La llamada llegó un martes por la mañana. La gerente de calidad de uno de nuestros clientes 3PL de alimentos en el Inland Empire sonaba agotada: un inspector de la FDA había pasado dos días en sus instalaciones y no dejaba de volver a lo mismo: el registro de excursiones de temperatura. Vivía en una hoja de cálculo compartida en la computadora de la oficina del almacén. Todos en la planta conocían la contraseña. «Me preguntó quién había cambiado las entradas de marzo», me dijo. «No tuve respuesta».
Esa es toda la historia del 21 CFR Part 11 en una llamada telefónica. La norma nunca exigió que tiraras tus cuadernos de registro en papel. Lo que exige es que, una vez que te pasas a lo electrónico, tus registros electrónicos tienen que ser tan confiables como el papel; en realidad, más, porque tienen que demostrarlo.
La Parte 11 es la norma de la FDA sobre registros electrónicos y firmas electrónicas, publicada en su forma final el 20 de marzo de 1997 y vigente desde el 20 de agosto de 1997. Aplica en todas las industrias reguladas por la FDA — alimentos, medicamentos, productos biológicos, dispositivos médicos — siempre que los registros que las normas de la FDA te obligan a llevar se mantengan en formato electrónico, o que las firmas manuscritas se reemplacen por electrónicas. Para un almacén de alimentos, eso significa registros de temperatura y humedad, inspecciones de recepción, registros de control de plagas, registros de capacitación y aprobaciones de liberación, en el momento en que dejan el papel y pasan a un sistema.
Esto es lo que la mayoría de los operadores malinterpreta: la Parte 11 nunca te obliga a digitalizar. El papel sigue siendo perfectamente aceptable. Pero cualquier registro electrónico que mantengas debe cumplir el mismo estándar de confiabilidad, y tienes que demostrarlo cuando te lo pidan.
¿Qué pide realmente esta norma?
Dejando a un lado el lenguaje legal, la Parte 11 pide cuatro cosas. Primero, validación del sistema: tienes que poder demostrar que el sistema hace lo que se supone que debe hacer, que lo hace con precisión y que puede detectar registros inválidos o alterados. El software comercial no está exento: necesitas documentación de validación del proveedor, o la elaboras tú mismo.
Segundo, pistas de auditoría. La Sección 11.10(e) es explícita: registros seguros, generados por computadora y con marca de tiempo de quién creó, modificó o eliminó un registro electrónico. Las modificaciones no deben ocultar las entradas anteriores, es decir, nada de sobrescribir: solo se añaden nuevas versiones. La pista de auditoría debe conservarse al menos tanto tiempo como los propios registros y estar disponible para revisión y copia por parte de la FDA. En términos sencillos: cada cambio deja una huella que la persona que lo hizo no puede borrar.
Tercero, control de acceso: solo las personas autorizadas pueden entrar al sistema, cambiar datos o firmar registros. Cuarto, firmas electrónicas: según la Sección 11.50, la presentación de una firma debe mostrar el nombre del firmante, la fecha y hora de la firma y el significado de la firma: revisión, aprobación o ejecución. Según la Sección 11.70, la firma debe estar vinculada permanentemente a su registro, para que no se pueda cortar y pegar en otra cosa.
Una distinción importa desde el principio, porque determina cuánto trabajo estás asumiendo: sistemas cerrados frente a sistemas abiertos. Un sistema cerrado es aquel cuyo acceso está controlado por tu propia organización: tu WMS, tu plataforma interna de monitoreo de temperatura. La mayoría de los almacenes de alimentos vive por completo en territorio de sistema cerrado y responde a la Sección 11.10. Un sistema abierto es aquel en el que el control del acceso no está en tus manos, como los registros transmitidos a clientes o reguladores por internet público; la Sección 11.30 añade requisitos de cifrado y firma digital. Averigua cuál eres antes de empezar a gastar. Si dudas sobre un requisito específico, consulta la guía oficial de la FDA o a tu asesor regulatorio: los vendedores comerciales no son una fuente fiable.
¿Qué debe capturar realmente una pista de auditoría?
Un inspector que lee tu pista de auditoría se hace cuatro preguntas: quién lo hizo, cuándo, qué hizo y cómo era antes. Un registro nuevo obtiene una entrada. Un umbral de alarma cambiado obtiene una entrada, con el valor anterior y el nuevo conservados. Un registro eliminado obtiene una entrada. Y la pista debe ser independiente de la persona que actúa: el operador no puede apagarla, editarla ni borrarla. Las marcas de tiempo necesitan zonas horarias y deben estar sincronizadas con una fuente de tiempo confiable, sin derivas según el reloj propio de cada dispositivo.
Aquí es donde los almacenes de alimentos reciben el golpe más duro, y los fallos son desalentadoramente comunes. He visto una instalación de almacenamiento en frío con un sistema de temperatura que técnicamente tenía pista de auditoría, excepto que se apagó durante la implementación y nadie lo notó durante dos años. El clásico es acceso de administrador para todos: el umbral de alarma del congelador pasó de menos 18 a menos 15 grados Celsius, y nadie pudo decir quién lo cambió porque una docena de personas iniciaba sesión como administrador. Luego están las marcas de tiempo: servidores configurados en UTC mientras la operación funciona en horario del Pacífico, así que cada registro exportado muestra entradas a las 3 a.m. que nadie puede explicar. Y el peor infractor es la hoja de cálculo. Un registro de temperatura en Excel compartido que cualquiera puede editar, sin constancia de quién cambió qué, muere al llegar a una inspección. No hay defensa posible.
¿Una firma electrónica es realmente solo hacer clic en "aprobar"?
No. Una casilla de verificación no prueba nada, y la Parte 11 trata las firmas como declaraciones de identidad con peso legal. Deben cumplirse tres condiciones. Primero, unicidad: una firma pertenece a exactamente una persona. Un inicio de sesión compartido de "supervisor" que todo el turno usa para aprobar liberaciones no es un sistema de firmas: es teatro. Cuando el inspector pregunta quién liberó ese lote y la respuesta es "quien estuviera de turno", la inspección va mal.
Segundo, verificación de identidad en el momento de la firma: una contraseña, un toque de credencial, biometría. El punto es demostrar que quien hace clic es realmente la persona nombrada. Tercero, el significado de la firma tiene que ser distinto y quedar registrado: revisión, aprobación y ejecución son tres actos diferentes. Que la misma persona revise y luego apruebe el mismo lote generará una pregunta sobre segregación de funciones.
Las cuentas compartidas son la epidemia en el almacenamiento de alimentos. En un sitio de cadena de frío de 80,000 pies cuadrados que gestioné en Ontario, California, cada dispositivo portátil de la planta iniciaba sesión como "warehouse": conveniente para todos, indefendible en una auditoría. Lo primero que hicimos en nuestra evaluación de brechas de la Parte 11 fue eliminar esa práctica: una cuenta por persona, desactivada el día en que alguien se va, contraseñas rotadas trimestralmente. Fue impopular durante una semana. Pero la próxima vez que un inspector preguntó quién había firmado una inspección de recepción, el sistema mostró un nombre, una marca de tiempo y un significado. Eso termina la conversación.
Si estás partiendo del papel o de hojas de cálculo, esta es la secuencia que realmente funciona. Paso uno, evaluación de brechas: haz una lista de cada registro que llevas — temperatura y humedad, inspecciones de recepción, control de plagas, capacitación, liberaciones — y marca cuáles viven en papel, en hojas de cálculo o en un sistema. Si omites uno, te encontrará más tarde. Paso dos, selección del sistema: hazle a cada proveedor tres preguntas. ¿La pista de auditoría se puede desactivar? Si se desactiva, ¿puedes saberlo? ¿Proporcionan documentación de validación? Un proveedor que no pueda responder las tres queda fuera.
Paso tres, reescribe los SOP: cambia "cómo registramos" a "cómo registramos en el sistema", y pon la matriz de acceso por escrito: quién puede ingresar datos, quién puede revisar, quién puede cambiar umbrales, quién puede eliminar registros. Una tabla, sin ambigüedad. Paso cuatro, capacitación: capacita a las personas sobre lo que significa una firma, y deja explícito que una firma conlleva responsabilidad. Paso cinco, ejecuta papel y sistema electrónico en paralelo durante al menos un ciclo completo — un mes, digamos — y solo retira el papel cuando ambos lados concilien. Retira el papel antes de tiempo y una falla del sistema te deja sin nada.
Piensa un momento desde el lado del inspector. No le importa cuánto costó tu sistema. Le importan tres cosas: si los registros fueron alterados, quién los alteró y si las marcas de tiempo tienen sentido. Te pedirá que extraigas registros del sistema, en vivo, frente a ellos. ¿No puedes exportarlos? Problema. ¿El archivo exportado sale ilegible? Problema. ¿La exportación no coincide con lo que se ve en pantalla? Problema mayor. La integridad de los registros aparece en las listas de observaciones 483 de la FDA año tras año, no porque la norma sea exótica, sino porque demasiados almacenes confunden registrar algo con poder defenderlo.
Cinco cosas que puedes hacer mañana. Primero, copia tu hoja de cálculo de temperatura, cambia un número y pregúntate: ¿alguien lo sabría, y sabría que fuiste tú? Segundo, entra al panel de administración de tu sistema y verifica si la pista de auditoría está realmente activada. Tercero, cuenta tus cuentas compartidas y anótalas. Cuarto, revisa la configuración de zona horaria en tus servidores y terminales: todas. Quinto, dibuja la matriz de acceso: quién puede cambiar los umbrales de alarma, quién puede eliminar registros, quién puede firmar una liberación. Cuando esas cinco estén hechas, sabrás exactamente qué tan lejos está tu almacén del cumplimiento de la Parte 11 y cuánto costará cerrar la brecha.
Traducido del inglés. En caso de discrepancia, prevalece la versión en inglés.
