генеральный директор Аксилоджик
Проверка контрольного журнала (Audit Trail) – это механизм обнаружения потенциальных критических изменений в настройках безопасности данных/системы и обеспечения качества и целостности сообщаемых данных.
Целостность данных, особенно целостность электронных данных, становится областью возрастающего внимания со стороны участников отрасли. Согласно FDA, контрольный журнал означает безопасную, создаваемую компьютером электронную запись с отметкой времени, которая позволяет воссоздать ход событий, связанных с созданием, изменением или удалением электронной записи.
Журнал аудита компьютеризированной системы представляет собой запись или снимок: кто, что, когда, где и почему связан с каждой транзакцией данных. По сути, это позволяет воссоздать любое событие, связанное с этой компьютеризированной системой.
Руководство GAMP 5: Компьютеризированные системы, соответствующие GxP, подробно описывает ключевые компоненты контрольного журнала:
Кто? Идентификация пользователя или системы, ответственной за транзакцию данных. Это обеспечивает атрибуцию и прослеживаемость.
Что? Исходное значение – новое значение для записи журнала аудита. Это необходимо для того, чтобы иметь полную историю данных и иметь возможность восстановить последовательность событий, если потребуется.
Почему? Причина изменения. Это обеспечивает чёткую видимость и обоснование любого создания, изменения, удаления или манипулирования данными.
Когда? Отметка даты и времени, когда была создана запись данных. Это важнейший элемент документирования хронологической последовательности событий, жизненно важный для установления достоверности и надёжности электронных записей.
Где? Ссылка на запись, связанную с записью журнала аудита. Это обеспечивает отслеживаемость и контекст для того, с чем связана транзакция данных.
Когда журнал аудита компьютеризированной системы последовательно, точно и полностью фиксирует эти ключевые компоненты, это во многом способствует соблюдению основных принципов целостности данных.
21 CFR part 11 Subpart B Sect 11.10 Controls for Closed Systems:
«Использование защищённых, сгенерированных компьютером контрольных журналов с отметками времени для независимой записи даты и времени операций оператора и действий, которые создают, изменяют или удаляют электронные записи. Изменения в записи не должны затушёвывать ранее записанную информацию».
EudraLex Volume 4 Annex 11: Computerised Systems:
«На основе оценки рисков следует рассмотреть возможность встраивания в систему записи обо всех изменениях и удалениях, относящихся к GMP (сгенерированный системой контрольный журнал). Для изменения или удаления данных, относящихся к GMP, причина должна быть задокументирована».
Надлежащая практика по управлению данными и их целостностью даёт представление о ключевых элементах, учитывающих следующие разделы рисков:
- Критичность данных (влияние на принятие решений и продукцию (качество).
- Риск данных (возможность изменения и удаления данных, а также вероятность обнаружения/видимости изменений в ходе рутинных процессов).
Выделяют следующие виды контроля:
- Технический контроль – компьютеризированные функции, такие как контрольный журнал, механизм резервного копирования, управление пользователями и безопасность, электронные подписи и/или цифровые подписи, которые помогают обеспечивать в т.ч. процедурный контроль.
- Процедурный контроль – стандартные операционные процедуры (СОП) и рабочие инструкции по эксплуатации и администрированию, средства контроля пользователей системы, проверка компьютерной системы, калибровка, квалификация сети, обучение осведомлённости и т.д.
Процедурный контроль включает стандартные процедуры по проверке аудиторского журнала и политики назначения полномочий в программном обеспечении для сбора данных.
Такие СОП применимы к различному программному обеспечению для сбора данных, используемых для получения аналитических данных из компьютеризированных систем.
Внедрение процедурного контроля на уровне СОП важно потому, что недостаточно просто иметь в наличии журналы аудита, если они никогда не проверяются в т.ч. для подтверждения того, что они работают должным образом и что целостность данных, связанных с системой, сохраняется. Должным образом налаженный процедурный контроль обеспечивает регулярность проверок аудиторских журналов, связанных с компьютеризированными системами GxP, а также определяет тип проверки, частоту её проведения, определяемые с учётом критичности системы и ее потенциального влияния на безопасность продукта или пациента, сложности системы, а также критичности и уязвимости данных, связанных с системой.
При описании проведения проверки аудиторского следа следует уделить внимание и убедиться, что «кто, что, когда, где и почему» правильно зафиксированы для всех записей контрольного журнала.
СОП должна включать порядок просмотра действий администратора и действий всех ролей с повышенными правами доступа. Должен быть описан просмотр всех изменений конфигурации и регламент подтверждения, что изменения связаны с контролем изменений или другими элементами системы качества.
Должен быть описан алгоритм проверки и подтверждения, что пользователи-администраторы и любые другие пользователи, взаимодействующие с системой, имеют право на эти действия.
Процедурный контроль должен исключать и обеспечивать подтверждение, что в данных аудита нет необъяснимых пробелов.
На рисунке приведён вариант дерева решений, в котором классифицированы типы данных и учтена необходимость проверки контрольного журнала в разных случаях. Данное дерево представляется простым для понимания, при этом оценка каждой из категорий должна носить не формальный характер, а осмыслена должным образом.
Процедурный контроль на уровне СОП в своей основе подразумевает, в частности, порядок проверки аудиторского следа.
Ниже приведены некоторые, но не все разделы контроля, которые отражаются в СОП.
- Во время установки любого программного обеспечения или систем сбора данных необходимо проверить сертификат структурной проверки программного обеспечения, предоставленный производителем. Необходимо убедиться, что Приложение устанавливается в подходящую операционную систему, где достижимо соответствие требованиям.
- Назначены полномочия группам пользователей.
- Осуществляется контроль изменений, назначаемых полномочий пользователей.
- Назначена периодичность проверки контрольного журнала.
- Журнал аудита системы включает/может включать в себя события по изменению конфигурации приборов, истории архивирования данных, добавления или удаления пользователей, добавления или удаления группы пользователей, добавления или удаления системы, истории входа в систему.
- Контрольный журнал тревожных сообщений.
- Любые другие события с отметкой времени, зафиксированные или созданные системой.
- События входа и выхода из системы по времени.
- Доступ к системе будет разрешён только при наличии безопасного идентификатора входа и пароля.
- Только администраторы должны иметь возможность создавать уникальные идентификаторы входа пользователя.
- Администратор должен создавать только идентификаторы пользователей, а пароль назначается самими пользователями.
- Система должна заставить пользователей сменить пароль через заданное количество дней.
- Задан формат журнала проверки аудиторского журнала.
Информация контрольного журнала должна проверяться на наличие любых расхождений, связанных с целостностью данных, безопасностью данных и другой дополнительной информацией, когда и когда это необходимо осуществлять, в соответствии с перечнем контрольных точек.
После проверки отчёта о проверке руководитель контроля качества или его уполномоченное лицо должны внести необходимые записи в журнал проверки журнала проверки и поставить отметку «Проверено» в отчёте о проверке.
- FDA, Data Integrity and Compliance with Drug CGMP – Questions and Answers (Rockville, MD, December 2018).
- MHRA, ‘GXP’ Data Integrity Guidance and Definitions (London, UK, March 2018).
- World Health Organization, Guideline on Data Integrity (Geneva, Switzerland, October 2019).
- ISPE, GAMP 5: A Risk-Based Approach to Compliant GxP Computerized Systems (February 2008).
Источник – журнал GDP REVIEW 4 – V Конференции «Логистика лекарственных средств»
