Pista de auditoría
Registros seguros, generados por el sistema y con fecha y hora, de quién creó, modificó o eliminó una entrada. Los cambios no deben ocultar entradas anteriores, y la pista de auditoría se conserva el mismo tiempo que el registro.
Para empresas farmacéuticas, de biotecnología y de dispositivos médicos
21 CFR Part 11 en su TIRegistros electrónicos confiables
Si guarda en formato electrónico registros que exige la FDA, se aplica 21 CFR Part 11. La norma pide registros confiables, acceso controlado, pistas de auditoría seguras y firmas electrónicas fiables. La validación corresponde a su equipo de aseguramiento de calidad. Nosotros construimos y operamos la infraestructura de TI que la sostiene y entregamos la documentación técnica que su equipo de calidad necesita.
Qué abarca Part 11
21 CFR Part 11 se aplica a los registros electrónicos que las regulaciones de la FDA le exigen conservar y a las firmas electrónicas en esos registros. Ejemplos típicos son registros de lotes, datos de laboratorio, expedientes de quejas, registros de capacitación y registros de un sistema de gestión de calidad.
En su guía sobre alcance y aplicación, la FDA explica que interpreta Part 11 de forma restringida y aplica discrecionalidad en el cumplimiento de algunos requisitos, como la validación, las pistas de auditoría y las copias de registros. Eso no elimina los requisitos de fondo de las normas base (predicate rules), como las GMP. Los controles de acceso, las verificaciones operativas y los requisitos de firma electrónica siguen vigentes en su totalidad.
El núcleo técnico
Control de acceso
Solo las personas autorizadas pueden usar el sistema, firmar registros, modificar datos o realizar operaciones. Asignamos los permisos por rol y los revisamos con regularidad.
Cuentas individuales
Cada firma electrónica pertenece a una sola persona. Las cuentas compartidas no sirven en un entorno Part 11.
Hora sincronizada
Las pistas de auditoría solo sirven si todos los sistemas usan la misma fuente de hora confiable. La configuramos para servidores, equipos de usuario y servicios en la nube.
Respaldo y conservación
Los registros siguen siendo legibles y recuperables durante todo el período de conservación, incluso después de un cambio de sistema. Las restauraciones se prueban y se documentan.
Infraestructura calificada
Los servidores, la red y los servicios en la nube que ejecutan aplicaciones validadas están documentados y se mantienen en un estado definido, con control de cambios.
Firmas electrónicas según Part 11
- Cada firma es exclusiva de una persona y nunca se reutiliza ni se reasigna
- La firma muestra el nombre del firmante, la fecha y la hora, y su significado, como revisión o aprobación
- Las firmas están vinculadas a sus registros, de modo que no se pueden copiar ni eliminar
- Las firmas que no son biométricas usan al menos dos componentes, como un ID de usuario y una contraseña
- Controles de contraseñas y tokens, incluidas revisiones periódicas y la gestión de tokens perdidos
- Su empresa certifica ante la FDA que las firmas electrónicas equivalen legalmente a las firmas manuscritas
Computer Software Assurance
En septiembre de 2025, la FDA publicó la versión final de su guía Computer Software Assurance for Production and Quality System Software. Se aplica al software usado en la producción de dispositivos médicos y en sistemas de calidad, y recomienda un enfoque basado en riesgos: el esfuerzo de validación debe corresponder al riesgo para la calidad del producto y la seguridad del paciente, en lugar de generar la misma documentación para cada herramienta.
Para su TI, esto significa menos scripts de prueba para herramientas de bajo riesgo y más atención a los sistemas que realmente importan. Su equipo de calidad decide el enfoque. Nosotros aportamos los datos técnicos, como descripciones de sistemas, configuraciones y registros de cambios.
Quién es responsable de qué
La validación es responsabilidad de su empresa y de su equipo de aseguramiento de calidad. No validamos sus aplicaciones GxP ni tomamos decisiones regulatorias. Calificamos y operamos la infraestructura, implementamos el control de acceso, el registro de auditoría y el respaldo, y lo documentamos de forma que su equipo de calidad pueda usarlo.
Cómo trabajamos con usted
- 01
Inventario
Junto con su equipo de calidad determinamos qué sistemas contienen registros sujetos a Part 11 y cómo es la infraestructura sobre la que funcionan.
- 02
Lista de brechas
Recibe una lista de brechas técnicas en control de acceso, pista de auditoría, sincronización de hora y respaldo, ordenada por riesgo. La evaluación de seguridad parte de $7,900 y se acredita al proyecto posterior.
- 03
Implementación
Implementamos las medidas y las documentamos para que su equipo de calidad pueda construir sobre ellas la calificación y la validación.
- 04
Operación con control de cambios
Los cambios en la infraestructura siguen un proceso acordado, de modo que su estado validado se mantiene.
Experiencia en investigación farmacéutica
Investigación farmacéutica, internacional · 5 usuarios, Alemania
Asumimos toda la TI de una empresa de investigación con actividad internacional y la reorganizamos en estrecha colaboración con la dirección.
Resultado: Un entorno de TI totalmente automatizado, diseñado para requisitos de seguridad estrictos, con cuentas separadas de administrador y de usuario, y enrutamiento VPN seguro entre las sedes.
Actualizado:
FAQ
Preguntas frecuentes
¿Cuándo se aplica 21 CFR Part 11?
Part 11 se aplica cuando guarda en formato electrónico registros que exigen las regulaciones de la FDA, o los presenta electrónicamente a la FDA, y cuando usa firmas electrónicas en esos registros. Qué registros están afectados se desprende de las normas base (predicate rules), como las regulaciones GMP.
¿Quién es responsable de la validación?
Su empresa, normalmente a través del equipo de aseguramiento de calidad. Nosotros calificamos y operamos la infraestructura de TI y entregamos la documentación técnica. La estrategia de validación y la liberación de los sistemas quedan en manos de su equipo de calidad.
¿Qué debe registrar una pista de auditoría?
Un registro seguro, generado por el sistema y con fecha y hora, de cuándo y quién creó, modificó o eliminó un registro electrónico. Los cambios no deben ocultar la información anterior, y la pista de auditoría debe conservarse el mismo tiempo que el propio registro y estar disponible para revisión de la FDA.
¿Todavía tenemos que validarlo todo?
La FDA espera un enfoque basado en riesgos. Su guía Computer Software Assurance, publicada en versión final en septiembre de 2025 para software de producción y de sistemas de calidad, recomienda ajustar el esfuerzo de validación al riesgo. Su equipo de calidad decide cómo aplicarla.
¿Podemos usar servicios en la nube bajo Part 11?
Sí, si el servicio admite los controles necesarios, como pistas de auditoría, control de acceso y conservación, y si usted ha evaluado al proveedor. Le ayudamos con la revisión técnica y la configuración. Su equipo de calidad decide si el servicio puede usarse con fines GxP.
¿Existe una certificación Part 11 para software?
No. La FDA no certifica software como conforme con Part 11. Un proveedor puede ofrecer funciones que facilitan el cumplimiento, pero que el uso del sistema en su empresa cumpla depende de la configuración, los procedimientos y la validación.
FDA 21 CFR Part 11
Hablemos de sus sistemas
Cuéntenos qué sistemas contienen sus registros regulados y cómo está organizada su TI. Le diremos en qué podemos apoyar a su equipo de calidad y qué implica el trabajo.