I en medicinal- eller life science-virksomhed kan et fund i et produktions- eller laboratoriesystem ikke rettes med en opdatering i næste servicevindue. Systemet er valideret, og enhver ændring skal ske kontrolleret og med kvalitetsafdelingens medvirken. Svaret på, hvordan IT håndterer det, hviler på EU’s retningslinje for computeriserede systemer i lægemiddelproduktion, Annex 11 til EudraLex bind 4: ændringer sker efter en fastlagt procedure, og omfanget af validering afgøres af en dokumenteret risikovurdering. For IT betyder det, at både testen og rettelserne planlægges sammen med ændringsstyringen.
Hvad valideret betyder for driften
GxP er fællesbetegnelsen for de regler om god praksis, der gælder for fremstilling, laboratoriearbejde og andre aktiviteter med betydning for lægemidlers kvalitet. Annex 11 gælder for computeriserede systemer, der bruges i GMP-regulerede aktiviteter, altså god fremstillingspraksis. Retningslinjens grundprincip er, at applikationen skal være valideret, og at IT-infrastrukturen skal være kvalificeret.
Validering er det dokumenterede bevis for, at systemet gør det, det skal, på en pålidelig måde. Når systemet er valideret, er det i en kendt tilstand. En opdatering, en ændret indstilling eller en ny regel i firewallen kan flytte det ud af den tilstand. Derfor kan IT ikke rette alene, selv når rettelsen teknisk set er enkel.
Annex 11 nævner også samarbejdet direkte: der skal være tæt samarbejde mellem procesejer, systemejer, sagkyndig person og IT. Retningslinjen skriver desuden, at IT-afdelinger bør betragtes på linje med eksterne leverandører, når de leverer, driver eller ændrer et system. For driften betyder det formelle aftaler om, hvem der må gøre hvad.
Testen selv skal planlægges med kvalitetsafdelingen
En penetrationstest af et valideret system eller dets omgivelser er ikke en neutral aktivitet. Testerens konti, forespørgsler og forsøg kan efterlade spor i systemets revisionsspor, og en utilsigtet ændring kan påvirke data. Aftal derfor med kvalitetsafdelingen før testen:
- Testmiljø eller produktion · om et valideret testmiljø, der svarer til produktionen, kan bruges i stedet for det rigtige system.
- Hvad der må røres · om testen skal holde sig til netværket og adgangsvejene omkring systemet, eller om selve applikationen indgår. → Skrøbelige systemer
- Testkonti · hvordan de oprettes og lukkes efter den procedure, der gælder for adgang til systemet.
- Spor i systemet · hvordan testerens aktivitet registreres og senere kan skelnes fra almindelig brug.
- Registrering af testen · om testen skal ind i ændringsstyringen som planlagt aktivitet. → Testen i jeres ændringsstyring
Systemer i produktionen kan også ligge på den anden side af grænsen til styringsnettet. I så fald gælder de hensyn, der er beskrevet for OT-grænsen. → OT-grænsen
Fundene går gennem ændringsstyringen
Annex 11 skriver, at enhver ændring af et computeriseret system, herunder ændringer i konfigurationen, kun må ske kontrolleret og efter en fastlagt procedure. Et fund fra testen bliver derfor en ændringsanmodning, ikke en driftsopgave.
- Registrér fundet · som en ændringsanmodning med henvisning til rapporten.
- Vurder risikoen · både sikkerhedsrisikoen ved at lade fundet stå og risikoen for systemets validerede tilstand ved at rette det.
- Fastlæg omfanget af validering · hvilke dele af systemet der skal afprøves igen efter rettelsen.
- Planlæg og gennemfør · i det vindue, produktionen og kvalitetsafdelingen kan acceptere.
- Dokumentér og godkend · før systemet tages i brug i den nye tilstand.
Overvej at samle flere fund i én ændring. Hver ændring af et valideret system koster planlægning, afprøvning og godkendelse, og flere små rettelser kan udløse den samme genafprøvning flere gange. Det kan derfor give mening at lægge testen, så dens fund kan rettes sammen med en allerede planlagt opgradering eller genvalidering. Det kræver, at testen bestilles i god tid, og at kvalitetsafdelingen kender planen. Fund med høj alvorlighed skal dog ikke vente på en samlet ændring, hvis risikoen ikke kan dæmpes imens.
Risikovurderingen afgør omfanget
Annex 11 skriver, at beslutninger om omfanget af validering skal bygge på en begrundet og dokumenteret risikovurdering, og at patientsikkerhed, dataintegritet og produktkvalitet skal indgå. Det giver plads til at skelne.
En rettelse i infrastrukturen omkring systemet, fx en strammere regel mellem to net, kan kræve mindre genafprøvning end en opdatering af selve applikationen. En ændring, der rører data eller beregninger, kræver mere. Det er kvalitetsafdelingen, der godkender vurderingen. IT’s opgave er at beskrive rettelsen så præcist, at vurderingen kan træffes. → Rettelser uden at stoppe driften
Midlertidige afhjælpninger omkring systemet
Når den egentlige rettelse kræver måneders planlægning, kan risikoen dæmpes uden for applikationen: adgangen til systemet begrænses, systemet placeres i et mere afskærmet net, eller overvågningen af det skærpes. → Midlertidige afhjælpninger
Husk, at infrastrukturen også er kvalificeret. En ny netværksregel eller en ændret adgang til serveren er derfor også en ændring, der skal gennem proceduren, om end med en mindre vurdering. Sæt en slutdato på afhjælpningen, og knyt den til den ændringsanmodning, der indeholder den rigtige rettelse. Fortæl også brugerne i laboratoriet eller produktionen, hvad der er ændret, så en begrænset adgang ikke bliver opfattet som en fejl.
Dokumentér beslutningen
Annex 11 kræver periodisk evaluering af, om systemerne stadig er i en valideret tilstand, og evalueringen skal, hvor det er relevant, omfatte sikkerhed. Testens fund og jeres beslutninger om dem hører naturligt hjemme her.
Kan et fund ikke rettes, fordi systemet ikke tåler ændringen, skal beslutningen om at leve med risikoen træffes af den, der ejer den, og skrives ned med begrundelse, afhjælpninger og en dato for ny vurdering. → Et system, der ikke kan opdateres
Annex 11 har været i høring i en revideret udgave i 2025. Hold øje med Europa-Kommissionens side for EudraLex bind 4, før I opdaterer jeres procedurer.
Det skal I lade være med
- At rette et valideret system uden ændringsanmodning. Selv en lille opdatering kan kræve genafprøvning.
- At teste uden kvalitetsafdelingens kendskab. Testerens aktivitet kan påvirke data og spor.
- At glemme infrastrukturen. Netværk og servere er kvalificerede og skal også ændres kontrolleret.
- At lade afhjælpninger blive permanente uden beslutning.
- At lade fundene ligge, fordi valideringen er besværlig. Risikoen forsvinder ikke af, at rettelsen er tung.
Hvad kan og ikke kan konkluderes
Testen kan vise, hvilke svagheder der findes i systemet og dets omgivelser. Den kan ikke afgøre, hvordan en rettelse påvirker valideringen, eller hvor meget der skal genafprøves. Den vurdering hører til i jeres kvalitetssystem. Teksten er ikke regulatorisk rådgivning, og spørgsmål om GMP-krav afklares med kvalitetsafdelingen.
Tjekliste til validerede systemer
- ☐ Er kvalitetsafdelingen med i planlægningen af testen?
- ☐ Er det aftalt, om testen sker i et valideret testmiljø eller i produktionen?
- ☐ Bliver hvert fund en ændringsanmodning?
- ☐ Er omfanget af genafprøvning vurderet ud fra risiko?
- ☐ Har midlertidige afhjælpninger en slutdato?
- ☐ Indgår fund og beslutninger i den periodiske evaluering?
Kilder
- EudraLex bind 4, Annex 11: Computerised Systems (revision januar 2011): princippet om validering og kvalificering, punkt 1 (risikostyring), 2 (samarbejde), 3.1 (IT-afdelinger på linje med leverandører), 10 (ændringsstyring), 11 (periodisk evaluering) og 12 (sikkerhed).
- Europa-Kommissionen: høring om EudraLex bind 4, kapitel 4, Annex 11 og nyt Annex 22: revideret udkast til Annex 11 i høring 2025.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Klar til retest · Segmentering efter testen
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
