et des flux de travail peut connecter les étapes de signature avec des systèmes de qualité, cliniques, gestion de documents ou d'affaires, tout en laissant l'organisation définir les limites du système et les responsabilités de validation.

Ce que cela ne signifie pas

L'utilisation de eSign.AI ne rend pas une organisation ou un processus conforme à la Partie 11 par elle-même. La conformité dépend du système complet, de la configuration, des procédures, des personnes, de la formation, des dossiers et de la gouvernance continue.

Un chemin d'implémentation en six étapes

Traitez la Partie 11 comme un processus commercial contrôlé, et non comme un commutateur de fonctionnalités.

01

Inventorier les dossiers réglementés

Identifiez la règle préalable, le propriétaire du dossier, la signature requise, la période de conservation, le chemin de soumission et la version réellement utilisée.

02

Définir l'utilisation prévue et les limites du système

Documentez ce que la plateforme de signature électronique fera, quels systèmes connectés restent autoritaires et où les dossiers et les preuves sont conservés.

03

Définissez les contrôles d'identité, d'accès et de signature

Configurez la vérification de la signature, l'authentification, les rôles, le sens de la signature, les vérifications d'autorité, la récupération des accréditations et la désactivation du compte.

04

Conception du paquet de preuves

Confirmez le dossier final, le nom du signataire, l'heure, le sens de la signature, l'historique des événements, les preuves d'intégrité et le format d'exportation requis pour l'examen.

05

Validez par rapport aux risques et à l'utilisation prévue

Testez les exigences critiques, les chemins négatifs, les permissions, le lien de signature, les événements d'audit, les exports, les intégrations et la récupération des échecs.

06

Opérez sous procédures contrôlées

Maintenez les SOP, la formation, les revues périodiques d'accès, la gestion des incidents, le contrôle des changements, la surveillance des fournisseurs et les déclencheurs de révalidation.

Exigences de la Partie 21 CFR vs implémentation de eSign.AI

Cartographie des exigences réglementaires de la FDA vers les capacités spécifiques de la plateforme.

Partie 11.50 : manifestations de signature

Exigence : les copies imprimées doivent montrer le nom de la signature, la date/heure et le sens. Implémentation de eSign.AI : chaque PDF signé inclut une page de manifeste de signature listant tous les signataires, les horodatages (UTC + local) et le sens de la signature. Cela est généré automatiquement et est visible des manipulations.

Partie 11.70 : liaison signature/enregistrement

Exigence : les signatures électroniques doivent être liées à leurs enregistrements électroniques de sorte qu'elles ne puissent pas être excisées, copiées ou transférées. Mise en œuvre d'eSign.AI : les signatures sont liées cryptographiquement au hachage du document. Toute modification après la signature invalide la signature. Le journal d'audit enregistre le hachage du document au moment de la signature.

Partie 11.200 : signatures non biométriques

Exigence : deux composants d'identification distincts (par exemple, ID utilisateur + mot de passe). Mise en œuvre d'eSign.AI : prend en charge la signature à deux facteurs (e-mail/mot de passe + OTP SMS, ou SSO + KBA). Pour les systèmes fermés, la plateforme impose une authentification basée sur la session combinée avec une confirmation par signature.

Exigences de la 21 CFR Partie 11 mappées aux capacités de la plateforme

Comment eSign.AI répond à chaque sous-section principale de la Partie 11.

Partie 11.10 : contrôles de système fermé

La Partie 11.10 nécessite la validation, les journaux d'audit, la documentation du système et les contrôles d'accès. eSign.AI fournit : des modèles de flux de travail validés, des journaux d'audit complets (60-80 événements par signature), une infrastructure certifiée ISO 27001, un contrôle d'accès basé sur le rôle avec des rôles et des permissions personnalisés, l'eau de marquage sur l'écran et la gestion de session. Le journal d'audit de la plateforme enregistre qui a effectué chaque action, quand (avec le timestamp UTC), d'où (IP et géolocalisation) et comment (méthode d'authentification).

Partie 11.50, 11.70, 11.200 : contrôles de signature

11.50 nécessite des manifestations de signature (nom, date/heure, sens). 11.70 nécessite que les signatures soient liées à leurs enregistrements. 11.200 nécessite deux composants d'identification distincts pour les signatures non biométriques. eSign.AI génère un manifeste de signature signé pour chaque document, lie cryptographiquement les signatures aux hachages des documents, et prend en charge la signature à deux facteurs (SSO + OTP par signature, ou mot de passe + KBA).

Adoption de l'industrie : pharmacie et dispositifs médicaux

Dans les sciences de la vie, la conformité à la Partie 11 est essentielle pour les documents d'essais cliniques, les enregistrements de lots, les données de laboratoire et les soumissions réglementaires. Le module FDA Partie 11 d'eSign.AI inclut la capture de la raison de la signature, le style de signature dessinée à la main, l'enregistrement du timestamp et la reconnaissance faciale pour la vérification de l'identité du signataire — des fonctionnalités spécifiquement conçues pour répondre aux exigences de l'inspection de la FDA.

QUESTIONS COMMUNES

Questions que les équipes posent sur les signatures électroniques de la Partie 11

Non. Le périmètre dépend de la règle préalable applicable, de l'exigence de conservation ou de soumission de l'enregistrement, et de la dépendance de l'organisation aux enregistrements électroniques pour une activité réglementée. Documentez la décision de portée pour chaque type d'enregistrement.

Code électronique des réglementations fédérales : 21 CFR Partie 11 Lignes directrices de la FDA : Partie 11, Documents électroniques ; Signatures électroniques — Portée et Application Lignes directrices de la FDA : Systèmes électroniques, Documents électroniques et Signatures électroniques dans les Enquêtes Cliniques