GAMP 5 dược phẩm: CSV theo rủi ro – tư duy, không checklist

GAMP 5 for Pharmaceutical Computerized System Validation explains risk-based CSV as a way of thinking, not a paperwork checklist.

• Validation effort should match intended use, patient risk, product quality impact and data integrity risk.
• Supplier assessment, category thinking, requirements, testing and lifecycle control must connect to real GxP decisions.
• The article helps teams defend leaner validation by showing exactly why each test protects a critical process or record.

GAMP 5 dược phẩm không phải một checklist để QA điền cho đủ trước audit. Nó biến rủi ro bệnh nhân, chất lượng sản phẩm và Data Integrity thành quyết định CSV cụ thể: hệ thống nào cần validate sâu, test nào phải có script, bằng chứng vendor nào được dùng lại và change nào có thể phá validated state.

GAMP 5 Second Edition (ban hành 07/2022, hiện hành) là industry guidance, không phải luật bắt buộc — nhưng nó cung cấp ngôn ngữ chung để QA, Validation và IT nói chuyện với nhau và với auditor. Phân loại software category không thay thế risk assessment: nó định hướng để risk assessment đặt đúng câu hỏi về configuration, custom logic và interface trước khi quyết định test scope.

Bài này xác định baseline Annex 11, Part 11, FDA CSA và ICH Q9(R1) đúng trạng thái hiện hành, giúp nhà máy không nhầm draft expectation với luật đang enforce.

Regulatory baseline cho GAMP 5 dược phẩm cần giữ đúng

Căn cứ quy định: Các nhận định GMP trong bài được đối chiếu trực tiếp theo EU GMP Annex 11 (ban hành 01/2011, hiện hành), 21 CFR Part 11, 21 CFR 211.68 và ISPE GAMP 5 Second Edition (ban hành 07/2022, hiện hành).

GAMP 5 dược phẩm không phải luật, nhưng là framework được dùng rộng rãi

ISPE GAMP 5 Second Edition (ban hành tháng 07/2022, hiện hành) được ISPE mô tả là framework thực hành tốt cho computerized systems GxP. Mục tiêu là hệ thống hiệu quả, chất lượng, fit for intended use và tuân thủ quy định áp dụng. Bản Second Edition nhấn mạnh critical thinking, supplier involvement, Agile, AI/ML và automation (ISPE — GAMP 5 Guide 2nd Edition).

Điểm cần nói thẳng với đội dự án: inspector không trích phạt vì “vi phạm GAMP 5”. Inspector sẽ hỏi predicate rule, Annex 11, Part 11, SOP nội bộ và URS. Họ cũng sẽ hỏi risk assessment, RTM, test evidence và evidence duy trì validated state. GAMP 5 dược phẩm là cách tổ chức bằng chứng đó cho có logic.

Annex 11, Part 11 và FDA CSA phải được đặt đúng phạm vi

Phiên bản EU GMP Annex 11 trên trang EudraLex Volume 4 vẫn là Computerised Systems (ban hành 01/2011, hiện hành). Bản này là baseline pháp lý hiện hành cho computerized systems trong EU GMP. Annex 11 Draft 2025 và New Annex 22 về AI nằm trong consultation package. Chúng hữu ích để định hướng thiết kế, nhưng chưa phải quy định bắt buộc.

FDA CSA final guidance có trạng thái Final — trang FDA.gov ghi cập nhật ngày 03/02/2026. Scope chính thức là software dùng trong medical device production hoặc quality management system. Với nhà máy thuốc, CSA là benchmark cho risk-based testing. Nó không phải direct drug CGMP requirement.

Nếu cần khung triển khai CSA cho bối cảnh CSV thuốc theo dạng decision tree, xem thêm FDA CSA cho CSV dược phẩm.

21 CFR Part 11 áp dụng khi electronic records hoặc electronic signatures được dùng thay giấy trong phạm vi FDA record requirements (eCFR — 21 CFR Part 11):

• §11.1(d) — electronic records dùng thay paper records nếu đáp ứng Part 11
• §11.10(e) — secure, computer-generated, time-stamped audit trails
• §11.70 — signature/record linking
• §11.100 — general electronic signature requirements
• §11.200 — electronic signature components and controls

GAMP 5 dược phẩm là gì – và không phải là gì?

Trả lời ngắn: Thẩm định hệ thống máy tính (CSV) trong nhà máy dược là quy trình tạo bằng chứng văn bản chứng minh hệ thống fit for intended use. Theo risk-based approach, quy trình gồm: thiết lập URS, đánh giá supplier, kiểm thử IQ/OQ/PQ, ma trận truy vết yêu cầu và duy trì validated state qua change control.

• URS: mô tả chức năng dựa trên documented risk assessment và GMP impact, traceable xuyên life-cycle — EU GMP Annex 11 §4.4.
• Supplier assessment: đánh giá competence và reliability của vendor khi lựa chọn sản phẩm — Annex 11 §3.2.
• IQ/OQ/PQ: kiểm chứng cài đặt, chức năng và hiệu năng trong quy trình vận hành thật.
• Traceability: mỗi requirement map tới risk và test evidence.
• Validated state: change control, backup định kỳ, periodic review và incident handling.

Định nghĩa vận hành cho QA và validation

Trong dự án CSV, GAMP 5 dược phẩm nên được hiểu như một hệ thống ra quyết định. Nó không bắt đầu bằng template URS. Nó bắt đầu bằng câu hỏi: hệ thống này thực sự làm gì trong quy trình GxP? Dữ liệu nào ảnh hưởng chất lượng sản phẩm? Ai quyết định dựa trên dữ liệu đó? Nếu hệ thống sai, bệnh nhân hoặc batch release bị ảnh hưởng thế nào?

Từ câu hỏi đó, đội dự án mới chọn mức tài liệu và mức test. Sau đó mới chọn mức supplier assessment và periodic review. Một Excel tính assay release và một dashboard OEE không thể có cùng mức CSV chỉ vì cả hai đều là “phần mềm”.

Ba hiểu lầm làm hồ sơ CSV nặng mà vẫn yếu

1. Nhầm GAMP 5 với luật. Khi SOP viết “phải làm đúng GAMP 5” nhưng không map về predicate rule, hồ sơ sẽ yếu. Nó đẹp về hình thức nhưng không trả lời được regulatory obligation.

2. Nhầm validation với test thật nhiều. Test 200 case không tốt hơn test 40 case nếu không map tới rủi ro GxP. ICH Q9(R1) (Step 4, thông qua ngày 18/01/2023, hiện hành), yêu cầu QRM giảm chủ quan. Guideline cũng nhấn mạnh risk-based decision-making.

3. Nhầm vendor package với evidence của nhà máy. Vendor test chứng minh product baseline của họ. Nhà máy phải chứng minh intended use của mình. Phạm vi gồm configuration, role matrix, interface, master data, audit trail review và operation SOP.

Phân loại GAMP 5 dược phẩm quyết định bao nhiêu test là đủ

Trả lời ngắn: GAMP 5 phân loại phần mềm GxP thành bốn software category — 1, 3, 4 và 5 — để xác định chiến lược thẩm định theo rủi ro. Category là khung tư duy chuyên môn giúp chọn test depth, không phải quy định bắt buộc và không thay thế documented risk assessment.

• Category 1 — infrastructure software (OS, database, network): kiểm tra version và cài đặt.
• Category 3 — non-configured software dùng nguyên bản: verify chức năng theo intended use.
• Category 4 — configured products (MES, LIMS, SCADA, ERP): validate cấu hình GxP-critical.
• Category 5 — custom/bespoke: với hệ bespoke, EU GMP Annex 11 §4.6 yêu cầu formal assessment ở mọi giai đoạn life-cycle.

Bảng phân loại software/hardware theo tư duy CSV

Phân loại không phải bài tập đặt nhãn. Nó quyết định validation strategy, test depth và lượng vendor evidence có thể leverage. Với GAMP 5 dược phẩm, sai category thường gây hai lỗi. Over-validation làm lãng phí. Under-validation khiến rủi ro GxP không được kiểm soát.

GAMP 5 dược phẩm trong hệ thống Category 4

Category 4 là vùng đau nhất của nhà máy dược. Lý do là hệ thống gần như luôn được configure theo quy trình nội bộ. MES có master recipe, electronic signature, deviation trigger. LIMS trong môi trường GMP có calculation, specification, OOS workflow. SCADA trong môi trường GMP có alarm, historian, recipe transfer. Những thứ đó không thể chỉ nhận vendor certificate rồi đóng hồ sơ.

Một ví dụ số: LIMS có 50 workflow. Trong đó chỉ 12 workflow ảnh hưởng batch release, OOS, calculation hoặc COA. 12 workflow này cần scripted testing, acceptance criteria và RTM. 38 workflow còn lại có thể dùng unscripted, exploratory hoặc review-based evidence. Điều kiện là risk assessment cho hệ thống máy tính chứng minh chúng không trực tiếp ảnh hưởng chất lượng sản phẩm.

Khi nào GAMP 5 dược phẩm đáng đầu tư nhất?

Tín hiệu hệ thống đang cần risk-based CSV lại từ đầu

GAMP 5 dược phẩm đáng đầu tư khi nhà máy có nhiều hệ thống GxP nhưng hồ sơ CSV đang rời rạc. URS một kiểu. Risk assessment một kiểu. Test script một kiểu. SOP operation một kiểu. Thanh tra không cần đọc hết 800 trang. Họ chỉ cần chọn một chức năng critical rồi hỏi: requirement nằm đâu? Rủi ro là gì? Test nào chứng minh? Ai approve change? Audit trail review ra sao?

Một tín hiệu khác là đội validation không dám leverage vendor evidence. Họ test lại mọi màn hình vì sợ thiếu. Nhưng họ lại không test sâu interface mapping, role privilege hoặc audit trail event list. Đây là lệch trọng tâm.

Khi nào chưa nên triển khai GAMP 5 như một chương trình lớn

Nếu SOP CSV chưa ổn, đừng bắt đầu bằng bộ template GAMP 5 mới. Điều này cũng đúng khi system inventory chưa phân loại GxP/non-GxP. Owner chưa rõ cũng là tín hiệu dừng. Hãy khóa nền trước: system inventory, GxP assessment, data flow, user role, backup/restore, audit trail review và change control.

Nói cách khác, GAMP 5 dược phẩm không cứu được một hệ thống GMP dược phẩm chưa biết ai chịu trách nhiệm với dữ liệu. Nó chỉ làm governance hiện ra rõ hơn.

Năm quyết định phải khóa trong GAMP 5 dược phẩm trước khi viết protocol

Quyết định 1 – hệ thống có GxP impact hay không?

Không phải hệ thống nào trong nhà máy cũng cần CSV đầy đủ. Nhưng hệ thống có GMP decision phải đi qua GxP assessment. Ví dụ: cân điện tử truyền dữ liệu vào MES. LIMS tính kết quả assay. SCADA historian lưu alarm critical. QMS workflow approve deviation.

Quyết định 2 – dữ liệu nào là critical?

Đội dự án cần data flow trước test plan. Dữ liệu đi từ đâu? Qua interface nào? Biến đổi bằng logic nào? Ai review? Ai ký? Bản ghi được giữ bao lâu? Part 11 §11.10(e) về audit trail chỉ có ý nghĩa khi biết record chính. §11.70 về linking chữ ký cũng vậy.

Quyết định 3 – supplier evidence được dùng tới đâu?

GAMP 5 Second Edition khuyến khích regulated companies tận dụng supplier involvement và documentation khi phù hợp. Nhưng leverage không có nghĩa là tin tuyệt đối. Nhà máy cần supplier assessment, scope review, version match và gap assessment giữa vendor testing với intended use nội bộ (ISPE — GAMP 5 Guide 2nd Edition).

Quyết định 4 – test nào cần script, test nào cần exploration?

Scripted testing phù hợp với functions có impact trực tiếp. Ví dụ: release calculation, e-signature, audit trail, alarm critical, recipe step enforcement và interface transfer. Exploratory testing phù hợp với vùng ít rủi ro hơn. Ví dụ: usability, filter, notification, layout hoặc report formatting.

Quyết định 5 – validated state sẽ được giữ bằng gì?

Validation không kết thúc ở PQ. Validated state được giữ bằng change control, periodic review và incident/deviation handling. Nó cũng cần backup/restore test, access review, audit trail review, supplier release note assessment và training. Nếu SaaS auto-update mà không có notification, nhà máy mất kiểm soát baseline. Impact assessment và rollback/mitigation plan phải có trước.

Cloud, AI và FDA CSA trong GAMP 5 dược phẩm

Cloud/SaaS: kiểm soát change mới là điểm khó

Cloud không làm hệ thống tự động compliant hoặc non-compliant. Điểm khó là ai kiểm soát update. Ai biết release note? Ai đánh giá impact? Dữ liệu GxP được bảo vệ thế nào? Với SaaS LIMS, QMS hoặc eBR, hợp đồng vendor cần nói rõ notification, maintenance window và security responsibility. Nó cũng cần backup, data export, incident reporting và quyền audit hoặc equivalent assurance.

AI/ML: dùng draft như early warning, không viết như luật hiện hành

ISPE đã công bố GAMP Guide: Artificial Intelligence trong 2025. Đây là best-practice framework cho AI-enabled computerized systems trong life sciences. Bài Pharmaceutical Engineering của ISPE mô tả model governance, fit-for-purpose data và human oversight. Bài cũng nhắc explainable AI, cybersecurity và dynamic systems.

EU GMP Annex 22 Draft 2025 nêu kỳ vọng về intended use, performance metrics, training data và test data. Draft cũng nhắc continuous oversight, change control, model monitoring và human review. Nhưng ở thời điểm 09/05/2026, đây là draft/consultation expectation. Nó không thay thế EU GMP Annex 11 (ban hành 01/2011, hiện hành). Dùng nó để thiết kế tương lai là tốt; dùng nó như luật hiện hành là sai.

V-Model trong bối cảnh chuyển đổi số

Mô hình V-Model truyền thống đang được tái định nghĩa để tích hợp các hệ thống đám mây (SaaS), trí tuệ nhân tạo (AI) và IoT. Thay vì xem thẩm định là một chuỗi các bước cứng nhắc, ISPE GAMP 5 (2nd Edition) khuyến khích “critical thinking” của SME giàu kinh nghiệm để ánh xạ rủi ro chức năng (Functional Risk Assessment) vào từng giai đoạn của vòng đời hệ thống — cho phép doanh nghiệp linh hoạt hơn trong việc xác định mức độ kiểm tra (scalability of testing), đặc biệt với các hệ thống phức tạp như LIMS hay MES. FDA định hướng tương tự trong CSA Guidance: áp dụng risk-based approach để giới hạn gánh nặng assurance ở mức cần thiết để xử lý rủi ro (least burdensome). Cần giữ đúng tỷ lệ khi đọc các claim marketing: trong hai văn bản trên không có con số định lượng chính thức nào về mức giảm thời gian thẩm định, và risk-based approach không làm giảm nghĩa vụ tuân thủ 21 CFR Part 11 hay EU Annex 11 — nó chỉ giúp tập trung effort vào đúng điểm có GxP impact. Cốt lõi của sự thay đổi nằm ở chỗ: GAMP 5 dược phẩm là một khung tư duy chiến lược, nơi mỗi quyết định thẩm định xuất phát từ tác động đến chất lượng sản phẩm và an toàn bệnh nhân — chứ không phải một danh sách kiểm tra vô hồn.

Checklist go-live cho GAMP 5 dược phẩm

Tám câu hỏi trước khi ký PQ hoặc release hệ thống

Trước go-live, QA không nên hỏi “hồ sơ đủ chưa?”. Câu hỏi tốt hơn là “hệ thống có còn rủi ro chưa được kiểm soát không?”. Checklist dưới đây giúp buổi go-live review đi vào kiểm soát thật.

1. Intended use đã được mô tả bằng quy trình thật chưa? Nếu URS chỉ lặp lại brochure vendor, chưa đủ.

2. GxP assessment có chỉ ra record, signature và data flow critical không? Nếu không biết record chính là gì, Part 11 controls sẽ mơ hồ.

3. Risk assessment có giảm chủ quan không? ICH Q9(R1) nhấn mạnh việc quản lý subjectivity trong QRM. Điểm rủi ro cần có rationale, không chỉ màu xanh/vàng/đỏ.

4. RTM có nối requirement – risk – test – deviation không? Một test case không có traceability là bằng chứng yếu.

5. Audit trail event list đã được approve chưa? Không phải mọi event đều critical. Nhưng thao tác tạo, sửa, xóa, approve, release, override và security/admin change phải được kiểm soát.

6. Electronic signature có đúng Part 11 không? §11.100 đặt yêu cầu chung. §11.200 nói về components and controls. §11.70 nói về linking chữ ký với record.

7. SOP vận hành có giữ validated state không? Change control, access review, backup, restore, audit trail review và incident handling phải đi cùng go-live.

8. Training có theo vai trò không? Admin, QA reviewer, operator và system owner không thể học cùng một slide chung rồi ký hoàn tất.

FAQ

Ghi Chú Minh Bạch