Assinaturas eletrónicas do Anexo 11 e Parte 11: o que os inspetores esperam

O seu estabelecimento está a passar a revisão de registos de lote, aprovações de desvios ou aprovação de POP de assinaturas manuscritas para um sistema eletrónico, ou já o fez e tem uma inspeção marcada. Em qualquer dos casos, alguém irá em breve pedir-lhe que demonstre que uma assinatura eletrónica no seu sistema tem o mesmo significado que uma assinatura manuscrita e que ninguém pode alterar discretamente um registo depois de este ter sido assinado. Este artigo explica o que o Anexo 11 das BPF da UE e a 21 CFR Parte 11 exigem efetivamente dos registos e assinaturas eletrónicos, como as orientações de integridade dos dados da MHRA e do PIC/S traduzem esses requisitos em práticas de inspeção e quais as evidências específicas que deve ter preparadas.

Dois textos, uma intenção

O Anexo 11 das BPF da UE (EudraLex Volume 4, Sistemas Informatizados) está em vigor desde 30 de junho de 2011. É curto, com cerca de cinco páginas, e assenta em princípios: a gestão dos riscos determina a extensão da validação e dos controlos de integridade dos dados. Em julho de 2025, foi publicada para consulta uma revisão substancialmente mais extensa, juntamente com uma revisão do Capítulo 4 e um novo Anexo 22 sobre inteligência artificial. Até que o texto final seja adotado e entre em vigor, a versão de 2011 é aquela em relação à qual será inspecionado, embora o projeto seja um indicador razoável da orientação para onde se dirige a atenção dos inspetores.

A 21 CFR Parte 11 é a regulamentação dos EUA relativa a registos e assinaturas eletrónicos. É mais prescritiva do que o Anexo 11 e, se fornecer o mercado dos EUA ou for auditado por um parceiro norte-americano, terá de a cumprir. Os dois textos raramente entram em conflito. Quando o Anexo 11 indica o resultado esperado, a Parte 11 especifica muitas vezes exatamente quais as informações que têm de estar presentes, pelo que um sistema concebido para ambos tende a satisfazer os dois.

Assinaturas eletrónicas: significado, ligação e identidade

A cláusula 14 do Anexo 11 tem três linhas. Espera-se que as assinaturas eletrónicas tenham o mesmo efeito que as assinaturas manuscritas dentro dos limites da empresa, estejam permanentemente ligadas ao respetivo registo e incluam a data e a hora em que foram aplicadas. A cláusula 15 acrescenta que, quando um sistema regista a certificação de lotes, só as Pessoas Qualificadas podem certificar e têm de o fazer com uma assinatura eletrónica.

A Parte 11 fornece os pormenores. A secção 11.50 exige que um registo assinado indique o nome completo do signatário, a data e a hora da assinatura e o significado da assinatura, por exemplo revisão, aprovação, responsabilidade ou autoria; estes dados têm de constar em qualquer formato legível por pessoas do registo, incluindo uma impressão ou PDF. A secção 11.70 exige que as assinaturas estejam ligadas aos respetivos registos, de modo que não possam ser retiradas, copiadas ou transferidas para falsificar outro registo. A secção 11.100 determina que cada assinatura seja única para uma pessoa e nunca seja reatribuída; a secção 11.200 exige, para assinaturas que não se baseiem em dados biométricos, pelo menos dois elementos de identificação distintos, como um ID de utilizador e uma palavra-passe.

As orientações da MHRA sobre integridade dos dados GxP (secção 6.14) são claras quanto ao atalho mais comum: uma imagem de assinatura inserida, ou uma nota de rodapé a indicar que um documento foi assinado eletronicamente, não é adequada, a menos que provenha do processo de assinatura validado. As orientações designam o nome visível, o cargo, a data e o significado como a «manifestação da assinatura». O PIC/S PI 041-1 acrescenta um teste que deteta a maioria dos sistemas deficientes: se um registo assinado for alterado posteriormente, a assinatura deve ser invalidada até que o registo volte a ser revisto e assinado.

Assim, ao testar um sistema, assine o encerramento de um desvio e, em seguida, experimente três coisas. Edite um campo do registo assinado. Imprima ou exporte o registo e confirme que a manifestação continua visível. Peça a um administrador para alterar a identidade de quem o assinou. Num sistema bem concebido, a primeira ação invalida a assinatura ou força a criação de uma nova versão, a segunda apresenta o nome, a data, a hora e o significado, e a terceira é impossível ou, no mínimo, deixa uma entrada no trilho de auditoria que identifica o administrador.

Requisitos do trilho de auditoria na prática

A cláusula 9 do Anexo 11 exige que o sistema registe, com base numa avaliação de risco, todas as alterações e eliminações relevantes para as BPF, com o motivo documentado, e que os trilhos de auditoria estejam disponíveis, possam ser convertidos para um formato geralmente inteligível e sejam revistos regularmente. A secção 11.10(e) da Parte 11 exige trilhos de auditoria seguros, gerados por computador e com marca temporal, que registem de forma independente as entradas dos operadores e as ações que criam, modificam ou eliminam registos, sem ocultar as informações registadas anteriormente.

As orientações da MHRA (secção 6.13) descrevem o conteúdo como o «quem, o quê, quando e porquê» de cada ação, incluindo o fuso horário, quando relevante, e indicam que os utilizadores não devem poder alterar nem desativar o trilho de auditoria. A secção 9.6 do PIC/S PI 041-1 vai mais longe. A funcionalidade do trilho de auditoria deve estar ativada e bloqueada; se um administrador a puder desativar, essa ação deve ser registada automaticamente. Os trilhos de auditoria críticos devem ser revistos juntamente com os restantes registos de uma operação antes de esta ser concluída, por exemplo, antes da libertação do lote. Os trilhos não críticos podem ser revistos durante a revisão periódica do sistema.

É na revisão que os estabelecimentos mais frequentemente ficam aquém do esperado. Ninguém espera que um revisor leia todos os eventos de início de sessão; as orientações da MHRA dizem-no diretamente. O que os inspetores esperam é uma decisão documentada sobre quais as entradas do trilho de auditoria que são importantes, um procedimento que indique quem as revê e quando, e registos que demonstrem que a revisão foi realizada. A revisão por exceção é aceite: filtre as alterações a campos críticos, as eliminações, as assinaturas aplicadas após um atraso prolongado ou as edições feitas por administradores, e registe o que encontrou e as medidas tomadas.

Um exemplo prático. É registado um desvio devido a um desvio de temperatura numa câmara frigorífica. O investigador regista inicialmente o desvio como tendo durado 40 minutos e, dois dias depois, altera a duração para 25 minutos. O trilho de auditoria deve mostrar ambos os valores, quem fez a alteração, quando e o motivo («corrigido após revisão da exportação do registador»). O revisor que aprova o encerramento do desvio deve ver essa alteração, e o registo da revisão do trilho de auditoria deve demonstrar que esta foi analisada. Se o campo do motivo indicar «erro tipográfico» e os dados do registador mostrarem 40 minutos, terá criado uma constatação de integridade dos dados por sua própria iniciativa.

Controlo de acesso

A cláusula 12 do Anexo 11 exige controlos físicos ou lógicos que restrinjam o acesso a pessoas autorizadas, proporcionais à criticidade do sistema; registos da criação, alteração e cancelamento das autorizações de acesso; e sistemas concebidos para registar a identidade de qualquer pessoa que introduza, altere, confirme ou elimine dados, com a data e a hora. A secção 11.10(d) e (g) da Parte 11 exige que o acesso seja limitado a pessoas autorizadas e que sejam efetuadas verificações de autoridade para determinar quem pode assinar, alterar registos ou realizar operações.

As orientações da MHRA são explícitas: não devem ser utilizadas credenciais partilhadas nem acessos genéricos para dados GxP, mesmo quando as contas individuais implicam licenças adicionais. O acesso de administrador do sistema deve ser limitado ao menor número possível de pessoas, e os direitos de administrador não devem ser atribuídos a pessoas com um interesse direto nos dados, como um analista cujos resultados se encontram no sistema. O PIC/S acrescenta que o sistema deve permitir a listagem de todos os utilizadores e das respetivas funções, e que essa lista deve ser utilizada nas revisões periódicas de acesso dos utilizadores.

Numa empresa pequena, é aqui que a situação se torna desconfortável. Muitas vezes, o responsável pela Garantia da Qualidade é também o administrador do sistema. Se tal for inevitável, documente a avaliação de risco, mantenha uma conta de administrador nominativa separada, utilizada apenas para tarefas administrativas, e peça a outra pessoa para rever o trilho de auditoria dessa conta.

ALCOA+ como lista de verificação prática

Tanto as orientações da MHRA (secção 3.10) como o PIC/S PI 041-1 utilizam ALCOA+: Atribuível, Legível, Contemporâneo, Original e Exato, mais Completo, Consistente, Duradouro e Disponível. A MHRA observa que não existe diferença nas expectativas, independentemente do acrónimo utilizado. Esta abordagem torna-se útil quando aplicada a um tipo de registo de cada vez.

Aplique esta tabela aos seus registos de desvios, CAPA, controlo de alterações e formação, e terá os elementos fundamentais de uma avaliação de risco para a integridade dos dados.

Revisão periódica

A cláusula 11 do Anexo 11 exige que os sistemas informatizados sejam avaliados periodicamente para confirmar que continuam num estado validado e em conformidade com as BPF. Quando adequado, a avaliação deve abranger a funcionalidade atual, os registos de desvios, os incidentes, os problemas, o histórico de atualizações, o desempenho, a fiabilidade, a segurança e o estado da validação. O PIC/S PI 041-1 pede que a frequência seja definida com base no risco e que a revisão tenha em conta o efeito cumulativo das alterações desde a revisão anterior.

No caso de um eQMS na cloud que recebe várias atualizações por ano, o efeito cumulativo é importante. Cada atualização pode ter passado a sua própria avaliação de impacto, mas, ao longo de um ano, as alterações podem modificar o encaminhamento das aprovações ou o conteúdo captado pelo trilho de auditoria. Uma revisão anual útil compara o sistema tal como foi validado com o sistema em funcionamento atualmente, volta a verificar o acesso dos utilizadores, analisa uma amostra dos registos de revisão do trilho de auditoria, confirma que foi testado o restauro de uma cópia de segurança (cláusula 7.2 do Anexo 11) e termina com uma conclusão assinada: continua num estado validado ou não, e quais as medidas a tomar.

O que os inspetores pedem para ver

Os inspetores costumam pedir-lhe que demonstre o sistema em direto, em vez de lhes mostrar um dossier. Conte com pedidos deste tipo:

1. O inventário dos sistemas informatizados e das respetivas funções relacionadas com as BPF (cláusula 4.3 do Anexo 11).
2. O resumo da validação do sistema em análise e a forma como os requisitos dos utilizadores são rastreados até aos testes.
3. Um registo assinado, seguido de uma demonstração do que acontece quando alguém tenta alterá-lo.
4. O trilho de auditoria de um registo específico escolhido pelo inspetor e o registo da respetiva revisão.
5. A lista atual de utilizadores e respetivas funções, bem como a última revisão periódica de acessos.
6. O acordo com o fornecedor do sistema e a sua avaliação do mesmo (cláusula 3 do Anexo 11).
7. O último relatório de revisão periódica e as evidências do restauro de uma cópia de segurança.
8. No caso dos registos de libertação de lotes, uma impressão que mostre se os dados foram alterados após a introdução original (cláusula 8.2 do Anexo 11).

Pratique. Peça à pessoa que irá conduzir a demonstração para ensaiar com um registo de teste, tendo um colega independente a desempenhar o papel de inspetor e a escolher o registo.

Em resumo

O Anexo 11 e a Parte 11 pedem o mesmo, com palavras diferentes: uma assinatura tem de identificar uma pessoa, indicar o que esta pretendeu, permanecer ligada ao registo exato que assinou e manter-se visível após a impressão; um trilho de auditoria tem de mostrar quem alterou o quê, quando e porquê, e alguém tem de o ler. Escolha três tipos de registo esta semana, aplique-lhes a tabela ALCOA+ e os testes de assinatura e corrija as falhas antes que um inspetor as detete.

Se quiser realizar estes testes num sistema concebido para fabricantes sujeitos a regulamentação, o InnoQualis é um eQMS alojado na UE, com um trilho de auditoria apenas de adição e assinaturas eletrónicas concebidas para apoiar a 21 CFR Parte 11 e o Anexo 11 das BPF da UE.