Entenda o que é integridade de dados, o que significa o princípio ALCOA+, o que a ANVISA, o FDA e a EMA exigem e como estruturar os controles na sua operação para garantir conformidade regulatória.
Em indústrias reguladas, dados gerados em processos produtivos, analíticos e de controle de qualidade são a evidência que sustenta a conformidade regulatória da operação. Sem integridade de dados, essa evidência perde valor regulatório. E sem valor regulatório, os processos que ela representa também perdem.
Integridade de dados é um dos temas que mais gera não-conformidades críticas em auditorias da ANVISA e de outros órgãos regulatórios internacionais. Não porque as fábricas não executam os processos, mas porque os dados gerados não têm rastreabilidade, controle de acesso ou trilha de auditoria suficientes para sustentar uma inspeção.
O que é integridade de dados
Integridade de dados é a garantia de que os dados gerados em processos regulados são completos, consistentes, precisos e rastreáveis ao longo de todo o seu ciclo de vida, desde a geração até o arquivamento.
Esse conceito se aplica a qualquer tipo de registro gerado em processos regulados, sejam eles em papel ou eletrônicos. Um registro em papel rasurado sem justificativa documentada tem o mesmo problema de integridade de dados que um registro eletrônico alterado sem trilha de auditoria.
O princípio ALCOA+
O princípio ALCOA+ é o framework de referência para integridade de dados em indústrias reguladas. Cada letra representa um atributo que todo dado gerado em processo regulado precisa ter:
Atribuível: o dado precisa ser associado a quem o gerou, quando foi gerado e em qual equipamento ou sistema. Um registro sem identificação do responsável não é atribuível.
Legível: o dado precisa ser legível durante todo o seu período de retenção. Registros em papel rasurados ou ilegíveis e dados eletrônicos em formatos obsoletos comprometem esse atributo.
Contemporâneo: o dado precisa ser registrado no momento em que a atividade é executada, não depois. Registros preenchidos retroativamente são uma das principais falhas de integridade de dados encontradas em auditorias.
Original: o dado precisa ser o registro original ou uma cópia verificada e autenticada do original. Transcrições sem referência ao original comprometem esse atributo.
Preciso: o dado precisa refletir com exatidão o que foi observado ou medido. Arredondamentos não justificados e resultados que não condizem com as condições do processo são exemplos de falhas nesse atributo.
O “+” do ALCOA+ representa atributos complementares que reforçam os cinco originais:
Completo: todos os dados gerados precisam ser registrados, incluindo os que estão fora de especificação. Dados selecionados ou omitidos comprometem a integridade do conjunto.
Consistente: os dados precisam ser consistentes entre si e com os demais registros do processo. Inconsistências entre registros de equipamentos e registros manuais são um sinal de alerta em auditorias.
Duradouro: os dados precisam ser armazenados de forma que garantam sua integridade durante todo o período de retenção exigido.
Disponível: os dados precisam estar disponíveis para consulta sempre que necessário, especialmente durante inspeções regulatórias.
O que a ANVISA, o FDA e a EMA exigem
A RDC 658/2022 incorporou formalmente os requisitos de integridade de dados às Boas Práticas de Fabricação para produtos farmacêuticos no Brasil, alinhando a regulação brasileira às diretrizes internacionais.
O 21 CFR Part 11 do FDA é o principal documento de referência para integridade de dados em sistemas computadorizados para o mercado americano. Ele estabelece os requisitos para registros eletrônicos e assinaturas eletrônicas em operações reguladas, exigindo controle de acesso, trilha de auditoria ativa, validação de sistemas e garantia de que registros eletrônicos têm o mesmo valor regulatório que registros em papel assinados manualmente. Na prática, qualquer operação que pretende exportar para os Estados Unidos ou que segue padrões internacionais de GMP precisa ter os requisitos do 21 CFR Part 11 implementados e documentados. O FDA usa esse documento como base de inspeção para avaliar a confiabilidade dos dados gerados em sistemas computadorizados, e desvios nessa área resultam frequentemente em warning letters e restrições comerciais.
O Annex 11 da EMA estabelece requisitos específicos para sistemas computadorizados utilizados em processos regulados, incluindo controle de acesso, trilha de auditoria e validação de sistemas. É o principal documento de referência para integridade de dados em registros eletrônicos no contexto europeu e complementa os requisitos da RDC 658/2022 para operações que seguem diretrizes europeias.
Na prática, o que os regulatórios exigem:
Controle de acesso implementado e documentado para todos os sistemas utilizados em processos regulados. Cada usuário precisa ter acesso restrito às funcionalidades necessárias para o seu papel na operação.
Trilha de auditoria ativa em sistemas eletrônicos, registrando todas as alterações realizadas, com identificação do usuário, data, hora e justificativa da alteração. A trilha de auditoria não pode ser desativada ou alterada pelo usuário.
Procedimentos documentados para gestão de dados, incluindo geração, revisão, aprovação, armazenamento e descarte de registros.
Treinamento documentado de todos os colaboradores envolvidos na geração e gestão de dados regulatórios.
Como estruturar os controles de integridade de dados na sua operação
Estruturar controles de integridade de dados não é um projeto de TI. É um projeto regulatório que envolve pessoas, processos e sistemas.
O ponto de partida é uma avaliação de risco dos sistemas e processos que geram dados regulatórios. Quais sistemas têm impacto direto sobre a qualidade do produto? Quais registros são críticos para sustentar a conformidade regulatória da operação? Essa avaliação define o escopo e a prioridade das ações.
A partir da avaliação de risco, as principais frentes de estruturação incluem:
Revisão e atualização dos procedimentos de geração e gestão de dados, garantindo que os requisitos do ALCOA+ estejam incorporados na rotina operacional.
Implementação ou revisão do controle de acesso em sistemas eletrônicos, garantindo que cada usuário tenha acesso restrito às funcionalidades necessárias para o seu papel.
Ativação e configuração da trilha de auditoria em sistemas eletrônicos, com verificação de que os registros gerados são completos, consistentes e não podem ser alterados sem rastreabilidade.
Treinamento da equipe nos princípios de integridade de dados e nos procedimentos da empresa, com documentação do treinamento realizado.
Implementação de um programa de autoinspeção focado em integridade de dados, para identificar e corrigir lacunas antes que se tornem não-conformidades em auditoria.
Integridade de dados não é um tema exclusivo de sistemas eletrônicos ou de grandes operações. Qualquer fábrica regulada que gera registros em papel ou em sistemas computadorizados precisa ter controles de integridade de dados implementados e documentados.
A CQV Solutions apoia indústrias reguladas na estruturação de controles de integridade de dados, desde a avaliação de risco até a implementação dos procedimentos e treinamento da equipe, garantindo conformidade com as exigências da ANVISA, do FDA e da EMA.
Entre em contato e saiba como podemos estruturar os controles de integridade de dados da sua operação.