EU-GMP Annex 11 và 21 CFR Part 11 khác nhau ở đâu

Annex 11 của EU-GMP và 21 CFR Part 11 của FDA là hai tiêu chuẩn quan trọng về hệ thống máy tính hóa. Nhiều nhà máy dược tại Việt Nam thường nhầm lẫn giữa hai quy định này. Do đó, việc phân biệt rõ hai tiêu chuẩn giúp doanh nghiệp xây dựng hệ thống tuân thủ chuẩn xác. Thay vào đó, hiểu đúng bản chất sẽ tránh lãng phí chi phí thẩm định.

Tổng quan về Annex 11 và 21 CFR Part 11

Annex 11 thuộc hệ thống hướng dẫn EU-GMP tập trung vào quản lý rủi ro và vòng đời hệ thống. Trái lại, 21 CFR Part 11 là quy định pháp lý của FDA Mỹ về bản ghi và chữ ký điện tử.

Cụ thể, hai văn bản này ra đời trong bối cảnh khác nhau. 21 CFR Part 11 được ban hành nhằm thay thế bản ghi giấy bằng dữ liệu điện tử. Nhờ đó, doanh nghiệp Mỹ có cơ sở pháp lý để triển khai phần mềm GxP. Ngoài ra, FDA chú trọng vào tính xác thực và khả năng chống giả mạo của dữ liệu.

Trái lại, Annex 11 được ban hành như một phụ lục trong EudraLex Volume 4 của Ủy ban Châu Âu. Hơn nữa, văn bản này đóng vai trò là hướng dẫn thực hành tốt sản xuất thuốc. Do đó, cơ quan quản lý Dược Châu Âu yêu cầu kiểm soát toàn bộ môi trường máy tính hóa.

Bản chất pháp lý và cơ quan ban hành

Cụ thể, 21 CFR Part 11 là luật bắt buộc nằm trong Bộ luật Quy định Liên bang Hoa Kỳ. Vì vậy, mọi nhà máy bán sản phẩm vào Mỹ đều phải tuân thủ nghiêm ngặt. Trái lại, Annex 11 đóng vai trò là tài liệu hướng dẫn kỹ thuật thuộc hệ thống GMP Châu Âu. Nhờ đó, doanh nghiệp có tính linh hoạt hơn khi áp dụng các biện pháp quản lý rủi ro.

Ngoài ra, sự khác biệt về bản chất dẫn đến cách thức kiểm tra của thanh tra. Thanh tra FDA thường kiểm tra tính năng kỹ thuật chi tiết của phần mềm. Kế đến, họ đối chiếu quy trình thao tác chuẩn với các quy định kỹ thuật. Trái lại, thanh tra EU chú trọng vào đánh giá rủi ro và hồ sơ vòng đời hệ thống.

Khác biệt về phạm vi áp dụng và đối tượng điều chỉnh

Annex 11 áp dụng cho tất cả hệ thống máy tính hóa dùng trong các hoạt động GMP. Trái lại, Part 11 chỉ áp dụng cho các bản ghi điện tử và chữ ký điện tử mà quy định của FDA yêu cầu.

Cụ thể, phạm vi của Part 11 phụ thuộc vào bản ghi dữ liệu. Nếu một bản ghi không thuộc yêu cầu lưu trữ của FDA, Part 11 sẽ không điều chỉnh. Do đó, doanh nghiệp cần xác định rõ danh mục bản ghi GxP trước khi thẩm định. Chi tiết về các yêu cầu kỹ thuật này nằm trong bài viết 21 CFR Part 11: audit trail và chữ ký điện tử.

Ngoài ra, Annex 11 bao phủ toàn bộ các thành phần của hệ thống máy tính hóa. Hệ thống này bao gồm phần cứng, phần mềm, mạng truyền thông và con người. Nhờ đó, việc quản lý không bị giới hạn ở riêng dữ liệu. Thay vào đó, toàn bộ hạ tầng IT và quy trình vận hành đều phải được kiểm soát.

Hệ thống máy tính hóa trong nhà máy dược

Cụ thể, nhà máy vận hành nhiều loại phần mềm khác nhau trong sản xuất và kiểm nghiệm. Các hệ thống như SCADA, MES, CMMS, EMS hay BMS đều có thể thuộc phạm vi điều chỉnh. Vì vậy, việc xác định ranh giới hệ thống là bước khởi đầu bắt buộc. Nhờ đó, nhà máy phân bổ nguồn lực thẩm định một cách hợp lý.

Kế đến, việc phân loại phần mềm giúp giảm bớt khối lượng công việc không cần thiết. Doanh nghiệp có thể tham khảo tiêu chuẩn GAMP 5 để phân nhóm phần mềm. Chi tiết phương pháp phân loại được trình bày trong GAMP 5: phân loại phần mềm GxP. Nhờ đó, quy trình thẩm định diễn ra đúng trọng tâm và tiết kiệm chi phí.

So sánh cách tiếp cận quản lý rủi ro và kiểm soát kỹ thuật

Annex 11 tiếp cận hệ thống dựa trên đánh giá rủi ro xuyên suốt vòng đời. Trái lại, Part 11 đặt trọng tâm vào các điều kiện kỹ thuật để đảm bảo tính toàn vẹn của hồ sơ điện tử.

Cụ thể, Annex 11 yêu cầu quản lý rủi ro chất lượng phải được áp dụng liên tục. Do đó, nhà máy phải đánh giá rủi ro từ khâu lựa chọn nhà cung cấp. Hơn nữa, việc đánh giá rủi ro giúp quyết định mức độ chi tiết của hồ sơ thẩm định. Nhờ đó, các hệ thống phức tạp sẽ nhận được sự kiểm soát chặt chẽ hơn.

Trái lại, Part 11 đưa ra các quy định kỹ thuật mang tính định lượng. Ví dụ, luật quy định rõ yêu cầu về chữ ký điện tử hai thành phần. Ngoài ra, Part 11 quy định chặt chẽ về kiểm soát truy cập và thời gian phiên làm việc. Vì vậy, các nhà sản xuất phần mềm thường dễ đóng gói tính năng theo Part 11 hơn.

Vòng đời hệ thống và quản lý nhà cung cấp

Cụ thể, Annex 11 dành riêng các điều khoản cho việc đánh giá và quản lý nhà cung cấp phần mềm. Do đó, nhà máy phải tiến hành đánh giá năng lực của đơn vị phát triển. Kế đến, hợp đồng cung cấp phải ghi rõ trách nhiệm của các bên. Nhờ đó, rủi ro từ nhà cung cấp bên thứ ba được kiểm soát hiệu quả.

Trái lại, Part 11 không quy định chi tiết về quản lý nhà cung cấp trong văn bản gốc. Thay vào đó, FDA coi trách nhiệm cuối cùng thuộc về bên sử dụng phần mềm. Vì vậy, nhà máy dược phải tự chứng minh phần mềm đáp ứng Part 11. Nhờ đó, việc đánh giá nhà cung cấp vẫn là bước cần thiết trong thực tế.

Audit trail và yêu cầu lưu trữ dữ liệu

Cụ thể, cả hai tiêu chuẩn đều bắt buộc phải có audit trail tự động. Tuy nhiên, Annex 11 nhấn mạnh vào việc xem xét audit trail dựa trên đánh giá rủi ro. Do đó, nhà máy cần lập lịch kiểm tra vết theo dõi định kỳ. Hơn nữa, quy trình review audit trail phải được thể hiện rõ trong SOP.

Trái lại, Part 11 tập trung vào tính không thể sửa đổi của audit trail. Vì vậy, bản ghi vết theo dõi phải được bảo vệ an toàn khỏi mọi sự can thiệp. Ngoài ra, hệ thống phải cho phép truy xuất audit trail dưới dạng đọc được. Nhờ đó, thanh tra FDA có thể kiểm tra lịch sử dữ liệu bất kỳ lúc nào.

Bảng đối chiếu chi tiết giữa Annex 11 và Part 11

Bảng đối chiếu dưới đây tóm tắt các điểm khác biệt cơ bản giữa Annex 11 và Part 11. Nhờ đó, nhân sự QA và IT có cái nhìn tổng quan để xây dựng quy trình tuân thủ.

Điểm giao thoa cốt lõi giữa hai tiêu chuẩn

Cụ thể, dù có sự khác biệt về tiếp cận, cả hai quy định đều hướng tới mục tiêu toàn vẹn dữ liệu. Do đó, các tính năng như phân quyền tài khoản, lưu trữ an toàn và audit trail đều xuất hiện ở cả hai nơi. Hơn nữa, việc đáp ứng một tiêu chuẩn thường tạo tiền đề tốt cho tiêu chuẩn còn lại. Nhờ đó, doanh nghiệp không phải xây dựng hai hệ thống hoàn toàn tách biệt.

Ngoài ra, cả EU và FDA đều thừa nhận nguyên tắc ALCOA+ trong đánh giá dữ liệu. Vì vậy, bản ghi điện tử phải đáp ứng thuộc tính chính xác, kịp thời và có thể truy xuất. Nhờ đó, nhà máy áp dụng tốt ALCOA+ sẽ dễ dàng tuân thủ cả Annex 11 lẫn Part 11.

Chiến lược tuân thủ kép cho nhà máy xuất khẩu

Doanh nghiệp xuất khẩu sang cả thị trường EU và Mỹ cần xây dựng chiến lược tuân thủ giao thoa. Cụ thể, giải pháp tốt nhất là chọn tiêu chuẩn cao hơn ở từng khía cạnh để áp dụng chung.

Do đó, nhà máy nên áp dụng quản lý rủi ro theo Annex 11 cho toàn bộ vòng đời. Đồng thời, hệ thống phải đáp ứng các kiểm soát kỹ thuật nghiêm ngặt theo Part 11. Nhờ đó, doanh nghiệp tạo ra quy trình đáp ứng đồng thời cả hai cơ quan thanh tra. Thay vào đó, việc duy trì hai bộ quy trình riêng sẽ gây lãng phí và nhầm lẫn.

Ngoài ra, việc đào tạo nhân sự đóng vai trò then chốt trong chiến lược tuân thủ kép. Cụ thể, nhân sự QA và IT phải hiểu rõ lý do đằng sau từng quy định. Kế đến, họ cần phối hợp chặt chẽ trong quá trình thẩm định hệ thống. Nhờ đó, các rủi ro tuân thủ sẽ được phát hiện và xử lý sớm.

Xây dựng tài liệu thẩm định tích hợp

Cụ thể, bộ tài liệu thẩm định nên kết hợp cả yêu cầu của Annex 11 và Part 11. Do đó, Ma trận Truy xuất Yêu cầu (RTM) cần liệt kê các điều khoản của cả hai chuẩn. Kế đến, các kịch bản kiểm thử phải xác minh cả tính năng kỹ thuật lẫn quy trình vận hành. Nhờ đó, bằng chứng thẩm định sẽ thuyết phục được mọi đoàn thanh tra.

Ngoài ra, nhà máy cần cập nhật quy trình thao tác chuẩn (SOP) theo định kỳ. Quy trình phải quy định rõ trách nhiệm kiểm tra audit trail và quản lý tài khoản. Hơn nữa, việc lưu trữ hồ sơ thẩm định phải tuân thủ thời gian quy định của cả hai thị trường. Nhờ đó, dữ liệu luôn sẵn sàng phục vụ tái thanh tra.

Những sai lầm phổ biến khi triển khai tiêu chuẩn

Sai lầm phổ biến nhất là tin rằng mua phần mềm đạt chuẩn sẽ tự động mang lại sự tuân thủ. Trái lại, tuân thủ là kết quả của sự kết hợp giữa phần mềm, quy trình và con người.

Cụ thể, nhiều nhà máy mua phần mềm có tính năng Part 11 nhưng vận hành sai quy định. Do đó, việc dùng chung tài khoản vẫn diễn ra khá phổ biến trong thực tế. Ngoài ra, một số nơi bật audit trail nhưng không bao giờ tiến hành review. Vì vậy, hệ thống vẫn vi phạm toàn vẹn dữ liệu dù phần mềm rất hiện đại.

Hơn nữa, một sai lầm khác là bỏ qua bước quản lý rủi ro theo Annex 11. Do đó, doanh nghiệp dành quá nhiều thời gian thẩm định các tính năng ít quan trọng. Trái lại, các chức năng ảnh hưởng trực tiếp đến chất lượng thuốc lại bị xem nhẹ. Nhờ đó, việc hiểu đúng tiêu chuẩn giúp phân bổ nguồn lực hiệu quả hơn.

Duy trì trạng thái tuân thủ liên tục

Cụ thể, tuân thủ không phải là sự kiện diễn ra một lần tại thời điểm thẩm định. Do đó, nhà máy phải duy trì trạng thái tuân thủ trong suốt quá trình vận hành. Kế đến, việc quản lý thay đổi (Change Control) cần được thực hiện nghiêm ngặt khi nâng cấp phần mềm. Nhờ đó, các tính năng tuân thủ không bị đứt gãy sau mỗi lần sửa đổi.

Ngoài ra, việc đánh giá định kỳ theo Annex 11 giúp phát hiện các lỗ hổng phát sinh. Do đó, nhà máy nên đặt lịch kiểm tra lại hệ thống ít nhất mỗi năm một lần. Hơn nữa, các báo cáo đánh giá định kỳ là bằng chứng quan trọng khi làm việc với thanh tra. Nhờ vậy, nhà máy duy trì được sự chủ động trước mọi đợt kiểm tra.

Đáp ứng cả hai khi xuất khẩu hai thị trường

Tóm lại, EU-GMP Annex 11 và 21 CFR Part 11 có mục tiêu chung là bảo vệ tính toàn vẹn của dữ liệu GxP. Do đó, doanh nghiệp không nên coi hai tiêu chuẩn này là đối lập nhau. Ngoài ra, việc kết hợp phương pháp quản lý rủi ro của Annex 11 với các kiểm soát kỹ thuật của Part 11 mang lại mô hình tuân thủ toàn diện. Nhờ đó, nhà máy dược Việt Nam có thể tự tin đáp ứng yêu cầu của cả thị trường EU lẫn Mỹ. Hơn nữa, sự tuân thủ bền vững xuất phát từ ý thức vận hành hằng ngày của toàn bộ đội ngũ.

TYPE 2 — Nội dung tổng hợp có tính tham khảo. Bài viết có giới hạn thông tin (transparency note): bài viết phân tích các điểm khác biệt chính giữa EU-GMP Annex 11 và 21 CFR Part 11 dựa trên văn bản hiện hành. Doanh nghiệp nên tham khảo trực tiếp văn bản gốc và tư vấn từ chuyên gia QA trước khi áp dụng cho hệ thống cụ thể.