Durante una inspección de Normas de Correcta Fabricación (NCF), los resultados del control de calidad (QC) se evalúan junto con los registros que los respaldan. Cada vez más, estos registros son electrónicos y proceden de sistemas de datos cromatográficos o de sistemas de gestión de la información del laboratorio (LIMS, por sus siglas en inglés). Las autoridades reguladoras esperan que se revisen los registros de auditoría de estos sistemas antes de que los resultados se utilicen para respaldar la liberación de lotes.
Por ello, la integridad de los datos en los laboratorios que trabajan bajo NCF está estrechamente vinculada a la forma en que se validan y controlan los sistemas informatizados. El anexo 11 de las NCF de la UE constituye la referencia europea en esta materia y adquiere especial relevancia cuando los ensayos se externalizan a un laboratorio contratado.
Obligaciones en materia de integridad de los datos conforme al anexo 11 de las NCF de la UE: alcance, sistemas informatizados y requisitos de validación
El anexo 11 de las NCF de la UE, incluido en el volumen 4 de EudraLex, se aplica a todos los sistemas informatizados utilizados en actividades sujetas a las NCF. Las aplicaciones deben estar validadas y la infraestructura informática, cualificada. La gestión de riesgos se extiende a todo el ciclo de vida del sistema y abarca la seguridad del paciente, la integridad de los datos y la calidad del producto. El alcance de la validación y de los controles de integridad de los datos debe estar justificado mediante una evaluación de riesgos documentada.
En la práctica, la validación de sistemas informatizados conforme a las NCF y al anexo 11 exige:
- Requisitos de usuario que mantengan su trazabilidad durante todo el ciclo de vida del sistema.
- Un inventario actualizado de los sistemas y de sus funciones relacionadas con las NCF.
- Comprobaciones para garantizar que los datos no se alteren ni en su valor ni en su significado durante las migraciones.
- Evaluaciones periódicas para confirmar que cada sistema se mantiene en estado validado.
En las operaciones rutinarias, el anexo también incorpora comprobaciones de la exactitud de las entradas manuales críticas, almacenamiento seguro con copias de seguridad verificadas mediante pruebas, controles de acceso y firmas electrónicas.
La versión actual del anexo 11, en vigor desde junio de 2011, sigue siendo aplicable mientras se finaliza su revisión. En julio de 2025, la Comisión Europea publicó un borrador de revisión sustancial para consulta, elaborado por el Grupo de Trabajo de Inspectores de Buenas Prácticas de Fabricación y Distribución (GMDP) de la Agencia Europea de Medicamentos (EMA), en colaboración con el Esquema de Cooperación de Inspección Farmacéutica (PIC/S). El borrador refuerza los requisitos relativos a los registros de auditoría, las firmas electrónicas y la supervisión de proveedores, y vincula expresamente la integridad de los datos contemplada en el anexo 11 con los principios ALCOA+, que se describen en el apartado siguiente.
ALCOA+ en la práctica de laboratorio analítico: aplicación de los principios de integridad de los datos a las operaciones rutinarias bajo NCF
ALCOA es un acrónimo que define un estándar de integridad de los datos utilizado en distintas directrices regulatorias para resumir las características que deben cumplir los datos generados bajo NCF. Corresponde a los términos atribuibles, legibles, contemporáneos, originales y exactos (en inglés, Attributable, Legible, Contemporaneous, Original y Accurate). ALCOA+ añade cuatro atributos más: completos, coherentes, duraderos y disponibles. Estos atributos se incorporaron posteriormente para destacar que los datos deben seguir siendo fiables y accesibles durante todo su ciclo de vida.
En el ámbito farmacéutico, ALCOA++ añade un décimo atributo: la trazabilidad. Los cambios en los datos y metadatos deben poder rastrearse y no deben ocultar la información original. El término se formalizó en la guía de la EMA de 2023 para ensayos clínicos. El borrador de revisión del capítulo 4 de las NCF de la UE aplica ahora ALCOA++ tanto a los registros en papel como a los electrónicos.
En materia de integridad de los datos de laboratorio, estos principios se traducen en controles concretos:
- Atribuibles: cada analista utiliza una cuenta de acceso individual y el sistema registra quién ha introducido, modificado o eliminado los datos, así como la fecha y la hora en que se ha realizado cada acción.
- Contemporáneos: los analistas no pueden modificar la configuración de fecha y hora; se recomienda controlar estos parámetros a nivel de red.
- Originales: los registros cromatográficos son dinámicos. Una copia impresa no conserva íntegramente su formato original, por lo que la revisión debe basarse en los datos electrónicos.
- Completos: en el registro se incluyen metadatos como los parámetros de integración, los detalles del reprocesamiento y las inyecciones abortadas o incompletas.
- Duraderos y disponibles: las copias de seguridad se someten a pruebas y los datos archivados siguen siendo legibles durante todo el periodo de conservación.
La aplicación sistemática de los controles de integridad de los datos conforme a los principios ALCOA en el marco de las NCF permite garantizar que los registros electrónicos de los sistemas de laboratorio puedan justificarse y defenderse durante una inspección regulatoria.
Estructura de los registros de auditoría en laboratorios contratados que trabajan bajo NCF: qué deben exigir los responsables de control de calidad a su CRO
La Administración de Alimentos y Medicamentos de Estados Unidos (FDA, por sus siglas en inglés) define un registro de auditoría como un registro seguro, generado por ordenador y con marca de tiempo, que permite reconstruir la secuencia de acontecimientos relacionados con un registro electrónico. La agencia ilustra este concepto con un análisis mediante cromatografía líquida de alta resolución (HPLC), cuyo registro de auditoría debe incluir el usuario, la fecha y la hora del análisis, los parámetros de integración y cualquier reprocesamiento, junto con su justificación.
El anexo 11 exige disponer de registros de auditoría basados en el riesgo que recojan los cambios y las eliminaciones relevantes para las NCF, con el motivo documentado y una revisión periódica de dichos registros. El PIC/S añade que los registros de auditoría deben estar siempre habilitados y bloqueados frente a modificaciones. También establece que los registros de auditoría críticos deben revisarse antes de la liberación de los lotes. Una evaluación de los registros de auditoría en un laboratorio que trabaja bajo NCF suele comprobar que:
- El registro de auditoría no puede desactivarse ni modificarse, y cualquier cambio en su configuración o en la hora del sistema queda registrado.
- Cada entrada recoge quién ha realizado la acción, qué se ha modificado (incluidos los valores anteriores y posteriores), cuándo se ha realizado y por qué.
- Los motivos de los cambios deben ser lo suficientemente específicos como para explicar qué se ha modificado y por qué. Los campos de texto libre suelen permitir documentarlo mejor que las listas de opciones predefinidas.
- Las revisiones siguen un procedimiento documentado y basado en el riesgo, y se completan antes de que los resultados se utilicen para tomar una decisión de liberación.
- Se pueden obtener copias electrónicas, incluidos los datos de los registros de auditoría, en un formato legible y, preferiblemente, que permita realizar búsquedas y ordenar la información.
El borrador del anexo 11 elevaría aún más el nivel de exigencia. Establece que la revisión debe realizarla personal independiente que no haya participado en la actividad y señala que no se aceptan como copias los archivos planos bloqueados. En cualquier programa de gestión de registros de auditoría en el sector farmacéutico, estas disposiciones permiten anticipar la dirección que están tomando los criterios de inspección.
Anexo 11 frente a 21 CFR Parte 11: armonización normativa para empresas con programas de desarrollo globales
La comparación entre el anexo 11 y la norma 21 CFR Parte 11 comienza por su ámbito de aplicación. El anexo 11 se aplica a todos los sistemas informatizados utilizados en actividades reguladas por las NCF. La norma 21 CFR Parte 11, la regulación estadounidense sobre registros y firmas electrónicas, se aplica cuando los registros exigidos por otras normativas de la FDA, conocidas como predicate rules (normas de referencia), se conservan en formato electrónico o se presentan ante la FDA. En la fabricación de medicamentos, estas normas incluyen los requisitos vigentes de buenas prácticas de fabricación (cGMP) recogidos en la norma 21 CFR Parte 211.
Desde 2003, la FDA ha aplicado la Parte 11 de forma restrictiva. En el caso de los registros que siguen estando sujetos a esta norma, no tiene intención de hacer cumplir los requisitos específicos relativos a la validación, los registros de auditoría, la conservación de registros y la realización de copias de estos. Sin embargo, sigue haciendo cumplir los requisitos de control de acceso y firma electrónica. Las normas de referencia continúan siendo plenamente aplicables, por lo que las cGMP siguen exigiendo registros de auditoría. La guía de la FDA sobre integridad de los datos, publicada en 2018, aclara que estos deben revisarse como parte de la revisión rutinaria de los registros.
El anexo 11 también abarca el ciclo de vida del sistema, incluida la supervisión de proveedores y la evaluación periódica. Ambos marcos consideran que las firmas electrónicas son equivalentes a las manuscritas, y el anexo 11 exige que estén vinculadas permanentemente al registro e incluyan la fecha y la hora de la firma. Para los registros electrónicos sujetos a las NCF que respaldan solicitudes presentadas en la UE y Estados Unidos, disponer de un único conjunto de controles que cumpla ambos marcos evita tener que mantener sistemas paralelos.
Externalización y riesgos para la integridad de los datos: cualificación de proveedores, supervisión de sistemas informatizados y evaluación de deficiencias
Cuando los análisis se externalizan, el contratante sigue siendo el máximo responsable de la integridad de los datos que recibe, tal como establece la guía de la Organización Mundial de la Salud (OMS). El borrador del anexo 11 también mantiene la plena responsabilidad del usuario sujeto a regulación sobre las actividades externalizadas. El Esquema de Cooperación de Inspección Farmacéutica (PIC/S) establece que los acuerdos de calidad deben incluir disposiciones relativas a la integridad de los datos y que los contratados deben notificar cualquier fallo relacionado con dicha integridad.
Una evaluación práctica de las deficiencias en materia de integridad de los datos sujetos a las NCF en procesos de externalización debe abarcar los siguientes aspectos:
- Gobernanza de los datos: una política de integridad de los datos y procedimientos normalizados de trabajo (PNT) que contemplen la gestión de riesgos, la validación, la gestión de cambios y desviaciones, y el control de acceso. La revisión de estos documentos es el punto de partida para cualquier evaluación de los PNT de integridad de los datos.
- Supervisión de los sistemas: el inventario y el estado de validación de los sistemas que generarán los resultados.
- Verificación de los datos originales: durante las auditorías, deben revisarse los datos electrónicos originales, los metadatos y los registros de auditoría, y no solo los certificados de análisis. El PIC/S recomienda tener en cuenta los distintos riesgos para la integridad de los datos asociados a las copias auténticas y a los informes resumidos al cualificar a los contratados.
- Condiciones contractuales: aprobación previa de la subcontratación, acceso para la realización de auditorías y conservación de los datos una vez finalizado el acuerdo.
En cualquier relación entre una CRO farmacéutica y un proveedor de servicios analíticos, estas comprobaciones convierten los requisitos de integridad de los datos de las NCF en evidencias que el promotor puede defender ante una inspección.
En AMSbiopharma, laboratorio certificado en NCF, autorizado por la Agencia Española de Medicamentos y Productos Sanitarios (AEMPS), se generan resultados analíticos dentro de un sistema de calidad diseñado para afrontar inspecciones, desde ensayos de control de calidad mediante UPLC-MS/MS hasta estudios de validación de métodos y estabilidad.
Referencias
European Commission. EudraLex Volume 4: Annex 11: computerised systems. Draft for consultation [Internet]. Brussels: European Commission; 2025 Jul 7 [citado el 8 de octubre de 2026]. Disponible en: https://health.ec.europa.eu/document/download/40231f18-e564-4043-94de-c031f813d38b_en
European Commission. EudraLex Volume 4: Chapter 4: documentation. Draft for consultation [Internet]. Brussels: European Commission; 2025 Jul 7 [citado el 8 de octubre de 2026]. Disponible en: https://health.ec.europa.eu/document/download/fa336a6e-753b-46fc-b53b-9178bacd8878_en
European Commission. EudraLex Volume 4: EU guidelines for good manufacturing practice for medicinal products for human and veterinary use. Annex 11: computerised systems [Internet]. Brussels: European Commission; 2011 [citado el 8 de octubre de 2026]. Disponible en: https://health.ec.europa.eu/system/files/2016-11/annex11_01-2011_en_0.pdf
Pharmaceutical Inspection Co-operation Scheme. Good practices for data management and integrity in regulated GMP/GDP environments. PI 041-1 [Internet]. Geneva: PIC/S; 2021 Jul 1 [citado el 8 de octubre de 2026]. Disponible en: https://picscheme.org/docview/4234
U.S. Food and Drug Administration. Data integrity and compliance with drug CGMP: questions and answers. Guidance for industry [Internet]. Silver Spring (MD): FDA; 2018 Dec [citado el 8 de octubre de 2026]. Disponible en: https://www.fda.gov/media/119570/download
U.S. Food and Drug Administration. Part 11, electronic records; electronic signatures — scope and application. Guidance for industry [Internet]. Rockville (MD): FDA; 2003 Aug [citado el 8 de octubre de 2026]. Disponible en: https://www.fda.gov/media/75414/download
World Health Organization. Guideline on data integrity. In: WHO Expert Committee on Specifications for Pharmaceutical Preparations: fifty-fifth report. Annex 4. WHO Technical Report Series, No. 1033 [Internet]. Geneva: WHO; 2021 [citado el 8 de octubre de 2026]. Disponible en: https://www.who.int/publications/m/item/annex-4-trs-1033
