Validação de Sistemas Computadorizados

Nesse artigo vamos tratar de mais um tema que sempre gera dúvidas na rotina da indústria farmacêutica: a Validação de Sistemas Computadorizados.

Porque validar?

O objetivo principal da validação de sistemas computadorizados é comprovar através de testes documentados que os sistemas cumprem adequadamente com suas funções de forma consistente e segura.

Onde encontrar orientações?

O principal guia para os profissionais que validam os sistemas é o GAMP®5 (Good Automated Manufacturing Practice- A Risk Based Approach to Compliant GxP Computerized Systems) que está atualmente na versão 5, porém o acesso à esse documento é restrito, por ser pago e também por somente ser disponibilizado na língua inglesa.

Além do GAMP, a norma do FDA (Food and Drugs Administration) 21 CFR (Code of Federal Regulation) Part11 estabelece regras para utilização de registro eletrônico nas indústrias de ciências da vida.

O que eu indico inicialmente é Guia de Validação de Sistemas Computadorizados da ANVISA que tem o GAMP5 como principal referência, além de abordar as normas FDA 21 CFR Part11. Essa é a melhor opção para quem está entrando no mundo de Validação de Sistemas Computadorizados.

O que validar?

É comum que após seu primeiro contato com o conceito de validação de sistemas você acredite que precise validar tudo que possui um software. Mas, calma! Antes de ligar a sirene de emergência, vamos entender um pouco sobre o escopo da VSC.

Os sistemas que demandam validação, são os chamados “Sistemas BPx Relevantes” (boas práticas, onde x pode ser fabricação, distribuição, laboratório e etc.), ou seja é todo e qualquer sistema que tenha impacto na:

• Saúde do paciente;
• Qualidade do produto;
• Integridade de dados.

Facilitou? Provavelmente não muito né?! Entendo sua angústia, também já passei por ela (rs) e aqui vai uma dica:

Elabore um documento para determinar a necessidade de validar ou não um sistema, com as questões abaixo.

Caso qualquer resposta a essas perguntas seja “SIM”, o sistema deve ser validado por ter impacto em BPx:

• O sistema armazena dados que impliquem na rastreabilidade de produtos?
• O sistema gerencia:
  • A operação automatizada de equipamentos produtivos críticos ou de laboratórios individualmente (ex. compressoras, secadores de leito fluidizado, HPLC, dissolutores, etc.)?
  • A operação automatizada da geração de utilidades críticas (ex. água purificada, ar condicionado,ar puro, água para injetáveis, etc.)?
  • Cadastramento de apresentações, dosagens, matérias primas, embalagens, potências, tamanho de lotes, etapas de produção, fórmulas mestras, etc.?
  • O planejamento de produção (ex. ordens de produção, números de lote, matérias primas, embalagens, etc.)?
  • O processo de compras de materiais (ex. qualificação de fornecedores, controle de pedidos de fornecedores previamente qualificados, quantidades, potências, especificações, etc.)?
  • O recebimento de materiais (ex. número de lotes, plano de amostragem, condições físicas, registro de avarias, etc.)?
  • O armazenamento de materiais (ex. status, endereçamento, movimentações e transferências, recolhimentos, etc.)?
  • A central de pesagem (ex. ordens de pesagem, potências, fracionamento, recipientes, balanças, etiquetas e lacres, resultados das pesagens, operadores, lotes de produtos, lotes de materiais, etc.)?
  • O controle de produção (ex. ordens de fabricação, controles em processo, registros, operadores, materiais, números de lotes, equipamentos utilizados, sequências de utilização e operação, alarmes, amostras, etc.)?
  • O serviço de atendimento ao cliente (ex. reclamações, ações, eventos adversos, etc.)?
  • documentação (ex. emissão, distribuição, revisão, controle de versões obsoletas, treinamento, etc.)?
  • Sistemas de qualidade (ex. resultados fora de especificação, auto inspeção, desvios, controle de mudanças, registros de resultados de análise de matéria prima, embalagem ou produtos, revisão periódica, etc.)?
  • Programa de treinamento (ex. escopo, instrutores, listas de presença, certificados, etc.)?
  • Equipamentos (ex. plano e execução de manutenção, plano e execução de calibração, plano e execução de qualificação, etc.)?

Enfim, todos os sistemas computadorizados que tenham relação direta ou indireta com a produção de medicamento/produto para saúde ou impacto na rastreabilidade do mesmo, precisa ser validado!!!

Todo Sistema é Validável?  

Pronto! Agora você já mapeou todos os sistemas que precisam ser validados, então, mão à obra, correto? Ainda não! Temos mais uma verificação a fazer antes de elaborar todas as documentações. O ponto é: nem todos os sistemas são validáveis. E agora? Como fazer esse mapeamento? E o que fazer se o sistema não cumprir os pré-requisitos?

Vamos lá!

A validação de um sistema computadorizado não se resume a realizar testes para confirmar o correto funcionamento de um software, e suas interações com o hardware. Ela deve também levar em consideração os aspectos relacionados à infraestrutura, segurança, manutenção de dados, dentre outros.

Primeiramente, ele deve seguir os requisitos de conformidade com FDA 21 CFR Part11, ou seja, de forma resumida, o sistema deve contemplar:

• Capacidade de armazenamento de dados críticos de operações ou controles com relevância em relação às BPx, arquivos eletrônicos invioláveis (banco de dados com backup e restore);
• Audit Trail – quem entrou no sistema, quando, que horas, o que fez, porque fez, de onde fez?
• Controle para que entradas e modificações de dados sejam realizadas apenas por pessoas autorizadas (devem ser utilizadas medidas de segurança, tais como utilização de senhas, código pessoal, chaves ou acesso restrito aos terminais);
• Diferentes níveis de senhas de usuários e usuários individuais;
• Assinatura eletrônica = identificação + senha;
• Controle rigoroso de recuperação de senhas;
• Capacidade de registrar tentativas de acesso por pessoas não autorizadas;
• Capacidade de registrar os acessos autorizados, incluindo usuário, hora e data;
• Possibilidade de impressão dos dados armazenados eletronicamente;

Se algum item acima não for atendido pelo sistema que você está analisando, ele não é passível de validação.

Mas e aí? Simplesmente deixamos de lado? Sei que você sabe que a resposta é NÃO.

Este sistema deverá passar pelo processo de mitigação, que basicamente trata-se de elaborar procedimentos que cubram as falhas do sistema. Por exemplo: o sistema não possui campo para datar e assinar os registros eletrônicos, então para esse sistema deve ser usado registro em papel.

Caso a mitigação ou upgrade não seja possível, a troca do sistema deve ser considerada, pois ele não poderá ser validado.

Dica valiosa: Se você está adquirindo um sistema novo, deve solicitar esses requerimentos ao fabricante, antes da compra.

Como Validar?

Agora que seu mapeamento foi finalizado, vamos colocar a mão na massa:

Quem é responsável por Validar?

A melhor opção é uma equipe multidisciplinar, porém cada empresa possui sua divisão. A melhor opção em minha opinião é o gerenciamento pelo time da qualidade com o apoio dos times da engenharia e informática para elaboração/revisão dos documentos, e os testes elaborados e executados pelo usuário do sistema ou fornecedor do sistema.

Inventário de Sistemas Computadorizados

O Inventário de Sistemas Computadorizados é utilizado para identificar todos os sistemas existentes na empresa.

O documento deverá conter as seguintes informações:

• Identificação, descrição e versão do sistema;
• Identificação do dono do sistema;
• Avaliação do impacto em BPx (ex, alto, médio e baixo);
• Estado do sistema (validado, não validado, etc.);
• Número do relatório de validação, caso o sistema já tenha sido validado;
• Interfaces com outros sistemas.

O inventário deve contemplar sistemas computadorizados, sistemas computadorizados embarcados, ou seja, acoplados a um equipamento (ex: compressora, estufa, HPLC, etc), planilhas eletrônicas e infraestrutura de sistemas (clique aqui para ver o nosso artigo sobre Validação de Planilhas Eletrônicas)

Documentos Necessários para Validação – Ciclo de Vida

Chamamos de “ciclo de vida dos documentos” os eventos presentes ao longo de todo o tempo de uso de determinado sistema.  Esses eventos consistem basicamente de: definição das especificações de um sistema para a compra, aquisição do sistema, instalação, liberação, rotina de uso e descontinuidade.

A figura a seguir mostra a abordagem geral do ciclo de vida de sistemas computadorizados (modelo em V).

Tanto o GAMP5, como o Guia da ANVISA detalham o ciclo de vida exato necessário para cada tipo de sistema e separam da seguinte forma:Para esclarecer melhor, a tabela a seguir mostra os principais documentos que devem ser previstos para o ciclo de vida da validação de um sistema computadorizado.O que deve ser testado?

Todos os riscos levantados na análise de riscos devem ser verificados/testados, afinal cada sistema tem suas particularidades. Entretanto alguns cenários de riscos são comumente apresentados e devem ser testados, exemplos:

Na Qualificação de Instalação é necessário verificar:

• Procedimentos para uso do software;
• Procedimentos de backup e restore;
• Antivírus;
• Procedimento de concessão de acesso, níveis de perfis e permissões do sistema;
• Hardwares que fazem parte desse software (desktops, coletores, impressoras e etc.),
• Software operacional e de aplicação e as versões;
• Navegador web e DLL (se aplicável);
• Instalação em ambiente de qualidade para execução dos testes.

Na Qualificação de Operação é necessário testar:

• Comportamento do sistema perante queda de energia;
• Permissões para perfis de acesso criados;
• Segurança de acesso;
• Qualidade do registro eletrônico produzido pelo sistema incluindo trilha de auditoria;
• Aplicação de assinaturas eletrônicas;
• Funcionalidades do sistema, verificar se ele opera de acordo com o que foi descrito na especificação funciona;
• Funcionamento dos hardwares.

Na Qualificação de Desempenho é necessário testar:

• Simular o funcionamento do inicio ao fim do processo e verificar se está de acordo com o solicitado no Requerimento de Usuário.

Em alguns casos (ex: sistemas tipo ERP), pode ocorrer a instalação e testes em um ambiente de testes controlado. Após a aprovação destes testes, ocorre a instalação do sistema em um ambiente de produção, e então a qualificação de instalação deve ser executada novamente para garantir que o mesmo sistema que foi testado no ambiente de  testes está em produção, além disso, após o sistema entrar em produção o mesmo deve ser monitorado por um período de tempo estipulado no plano de validação para garantir que o sistema está funcionando corretamente.

Se quiser saber mais sobre sistemas computadorizados a BPx oferece treinamentos (online e presencial), consulte-nos!