Validación de sistemas informatizados

La validación de sistemas informatizados ( CSV ) (validación de sistemas informatizados en países europeos) es el proceso de probar/validar/calificar un sistema informatizado regulado (por ejemplo, US FDA 21 CFR Parte 11 ^{[ 1 ]} ) para asegurar que haga exactamente lo que está diseñado para hacer de manera consistente y reproducible, tan segura y confiable como los registros en papel. A menudo se la denomina incorrectamente "Validación de Sistemas Informáticos"; sin embargo, la guía PIC/S : GUÍA DE BUENAS PRÁCTICAS PARA SISTEMAS INFORMATIZADOS EN ENTORNOS "GXP" REGULADOS ^{[ 2 ]} distingue claramente entre un sistema informatizado compuesto por el sistema informático y la función o proceso controlado, y el sistema informático compuesto por todo el hardware, firmware , dispositivos instalados y software que controlan el funcionamiento del ordenador y, por lo tanto, es solo una parte del sistema informatizado. La validación de sistemas informáticos (CSV) se utiliza ampliamente en las industrias farmacéutica, de ciencias biológicas y biotecnológica, y es similar a las pruebas de software, pero con un alcance más amplio y un enfoque más formal y documentado. El proceso de validación comienza con la planificación, la definición de los requisitos del sistema, la evaluación de riesgos, las actividades de prueba y verificación, y la elaboración de informes de validación. El ciclo de vida del sistema entra entonces en la fase operativa y continúa hasta su retirada y la retención de los datos del sistema según las normativas vigentes.

De manera similar, el Reglamento que rige los medicamentos en la Unión Europea , Volumen 4, Anexo 11: Sistemas informatizados se aplica a todas las formas de sistemas informatizados utilizados como parte de actividades reguladas por las BPF y define los Elementos de validación de sistemas informáticos ^{[ 3 ].}

Las mejores prácticas para la validación de sistemas informáticos (CSV) se describen en la Guía GAMP 5 : Un enfoque basado en el riesgo para sistemas informatizados GxP conformes (Segunda edición) y en las guías asociadas.

La validación de archivos CSV suele ser un proceso complejo que requiere planificación. Un plan de validación generalmente abarca las siguientes áreas: ^{[ 3 ]}

• Estrategia de alcance y validación
• Enfoque basado en el riesgo
• Requisitos y uso previsto
• Ciclo de vida de validación
• Entregables y documentación de validación
• Estrategia de prueba y criterios de aceptación
• Controles de integridad y cumplimiento de datos
• Evaluación de proveedores y sistemas
• Infraestructura y entorno de TI
• Funciones, responsabilidades y gobernanza
• Control de cambios y gestión de la configuración
• Gestión de desviaciones y problemas
• Conclusión sobre la publicación y validación
• Revisión periódica y mantenimiento del estado validado
• Archivo y jubilación

Se requieren requisitos del sistema documentados para CSV, ya que estos estipulan claramente el uso previsto de una aplicación de sistema informático (Anexo 11: Sistemas informatizados; Sección 6) ^{[ 3 ]} de . Los requisitos del sistema se recopilan y documentan en la fase de definición del sistema. Los artefactos de definición del sistema que reflejan estos requisitos pueden incluir, entre otros, los siguientes:

• Especificación de Requisitos del Usuario : Contiene los requisitos funcionales y no funcionales del sistema para habilitar y respaldar el uso previsto. Los requisitos del usuario suelen priorizarse para distinguir entre la funcionalidad importante y las funcionalidades deseables.
• Especificación funcional : Especifica las funciones/características de un software o aplicación. La especificación funcional suele ser establecida por el proveedor de software o el equipo de desarrollo de software.
• Especificación de requisitos de hardware: Hardware mínimo necesario para soportar el sistema.

El requisito del sistema definido y documentado debe verificarse siguiendo un enfoque basado en el riesgo, considerando el riesgo potencial para la integridad de los datos, la calidad del producto (medicinal) y la seguridad del paciente. Esto puede lograrse mediante pruebas basadas en el riesgo o actividades de revisión/evaluación. Los requisitos funcionales suelen ser comprobables, mientras que los requisitos no funcionales (por ejemplo, la disponibilidad del sistema) a menudo se verifican mediante revisiones y evaluaciones realizadas por expertos en la materia. ^{[ 4 ] [ 5 ]}

Como parte de las actividades del ciclo de vida de CSV, se debe documentar la liberación del sistema para uso productivo, incluidas todas las actividades de transferencia potencialmente requeridas: ^{[ 4 ] [ 5 ] [ 6 ]}

• Transferencia de la propiedad del sistema al propietario de la empresa/sistema.
• Aprobación formal de control de calidad y liberación del sistema para su uso según las normas GxP.
• Finalización y aprobación del Informe Resumen de Validación
• Entrega del conjunto de documentación validada (
• Establecimiento de procedimientos operativos estándar (SOP) del sistema (operación, mantenimiento, administración)
• Definición de las responsabilidades del sistema
• Capacitación de usuarios finales, administradores y personal de soporte.
• Transferencia de conocimientos del equipo del proyecto a las operaciones.
• Transferencia de la configuración y la línea base del sistema
• Configuración de los procesos de control de cambios y gestión de la configuración.
• Establecimiento de procedimientos de gestión de desviaciones/incidentes
• Establecimiento de un proceso de revisión periódica
• Establecimiento de procedimientos de copia de seguridad, restauración y archivado.
• Verificación de los controles de integridad de los datos (por ejemplo, registros de auditoría, control de acceso).
• Transferencia de información entre proveedores (acuerdos de soporte, acuerdos de nivel de servicio, procedimientos de escalamiento)
• Transferencia de infraestructura (entorno informático, alojamiento, controles de seguridad)
• Definición de monitorización y gestión del rendimiento (KPI / registro de eventos)
• Configuración de los procedimientos de gestión de acceso y administración de usuarios.
• Establecimiento de procesos de continuidad del negocio/recuperación ante desastres
• Transferencia de la trazabilidad de la validación
• Definición de desencadenantes de revalidación/cambio
• Confirmación de preparación para la puesta en marcha (se cumplen los criterios de lanzamiento)
• Transición a la operación del ciclo de vida (mantenimiento del estado validado)
• Configuración de verificación/monitoreo continuo

• Información sobre cumplimiento normativo y orientación

• Anexo 11 de las Buenas Prácticas de Fabricación (BPF) de la UE: Sistemas informatizados