Firmas electrónicas del Anexo 11 y Parte 11: qué esperan los inspectores
Una interpretación práctica del Anexo 11 de las BPF de la UE y la 21 CFR Parte 11: firmas, pistas de auditoría, control de acceso, ALCOA+ y revisión periódica, así como las pruebas que solicita un inspector.
Su centro está trasladando la revisión de registros de lote, las aprobaciones de desviaciones o la aprobación de PNT de la tinta y el papel a un sistema electrónico, o ya lo ha hecho y tiene una inspección en el calendario. En cualquier caso, pronto alguien le pedirá que demuestre que una firma electrónica en su sistema significa lo mismo que antes significaba una firma manuscrita, y que nadie puede cambiar discretamente un registro después de firmarlo. Este artículo explica qué exigen realmente el Anexo 11 de las BPF de la UE y la 21 CFR Parte 11 para los registros y las firmas electrónicas, cómo las directrices de integridad de datos de la MHRA y PIC/S convierten esos requisitos en prácticas de inspección, y qué pruebas concretas debe tener preparadas.
Dos textos, un mismo propósito
El Anexo 11 de las BPF de la UE (EudraLex, volumen 4, sistemas informatizados) está en vigor desde el 30 de junio de 2011. Es breve, de unas cinco páginas, y se basa en principios: la gestión de riesgos determina el alcance de la validación y de los controles de integridad de datos. En julio de 2025 se publicó para consulta un borrador de revisión considerablemente más extenso, junto con una revisión del capítulo 4 y un nuevo Anexo 22 sobre inteligencia artificial. Hasta que se adopte el texto definitivo y entre en vigor, la versión de 2011 es la que se utilizará en las inspecciones, aunque el borrador ofrece una indicación fiable de hacia dónde se dirige la atención de los inspectores.
La 21 CFR Parte 11 es la normativa estadounidense sobre registros y firmas electrónicas. Es más prescriptiva que el Anexo 11 y deberá cumplirla si suministra al mercado estadounidense o si un socio estadounidense le audita. Los dos textos rara vez entran en conflicto. Cuando el Anexo 11 indica qué resultado se espera, la Parte 11 suele especificar exactamente qué información debe incluirse, por lo que un sistema diseñado para cumplir ambos suele satisfacerlos.
Firmas electrónicas: significado, vinculación e identidad
La cláusula 14 del Anexo 11 tiene tres líneas. Se espera que las firmas electrónicas tengan el mismo efecto que las firmas manuscritas dentro de la empresa, estén vinculadas permanentemente a su registro correspondiente e incluyan la fecha y la hora en que se aplicaron. La cláusula 15 añade que, cuando un sistema registre la certificación de un lote, solo las Personas Cualificadas podrán certificarlo y deberán hacerlo con una firma electrónica.
La Parte 11 especifica los detalles. La sección 11.50 exige que un registro firmado muestre el nombre legible del firmante, la fecha y hora de la firma, y el significado de esta, como revisión, aprobación, responsabilidad o autoría. Estos datos deben aparecer en cualquier formato legible por las personas, incluida una copia impresa o un PDF. La sección 11.70 exige que las firmas estén vinculadas a sus registros de forma que no puedan extraerse, copiarse ni transferirse para falsificar otro registro. La sección 11.100 establece que cada firma debe ser exclusiva de una persona y no reasignarse nunca, y la sección 11.200 exige al menos dos componentes de identificación distintos, como un ID de usuario y una contraseña, para las firmas que no se basan en datos biométricos.
La guía de integridad de datos GxP de la MHRA (sección 6.14) es tajante sobre un atajo habitual: una imagen insertada de una firma o una nota al pie que indique que un documento se firmó electrónicamente no son adecuadas, salvo que provengan del proceso de firma validado. La guía denomina «manifestación de la firma» al nombre, el cargo, la fecha y el significado que se muestran. La PIC/S PI 041-1 añade una prueba que detecta la mayoría de los sistemas deficientes: si se modifica un registro firmado, la firma debe invalidarse hasta que el registro se haya revisado de nuevo y se vuelva a firmar.
Por tanto, cuando pruebe un sistema, firme el cierre de una desviación y después intente tres cosas. Edite un campo del registro firmado. Imprímalo o expórtelo y compruebe que la manifestación sigue presente. Pida a un administrador que cambie quién lo firmó. En un sistema bien diseñado, la primera acción invalida la firma o fuerza la creación de una nueva versión; la segunda muestra el nombre, la fecha, la hora y el significado; y la tercera es imposible o, como mínimo, deja una entrada en la pista de auditoría que identifica al administrador.
Requisitos de las pistas de auditoría en la práctica
La cláusula 9 del Anexo 11 exige que, según una evaluación de riesgos, el sistema registre todos los cambios y eliminaciones pertinentes para las BPF, que se documente el motivo y que las pistas de auditoría estén disponibles, puedan convertirse a un formato generalmente comprensible y se revisen periódicamente. La sección 11.10(e) de la Parte 11 exige pistas de auditoría seguras, generadas por ordenador y con marca de tiempo, que registren de forma independiente las entradas del operador y las acciones que crean, modifican o eliminan registros, sin ocultar la información registrada previamente.
La guía de la MHRA (sección 6.13) describe el contenido como el «quién, qué, cuándo y por qué» de cada acción, con la zona horaria cuando corresponda, y establece que los usuarios no deben poder modificar ni desactivar la pista de auditoría. La sección 9.6 de la PIC/S PI 041-1 va más allá. La funcionalidad de la pista de auditoría debe estar habilitada y bloqueada; si un administrador puede desactivarla, esa acción debe registrarse automáticamente. Las pistas de auditoría críticas deben revisarse junto con los demás registros de una operación antes de completarla, por ejemplo, antes de la liberación del lote. Las pistas no críticas pueden revisarse durante la revisión periódica del sistema.
La revisión es donde los centros suelen quedarse cortos. Nadie espera que un revisor lea cada evento de inicio de sesión; la guía de la MHRA lo dice directamente. Lo que esperan los inspectores es una decisión documentada sobre qué entradas de la pista de auditoría son importantes, un procedimiento que indique quién las revisa y cuándo, y registros que demuestren que se hizo. Se acepta la revisión por excepción: filtre los cambios en campos críticos, las eliminaciones, las firmas aplicadas con mucho retraso o las ediciones realizadas por administradores, y registre lo que encontró y las medidas que tomó.
Un ejemplo práctico. Se registra una desviación por una excursión de temperatura en una cámara frigorífica. Al principio, el investigador registra la excursión como de 40 minutos y, dos días más tarde, la cambia a 25 minutos. La pista de auditoría debe mostrar ambos valores, quién hizo el cambio, cuándo y el motivo («corregido tras revisar la exportación del registrador»). El revisor que apruebe el cierre de la desviación debe ver ese cambio, y el registro de la revisión de la pista de auditoría debe demostrar que se examinó. Si el campo del motivo dice «error tipográfico» y los datos del registrador indican 40 minutos, usted mismo habrá generado una observación de integridad de datos.
Control de acceso
La cláusula 12 del Anexo 11 exige controles físicos o lógicos que restrinjan el acceso a personas autorizadas, en proporción a la criticidad del sistema; registros de la creación, modificación y cancelación de las autorizaciones de acceso; y sistemas diseñados para registrar la identidad de cualquier persona que introduzca, modifique, confirme o elimine datos, junto con la fecha y la hora. La sección 11.10(d) y (g) de la Parte 11 exige limitar el acceso a personas autorizadas y establecer controles de autorización sobre quién puede firmar, modificar registros o realizar operaciones.
La guía de la MHRA indica explícitamente que no se deben usar inicios de sesión compartidos ni accesos de usuario genéricos para datos GxP, aunque las cuentas individuales supongan un coste adicional de licencias. El acceso de administrador del sistema debe limitarse al menor número de personas posible, y no se deben conceder derechos de administrador a personas con un interés directo en los datos, como el analista cuyos resultados están en el sistema. PIC/S añade que el sistema debe poder generar una lista de todos los usuarios y sus funciones, y que esta lista debe utilizarse en las revisiones periódicas de acceso de usuarios.
En una empresa pequeña, este es el punto que suele resultar incómodo. A menudo, el gerente de Aseguramiento de la Calidad también es el administrador del sistema. Si no se puede evitar, documente la evaluación de riesgos, mantenga una cuenta de administrador independiente y nominal, utilizada solo para tareas administrativas, y haga que otra persona revise la pista de auditoría de esa cuenta.
ALCOA+ como lista de comprobación práctica
Tanto la guía de la MHRA (sección 3.10) como la PIC/S PI 041-1 utilizan ALCOA+: Atribuible, Legible, Contemporáneo, Original y Exacto, además de Completo, Coherente, Duradero y Disponible. La MHRA señala que las expectativas no cambian, independientemente del acrónimo que se utilice. El concepto resulta útil cuando se aplica a un tipo de registro cada vez.
| Principio | Pregunta que debe hacerse sobre un registro electrónico de desviación |
|---|---|
| Atribuible | ¿Puede atribuirse cada entrada a una persona identificada? |
| Legible | ¿Puede leerse y entenderse durante todo el período de conservación, incluidas las exportaciones? |
| Contemporáneo | ¿El sistema asigna una marca de tiempo a las entradas cuando se realizan, sin permitir fecharlas retroactivamente? |
| Original | ¿Se conservan los datos capturados inicialmente o una copia fiel verificada? |
| Exacto | ¿Se verifican las entradas críticas y se pueden rastrear las correcciones? |
| Completo | ¿Se conservan todas las versiones, los adjuntos y las entradas de auditoría, incluidas las rechazadas o canceladas? |
| Coherente | ¿Las marcas de tiempo siguen una secuencia en un reloj sincronizado? |
| Duradero | ¿Sobrevivirá a una actualización del sistema, un cambio de proveedor o una migración? |
| Disponible | ¿Puede presentarlo a un inspector dentro del plazo que solicite? |
Aplique esta tabla a sus registros de desviaciones, CAPA, control de cambios y formación, y tendrá la base de una evaluación de riesgos para la integridad de datos.
Revisión periódica
La cláusula 11 del Anexo 11 exige evaluar periódicamente los sistemas informatizados para confirmar que siguen en un estado validado y cumplen las BPF. Cuando corresponda, la evaluación debe incluir la funcionalidad actual, los registros de desviaciones, los incidentes, los problemas, el historial de actualizaciones, el rendimiento, la fiabilidad, la seguridad y el estado de validación. La PIC/S PI 041-1 pide que la frecuencia se determine en función del riesgo y que la revisión tenga en cuenta el efecto acumulativo de los cambios desde la revisión anterior.
En un eQMS en la nube que recibe varias versiones al año, el efecto acumulativo es importante. Cada versión puede haber superado su propia evaluación de impacto, pero, a lo largo de un año, el conjunto podría cambiar la forma en que se enrutan las aprobaciones o lo que registra la pista de auditoría. Una revisión anual útil compara el sistema validado con el sistema tal como funciona actualmente, vuelve a comprobar el acceso de los usuarios, toma una muestra de los registros de revisión de pistas de auditoría, confirma que se probó una restauración de una copia de seguridad (cláusula 7.2 del Anexo 11) y finaliza con una conclusión firmada: el sistema sigue en estado validado o no, junto con las medidas correspondientes.
Qué piden ver los inspectores
Por lo general, los inspectores le pedirán que demuestre el funcionamiento del sistema en directo, en lugar de mostrarles una carpeta. Espere solicitudes como las siguientes:
- El inventario de los sistemas informatizados y sus funciones relacionadas con las BPF (cláusula 4.3 del Anexo 11).
- El resumen de validación del sistema que están inspeccionando y cómo se relacionan los requisitos de usuario con las pruebas.
- Un registro firmado y, a continuación, una demostración de lo que ocurre cuando alguien intenta modificarlo.
- La pista de auditoría de un registro específico que elijan y el registro de su revisión.
- La lista actual de usuarios con sus funciones y la última revisión periódica de acceso.
- El acuerdo con el proveedor del sistema y su evaluación de este (cláusula 3 del Anexo 11).
- El último informe de revisión periódica y las pruebas de una restauración de copia de seguridad.
- Para los registros de liberación de lotes, una copia impresa que muestre si se modificaron datos después de su entrada original (cláusula 8.2 del Anexo 11).
Practique. Pida a la persona que dirigirá la demostración que ensaye con un registro de prueba, con un colega independiente que haga de inspector y elija el registro.
Conclusión
El Anexo 11 y la Parte 11 piden lo mismo con distintas palabras: una firma debe identificar a una persona, indicar qué quiso expresar, permanecer vinculada al registro exacto que firmó y conservarse al imprimirlo; una pista de auditoría debe mostrar quién cambió qué, cuándo y por qué, y alguien debe revisarla. Esta semana, elija tres tipos de registros, aplique la tabla ALCOA+ y las pruebas de firma, y corrija lo que no cumpla antes de que lo encuentre un inspector.
Si quiere realizar estas pruebas con un sistema diseñado para fabricantes regulados, InnoQualis es un eQMS alojado en la UE, con una pista de auditoría de solo anexado y firmas electrónicas diseñadas para respaldar la 21 CFR Parte 11 y el Anexo 11 de las BPF de la UE.
