Отраслевые аналитические материалы

FDA 21 CFR Part 11 Электронные подписи: Практическое руководство

Понимайте, когда применяется FDA 21 CFR Part 11, и как оценивать электронные подписи, следы аудита, валидацию, доступ и хранение записей.

Команда eSign.AI по регуляторным и отраслевым исследованиям12 мин чтения

Part 11 начинается с записи, а не с подписи

21 CFR Part 11 не делает каждый электронный одобрение, используемый компанией в области биотехнологий, регулируемым документом. Первый вопрос — требует ли предписывающая норма сохранения записи или ее представления в FDA и зависит ли организация от электронной версии для выполнения регулируемой деятельности. Если да, то электронная запись и ее связанная подпись могут подпадать под Part 11. Это решение по масштабу должно быть документировано до того, как команды выберут методы аутентификации, настроют поля подписания или проверят платформу. Part 11 также не делает программное обеспечение само по себе соответствующим: регулируемая организация остается ответственна за целевое использование, процедуры, обучение, управление доступом, решения по валидации и постоянный контроль.

Что защищает Part 11

Правило сосредоточено на том, остаются ли электронные записи и подписи надежными, достоверными, атрибутируемыми и доступными на протяжении всего их требуемого жизненного цикла.

Область действия: определить записи, требуемые правилом предшественника FDA, и определить, используется ли электронная или бумажная версия.

Целостность записи: защищать регулируемые записи от несанкционированного доступа, изменения, потери или неполного восстановления.

Ответственность за подпись: связать уникального, проверенного подписанта с подписанным документом, временем и значением действия подписания.

Готовность к проверке: хранить записи и предоставлять точные, полные, читаемые человеком и электронные копии по требованию.

Практический тест области действия до внедрения

Начните с соответствующего правила предшественника и фактической операционной практики. Одна и та же технология может поддерживать как Part 11, так и не-Part 11 рабочие процессы.

Part 11, скорее всего, применяется, когда

Правило предшественника требует хранения записи, и электронная запись заменяет бумажную.
Запись существует в обоих форматах, но для регулируемой деятельности используется электронная версия.
Запись подается в FDA электронно по принятому маршруту подачи.
Электронная подпись используется в качестве эквивалента рукописной подписи, инициала, одобрения, проверки или верификации, требуемой правилом предшественника.

Part 11 может не срабатывать, когда

Электронная информация не требует хранения по правилу предшественника FDA.
Компьютер только генерирует бумажную запись, и соответствующая бумажная запись является версией, на которую действительно полагаются.
Рабочий процесс входит в конкретное исключение, указанное в 21 CFR 11.1.
Запись является чисто операционной и не поддерживает регулируемую деятельность, подачу или обязательство по ведению записей.

Переведите требования Part 11 в доказательства, которые вы можете проверить

Список функций недостаточен. Для каждого контроля подтвердите, как он работает в предполагаемом рабочем процессе и что за доказательства могут быть получены в процессе валидации, аудита или проверки.

Валидация системы

Точность, надежность, стабильное соответствие ожидаемым показателям и способность выявлять недействительные или измененные записи.

Документированное предполагаемое использование, оценка рисков, требования, тестирование, отклонения, одобрения и управление изменениями пропорционально риску записи.

Точные копии

Полные копии должны быть доступны в читаемом человеком и электронном виде для проверки и копирования.

Экспортировать подписанный документ и связанное с ним доказательство без потери содержимого, смысла, данных подписи или соответствующей истории событий.

Сохранение и извлечение

Записи должны оставаться защищенными и легко доступными в течение необходимого периода хранения.

Подтвердите владение сохранением, поисковыми операциями и извлечением, резервным копированием, миграцией, контролем удаления и доступом после изменения контракта или счета.

Доступ и полномочия

Доступ, подпись, изменение и регулируемые действия должны быть ограничены уполномоченными лицами.

Проверьте предоставление учетной записи, разрешения ролей, полномочия на одобрение, разделение обязанностей, деактивацию и периодический обзор доступа.

Лог аудита

Защищенные, компьютерно генерируемые, помеченные временем записи должны重建创建、изменение или удаление регулируемых записей.

Проверьте покрытие событий, время ссылок, атрибуцию участников, сохранение предыдущих значений, возможность экспорта, сохранение и защиту от изменений обычными пользователями.

Визуализация подписи

Подписанный документ должен показывать напечатанное имя подписанта, дату и время подписания и смысл подписи.

Убедитесь, что проверка, одобрение, ответственность или авторство ясно отражены и видны в читаемом формате.

Связь между подписью и документом

Подпись должна быть связана с соответствующим документом, чтобы ее нельзя было скопировать или передать обычными способами для фальсификации другого документа.

Тестирование контролей целостности документа и подтверждение того, что пакет доказательств связывает подписанта, действие, время и конечный документ.

Контроль идентичности и подписи

Каждая подпись должна быть уникальной для одного человека, идентичность должна быть проверена, и для небиометрических подписей требуются контролируемые компоненты идентификации.

Соотнесите проверку идентичности, аутентификацию, владение сертификатом, контроль пароля или токена, восстановление и обнаружение злоупотреблений с риском рабочей процедуры.

Как eSign.AI может поддерживать рабочую процедуру подписания Part 11

eSign.AI предоставляет возможности электронной подписи и доказательств, которые могут быть настроены как часть регулируемого процесса. Соответствие все еще зависит от намеренного использования клиента, применимых правил предшественников, процедур, подхода к валидации, метода идентификации и сохраняемых доказательств.

Смысл и визуализация подписи

Рабочие процедуры могут записывать причину подписания вместе с информацией о подписантe и событии подписания, помогая командам представлять действия, такие как проверка, одобрение или ответственность.

Проверка подписанта и управление счетами

Настройка параметров проверки подписанта и безопасности учетной записи может поддерживать требования идентичности и доступа. Выбранный метод должен быть оценен в соответствии с рабочей процедурой и моделью риска организации.

Доказательства аудита

События подписания, информация о завершении и подтверждающие доказательства могут помочь командам重建谁 действовал, что было подписано и когда произошло событие.

Интеграция рабочего процесса и системы

Интеграция API и рабочего процесса может соединить шаги подписания с системами качества, клиническими, документационного управления или бизнес-системами, в то время как организация определяет границы системы и обязанности по валидации.

Что это не означает

Использование eSign.AI само по себе не делает организацию или процесс соответствующим Part 11. Соответствие зависит от полного системы, конфигурации, процедур, людей, обучения, записей и постоянного управления.

Шесть шагов для внедрения

Treat Part 11 as a controlled business process, not a feature toggle.

Инвентаризация регулируемых записей

Определите предикатное правило, владельца записи, необходимую подпись, срок хранения, маршрут подачи и версию, на которую действительно рассчитывают.

Определите предполагаемое использование и границы системы

Укажите, что будет делать платформа электронной подписи, какие подключенные системы остаются авторитетными и где хранятся записи и доказательства.

Установите управление идентификацией, доступом и подписанием

Настройте проверку подписанта, аутентификацию, роли, значение подписания, проверки полномочий, восстановление квалификаций и деактивацию счета.

Разработайте пакет доказательств

Подтвердите конечную запись, имя подписанта, время, значение подписания, историю событий, доказательства целостности и формат экспорта, требуемый для проверки.

Валидируйте по риску и предполагаемому использованию

Тестируйте критические требования, негативные пути, разрешения, связь подписи, аудиторские события, экспорт, интеграцию и восстановление после отказа.

Работайте под контролируемыми процедурами

Поддерживайте SOP, обучение, периодические проверки доступа, управление инцидентами, контроль изменений, надзор за поставщиками и триггеры повторной валидации.

Требования 21 CFR Part 11 по сравнению с внедрением eSign.AI

Мapping FDA regulatory requirements to specific platform capabilities.

Часть 11.50: проявления подписи

Requirement: printed copies must show signature name, date/time, and meaning. eSign.AI implementation: every signed PDF includes a signature manifest page listing all signers, timestamps (UTC + local), and signing purpose. This is auto-generated and tamper-evident.

Часть 11.70: связь подписи/записи

Требование: электронные подписи должны быть связаны с их электронными записями, чтобы их нельзя было извлечь, скопировать или передать. Реализация eSign.AI: подписи криптографически связаны с хэшом документа. Любые изменения после подписания аннулируют подпись. Журнал аудита записывает хэш документа в момент подписания.

Часть 11.200: небиометрические подписи

Требование: два различных компонента идентификации (например, ID пользователя + пароль). Реализация eSign.AI: поддерживает двуфакторную подпись (email/пароль + SMS OTP, или SSO + KBA). Для закрытых систем платформа обеспечивает аутентификацию на основе сеанса,combined with per-signature confirmation.

Требования 21 CFR Part 11 к возможностям платформы

Как eSign.AI решает каждую важную подподразделение Part 11.

Часть 11.10: контроль закрытой системы

Часть 11.10 требует проверки, журналов аудита, системной документации и контроля доступа. eSign.AI предоставляет: проверенные шаблоны рабочих процессов, полные журналы аудита (60-80 событий на подпись), сертифицированная по ISO 27001 инфраструктура, контроль доступа на основе роли с пользовательскими ролями и разрешениями, водяной знак на экране и управление сеансами. Журнал аудита платформы записывает, кто выполнял каждое действие, когда (с UTC-меткой времени), откуда (IP и геолокация) и как (метод аутентификации).

Часть 11.50, 11.70, 11.200: контроль подписи

11.50 требует проявлений подписи (имя, дата/время, значение). 11.70 требует связи подписей с их записями. 11.200 требует двух компонентов идентификации для небиометрических подписей. eSign.AI генерирует подписанный манифест подписи для каждого документа, криптографически связывает подписи с хэшами документов и поддерживает двуфакторную подпись (SSO + OTP на каждую подпись, или пароль + KBA).

Проникновение в отрасль: фармация и медицинские устройства

В жизни sciences, соответствие Part 11 является обязательным для документов клинических испытаний, записей партий, лабораторных данных и регуляторных submissions. Модуль FDA Part 11 в eSign.AI включает capture подписного обоснования, стиль ручной подписи, запись времени и распознавание лица для проверки личности подписанта — функции, специально разработанные для удовлетворения требований инспекции FDA.

ОБЩИЕ ВОПРОСЫ

Вопросы, которые команды задают о электронных подписях Part 11

Нет. Диапазон зависит от применимого предписывающего правила, требуется ли вести или подавать запись, и зависит ли организация от электронной записи для регулируемой деятельности. Запишите решение по диапазону для каждого типа записи.

Электронный код федеральных правил: 21 CFR Part 11 Руководство FDA: Part 11, Электронные записи; Электронные подписи — Область применения и действие Руководство FDA: Электронные системы, электронные записи и электронные подписи в клинических исследованиях

Команда обсуждает подходящий подход к электронной подписи для бизнеса

Подберите подходящий подход к электронной подписи для вашего бизнеса

Обсудите с нашей командой требования к электронной подписи, вопросы соответствия и документооборота на ваших целевых рынках.

Связаться с нами

Продолжить чтение

Глоссарий