A ligação chegou numa manhã de terça-feira. A gerente de qualidade de um dos nossos clientes 3PL de alimentos no Inland Empire parecia exausta: um inspetor da FDA havia passado dois dias nas instalações deles e não parava de voltar ao mesmo ponto: o registro de excursões de temperatura. Ele vivia numa planilha compartilhada no computador do escritório do armazém. Todos na operação conheciam a senha. "Ele me perguntou quem mudou as entradas de março", ela me disse. "Não tive resposta."
Essa é toda a história do 21 CFR Part 11 numa ligação telefônica. A norma nunca exigiu que você jogasse fora seus livros de registro em papel. O que ela exige é que, uma vez que você passa para o eletrônico, seus registros eletrônicos têm que ser tão confiáveis quanto o papel — na verdade, mais, porque têm que provar isso.
A Parte 11 é a norma da FDA sobre registros eletrônicos e assinaturas eletrônicas, publicada em forma final em 20 de março de 1997 e vigente desde 20 de agosto de 1997. Ela se aplica a todas as indústrias reguladas pela FDA — alimentos, medicamentos, produtos biológicos, dispositivos médicos — sempre que os registros que as normas da FDA exigem que você mantenha forem mantidos em formato eletrônico, ou que assinaturas manuscritas forem substituídas por eletrônicas. Para um armazém de alimentos, isso significa registros de temperatura e umidade, inspeções de recebimento, registros de controle de pragas, registros de treinamento e aprovações de liberação, no momento em que saem do papel e entram num sistema.
Aqui está o que a maioria dos operadores entende errado: a Parte 11 nunca obriga você a digitalizar. O papel continua perfeitamente aceitável. Mas qualquer registro eletrônico que você mantiver deve atender ao mesmo padrão de confiabilidade — e você tem que demonstrar isso quando exigido.
O que essa norma realmente exige?
Despindo a linguagem jurídica, a Parte 11 pede quatro coisas. Primeiro, validação do sistema: você tem que poder mostrar que o sistema faz o que deveria fazer, faz com precisão e consegue detectar registros inválidos ou alterados. Software de prateleira não está isento — você precisa da documentação de validação do fornecedor, ou a elabora você mesmo.
Segundo, trilhas de auditoria. A Seção 11.10(e) é explícita: registros seguros, gerados por computador e com carimbo de data e hora de quem criou, modificou ou excluiu um registro eletrônico. As modificações não devem obscurecer as entradas anteriores — ou seja, nada de sobrescrever, apenas novas versões anexadas. A trilha de auditoria deve ser conservada pelo menos pelo mesmo tempo que os próprios registros e estar disponível para revisão e cópia pela FDA. Em termos simples: cada mudança deixa uma pegada que a pessoa que a fez não consegue apagar.
Terceiro, controle de acesso: apenas indivíduos autorizados entram no sistema, alteram dados ou assinam registros. Quarto, assinaturas eletrônicas: sob a Seção 11.50, a exibição de uma assinatura deve mostrar o nome do signatário, a data e a hora da assinatura e o significado da assinatura — revisão, aprovação ou execução. Sob a Seção 11.70, a assinatura deve estar permanentemente vinculada ao seu registro, para que não possa ser recortada e colada em outra coisa.
Uma distinção importa desde o início, porque determina quanto trabalho você está assumindo: sistemas fechados versus sistemas abertos. Um sistema fechado é aquele em que o acesso é controlado pela sua própria organização — seu WMS, sua plataforma interna de monitoramento de temperatura. A maioria dos armazéns de alimentos vive inteiramente em território de sistema fechado e responde à Seção 11.10. Um sistema aberto é aquele em que o controle do acesso não está em suas mãos, como registros transmitidos a clientes ou reguladores pela internet pública; a Seção 11.30 acrescenta requisitos de criptografia e assinatura digital. Descubra em qual você está antes de começar a gastar. Se tiver dúvida sobre um requisito específico, consulte a orientação oficial da FDA ou seu assessor regulatório — vendedores comerciais não são fonte de verdade.
O que uma trilha de auditoria realmente tem que capturar?
Um inspetor lendo sua trilha de auditoria faz quatro perguntas: quem fez, quando, o que fez e como era antes. Um registro novo ganha uma entrada. Um limiar de alarme alterado ganha uma entrada, com o valor antigo e o novo preservados. Um registro excluído ganha uma entrada. E a trilha deve ser independente da pessoa que age — o operador não pode desligá-la, editá-la ou excluí-la. Os carimbos de data e hora precisam de fusos horários e devem estar sincronizados com uma fonte de tempo confiável, sem derivar segundo o relógio de cada dispositivo.
Aqui é onde os armazéns de alimentos apanham mais forte, e as falhas são desalentadoramente ordinárias. Já vi uma instalação de armazenamento frigorífico com um sistema de temperatura que tecnicamente tinha trilha de auditoria — exceto que ela foi desligada durante a implantação e ninguém notou por dois anos. O clássico é acesso de administrador para todos: o limiar de alarme do freezer passou de menos 18 para menos 15 graus Celsius, e ninguém pôde dizer quem o mudou porque uma dúzia de pessoas fazia login como admin. Depois há os carimbos de data e hora: servidores configurados em UTC enquanto a operação roda no horário do Pacífico, de modo que cada registro exportado mostra entradas às 3 da manhã que ninguém consegue explicar. E o pior infrator é a planilha. Um registro de temperatura em Excel compartilhado que qualquer pessoa pode editar, sem registro de quem mudou o quê, morre na chegada numa inspeção. Não há defesa possível.
Uma assinatura eletrônica é realmente só clicar em "aprovar"?
Não. Uma caixa de seleção não prova nada, e a Parte 11 trata assinaturas como declarações de identidade com peso legal. Três condições precisam ser cumpridas. Primeiro, unicidade: uma assinatura pertence a exatamente uma pessoa. Um login compartilhado de "supervisor" que todo o turno usa para aprovar liberações não é um sistema de assinaturas — é teatro. Quando o inspetor pergunta quem liberou aquele lote e a resposta é "quem estivesse de plantão", a inspeção está indo mal.
Segundo, verificação de identidade no momento da assinatura — uma senha, um toque de crachá, biometria. O ponto é provar que quem clica é realmente a pessoa nomeada. Terceiro, o significado da assinatura tem que ser distinto e registrado: revisão, aprovação e execução são três atos diferentes. A mesma pessoa revisando e depois aprovando o mesmo lote vai gerar uma pergunta sobre segregação de funções.
Contas compartilhadas são a epidemia no armazenamento de alimentos. Num site de cadeia de frio de 80 mil pés quadrados que gerenciei em Ontario, Califórnia, cada coletor na operação fazia login como "warehouse" — conveniente para todos, indefensável numa auditoria. A primeira coisa que fizemos na nossa avaliação de lacunas da Parte 11 foi acabar com essa prática: uma conta por pessoa, desativada no dia em que alguém sai, senhas trocadas trimestralmente. Foi impopular por cerca de uma semana. Mas na próxima vez em que um inspetor perguntou quem havia assinado uma inspeção de recebimento, o sistema mostrou um nome, um carimbo de data e hora e um significado. Isso encerra a conversa.
Se você está partindo do papel ou de planilhas, aqui está a sequência que realmente funciona. Passo um, avaliação de lacunas: liste cada registro que você mantém — temperatura e umidade, inspeções de recebimento, controle de pragas, treinamento, liberações — e marque quais vivem no papel, em planilhas ou num sistema. Se esquecer um, ele vai te encontrar mais tarde. Passo dois, seleção do sistema: faça a cada fornecedor três perguntas. A trilha de auditoria pode ser desligada? Se for desligada, você consegue saber? Vocês fornecem documentação de validação? Um fornecedor que não conseguir responder às três está fora.
Passo três, reescreva os POPs: mude "como registramos" para "como registramos no sistema", e coloque a matriz de acesso por escrito — quem pode inserir dados, quem pode revisar, quem pode mudar limiares, quem pode excluir registros. Uma tabela, sem ambiguidade. Passo quatro, treinamento: treine as pessoas sobre o que uma assinatura significa, e deixe explícito que uma assinatura carrega responsabilidade. Passo cinco, rode papel e eletrônico em paralelo por pelo menos um ciclo completo — um mês, digamos — e só aposente o papel quando os dois lados conciliarem. Aposente o papel cedo demais e uma falha do sistema deixa você sem nada.
Pense um momento do lado do inspetor. Ele não se importa com quanto seu sistema custou. Ele se importa com três coisas: se os registros foram alterados, quem os alterou e se os carimbos de data e hora fazem sentido. Ele vai pedir para você extrair registros do sistema, ao vivo, na frente dele. Não consegue exportá-los? Problema. O arquivo exportado saiu ilegível? Problema. A exportação não bate com o que está na tela? Problema maior. A integridade dos registros aparece nas listas de observações 483 da FDA ano após ano — não porque a norma seja exótica, mas porque armazéns demais confundem registrar algo com ser capaz de defendê-lo.
Cinco coisas que você pode fazer amanhã. Primeiro, copie sua planilha de temperatura, mude um número e pergunte a si mesmo: alguém saberia, e saberia que foi você? Segundo, entre no painel de administração do seu sistema e verifique se a trilha de auditoria está realmente ligada. Terceiro, conte suas contas compartilhadas e anote. Quarto, verifique as configurações de fuso horário nos seus servidores e terminais — todas. Quinto, desenhe a matriz de acesso: quem pode mudar limiares de alarme, quem pode excluir registros, quem pode assinar uma liberação. Quando essas cinco estiverem prontas, você vai saber exatamente o quão longe seu armazém está da conformidade com a Parte 11, e quanto vai custar fechar a lacuna.
Traduzido do inglês. Em caso de divergência, prevalece a versão em inglês.
