Validação de sistemas computadorizados de A a Z

A ideia desse artigo é falar um pouco sobre validação de sistemas computadorizados da forma mais didática possível, para auxiliar a quem quer aprender/aplicar os conceitos. O objetivo principal da validação nesse caso é comprovar através de testes documentados que os sistemas computadorizados cumprem adequadamente com suas funções de forma consistente e segura.

O principal guia para os profissionais que validam os sistemas é o guia GAMP®5 (Good Automated Manufacturing Practice- A Risk Based Approach to Compliant GxP Computerized Systems) que está atualmente na versão 5 , porém esse guia é pago e está em inglês. Além do GAMP, a norma do FDA (Food and Drugs Administration) 21 CFR (Code of Federal Regulation) Part11 estabelece regras para utilização de registro eletrônico nas indústrias de ciências da vida.

O que eu indico inicialmente é Guia de Validação de Sistemas Computadorizados da ANVISA que tem o GAMP5 como principal referência, além de abordar as normas FDA 21 CFR Part11. Essa é a melhor opção para quem está entrando no mundo de Validação de Sistemas Computadorizados.

Preciso Validar Todos os Sistemas da Indústria?

Legal, depois de aprender o conceito de validação de sistemas as pessoas tendem a achar que precisam validar tudo que possui um software, calma aí!

Os sistemas que  demandam validação, são os chamados “Sistemas BPx Relevantes” (boas práticas, onde x pode ser fabricação, distribuição, laboratório e etc.), ou seja é todo e qualquer sistema que tenha impacto na:

•  Saúde do paciente;

•  Qualidade do produto;

•  Integridade de dados.

Facilitou? Provavelmente não muito né, então o que eu sugiro é elaborar um documento para determinar a necessidade de validar ou não um sistema, com as questões abaixo. Caso qualquer resposta às questões abaixo seja “SIM”, o sistema deve ser validado por ter impacto em BPx:

•  O sistema armazena dados que impliquem na rastreabilidade de produtos?

•  O sistema gerencia:

– A operação automatizada de equipamentos produtivos críticos ou de laboratórios individualmente (ex. compressoras, secadores de leito fluidizado, HPLC, dissolutores, etc.)?

– A operação automatizada da geração de utilidades críticas (ex. água purificada, ar condicionado,ar puro, água para injetáveis, etc.)?

– cadastramento de apresentações, dosagens, matérias primas, embalagens, potências, tamanho de lotes, etapas de produção, fórmulas mestras, etc.?

– O planejamento de produção (ex. ordens de produção, números de lote, matérias primas, embalagens, etc.)?

– O processo de compras de materiais (ex. qualificação de fornecedores, controle de pedidos de fornecedores previamente qualificados, quantidades, potências, especificações, etc.)?

– O recebimento de materiais (ex. número de lotes, plano de amostragem, condições físicas, registro de avarias, etc.)?

– O armazenamento de materiais (ex. status, endereçamento, movimentações e transferências, recolhimentos, etc.)?

– A central de pesagem (ex. ordens de pesagem, potências, fracionamento, recipientes, balanças, etiquetas e lacres, resultados das pesagens, operadores, lotes de produtos, lotes de materiais, etc.)?

– O controle de produção (ex. ordens de fabricação, controles em processo, registros, operadores, materiais, números de lotes, equipamentos utilizados, sequências de utilização e operação, alarmes, amostras, etc.)?

– O serviço de atendimento ao cliente (ex. reclamações, ações, eventos adversos, etc.)?

– documentação (ex. emissão, distribuição, revisão, controle de versões obsoletas, treinamento, etc.)?

– Sistemas de qualidade (ex. resultados fora de especificação, auto inspeção, desvios, controle de mudanças, registros de resultados de análise de matéria prima, embalagem ou produtos, revisão periódica, etc.)?

– Programa de treinamento (ex. escopo, instrutores, listas de presença, certificados, etc.)?

– Equipamentos (ex. plano e execução de manutenção, plano e execução de calibração, plano e execução de qualificação, etc.)?

Enfim, todos os sistemas computadorizados que tenham relação direta ou indireta com a produção de medicamento/produto para saúde ou impacto na rastreabilidade do mesmo, precisa ser validado!

Todo Sistema é Validável

Ok, você descobriu que possui um sistema que precisa ser validado, então já quer elaborar todas as documentações, mas ainda temos uma verificação a fazer… Nem todos os sistemas são validáveis.

A validação de um sistema computadorizado não  se resume a realizar testes para confirmar o correto funcionamento de um software, e suas interações com o hardware. Ela deve também levar em consideração os aspectos relacionados à infraestrutura, segurança, manutenção dedados, dentre outros.

Primeiramente ele deve seguir os requisitos de conformidade com FDA 21 CFR Part11, ou seja, de forma resumida, o sistema deve contemplar:

•  Capacidade de armazenamento de dados críticos de operações ou controles com relevância em relação às BPx , arquivos eletrônicos invioláveis (banco de dados com backup e restore);

•  Audit Trail – quem entrou no sistema, quando, que horas, o que fez, porque fez, de onde fez?

•  Controle para que entradas e modificações de dados sejam realizadas apenas por pessoas autorizadas (devem ser utilizadas medidas de segurança, tais como utilização de senhas, código pessoal, chaves ou acesso restrito aos terminais);

•   Diferentes níveis de senhas de usuários e usuários individuais;

•  Assinatura eletrônica = identificação + senha;

•  Controle rigoroso de recuperação de senhas;

•  Capacidade de registrar tentativas de acesso por pessoas não autorizadas;

•  Capacidade de registrar os acessos autorizados, incluindo usuário, hora e data;

•  Possibilidade de impressão dos dados armazenados eletronicamente;

Se algum item acima não for atendido pelo sistema a ser validado, este deverá passar pelo processo de mitigação, que basicamente é elaborar procedimentos que cubram as falhas do sistema, exemplo: o sistema não possui campo para datar e assinar os registros eletrônicos, então para esse sistema deve ser usado registro em papel. Caso a mitigação ou upgrade não seja possível, a troca do sistema deve ser considerada, pois ele não poderá ser validado.

Se você está adquirindo um sistema novo, deve solicitar esses requerimentos ao fabricante, antes da compra.

Como Validar?

Agora você tem um sistema que precisa ser validado validável e quer saber quais são os próximos passos…

Inventário de Sistemas Computadorizados

O Inventário de Sistemas Computadorizados é utilizado para identificar todos os sistemas existentes na empresa.

O inventário de Sistemas Computadorizados deverá conter as seguintes informações:

• Identificação, descrição e versão do sistema;

•  Identificação do dono do sistema;

•  Avaliação do impacto em BPx(ex, alto, médio  e baixo);

• Estado do sistema (validado, não validado, etc.);

• Número do relatório de validação, caso o sistema já tenha sido validado;

• Interfaces com outros sistemas.

O inventário  deve contemplar sistemas computadorizados, sistemas computadorizados acoplados a um equipamento (ex: compressora, estufa, HPLC, etc), planilhas eletrônicas e infraestrutura de sistemas (para esses dois últimos  abordarei em outro artigo).

Quem é Responsável por Validar

A melhor opção é uma equipe multidisciplinar, porém cada empresa possui sua divisão. A melhor opção em minha opinião é o gerenciamento pelo time da qualidade com o apoio dos times da engenharia e informática para elaboração/revisão dos documentos, e os testes elaborados e executados pelo usuário do sistema ou fornecedor do sistema.

Documentos Necessários para Validação – Ciclo de Vida

Chamamos de “ciclo de vida dos documentos” os eventos presentes ao longo de todo o tempo de uso de determinado sistema.  Esses eventos consistem basicamente de: definição das especificações de um sistema para a compra, aquisição do sistema, instalação, liberação, rotina de uso e descontinuidade. A figura a seguir mostra a abordagem geral do ciclo de vida de sistemas computadorizados (modelo em V).

Tanto o GAMP5, como o Guia da ANVISA detalham o ciclo de vida exato necessário para cada tipo de sistema e separam da seguinte forma:

Para esclarecer melhor, a tabela a seguir mostra os documentos que devem ser previstos para o ciclo de vida da validação de um sistema computadorizado de acordo com sua classificação/ categoria.

O que deve ser testado?

Todos os riscos levantados na análise de riscos devem ser verificados/testados, afinal cada sistema tem suas particularidades. Entretanto alguns cenários de riscos são comumente apresentados e devem ser testados, exemplos:

Na Qualificação de Instalação é necessário verificar:

•   Procedimentos para uso do software;

• Procedimentos de backup e restore;

•  Antivírus;

•  Procedimento de concessão de acesso, níveis de perfis e permissões do sistema;

•  Hardwares que fazem parte desse software (desktops, coletores, impressoras e etc.),

•  Software operacional e de aplicação e as versões;

• Navegador web e DLL (se aplicável);

•  Instalação em ambiente de qualidade para execução dos testes.

Na Qualificação de Operação é necessário testar:

•  Comportamento do sistema perante queda de energia;

•   Permissões para perfis de acesso criados;

•  Segurança de acesso;

•   Qualidade do registro eletrônico produzido pelo sistema incluindo trilha de auditoria;

•   Aplicação de assinaturas eletrônicas;

•   Funcionalidades do sistema, verificar se ele opera de acordo com o que foi descrito na especificação funciona;

•   Funcionamento dos hardwares.

Na Qualificação de Desempenho é necessário testar:

• Simular o funcionamento do inicio ao fim do processo e verificar se está de acordo com o solicitado no Requerimento de Usuário.

Em alguns casos (ex: sistemas tipo ERP), pode ocorrer a instalação e testes em um ambiente de testes controlado. Após a aprovação destes testes, ocorre a instalação do sistema em um ambiente de produção, e então a qualificação de instalação deve ser executada novamente para garantir que o mesmo sistema que foi testado no ambiente de  testes está em produção, além disso, após o sistema entrar em produção o mesmo deve ser monitorado por um período de tempo estipulado no plano de validação para garantir que o sistema está funcionando corretamente.

Bruna Vinco – Analista de Validação – http://www.validacaonaindustria.com.br/