What is GAMP 5? A Risk-Based Approach to GxP Computerised System Validation
- GAMP 5 is an ISPE guidance document — not a regulation — describing a risk-based, scalable approach to achieving compliant and fit-for-purpose GxP computerised systems.
- It classifies software into categories (1, 3, 4, 5) that determine how much validation effort each system needs, and pairs specification with verification across the lifecycle.
- This article explains GAMP 5 in plain terms and shows where to go next for the full validation framework and its relationship to CSV and FDA CSA.
GAMP 5 là gì? Nếu anh/chị bắt đầu tìm hiểu thẩm định hệ thống máy tính (CSV) trong môi trường dược phẩm, đây là khung tham chiếu được nhắc đến nhiều nhất — trong URS, trong validation plan, và trong mọi cuộc thanh tra computerised system. Bài viết trả lời GAMP 5 là gì theo cách thực chiến: không lý thuyết hàn lâm, chỉ có ý nghĩa cụ thể và cách nó quyết định khối lượng công việc thẩm định.
GAMP 5 là tài liệu hướng dẫn do ISPE phát hành, mô tả cách tiếp cận dựa trên rủi ro để xây dựng và duy trì các hệ thống máy tính GxP vừa tuân thủ vừa phù hợp mục đích sử dụng. Đây là điểm xuất phát của mọi dự án CSV trong nhà máy dược — trước khi đọc bất kỳ protocol IQ/OQ/PQ nào.
GAMP 5 là gì — một dòng: GAMP 5 (Good Automated Manufacturing Practice, ấn bản thứ 5 của ISPE) là khung hướng dẫn dựa trên rủi ro giúp xác định cần thẩm định một hệ thống máy tính GxP đến mức nào, dựa trên độ phức tạp và mức độ ảnh hưởng của nó đến chất lượng sản phẩm và bệnh nhân.
Bài này giúp anh/chị:
- Hiểu chính xác GAMP 5 là gì và vì sao nó không phải là một quy định bắt buộc.
- Nhận ra cách phân loại phần mềm GAMP quyết định khối lượng thẩm định.
- Biết quan hệ giữa GAMP 5, CSV và FDA CSA, và đọc gì tiếp theo.
GAMP 5 là gì — Định nghĩa và nguồn gốc
Phần này đặt nền tảng: GAMP 5 đến từ đâu và tại sao một tài liệu không bắt buộc lại có sức nặng pháp lý thực tế.
Reference baseline: Các nhận định trong bài đối chiếu theo ISPE GAMP 5 Guide (2nd Edition, 2022) và 21 CFR Part 11.
GAMP là viết tắt của Good Automated Manufacturing Practice — một bộ hướng dẫn do ISPE (International Society for Pharmaceutical Engineering) phát hành. Điểm quan trọng nhất với người mới: GAMP 5 không phải là một quy định. Nó là good practice guidance. Tuy nhiên, vì nó diễn giải cách đáp ứng các yêu cầu của 21 CFR Part 11 và EU GMP Annex 11, nó được FDA, EMA và PIC/S công nhận rộng rãi như chuẩn thực hành de-facto.
Phiên bản hiện hành là GAMP 5 Second Edition (2022), cập nhật để phù hợp với phương pháp phát triển Agile, IT service management, và các công nghệ mới như AI/ML. Một thay đổi tư duy quan trọng của ấn bản này là nhấn mạnh critical thinking — thẩm định phải dựa trên suy nghĩ phản biện về rủi ro thực tế, không phải tạo tài liệu một cách máy móc. Tinh thần này cũng chính là cầu nối tới sáng kiến FDA Computer Software Assurance (CSA).
Hệ quả thực tế: Khi thanh tra hỏi “validation của hệ thống này dựa trên cơ sở nào,” việc trích dẫn GAMP 5 cho thấy nhà máy theo một cách tiếp cận có cấu trúc, được công nhận quốc tế. Không hiểu GAMP 5 là gì đồng nghĩa với việc thẩm định theo cảm tính, dễ bị thanh tra chất vấn về tính nhất quán và đầy đủ.
CSV dược phẩm: thẩm định hệ thống máy tính trong môi trường GMP từ A đến Z
Đọc tiếp để đặt GAMP 5 vào bức tranh thẩm định hệ thống máy tính tổng thể.
CSV dược phẩm: thẩm định hệ thống máy tính trong môi trường GMP từ A đến Z →
Phân loại phần mềm GAMP — Category 1 đến 5
Đây là trái tim của GAMP 5: phân loại phần mềm để quyết định cần thẩm định đến mức nào.
GAMP 5 phân loại phần mềm thành các category, và chính category quyết định khối lượng thẩm định cần thiết. Hệ thống càng được tùy chỉnh nhiều thì rủi ro càng cao và nỗ lực thẩm định càng lớn.
Category 1 và 3: Hạ tầng và phần mềm không cấu hình
Category 1 là phần mềm hạ tầng (infrastructure) — hệ điều hành, database engine, middleware. Chúng không được thẩm định trực tiếp như ứng dụng mà được quản lý qua quy trình quản lý hạ tầng IT có kiểm soát. Category 3 là phần mềm thương mại không cấu hình (non-configured COTS) — dùng nguyên trạng theo mặc định của nhà cung cấp, ví dụ một phần mềm đo lường đơn giản. Thẩm định tập trung vào việc xác nhận nó hoạt động đúng mục đích sử dụng dự kiến.
Category 4: Phần mềm cấu hình
Category 4 là phần mềm thương mại được cấu hình (configured) cho quy trình cụ thể của nhà máy — phần lớn hệ thống LIMS, MES, SCADA và ERP rơi vào nhóm này. Vì việc cấu hình tạo ra hành vi riêng của từng nhà máy, thẩm định phải bao phủ cả phần mềm gốc lẫn cấu hình đã áp dụng. Đây là category phổ biến và tốn công thẩm định nhất trong thực tế.
Category 5: Phần mềm tùy chỉnh (custom)
Category 5 là phần mềm tùy chỉnh hoặc viết riêng (bespoke/custom) — code được phát triển đặc thù cho một nhà máy. Đây là nhóm rủi ro cao nhất vì không có lịch sử sử dụng rộng rãi để dựa vào, nên đòi hỏi mức thẩm định nghiêm ngặt nhất, bao gồm cả việc đánh giá quy trình phát triển phần mềm và xem xét mã nguồn khi cần.
Quy tắc nhận biết nhanh: Category 3 (dùng nguyên trạng) → thẩm định nhẹ. Category 4 (cấu hình) → thẩm định cả cấu hình. Category 5 (viết riêng) → thẩm định nặng nhất, gồm cả vòng đời phát triển. Phân loại đúng ngay từ đầu là quyết định ảnh hưởng lớn nhất đến ngân sách và thời gian của một dự án CSV.
Cách tiếp cận dựa trên rủi ro và leverage nhà cung cấp
Phần này giải thích nguyên lý nền tảng khiến GAMP 5 khác với việc “thẩm định tất cả như nhau”.
Nguyên lý cốt lõi của GAMP 5 là scalability — không thẩm định mọi hệ thống ở cùng một mức độ. Nỗ lực thẩm định được điều chỉnh theo rủi ro: hệ thống càng ảnh hưởng đến chất lượng sản phẩm và an toàn bệnh nhân, và càng phức tạp/tùy chỉnh, thì càng cần thẩm định nhiều. Đánh giá rủi ro này được đặt trong khung của ICH Q9 Quality Risk Management.
GAMP 5 cũng khuyến khích leverage supplier activities — tận dụng tài liệu và hoạt động kiểm thử của nhà cung cấp thay vì lặp lại từ đầu, với điều kiện đánh giá được năng lực và độ tin cậy của nhà cung cấp qua supplier assessment. Tinh thần critical thinking của Second Edition và sáng kiến CSA của FDA đều hướng đến cùng mục tiêu: dồn nỗ lực vào nơi có rủi ro thật, giảm tài liệu hình thức ở nơi rủi ro thấp. Cách tiếp cận này cũng được phản ánh trong các văn bản như FDA General Principles of Software Validation và hướng dẫn hệ thống máy tính của PIC/S.
GAMP 5, CSV và FDA CSA — quan hệ ba khái niệm
Phần này làm rõ ba thuật ngữ hay đi cùng nhau để tránh nhầm lẫn.
CSV (Computer System Validation) là hoạt động tổng thể nhằm chứng minh một hệ thống máy tính phù hợp mục đích và tuân thủ GxP. GAMP 5 là khung phương pháp luận được dùng phổ biến nhất để thực hiện CSV — nó cung cấp mô hình phân loại, vòng đời và cách tiếp cận rủi ro. FDA CSA (Computer Software Assurance) là sự tiến hóa gần đây, nhấn mạnh assurance dựa trên rủi ro và giảm gánh nặng tài liệu — hoàn toàn tương thích với tinh thần critical thinking của GAMP 5 Second Edition.
Nói cách khác: CSV là mục tiêu, GAMP 5 là phương pháp được công nhận để đạt mục tiêu đó, và CSA là hướng hiện đại hóa cách thực hiện — tất cả cùng hướng đến việc đặt nỗ lực đúng chỗ thay vì tạo tài liệu cho đủ.
Từ “GAMP 5 là gì” đến framework thẩm định đầy đủ — Đọc gì tiếp theo
Phần này định vị bài hiện tại trong hành trình học tập và chỉ hướng đọc tiếp.
Phân loại và nguyên lý rủi ro ở trên đủ để trả lời câu hỏi “GAMP 5 là gì” và đọc được một validation plan cơ bản. Nhưng để triển khai một dự án CSV thực sự — viết URS, thiết kế protocol IQ/OQ/PQ, làm traceability matrix và xử lý vòng đời V-model — anh/chị cần đi sâu hơn từng bước.
Bước tiếp theo là đọc phân tích đầy đủ tại GAMP 5: thẩm định hệ thống máy tính dược phẩm — bài đó phân tích chi tiết vòng đời V-model, mối quan hệ specification–verification, cách áp phân loại category vào thực tế, và các điểm thanh tra hay bắt trong dự án CSV.
Tóm tắt hành trình: GAMP 5 = hướng dẫn ISPE (không bắt buộc nhưng de-facto) cho thẩm định hệ thống máy tính GxP dựa trên rủi ro. Phân loại phần mềm Category 1/3/4/5 quyết định khối lượng thẩm định. Bài này dừng ở mức nhập môn. Đọc GAMP 5 framework đầy đủ để đi sâu vào vòng đời thẩm định.
Decision Moment
Sau khi hiểu GAMP 5 là gì, ba câu hỏi thực chiến để anh/chị tự đánh giá cách tiếp cận CSV hiện tại của nhà máy trước khi đọc tài liệu kỹ thuật sâu hơn.
- Mỗi hệ thống máy tính GxP trong nhà máy đã được phân loại GAMP category rõ ràng chưa, hay tất cả đang được thẩm định ở cùng một mức?
- Khối lượng thẩm định có thực sự tương xứng với rủi ro của từng hệ thống không, hay nhà máy đang tạo tài liệu như nhau cho cả hệ thống rủi ro thấp lẫn cao?
- Nhà máy có tận dụng tài liệu kiểm thử của nhà cung cấp (sau supplier assessment) không, hay đang lặp lại mọi thứ từ đầu?
Nếu có câu trả lời “không chắc” cho bất kỳ câu nào, đó là điểm cần ưu tiên trước khi dự án CSV tiếp theo. Để xem cách thiết kế từng bước cụ thể, đọc tiếp tại GAMP 5 framework đầy đủ và tham khảo thêm tại nampham.net.
FAQ
Phần này gom các câu hỏi thường gặp từ người mới tìm hiểu GAMP 5 trong dược phẩm.
GAMP là viết tắt của Good Automated Manufacturing Practice, và GAMP 5 là ấn bản thứ 5 do ISPE phát hành. Đây là tài liệu hướng dẫn (không phải quy định bắt buộc) mô tả cách tiếp cận dựa trên rủi ro để xây dựng và duy trì các hệ thống máy tính GxP vừa tuân thủ vừa phù hợp mục đích. Dù không bắt buộc, GAMP 5 được FDA, EMA và PIC/S công nhận rộng rãi như chuẩn thực hành de-facto vì nó diễn giải cách đáp ứng 21 CFR Part 11 và EU GMP Annex 11.
Không. GAMP 5 là good practice guidance do ISPE — một hiệp hội ngành — phát hành, không phải văn bản pháp luật. Tuy nhiên, vì nó cung cấp cách thực hành để đáp ứng các yêu cầu pháp lý thực sự (21 CFR Part 11, EU GMP Annex 11), nó trở thành chuẩn de-facto được cơ quan quản lý chấp nhận. Trích dẫn GAMP 5 trong validation plan cho thấy nhà máy theo một cách tiếp cận có cấu trúc và được công nhận quốc tế.
GAMP 5 phân loại phần mềm thành: Category 1 (hạ tầng — OS, database, middleware); Category 3 (phần mềm thương mại không cấu hình, dùng nguyên trạng); Category 4 (phần mềm thương mại được cấu hình — phần lớn LIMS, MES, SCADA, ERP); Category 5 (phần mềm tùy chỉnh/viết riêng). Category càng cao thì mức tùy chỉnh và rủi ro càng lớn, đòi hỏi thẩm định càng nhiều. Phân loại đúng từ đầu quyết định lớn đến ngân sách và thời gian dự án CSV.
CSV (Computer System Validation) là hoạt động tổng thể chứng minh một hệ thống máy tính phù hợp mục đích và tuân thủ GxP — đó là mục tiêu. GAMP 5 là khung phương pháp luận được dùng phổ biến nhất để thực hiện CSV — đó là phương pháp. Nói cách khác, anh/chị làm CSV bằng cách áp dụng phương pháp GAMP 5 (phân loại category, đánh giá rủi ro, vòng đời specification–verification).
GAMP 5 Second Edition (2022) cập nhật cho phương pháp phát triển Agile, IT service management và các công nghệ mới như AI/ML. Thay đổi tư duy quan trọng nhất là nhấn mạnh critical thinking — thẩm định phải dựa trên suy nghĩ phản biện về rủi ro thực tế thay vì tạo tài liệu một cách máy móc. Tinh thần này tương đồng và bổ trợ cho sáng kiến FDA Computer Software Assurance (CSA), cùng hướng đến giảm tài liệu hình thức ở nơi rủi ro thấp.
FDA CSA (Computer Software Assurance) là cách tiếp cận hiện đại do FDA thúc đẩy, nhấn mạnh assurance dựa trên rủi ro và giảm gánh nặng tài liệu so với CSV truyền thống. Nó hoàn toàn tương thích với tinh thần critical thinking của GAMP 5 Second Edition — cả hai cùng chủ trương dồn nỗ lực kiểm thử vào chức năng có rủi ro cao và giảm tài liệu hình thức cho chức năng rủi ro thấp. CSA không thay thế GAMP 5 mà là cách hiện đại hóa việc áp dụng nó.
Ghi Chú Minh Bạch
Phần này làm rõ nguồn tham chiếu và ranh giới áp dụng của bài viết.
Nguồn hướng dẫn chính (Primary Guidance)
- ISPE GAMP 5: A Risk-Based Approach to Compliant GxP Computerized Systems (2nd Edition, 2022) — ISPE GAMP 5.
- FDA Computer Software Assurance for Production and Quality System Software (Guidance) — FDA CSA.
- FDA General Principles of Software Validation — FDA GPSV.
Nguồn quy định liên quan (Related Regulatory)
- 21 CFR Part 11 — Electronic Records; Electronic Signatures — eCFR Part 11.
- EU GMP Annex 11 — Computerised Systems (EudraLex Volume 4) — EudraLex Volume 4.
- PIC/S Guidance on Computerised Systems — PIC/S.
- ICH Q9 Quality Risk Management — ICH Q9.
Ghi chú phạm vi
- Bài này tập trung vào định nghĩa GAMP 5 và phân loại phần mềm cho người mới. Framework thẩm định kỹ thuật đầy đủ (V-model, IQ/OQ/PQ, traceability) được phân tích tại GAMP 5 framework đầy đủ.
- GAMP 5 là guidance của ISPE, không phải quy định pháp luật; nó được công nhận như chuẩn de-facto vì diễn giải cách đáp ứng 21 CFR Part 11 và EU GMP Annex 11.
Tác giả: Phạm Đức Phương Nam
