Source: https://qualitysystems.it/convalida-dei-sistemi-computerizzati-per-medical-device-i-requisiti-normativi-parte-1/?utm_source=rss&utm_medium=rss&utm_campaign=convalida-dei-sistemi-computerizzati-per-medical-device-i-requisiti-normativi-parte-1
Timestamp: 2020-07-15 18:56:30+00:00
Document Index: 108257987

Matched Legal Cases: ['arte 1', 'art 820', 'art 11', 'art 820', 'art 820', 'art 820', 'art 820', '§25', 'art 820', '§50', 'arte 11', 'arte 11', 'arte 820', '§11', '§11', '§11', '§11', '§11', '§11', '§11', '§11', '§11', '§11', '§11', 'arte 11', '§11', '§11', '§11', '§11', '§11']

Convalida dei sistemi computerizzati per medical device: i requisiti normativi (parte 1)
Poichè per medical device si intende qualunque strumento, apparecchio, apparecchiatura, software, impianto, reagente, materiale destinato dal fabbricante a essere impiegato sull’uomo e che non esercita sul corpo umano l’azione principale cui è destinato mediante mezzi farmacologici, immunologici o metabolici, all’interno della categoria si classificano svariati dispositivi. Per questo il quadro normativo è spesso poco specifico, in modo da adattarsi alle numerose tipologie di dispositivi presenti sul mercato.
In ambito MD si utilizzano quattro tipi di software:
come componenti, parti o accessori di MD
software che sono medical device
utilizzati per la produzione di un dispositivo o per i monitoraggi e le misurazioni
utilizzati per la gestione del sistema qualità del produttore
In questo articolo ci concentreremo solamente sulle ultime due categorie di software.
Iniziamo a vedere qual è il quadro normativo a cui bisogna fare riferimento quando si parla di convalida di software utilizzati per la produzione/monitoraggio/misurazione di un MD o per la gestione del sistema qualità.
FDA, 21 CFR part 820 Medical Devices – Quality System Regulation
FDA, 21 CFR part 11 Electronic records and electronic signatures
Linee guida per la convalida:
I requisiti del 21 CFR Part 820 e ISO 13485:2016
Sia nel 21CFR part 820 che nella ISO 13485 è prevista la convalida dei sistemi computerizzati. Tale convalida deve tenere conto dell’intended use del sistema e deve essere documentata (21 CFR 820, 3(z); 70 (i)) (ISO 13485 4.1.6, 7.5.6, 7.6).
Tra i requisiti di convalida troviamo specifico riferimento alla riconvalida dopo modifica (change control) (21 CFR 820, 70 (i)) (ISO 13485 4.1.6, 7.5.6, 7.6).
Lo sforzo della convalida/riconvalida deve essere proporzionato al rischio associato all’utilizzo del software (ISO 13485 4.1.6, 7.5.6, 7.6).
I requisiti di convalida riguardano anche gli equipment (21 CFR 820,70(g),72(a)) (ISO 13485 6.3, 7.5.1,7.6) che devono essere gestiti secondo procedure di taratura, controllo, manutenzione e gestione (21 CFR 820 72) (ISO 13485 6.3, 7.6).
Per quanto riguarda la conservazione dei dati, nel 21 CFR Part 820 e nella ISO 13485 è richiesta l’accessibilità ai record originali per tutto il periodo di conservazione in modo da minimizzarne il deterioramento e prevenirne la perdita (21 CFR 820 180) (ISO 13485 4.2.5).
I record archiviati in un sistema computerizzato devono inoltre essere soggetti a back-up (21 CFR 820 180).
La ISO 13485 inserisce l’audit trail tra i requisiti di un sistema computerizzato (ISO 13485 4.2.5)
In entrambe i documenti ci sono specifici riferimenti all’addestramento del personale.
I training devono essere effettuati in accordo a una procedura operativa e devono essere documentati (21 CFR 820 25) (ISO 13485 6.2).
21 CFR part 820 §25
Di fondamentale importanza risulta essere la valutazione dei fornitori sulla base della loro capacità di soddisfare i requisiti attesi, inclusi i requisiti di qualità (21 CFR 820 50) (ISO 13485 7.4.1).
21 CFR part 820 §50
Un ulteriore requisito riguarda la gestione della documentazione. I documenti devono essere:
rivisti e approvati, con data e firma, prima dell’emissione
disponibili ove necessario
ritirati quando obsoleti
gestiti secondo procedure.
Devono inoltre esserci procedure di revisione e controllo dei change documentali (21 CFR 820 40) (ISO 13485 4.2.4) e per la corretta gestione delle non conformità e delle CAPA (21 CFR 820 100) (ISO 13485 8.5.2, 8.5.3).
L’ultimo requisito riguarda il rilascio del lotto: il sistema deve chiaramente identificare e registrare l’identità della persona che rilascia o certifica il lotto (ISO 13485 8.2.6).
I requisiti del 21 CFR Parte 11
I requisiti presenti nel 21 CFR parte 11 sono in parte sovrapponibili a quanto previsto dal 21 CFR Parte 820 e dalla ISO 13485. Quindi è richiesta:
la convalida dei sistemi computerizzati (§11.10 (a))
la pronta disponibilità dei record ai fini ispettivi (§11.1 (e))
la protezione dei record durante il periodo di conservazione (§11.10 (c))
la verifica dell’autorità di chi esegue le operazioni (§11.10 (g))
l’uso di audit trail generato in automatico dal sistema che:
registri data e ora delle azioni di creazione, modifica o cancellazione di un record elettronico;
associ l’azione a chi l’ha eseguita;
riporti il valore prima e dopo la modifica
un appropriato controllo della documentazione (§11.10 (k))
l’addestramento del personale (§11.10 (i)).
A questi requisiti si aggiunge:
la possibilità di generare copie complete ed accurate dei record per ispezioni (§11.10 (b))
la limitazione degli accessi ai soli autorizzati (§11.10 (d))
la verifica delle operazioni da parte del sistema, in modo da garantire la corretta sequenza delle azioni (control check) (§11.10 (f))
la verifica che un dispositivo sia corretto per la specifica operazione (device check) (§11.10 (h))
Per i sistemi aperti – un sistema le cui componenti non sono tutte interne alla LAN aziendale – deve essere assicurata la confidenzialità, integrità e autenticità dei dati (ad esempio con la crittografia o la firma digitale) (§11.30).
La firma e i record elettronici
Proprio sulla firma e i record elettronici si concentra il 21 CFR parte 11.
La firma elettronica deve essere unica per ciascun individuo. Prima dell’assegnazione della firma, l’identità dell’assegnatario deve essere verificata (§11.100).
Le firme manoscritte ed elettroniche devono essere legate ai rispettivi record in modo da non poter essere staccate, copiate o trasferite per falsificare un record elettronico (§11.70).
I record elettronici firmati devono contenere le seguenti informazioni legate alla firma:
il nome in chiaro di chi firma
la data e l’ora della firma
il significato della firma (verifica, approvazione, presa visione, ecc. ) (§11.50 (a)).
La firma elettronica deve essere:
composta di almeno due elementi distinti, ad esempio user-ID e password
usata solamente dal suo proprietario
amministrata in modo che il tentativo d’uso da parte di terzi richieda la collaborazione di due o più persone (§11.200 (a)).
Per quanto riguarda ID e password:
devono essere unici
la password deve avere una scadenza
devono esserci meccanismi che rilevino e segnalino ripetuti tentativi di accesso falliti (§11.30).
Nel caso di utilizzo di un token:
devono esserci procedure per disabilitare il token non appena si sospetta che sia stato perso, rubato o clonato;
devono essere effettuati test iniziali e periodici dei token per assicurarne il corretto funzionamento.
Quindi se il software è usato per la produzione o il sistema qualità di un medical device è necessaria la convalida del sistema per assicurare che il sistema soddisfi il suo intended use.
Previous Post Swissmedic: adattati i requisiti per i prodotti combinati
Next Post Nuova linea guida WHO sul data integrity