What is 21 CFR Part 11? FDA Regulation for Electronic Records and Signatures
- Governs when electronic records and signatures replace paper in pharma—built on “predicate rules” like GMP.
- Applies when systems generate critical GMP data and paper is completely eliminated.
- Requires system validation, audit trail, e-signature controls, access control, and record retention.
21 CFR Part 11 là gì? Nếu anh/chị làm việc trong nhà máy dược phẩm có hệ thống máy tính, đây là quy định FDA mà bạn sẽ nghe nói hàng ngày. Bài viết trả lời 21 CFR Part 11 là gì theo cách thực chiến: không học thuật rỗng, chỉ có ý nghĩa cụ thể cho GMP điện tử và những gì nhà máy phải làm để tuân thủ.
21 CFR Part 11 là quy định FDA (Title 21, Part 11) quy định khi nào bản ghi điện tử (electronic records) và chữ ký điện tử (electronic signatures) được coi là đáng tin cậy và tương đương với bản giấy hay chữ ký viết tay. Tuy nhiên, Part 11 không tự động áp dụng cho mọi hệ thống máy tính trong nhà máy — nó áp dụng trên nền tảng các quy định “predicate rules” như GMP 21 CFR Part 211, mà Part 11 chỉ quy định phần điện tử của nó.
21 CFR Part 11 là gì — một dòng: Part 11 là quy định FDA về khi nào bản ghi điện tử và chữ ký điện tử có thể thay thế bản giấy trong ngành dược — nhưng có điều kiện: hệ thống phải được validate, có audit trail, e-signature phải linked, và mọi dữ liệu phải giữ lại để thanh tra kiểm tra.
Bài này giúp anh/chị:
- Hiểu 21 CFR Part 11 là gì và tại sao nó tồn tại.
- Biết scope thực tế của Part 11 sau khi FDA hẹp lại qua 2003 Guidance.
- Nắm được các yêu cầu cốt lõi: validation, audit trail, e-signature controls, access control, record retention.
- Hiểu mối liên hệ giữa 21 CFR Part 11 và các quy định khác trong GMP.
21 CFR Part 11 là gì — Định nghĩa và nguồn gốc
Phần này làm rõ 21 CFR Part 11 là gì, tại sao nó được tạo ra, và scope thực tế của nó trong GMP ngày nay.
Regulatory baseline: Bài viết tham chiếu 21 CFR Part 11 (eCFR), FDA Scope and Application Guidance (2003), và EU GMP Annex 11 để so sánh.
21 CFR Part 11 — viết đầy đủ là “Part 11 – Electronic Records; Electronic Signatures” — được đề xuất vào năm 1997 và có hiệu lực từ 1998. Mục đích của nó rất đơn giản: trong thế giới ngày càng điện tử, FDA cần một quy định để xác định khi nào bản ghi điện tử có thể thay thế bản giấy, và chữ ký điện tử có thể đúng pháp lý thay chữ ký viết tay.
Tuy nhiên, khi FDA đầu tiên ban hành Part 11, nhiều công ty dược phẩm lo lắng rằng quy định quá nghiêm ngặt và tốn kém. Năm 2003, FDA phát hành Guidance on Part 11 Scope and Application để hẹp lại scope của Part 11: Part 11 chỉ áp dụng khi bản ghi điện tử và e-signature thay thế hoàn toàn bản giấy, và chỉ áp dụng cho các hệ thống sinh ra dữ liệu quan trọng về mặt quy định (predicate rule data). Nói cách khác, nếu anh/chị giữ bản in giấy, Part 11 không áp dụng; nếu hệ thống chỉ tạo dữ liệu hỗ trợ (không phải dữ liệu GMP cốt lõi), Part 11 có thể không bắt buộc.
Hệ quả thực tế cho nhà máy dược phẩm: Part 11 hiểu đơn giản nhất là “khi nào hệ thống điện tử của anh/chị được phép hoàn toàn loại bỏ giấy.” Các yêu cầu cốt lõi của Part 11 — validate hệ thống, giữ audit trail, kiểm soát e-signature — là điều mà mọi nhà máy dược phẩm có hệ thống GMP điện tử đều phải làm, không phải tùy chọn.
GMP dược phẩm hệ thống: nhìn GMP như kiến trúc dữ liệu, con người và quyết định chất lượng
Đọc tiếp để đặt 21 CFR Part 11 vào bức tranh kiến trúc GMP tổng thể.
GMP dược phẩm hệ thống: nhìn GMP như kiến trúc dữ liệu, con người và quyết định chất lượng →
21 CFR Part 11 — Những yêu cầu chính
Đây là phần cốt lõi: nếu hệ thống của anh/chị loại bỏ giấy hoàn toàn, Part 11 yêu cầu những gì?
Các yêu cầu chính của 21 CFR Part 11 bao gồm:
- System Validation — Hệ thống phải được thiết kế, kiểm tra, và xác nhận rằng nó hoạt động đúng theo yêu cầu (21 CFR 11.10(a)). Đây là yêu cầu bắt đầu; không có validation, không thể nói hệ thống đáng tin cậy.
- Audit Trail — Hệ thống phải ghi lại ai đã làm gì, khi nào, và với mỗi thay đổi (before/after value) cho mọi thao tác liên quan đến bản ghi dữ liệu (§11.10(e)). Audit trail là yêu cầu duy nhất bị cite nhiều nhất trong thanh tra FDA.
- Electronic Signature Controls — Nếu dùng e-signature để phê duyệt bản ghi, e-signature phải unique (chỉ dùng bởi một người), không thể từ chối sau này (non-repudiation), và phải linked vĩnh viễn với bản ghi (§11.70). Mật khẩu chia sẻ không được phép; mỗi người phải có tài khoản duy nhất.
- Access Control — Chỉ những người được phép mới có quyền tạo, sửa, hoặc phê duyệt bản ghi (§11.10(i)). Hệ thống phải kiểm soát quyền truy cập dựa trên vai trò (role-based access control).
- Record Retention — Bản ghi điện tử phải được giữ lại miễn là quy định yêu cầu, và phải có cách để thanh tra kiểm tra (§11.10(k)). Nếu hệ thống bị thay thế, dữ liệu cũ phải có thể truy cập được từ backup.
Thêm vào đó, FDA Guidance (2003) nêu rõ yêu cầu về data integrity — những nguyên tắc ALCOA+ đã được mô tả chi tiết ở bài data integrity — áp dụng cho tất cả dữ liệu GMP, không chỉ những dữ liệu thỏa Part 11.
21 CFR Part 11 vs EU GMP Annex 11 — Hai khung quy định cùng mục tiêu, khác cách tiếp cận
Phần này so sánh Part 11 với Annex 11 để anh/chị hiểu rằng không phải Part 11 là quy định duy nhất; EU có Annex 11 với các yêu cầu tương tự nhưng khác nhau ở chi tiết.
EU có quy định riêng cho hệ thống máy tính trong GMP: Annex 11 của EU GMP (EudraLex Volume 4). Annex 11 có cùng mục tiêu với Part 11 — đảm bảo dữ liệu điện tử đáng tin cậy — nhưng có một số khác biệt then chốt:
- Scope: Annex 11 áp dụng cho tất cả hệ thống máy tính liên quan GMP, không chỉ những hệ thống thay thế giấy. Part 11 hẹp hơn: chỉ áp dụng khi bản ghi điện tử hoàn toàn thay thế giấy (theo 2003 Guidance).
- Audit Trail: Cả hai yêu cầu audit trail, nhưng Annex 11 yêu cầu cân nhắc audit trail cho mọi thay đổi và xóa liên quan GMP, trong khi Part 11 yêu cầu audit trail cho những bản ghi thay thế giấy.
- E-signature: Part 11 có yêu cầu cụ thể cho e-signature (§11.70), trong khi Annex 11 nêu rõ rằng hệ thống phải đảm bảo tính xác thực (authenticity) của dữ liệu nhưng không bắt buộc e-signature nếu có biện pháp khác.
Để so sánh chi tiết hơn, đọc bài Annex 11 vs 21 CFR Part 11 — Sự khác biệt và điểm chung. Phần quan trọng là nếu nhà máy anh/chị bán hàng sang cả Mỹ (FDA) và EU, anh/chị phải thỏa mãn cả Part 11 và Annex 11 — và điều này thường có nghĩa chọn yêu cầu cao hơn của hai quy định.
21 CFR Part 11 và “Predicate Rules” — Part 11 là phần bổ sung, không phải độc lập
Phần này làm rõ một sai hiểu phổ biến: Part 11 không tự bảo vệ dữ liệu GMP; nó chỉ bảo vệ phần điện tử.
Một điểm quan trọng mà nhiều người quên: Part 11 không tự công nhận bản ghi là “dữ liệu chất lượng GMP”. Nó chỉ nói rằng nếu dữ liệu đã thỏa một quy định khác (một “predicate rule” như 21 CFR Part 211 GMP), và anh/chị dùng hệ thống Part 11-compliant, thì dữ liệu điện tử thay thế giấy là được phép.
Nói cách khác: Part 211 (GMP) nói “cái dữ liệu này cần giữ lại và được chứng minh chính xác.” Part 11 nói “dữ liệu điện tử có thể thay thế giấy — nếu hệ thống validate, có audit trail, e-signature đúng, v.v.” Hai quy định này cần nhau.
Mục đích của predicate rules là GMP không áp dụng chỉ dựa vào Part 11 — Part 11 là yêu cầu kỹ thuật. Dữ liệu phải là dữ liệu GMP thực (định nghĩa bởi Part 211, Annex 11, v.v.) trước tiên, rồi Part 11 mới đảm bảo phần điện tử của nó.
21 CFR Part 11 trong thực hành — Những sai lầm phổ biến
Phần này chỉ ra những điểm mà nhiều nhà máy vấp ngã khi cố gắng tuân thủ Part 11.
Dựa trên FDA List of Warning Letters liên quan đến Part 11 và MHRA Data Integrity Guidance, những sai lầm phổ biến bao gồm:
- Không validate hệ thống trước khi dùng: Nhiều nhà máy sử dụng hệ thống (Excel, database, LIMS) mà không có validation document hay test report. FDA sẽ cite đây là Form 483 obs ngay lập tức.
- Audit trail không đầy đủ: Hệ thống ghi ai và khi nào, nhưng không ghi before/after value; hoặc audit trail có thể bị tắt. Audit trail bị cite nhiều nhất.
- Không review audit trail định kỳ: Hệ thống có audit trail, nhưng không ai từng đọc nó cho đến khi thanh tra hỏi. FDA Guidance nêu rõ kỳ vọng review định kỳ dựa trên rủi ro.
- E-signature dùng mật khẩu chia sẻ: Hai hoặc ba người dùng chung một tài khoản để phê duyệt hồ sơ. Điều này vi phạm yêu cầu “unique” trong §11.70.
- Không giữ backup và restore plan: Nếu hệ thống bị mất hay downtime, có kế hoạch để khôi phục dữ liệu không? Nếu không, đó là lỗ hổng về record retention.
Để tránh những sai lầm này, xem thêm bài Audit Trail là gì (chi tiết yêu cầu audit trail) và PIC/S PI 041-1 Guidance on Data Integrity (chi tiết hơn về cách thực hiện).
21 CFR Part 11 và Data Integrity — Part 11 là công cụ, Data Integrity là mục tiêu
Phần này nối Part 11 với bức tranh data integrity tổng thể.
Một sai hiểu nữa: Part 11 là một yêu cầu, nhưng data integrity ALCOA+ là mục tiêu chung. Part 11 cung cấp các công cụ để đạt được data integrity trong môi trường điện tử — validation đảm bảo hệ thống hoạt động đúng, audit trail chứng minh ai làm gì, e-signature chứng minh ai phê duyệt.
Nói cách khác, nếu anh/chị muốn dữ liệu GMP của mình thỏa ALCOA+ (Attributable, Legible, Contemporaneous, Original, Accurate, và các yếu tố “+”), Part 11 (và Annex 11 ở EU) là một bộ công cụ kỹ thuật để làm điều đó trong hệ thống điện tử. Đó là lý do vì sao audit trail luôn là chủ đề trung tâm — nó là cơ chế kỹ thuật hiện thực hóa nguyên tắc Attributable và Contemporaneous.
Decision Moment
Sau khi hiểu 21 CFR Part 11 là gì, ba câu hỏi thực chiến để anh/chị tự đánh giá việc tuân thủ Part 11 của nhà máy.
- Các hệ thống GMP của nhà máy có validation document và test report không, hay chỉ “dùng là được”?
- Nếu hệ thống loại bỏ giấy hoàn toàn (vd. LIMS thay thế logbook), audit trail có ghi before/after value hay chỉ ghi “thay đổi xảy ra”?
- Nếu dùng e-signature, mỗi người dùng có account duy nhất hay có chia sẻ mật khẩu?
Nếu có câu trả lời “không chắc” hoặc “không” cho bất kỳ câu nào, đó là điểm cần ưu tiên. Bước tiếp theo là đọc bài Annex 11 vs 21 CFR Part 11 — Sự khác biệt và điểm chung để so sánh với quy định EU nếu bán hàng sang EU, và tham khảo thêm tại nampham.net.
FAQ
Phần này gom các câu hỏi thường gặp từ người mới tìm hiểu 21 CFR Part 11 trong GMP.
21 CFR Part 11 là quy định FDA quy định khi nào bản ghi điện tử (electronic records) và chữ ký điện tử (electronic signatures) được coi là đáng tin cậy và tương đương với bản giấy hoặc chữ ký viết tay. Nó áp dụng trên nền tảng các quy định “predicate rules” (như GMP 21 CFR Part 211). Theo FDA 2003 Guidance, Part 11 chỉ áp dụng khi bản ghi điện tử thay thế hoàn toàn bản giấy và dữ liệu là dữ liệu GMP cốt lõi (predicate rule data).
Yêu cầu chính bao gồm: (1) System Validation — hệ thống phải được thiết kế, kiểm tra, xác nhận đúng chức năng; (2) Audit Trail — ghi lại ai làm gì, khi nào, before/after value; (3) Electronic Signature Controls — e-signature phải unique, không thể từ chối, linked vĩnh viễn; (4) Access Control — chỉ người được phép mới có quyền tạo/sửa/phê duyệt; (5) Record Retention — dữ liệu phải giữ lại miễn là quy định yêu cầu. Ngoài ra, FDA Guidance 2003 nêu rõ yêu cầu về data integrity ALCOA+.
Cả hai có cùng mục tiêu (đảm bảo dữ liệu điện tử đáng tin cậy) nhưng khác nhau: Part 11 chỉ áp dụng khi loại bỏ giấy hoàn toàn, Annex 11 áp dụng cho tất cả hệ thống máy tính GMP. Annex 11 yêu cầu cân nhắc audit trail cho mọi thay đổi/xóa, Part 11 yêu cầu audit trail cho bản ghi thay thế giấy. Part 11 có yêu cầu e-signature cụ thể, Annex 11 linh hoạt hơn. Nếu bán hàng sang cả Mỹ và EU, thường phải chọn yêu cầu cao hơn của hai quy định.
Predicate Rules là các quy định khác (như 21 CFR Part 211 GMP) quy định rằng dữ liệu nào cần giữ lại và chứng minh chính xác. Part 11 không tự nói dữ liệu nào là “GMP data” — nó chỉ nói dữ liệu điện tử có thể thay thế giấy nếu dữ liệu đó đã thỏa một predicate rule. Vì vậy, Part 211 (GMP) + Part 11 (điện tử) = dữ liệu GMP điện tử đầy đủ.
Không bắt buộc lắm — nếu anh/chị giữ bản in giấy như bản gốc, bản điện tử chỉ là bản sao và Part 11 yêu cầu khắt khe sẽ bớt lại. Tuy nhiên, các yêu cầu về data integrity ALCOA+ vẫn áp dụng cho bản điện tử. 2003 Guidance nêu rõ rằng nếu giữ giấy, Part 11 yêu cầu có thể giảm nhẹ — nhưng điều này không có nghĩa là bỏ qua validate hệ thống hoặc audit trail.
Không. 21 CFR Part 11 §11.70 yêu cầu e-signature phải “unique” — chỉ dùng bởi người đó, không ai khác. Nếu hai hoặc ba người dùng chung một tài khoản để phê duyệt hồ sơ, đó là vi phạm Part 11 và sẽ bị FDA cite. Mỗi người dùng phải có account duy nhất với mật khẩu riêng.
Ghi Chú Minh Bạch
Phần này làm rõ nguồn tham chiếu và ranh giới áp dụng của bài viết.
Nguồn quy định chính (Primary Regulatory)
- 21 CFR Part 11 — Electronic Records; Electronic Signatures (eCFR).
- FDA Guidance on Part 11 Scope and Application (2003) — hẹp lại scope của Part 11 từ ban hành lúc 1997.
- EU GMP Annex 11 — Computerised Systems (EudraLex Volume 4).
- MHRA GxP Data Integrity Guidance.
- PIC/S PI 041-1 Guidance on Data Integrity.
- ICH Q10 Pharmaceutical Product Lifecycle.
- ICH Q9 Quality Risk Management.
- ISPE GAMP 5 Good Automated Manufacturing Practice.
Ghi chú phạm vi
- Bài này tập trung vào định nghĩa 21 CFR Part 11 là gì, yêu cầu chính, và so sánh với Annex 11 cho người mới. Cách cấu hình chi tiết Part 11 và các thách thức trong thực hiện được phân tích tại Annex 11 vs 21 CFR Part 11 — Sự khác biệt và điểm chung.
- FDA 2003 Guidance “Scope and Application” là tài liệu chính để hiểu scope thực tế của Part 11 hiện nay; nó hẹp lại từ ban hành lúc 1997.
- Yêu cầu data integrity ALCOA+ đề cập trong bài phải được xem cùng với bài Data Integrity ALCOA+ Framework trong GMP.
Tác giả: Phạm Đức Phương Nam
