El 21 CFR Part 11 es la norma de la FDA estadounidense que regula los registros y firmas electrónicas en industria farmacéutica. En la práctica, su cumplimiento depende del software que gestiona la producción y la calidad: ese sistema debe tener audit trail nativo, firmas electrónicas válidas, control de accesos con segregación de funciones, validación documentada (CSV) y respaldo de la integridad del dato según los principios ALCOA+. Su equivalente europeo es el Anexo 11 de las GMP. Para una empresa que fabrica en España y exporta a Estados Unidos —o que tiene clientes que lo exigen— cumplir esta norma es la diferencia entre operar con normalidad o tener problemas regulatorios.
Qué es el 21 CFR Part 11 y por qué afecta a tu software
El 21 CFR Part 11 es la parte 11 del título 21 del Code of Federal Regulations de los Estados Unidos. Es la norma mediante la cual la FDA —la agencia del medicamento y la alimentación estadounidense— establece las condiciones bajo las cuales considera que los registros y firmas electrónicas son fiables y equivalentes a los registros y firmas en papel.
Dicho en lenguaje práctico: el 21 CFR Part 11 define las características que un sistema informático debe cumplir para que los datos que registra tengan validez legal ante la FDA. Si una empresa farmacéutica, biotecnológica o de dispositivos médicos gestiona información crítica en formato electrónico y comercializa productos en Estados Unidos —o trabaja como proveedora de empresas estadounidenses— el software que usa debe cumplir esta norma.
Es importante entender que la responsabilidad recae en la empresa, no solo en el proveedor del software. La empresa es quien debe demostrar ante un inspector que sus sistemas son fiables.
El software es la herramienta; la garantía la firma la empresa.
El concepto que lo une todo: la integridad del dato
Detrás de todos los requisitos hay una sola idea: garantizar que un dato sea fiable a lo largo de toda su vida. Que no se haya alterado sin dejar rastro, que se sepa quién lo generó y cuándo, que se conserve íntegro durante el periodo exigido.
Esta integridad se resume en los principios ALCOA+: los datos deben ser atribuibles, legibles, contemporáneos, originales y exactos, además de completos, coherentes, perdurables y disponibles. Es el marco mental al que cualquier inspector recurre cuando evalúa los sistemas de una empresa farmacéutica.
Cómo se aplica en el día a día de una empresa farmacéutica
En la práctica, el cumplimiento del 21 CFR Part 11 se ve en operaciones concretas del día a día:
Cuando un responsable de calidad libera un lote, el sistema le exige autenticarse, registra la firma con fecha, motivo y persona, y vincula esa firma al lote concreto. El registro de la liberación queda inalterable.
Cuando se modifica una fórmula maestra, el sistema deja constancia del valor anterior, el valor nuevo, quién lo cambió, cuándo y por qué. Esa traza no se puede borrar. Si dos años después un inspector pregunta por ese cambio, la respuesta está disponible.
Cuando un operario registra un control en proceso, el sistema lo asocia automáticamente a su usuario y al momento exacto. Para validar el dato, lo firma electrónicamente. No hay forma de que ese dato se atribuya a otra persona o a otro momento.
Cuando llega una actualización del sistema, no se aplica directamente: pasa por un proceso documentado de verificación de impacto y, si procede, de revalidación. La trazabilidad de la propia evolución del sistema es parte de la integridad del entorno.
Estas operaciones, multiplicadas por todas las decisiones críticas de una planta farmacéutica, son lo que un inspector observará. Por eso un sistema que cumple bien el 21 CFR Part 11 no es un sistema “preparado para la inspección”:
Es un sistema cuyo funcionamiento normal ya genera la evidencia que un inspector necesita.
Lo que un buen sistema resuelve por defecto
Si el sistema está bien diseñado para entornos GMP, hay una serie de cosas que el responsable de calidad y el de IT no tienen que vigilar a mano porque ocurren solas.
- Audit trail nativo en todos los módulos críticos. No un complemento añadido, sino una propiedad del propio sistema que cubre producción, calidad, formulación, almacén y gestión de cambios. No se puede desactivar.
- Firmas electrónicas con motivo y reautenticación. Cada vez que el sistema pide una firma, exige al usuario que se identifique de nuevo —no basta con estar logueado— y registra el motivo. Eso vincula la firma de forma inequívoca al firmante.
- Control de accesos por rol y segregación de funciones. El sistema impide que la misma persona realice acciones incompatibles. Quien crea un registro crítico no puede aprobarlo. Quien aprueba una desviación no es quien la generó.
- Documentación de validación. El proveedor entrega los protocolos de cualificación de la instalación (IQ), de la operación (OQ) y del rendimiento (PQ), o al menos una base sólida que reduzca drásticamente el trabajo de validación del cliente.
- Trazabilidad de actualizaciones. Cada actualización del sistema queda registrada, y el impacto sobre la validación está documentado. Una actualización no rompe la validación: se gestiona con criterio.
Cuando todo esto es nativo, el responsable de calidad se preocupa por la calidad, no por la integridad del software que la gestiona.
La diferencia entre “cumplir” y “demostrar que se cumple”
Aquí está el matiz que más pesa cuando llega una inspección. Una cosa es que un sistema tenga las funcionalidades necesarias. Otra es poder demostrar ese cumplimiento con evidencia documental y, idealmente, con verificación de un tercero.
Muchos fabricantes de software declaran que sus sistemas cumplen el 21 CFR Part 11. Esa declaración es un punto de partida, pero no es lo mismo que una validación realizada por un validador externo independiente. La validación externa supone que una entidad especializada —ajena al fabricante— ha auditado el sistema, ha verificado con metodología documentada que cumple los requisitos, y ha emitido la evidencia correspondiente.
Para una empresa farmacéutica, esta diferencia se traduce en algo muy concreto: llegar a una inspección con documentación de validación firmada por un tercero reconocido aporta una garantía que la palabra del proveedor no ofrece. Es la diferencia entre defender el cumplimiento con confianza o con dudas.
21 CFR Part 11 frente al Anexo 11 de las GMP europeas
Si una empresa solo comercializa en la Unión Europea, el marco aplicable no es el 21 CFR Part 11 sino el Anexo 11 de las Directrices de GMP europeas, que regula los sistemas informatizados en entornos GMP. Ambas normas persiguen el mismo objetivo y establecen requisitos muy similares: validación, audit trail, control de accesos, integridad del dato y gestión de copias de seguridad.
En la práctica, un sistema bien diseñado para cumplir el 21 CFR Part 11 cumple también el Anexo 11. Por eso muchas empresas europeas adoptan el 21 CFR Part 11 como estándar incluso cuando no exportan a Estados Unidos.
Cubre el marco europeo con margen y aporta un reconocimiento internacional que resulta útil cuando hay clientes globales.
La IA dentro del marco GMP
El marco regulatorio europeo está evolucionando para integrar el uso de la inteligencia artificial en entornos GMP. El Anexo 22, en preparación, establecerá por primera vez un marco específico para la IA aplicada a la fabricación farmacéutica, mientras que la actualización del Anexo 11 ampliará los requisitos sobre sistemas informatizados.
Lo que esto significa para una empresa farmacéutica es que la integridad del dato y la validación —los conceptos centrales del 21 CFR Part 11— van a ser aún más críticos a medida que la IA entre en los procesos. Quien tenga bien resuelta hoy la base parte con ventaja para lo que viene.
Cómo lo trabajamos en Marqués
PharmaMe, nuestra solución vertical sobre Microsoft Dynamics 365 Business Central, está validada en 21 CFR Part 11 por Trescal, como tercero independiente. Es la diferencia entre decir que se cumple y poder demostrarlo con documentación firmada por un validador externo.
Trabajamos este marco abiertamente con el sector: junto a Trescal y Microsoft hemos organizado jornadas sobre entornos GMP, donde tratamos validación de sistemas, Anexo 11, el nuevo Anexo 22 sobre IA en biofarma e integridad del dato.
