L'audit log soddisfa i requisiti FDA 21 CFR Part 11?

Le proprietà strutturali dell’audit log

Il §11.10(e) di FDA 21 CFR Part 11 specifica cosa deve fare un audit trail. Mappatura con il nostro audit log:

Requisito §11.10(e)	Come lo soddisfiamo
Sicuro	Append-only per architettura, integrato con i controlli di accesso del tenant
Generato dal computer	Gli eventi si attivano automaticamente su ogni azione del ciclo di vita; gli utenti non possono aggiungere o omettere voci
Con timestamp	Timestamp dalla piattaforma SharePoint, non inviati dagli utenti
Registra creazione/modifica/eliminazione	Ogni evento del ciclo di vita viene acquisito — creazione, modifica, approvazione, archiviazione, promemoria, firma
Non oscura le voci precedenti	Append-only significa che le voci precedenti rimangono visibili indipendentemente dalle modifiche successive al documento

Inoltre, ogni voce è attribuita a una specifica identità Microsoft Entra (non un gruppo, non un account condiviso), il che soddisfa i requisiti di identificazione §11.10(g) e le aspettative di firma univoca §11.100(a).

Cosa l’audit log non fa da solo

Part 11 §11.200(a) richiede anche l’autenticazione a due fattori. Il nostro audit log acquisisce l’identità della sessione autenticata, ma il requisito di autenticazione a due fattori è soddisfatto a livello del tenant Microsoft Entra. I clienti che gestiscono programmi Part 11 tipicamente applicano MFA sul loro tenant Entra; ogni voce dell’audit log proviene quindi da una sessione autenticata MFA per ereditarietà.

Part 11 §11.50 richiede manifestazioni della firma (nome stampato, data, significato) — questo è gestito dalla firma PAdES nell’integrazione DocuSign, con il PDF firmato che lega crittograficamente la manifestazione. L’audit log registra che la firma è avvenuta; il PDF porta la manifestazione visivamente.

Il gap di validazione

L’audit log soddisfa i requisiti di funzionalità del §11.10(e) strutturalmente. Se il vostro programma supera un’ispezione Part 11 dipende da fattori aggiuntivi che appartengono a voi: la vostra postura di validazione (IQ/OQ/PQ del sistema installato), le vostre SOP per la gestione del programma Part 11, le vostre pratiche di revisione periodica e controllo delle modifiche, e la vostra documentazione di formazione per i dipendenti che operano in ambito Part 11.

I clienti con programmi Part 11 maturi tipicamente trattano il nostro audit log come una funzionalità di conformità chiave ed eseguono il loro ambito di validazione attorno ad esso. I clienti più nuovi a Part 11 dovrebbero aspettarsi che il lavoro di validazione sia sostanziale — non perché il nostro prodotto sia difficile da validare, ma perché la validazione Part 11 è intrinsecamente sostanziale per qualsiasi sistema informatizzato in ambito GxP.