NCF incumplidas · procedimientos no validados

Conducta

Incumplir las directrices detalladas sobre normas de correcta fabricación, o efectuar los procesos de fabricación o control mediante procedimientos no validados. Es la conducta que cubre el incumplimiento del Anexo 11, incluida la falta de validación de un sistema informatizado

Importe

Infracción grave: de 30.001 a 90.000 euros según el grado (mínimo, medio o máximo)

RDL 1/2015, arts. 111.2.b).1.ª y 114.1.b)

Obstrucción a la inspección

Conducta

Dificultar la labor inspectora mediante cualquier acción u omisión que perturbe o retrase la misma. Alcanza a no poner a disposición del inspector la documentación del sistema de calidad y las auditorías del proveedor que el Anexo 11 exige tener disponibles

Importe

Infracción grave: de 30.001 a 90.000 euros según el grado

RDL 1/2015, arts. 111.2.b).3.ª y 114.1.b)

Impedir la inspección

Conducta

Impedir la actuación de los inspectores debidamente acreditados en los centros donde se elaboren, fabriquen, distribuyan y dispensen medicamentos

Importe

Infracción muy grave: de 90.001 a 1.000.000 de euros, pudiendo rebasar esa cantidad hasta el quíntuplo del valor de los productos o servicios objeto de la infracción

RDL 1/2015, arts. 111.2.c).26.ª y 114.1.c)

Las NCF no definen notificación de incidentes de seguridad a una autoridad, con supuestos y plazos. La gestión de incidencias del apdo. 13 del Anexo 11 es interna al sistema de calidad (recogida en las obligaciones), y la vía externa es la inspección de la AEMPS.

Fabricantes e importadores de medicamentos

Titulares de una autorización de laboratorio farmacéutico fabricante o importador, por el deber de cumplir las Normas de Correcta Fabricación e interpretarlas conforme a la guía de la Comisión

Fabricantes de principios activos

Fabricantes e importadores de principios activos usados como materia prima, obligados por la parte II de la guía y por los anexos que les sean aplicables

Cualquier sistema informatizado en actividad NCF

El anexo aplica a todas las formas de sistema informatizado usadas como parte de actividades reguladas por las Normas de Correcta Fabricación, entendiendo por sistema el conjunto de software y hardware que cumple ciertas funcionalidades

Sistemas críticos

Dentro del alcance hay un subconjunto con exigencia reforzada: los sistemas críticos necesitan descripción actualizada de sus disposiciones físicas y lógicas, flujos de datos, interfaces, prerrequisitos y medidas de seguridad

Proveedores y prestadores de servicio

No son destinatarios de la guía, pero quedan alcanzados por el acuerdo formal que el fabricante tiene que firmar y por la obligación de que su sistema de calidad y sus auditorías estén disponibles para los inspectores

Departamentos de informática propios

El anexo los equipara expresamente a un tercero, lo que traslada al equipo interno el mismo régimen de responsabilidades definidas

Uso de modelos de IA en aplicaciones críticas

El proyecto alcanzaría a quien use modelos de aprendizaje automático en aplicaciones críticas con impacto directo en la seguridad del paciente, la calidad del producto o la integridad de los datos, y funcionaría como guía adicional al Anexo 11

Exclusiones

Guía de Normas de Correcta Fabricación de la Unión Europea (EudraLex, volumen 4): Anexo 11 «Sistemas informatizados» y proyecto de Anexo 22 «Inteligencia artificial»

Identificador

EudraLex Vol. 4 · Anexo 11

Fuente

Comisión Europea · EudraLex, volumen 4 (Normas de Correcta Fabricación) · Comisión Europea, Dirección General de Salud y Seguridad Alimentaria

Ciberseguridad

El objeto del Anexo 11 es la calidad del sistema informatizado en un entorno de fabricación, no la seguridad de la información. Pero doce de sus diecisiete apartados son controles de seguridad reconocibles: restricción de acceso a personas autorizadas, registro de la creación y cancelación de autorizaciones, atribución de cada operación a una identidad con fecha y hora, registro de auditoría, copias de seguridad con prueba de restauración, gestión de incidentes con causa raíz, firma electrónica, continuidad ante colapso del sistema y archivo recuperable. El resto (validación, requisitos de usuario, impresiones, liberación de lotes) es garantía de calidad con corte ciber parcial. El proyecto de Anexo 22 añade gobernanza de modelos de IA, no seguridad, salvo en el control de acceso al repositorio de datos de prueba y en el control de configuración del modelo desplegado.

Valoración del curador · nivel 3 de 5

Gestión de riesgos durante todo el ciclo de vida Ciber parcial

Aplicar gestión de riesgos a lo largo de toda la vida del sistema, con la seguridad del paciente, la integridad de los datos y la calidad del producto como criterios. La extensión de la validación y de los controles de integridad se decide sobre una evaluación de riesgos justificada y documentada, no por criterio del equipo técnico.

Literal de la norma La gestión de riesgos debe aplicarse durante el ciclo de vida del sistema informatizado teniendo en cuenta la seguridad del paciente, la integridad de datos y la calidad del producto.

Anexo 11, apdo. 1

Personal cualificado, con responsabilidades y nivel de acceso definidos Ciber parcial

Cooperación estrecha entre propietario del proceso, propietario del sistema, Personas Cualificadas e informática. Todo el personal con la cualificación apropiada, el nivel de acceso que le corresponde y las responsabilidades definidas.

Literal de la norma Todo el personal debe disponer de la cualificación apropiada, el nivel de acceso y tener definidas sus responsabilidades para llevar a cabo las tareas asignadas.

Anexo 11, apdo. 2

Acuerdo formal con cada tercero, incluido el acceso remoto Ciber parcial

Firmar acuerdos formales con cualquier tercero que suministre, instale, configure, integre, valide, mantenga por acceso remoto, modifique o conserve el sistema, o que procese sus datos, con las responsabilidades del tercero escritas. Los departamentos de informática propios se tratan igual.

Literal de la norma Cuando se emplea a terceros (como proveedores, proveedores de servicios) por ejemplo para suministrar, instalar, configurar, integrar, validar, mantener (ej. vía acceso remoto), modificar o conservar un sistema informatizado o un servicio relacionado o para el procesado de datos, tienen que existir acuerdos formales entre el fabricante y cualquier tercero, y en estos acuerdos deben incluirse declaraciones claras sobre las responsabilidades del tercero.

Anexo 11, apdo. 3.1

Evaluación del proveedor y auditorías disponibles para el inspector Ciber parcial

Seleccionar proveedor valorando su competencia y fiabilidad, decidir si procede auditarlo sobre un análisis de riesgos, revisar la documentación del producto comercial contra los requisitos de usuario, y tener disponible para los inspectores el sistema de calidad y la información de auditorías del proveedor o desarrollador.

Literal de la norma El sistema de calidad y la información de auditorías relativas a los proveedores o desarrolladores del software y de los sistemas implantados deben estar disponibles a petición de los inspectores.

Anexo 11, apdos. 3.2 a 3.4

Validar la aplicación y cualificar la infraestructura Ciber parcial

Validar la aplicación y cualificar la infraestructura antes de usarlas, con documentación e informes que cubran los pasos relevantes del ciclo de vida, estándares y criterios de aceptación justificados sobre el análisis de riesgos, registros de control de cambios, desviaciones observadas y evidencia de métodos y escenarios de prueba adecuados. Sustituir una operación manual por el sistema no puede empeorar la calidad ni aumentar el riesgo del proceso.

Literal de la norma La aplicación debe validarse; la infraestructura informatizada (IT) debe cualificarse.

Anexo 11, principio y apdos. 4.1 a 4.7

Inventario de sistemas y descripción de los críticos Ciber parcial

Mantener una lista actualizada de todos los sistemas relevantes y de su funcionalidad respecto a las Normas de Correcta Fabricación. Para los sistemas críticos, además, una descripción actualizada con disposiciones físicas y lógicas, flujos de datos, interfaces con otros sistemas o procesos, prerrequisitos de hardware y software, y medidas de seguridad.

Literal de la norma Para los sistemas críticos debe disponerse de una descripción actualizada detallando las disposiciones físicas y lógicas, los flujos de datos y las interfaces con otros sistemas o procesos, cualquier pre-requisito del hardware y del software, y las medidas de seguridad.

Anexo 11, apdo. 4.3

Especificación de requisitos de usuario trazable

Describir las funciones requeridas del sistema en una especificación de requisitos de usuario basada en análisis de riesgos documentado y en el impacto sobre las Normas de Correcta Fabricación, y trazarla a lo largo de todo el ciclo de vida. Para sistemas hechos a medida, un proceso de evaluación formal de calidad y funcionamiento en todas las etapas.

Literal de la norma Las especificaciones de requerimientos de usuario deben describir las funciones requeridas del sistema informatizado y deben basarse en una evaluación de riesgos documentada y en su impacto en NCF.

Anexo 11, apdos. 4.4 a 4.6

Validar la migración de datos sin alterar valor ni significado Ciber parcial

Cuando los datos se transfieran a otro formato o a otro sistema, la validación tiene que incluir comprobaciones de que no se han alterado ni en valor ni en significado durante la migración.

Literal de la norma Si los datos se transfieren a otro formato de datos o sistema, la validación debe incluir comprobaciones de que los datos no se alteran en valor y/o en significado durante el proceso de migración.

Anexo 11, apdo. 4.8

Comprobaciones intrínsecas en el intercambio de datos entre sistemas Ciber

Los sistemas que intercambian datos electrónicamente con otros deben llevar incorporadas comprobaciones de que la entrada y el procesado son correctos y seguros. Es una exigencia sobre la interfaz, no sobre el operador.

Literal de la norma Los sistemas informatizados que intercambian datos electrónicamente con otros sistemas deben incluir comprobaciones intrínsecas adecuadas de la entrada y el procesado correcto y seguro de datos, de cara a minimizar riesgos.

Anexo 11, apdo. 5

Segunda comprobación de los datos críticos introducidos a mano Ciber parcial

Para los datos críticos que se introducen manualmente, una comprobación adicional de exactitud, hecha por un segundo operador o por medios electrónicos validados. La criticidad y las consecuencias de un dato mal introducido se tratan dentro de la gestión de riesgos.

Literal de la norma Para la entrada manual de datos críticos, debe existir una comprobación adicional de la exactitud de los datos.

Anexo 11, apdo. 6

Proteger los datos almacenados y garantizar su acceso durante la conservación Ciber

Asegurar los datos frente a daños por medios físicos y electrónicos, comprobar su accesibilidad, legibilidad y exactitud, y garantizar el acceso durante todo el periodo de conservación. El plazo de conservación lo fija otra parte de la guía, pero la disponibilidad del dato durante ese plazo se exige aquí.

Literal de la norma Los datos deben asegurarse frente a daños tanto por medios físicos como electrónicos. Para el almacenaje de datos debe comprobarse la accesibilidad, la legibilidad y la exactitud. El acceso a los datos debe asegurarse durante el periodo de conservación de datos.

Anexo 11, apdo. 7.1

Copias de seguridad con capacidad de restauración comprobada Ciber

Hacer copias de seguridad regulares de todos los datos relevantes, y comprobar durante la validación, y controlar periódicamente después, la integridad y exactitud de la copia y la capacidad de restaurar los datos. La comprobación de la restauración es exigencia expresa, no buena práctica.

Literal de la norma Debe realizarse regularmente copias de seguridad de todos los datos relevantes. La integridad y la exactitud de las copias de seguridad de datos y la capacidad de reestablecer los datos debe comprobarse durante la validación y controlarse periódicamente

Anexo 11, apdo. 7.2

Impresiones que revelen si un dato cambió tras la entrada original Ciber parcial

Poder obtener copias impresas claras de los datos almacenados electrónicamente y, para los registros en los que se basa la liberación de lotes, poder generar impresiones que pongan de manifiesto si algún dato ha cambiado desde la entrada original.

Literal de la norma Para los registros en los que se basa la liberación de lotes debe ser posible la generación de impresiones que pongan de manifiesto que un dato se ha cambiado respecto de la entrada original.

Anexo 11, apdo. 8

Registro de auditoría revisado con regularidad Ciber

Considerar, sobre gestión de riesgos, incorporar al sistema un registro de auditoría generado por el propio sistema con todos los cambios y eliminaciones relevantes, documentando el motivo del cambio o de la eliminación. El registro tiene que estar disponible, ser convertible a formato inteligible y revisarse con regularidad. Tenerlo activado no basta: la revisión es parte de la obligación.

Literal de la norma El registro de auditoría tiene que estar disponible y en general, ser convertible en un formato inteligible así como revisarse regularmente.

Anexo 11, apdo. 9

Restringir el acceso a personas autorizadas Ciber

Controles físicos, lógicos o ambos para que solo accedan al sistema las personas autorizadas. El anexo enumera medios admisibles (llaves, tarjetas, códigos personales con contraseña, biometría, acceso restringido a los equipos y a las áreas de almacenamiento de datos) y hace depender la extensión de los controles de la criticidad del sistema.

Literal de la norma Deben incorporarse controles físicos y/o lógicos para restringir el acceso a los sistemas informatizados a personas autorizadas.

Anexo 11, apdos. 12.1 y 12.2

Registrar el alta, el cambio y la baja de cada autorización de acceso Ciber

Dejar registro de la creación, el cambio y la cancelación de cada autorización de acceso. Es el rastro que permite reconstruir quién tenía qué permiso en cada momento, y lo que convierte la revisión periódica de accesos en algo verificable.

Literal de la norma La creación, cambio y la cancelación de una autorización de acceso debe registrarse.

Anexo 11, apdo. 12.3

Atribuir cada operación sobre el dato a una identidad, con fecha y hora Ciber

Los sistemas de gestión de datos y documentos se diseñan para registrar la identidad de quien introduce, cambia, confirma o elimina datos, con fecha y hora. Esto excluye de hecho las cuentas compartidas: sin identificación individual no hay atribución posible.

Literal de la norma Los sistemas de gestión de datos y de documentos deben diseñarse para registrar la identidad de los operarios que entran, cambian, confirman o eliminan datos, incluyendo fecha y hora.

Anexo 11, apdo. 12.4

Firma electrónica ligada al registro y con marca de tiempo Ciber

Los registros electrónicos pueden firmarse electrónicamente. De esas firmas se espera que tengan el mismo impacto que la firma manuscrita dentro de la compañía, que estén permanentemente ligadas a su registro y que incluyan la hora y el día en que se aplicaron.

Literal de la norma Los registros electrónicos pueden firmarse electrónicamente.

Anexo 11, apdo. 14

Solo la Persona Cualificada certifica la liberación del lote Ciber parcial

Cuando la certificación y la liberación de lotes se registran en un sistema informatizado, el sistema solo puede permitir certificar a las Personas Cualificadas, tiene que identificar y registrar claramente quién libera o certifica, y la operación se realiza mediante firma electrónica.

Literal de la norma Cuando se utiliza un sistema informatizado para registrar la certificación y liberación de lotes, el sistema sólo debe permitir a las Personas Cualificadas certificar la liberación de lotes y debe identificar claramente y registrar la persona que ha liberado o certificado los lotes.

Anexo 11, apdo. 15

Cambios y configuración solo por procedimiento definido Ciber parcial

Cualquier cambio en el sistema, incluidas las configuraciones, solo se hace de forma controlada y conforme a un procedimiento definido.

Literal de la norma Cualquier cambio a un sistema informatizado incluyendo las configuraciones de sistema sólo debe realizarse de manera controlada de acuerdo con un procedimiento definido.

Anexo 11, apdo. 10

Evaluación periódica del sistema, con la seguridad dentro del alcance Ciber parcial

Evaluar periódicamente los sistemas para confirmar que siguen en estado válido y conformes con las Normas de Correcta Fabricación. La evaluación cubre, cuando proceda, funcionalidades actuales, desviaciones, incidentes, problemas, historial de actualizaciones, rendimiento, fiabilidad, seguridad e informes de estado de validación.

Literal de la norma Los sistemas informatizados deben evaluarse periódicamente para confirmar que se mantienen en un estado válido y que cumplen con las NCF.

Anexo 11, apdo. 11

Comunicar y evaluar todos los incidentes, con causa raíz en los críticos Ciber

Comunicar y evaluar todos los incidentes, no solo los fallos de sistema y los errores de datos. En los críticos, identificar la causa raíz y usarla como base de las acciones correctivas y preventivas. El anexo no crea ninguna notificación a autoridad: el circuito es interno y se acredita en inspección.

Literal de la norma Todos los incidentes deben comunicarse y evaluarse, no solamente los fallos de sistema y los errores de datos. La causa raíz de un incidente crítico debe identificarse y constituir la base de las acciones correctivas y preventivas.

Anexo 11, apdo. 13

Continuidad documentada y probada para los sistemas que soportan procesos críticos Ciber

Prever la continuidad de los sistemas que soportan procesos críticos ante un colapso, por ejemplo con un sistema alternativo o manual. El tiempo necesario para poner en uso la alternativa se fija por riesgo y en función del proceso que soporta, y las disposiciones se documentan y se comprueban.

Literal de la norma Deben tomarse medidas para asegurar la continuidad de los sistemas informatizados que soportan procesos críticos, en el caso de un colapso de los mismos (ej. tener un sistema alternativo o manual).

Anexo 11, apdo. 16

Archivo con recuperación garantizada tras cambios en el sistema Ciber

Los datos pueden archivarse, y hay que comprobar su accesibilidad, legibilidad e integridad. Si se hacen cambios relevantes en el sistema, por ejemplo de equipos o de programas, la capacidad de recuperar los datos archivados tiene que garantizarse y comprobarse.

Literal de la norma Los datos pueden archivarse. Debe comprobarse la accesibilidad, la legibilidad y la integridad de estos datos.

Anexo 11, apdo. 17

Proyecto · Uso previsto del modelo y espacio muestral de entrada

Todavía no es exigible. El proyecto pediría describir en detalle el uso previsto del modelo y las tareas concretas que asiste o automatiza, caracterizar los datos de entrada con sus variaciones comunes y raras, identificar limitaciones y entradas erróneas o sesgadas, dividir el espacio muestral en subgrupos relevantes, y documentar y aprobar esa descripción antes de empezar las pruebas de aceptación, bajo responsabilidad de un experto del proceso. Cuando el modelo alimente una decisión humana, la descripción incluiría la responsabilidad del operador.

Proyecto de Anexo 22, apdo. 3

Proyecto · Métricas y criterios de aceptación antes de probar

Todavía no es exigible. El proyecto pediría definir métricas de prueba adecuadas al caso (matriz de confusión, sensibilidad, especificidad, exactitud, precisión o puntuación F1 en un modelo clasificador), fijar y aprobar los criterios de aceptación antes de iniciar las pruebas, y exigir que el rendimiento aceptado sea al menos igual al del proceso que el modelo sustituye, lo que obliga a conocer antes ese rendimiento.

Proyecto de Anexo 22, apdo. 4

Proyecto · Selección, tamaño y etiquetado de los datos de prueba

Todavía no es exigible. El proyecto pediría datos de prueba representativos de todo el espacio muestral, estratificados, con todos los subgrupos y con las variaciones raras, suficientes en tamaño para calcular las métricas con confianza estadística, con etiquetado verificado por un proceso de alta corrección, con el preprocesado preespecificado y justificado, con toda exclusión documentada, y desaconsejando generar datos o etiquetas mediante IA generativa.

Proyecto de Anexo 22, apdo. 5

Proyecto · Independencia de los datos de prueba y del personal

Todavía no es exigible. El proyecto pediría controles técnicos o de procedimiento que garanticen que los datos usados para probar el modelo no se han usado para desarrollarlo, entrenarlo ni validarlo, con el repositorio de prueba protegido por control de acceso y registro de auditoría, sin copias fuera de él, registrando qué datos se usaron, cuándo y cuántas veces, y separando al personal que tuvo acceso a los datos de prueba del que entrena el modelo.

Proyecto de Anexo 22, apdo. 6

Proyecto · Plan de prueba aprobado y documentación conservada

Todavía no es exigible. El proyecto pediría un plan de prueba aprobado antes de empezar, con resumen del uso previsto, métricas y criterios predefinidos, referencia a los datos, guion de prueba y método de cálculo; documentar, investigar y justificar cualquier desviación, fallo de criterio u omisión de datos; y conservar toda la documentación de prueba junto a los datos usados y, cuando proceda, los objetos físicos.

Proyecto de Anexo 22, apdo. 7

Proyecto · Explicabilidad de la decisión del modelo

Todavía no es exigible. El proyecto pediría capturar y registrar durante las pruebas qué características de los datos contribuyeron a cada clasificación o decisión, con técnicas de atribución o herramientas visuales, y revisar esas características como parte de la aprobación de los resultados, para comprobar que el modelo decide sobre rasgos pertinentes.

Proyecto de Anexo 22, apdo. 8

Proyecto · Puntuación de confianza y umbral de decisión

Todavía no es exigible. El proyecto pediría registrar la puntuación de confianza de cada predicción o clasificación y fijar un umbral que impida decidir cuando esa confianza es muy baja, valorando marcar la salida como indecisa en lugar de emitir una predicción poco fiable.

Proyecto de Anexo 22, apdo. 9

Proyecto · Control de cambios, configuración y vigilancia en operación

Todavía no es exigible. El proyecto pediría poner bajo control de cambios el modelo probado, el sistema que lo aloja y el proceso que automatiza, reevaluando si hay que repetir la prueba ante cualquier cambio; ponerlo bajo control de configuración con medidas capaces de detectar cambios no autorizados; vigilar con regularidad el rendimiento medido por sus métricas y la deriva de los datos de entrada respecto al espacio muestral previsto; y conservar registro de la revisión humana cuando el modelo alimente decisiones de un operador.

Proyecto de Anexo 22, apdo. 10

Gestión de riesgos de seguridad Compartida

Conocer a qué está expuesto el negocio y decidir qué se acepta y qué se trata: el proceso de gestión de riesgos determina las prioridades del resto de iniciativas.

Anexo 11, principio y apdo. 1 · categorización del curador, no de la norma

Inventario y gestión de activos Compartida

Un inventario completo de los activos y de sus dependencias: sin él, el parcheo, la vigilancia y la recuperación operan sobre un parque desconocido.

Anexo 11, apdo. 4.3 · categorización del curador, no de la norma

Gestión de identidades y accesos (IAM) Compartida

Un sistema de gestión de identidades y accesos: cada identidad, humana o de máquina, es conocida, se autentica por un punto controlado y pierde el acceso cuando corresponde.

Anexo 11, apdos. 2, 12.1 a 12.4 y 15 · categorización del curador, no de la norma

Seguridad física y del entorno Compartida

Protección del espacio físico donde operan los sistemas, un plano que las medidas lógicas no cubren.

Anexo 11, apdos. 7.1 y 12.1 · categorización del curador, no de la norma

Integridad del dato frente a manipulación Compartida

Controles que impiden que el dato se falsifique, se sustraiga, se altere o se elimine sin autorización, y que permiten demostrarlo después: su objetivo es poder acreditar que el dato no ha sido alterado.

Anexo 11, apdos. 5, 6, 7.1, 8, 9 y 14 · categorización del curador, no de la norma

Monitorización y detección Compartida

Capacidad de observar de forma continua lo que ocurre en sistemas, redes y servicios, sostenida como un servicio con responsable y no como una herramienta desatendida.

Anexo 11, apdos. 9 y 12.4 · categorización del curador, no de la norma

Copias de seguridad y recuperación Compartida

Un esquema de copias de seguridad orientado a la recuperación: qué se copia, con qué frecuencia y en cuánto tiempo se restaura, verificado mediante pruebas de restauración periódicas.

Anexo 11, apdos. 7.2 y 17 · categorización del curador, no de la norma

Continuidad de negocio y gestión de crisis Compartida

La capacidad de seguir prestando el servicio cuando algo grande falla y de volver a la normalidad con orden, decidida y preparada antes de necesitarla.

Anexo 11, apdo. 16 · categorización del curador, no de la norma

Capacidad de respuesta a incidentes Compartida

La capacidad de gestionar un incidente de seguridad de principio a fin, desde la detección del primer indicio hasta la recuperación de la operación normal.

Anexo 11, apdo. 13 · categorización del curador, no de la norma

Adquisición y desarrollo seguros Compartida

La seguridad como requisito de compra y de construcción: exigencias al adquirir, prácticas de desarrollo seguro al construir y mantenimiento con la seguridad dentro durante todo el ciclo de vida.

Anexo 11, apdos. 4.1 a 4.7 y 10 · categorización del curador, no de la norma

Evaluación de la eficacia y mejora Compartida

Evaluar si las medidas implantadas son eficaces, no solo si existen, y convertir los resultados de esa evaluación en mejoras aplicadas.

Anexo 11, apdos. 11 y 13 · categorización del curador, no de la norma

Gestión de riesgos de terceros (TPRM) Compartida

Gobernar el riesgo que entra por los proveedores: el riesgo del proveedor es riesgo propio, la cadena no termina en quien firma el contrato, y la relación completa, desde la selección hasta la terminación, se gestiona con la seguridad integrada.

Anexo 11, apdos. 3.1 a 3.4 · categorización del curador, no de la norma

Titular de la autorización de fabricación o importación

El laboratorio farmacéutico fabricante o importador de medicamentos, que responde de que toda la fabricación, importación y control se haga conforme a las Normas de Correcta Fabricación. Es el sujeto obligado por la vía nacional: la guía de la Comisión no obliga por sí sola, sino porque el Real Decreto 824/2010 impone cumplirla y remite a ella para su interpretación. La autorización de fabricación es previa, se verifica por inspección y puede suspenderse o revocarse cuando el titular deja de reunir los requisitos.

Literal de la norma Cumplir los principios y directrices de las normas de correcta fabricación y utilizar como materias primas solo principios activos, fabricados de conformidad con las directrices detalladas de las normas de correcta fabricación de principios activos y distribuidos de acuerdo con las buenas prácticas de distribución de principios activos.

Real Decreto 824/2010, art. 15.1.g)

Fabricante o importador de principios activos

Quien fabrica, importa o acondiciona principios activos usados como materia prima de medicamentos. Su marco es la parte II de la guía, y los anexos le alcanzan «en los que les sean aplicables»: el Anexo 11 le llega cuando la actividad regulada se soporta en sistemas informatizados, y el proyecto de Anexo 22 lo nombra expresamente en su ámbito, junto a los medicamentos. La modulación no está resuelta en el texto: qué anexo es aplicable a qué actividad se decide caso a caso.

Literal de la norma Los fabricantes e importadores de principios activos utilizados como materias primas de medicamentos, están obligados a cumplir las directrices relativas a materias primas, recogidas en la parte II de la guía detallada de normas de correcta fabricación que establezca la Comisión Europea, así como los anexos que les sean aplicables.

Real Decreto 824/2010, art. 26.4

Usuario regulado

La entidad responsable de operar el sistema informatizado y de los datos que contiene. Es la figura que el Anexo 11 usa cuando reparte deberes técnicos: comprobar que la documentación del producto comercial cubre los requisitos de usuario, y asegurar el cumplimiento de las Normas de Correcta Fabricación en el funcionamiento del sistema. Coincide en la práctica con el titular de la autorización, pero el glosario la define aparte porque el deber sigue al sistema, no a la autorización.

Literal de la norma Entidad, regulada por Buenas Prácticas, responsable de la operación de los sistemas informatizados y aplicaciones, archivos y datos contenidos en ellas.

Anexo 11, glosario

Persona Cualificada

La persona que certifica la liberación de cada lote. El Anexo 11 la convierte en un control de autorización dentro del sistema: cuando la certificación y la liberación se registran en un sistema informatizado, solo ella puede certificar, y lo hace con firma electrónica. Es el único punto del anexo donde un permiso concreto está tasado por la norma y no por el análisis de riesgos de la organización.

Anexo 11, apdo. 15

Tercero, proveedor o prestador de servicios

Quien suministra, instala, configura, integra, valida, mantiene (incluido el acceso remoto), modifica o conserva el sistema, o procesa los datos. No es destinatario directo de la guía: queda alcanzado por el contrato que el fabricante está obligado a firmar y por el deber de poner su sistema de calidad y sus auditorías a disposición de los inspectores. El anexo añade una cautela que se pasa por alto: los departamentos de informática propios se tratan igual que un tercero.

Literal de la norma grupos no directamente gestionados por el titular de la autorización de fabricación y/o importación.

Anexo 11, glosario · apdo. 3