Inspección de integridad de datos. ¿Cómo prepararse?
Realizar auditorías internas o contar con un equipo especializado para que audite nuestros sistemas informatizados de forma periódica, es la mejor forma de prepararnos para una inspección de integridad de datos de los organismos de control.
Las inspecciones de los organismos de control sobre laboratorios y distribuidores de los sectores farmacéutico, cosmético, sanitario y de alimentación hacen cada vez más hincapié en la confiabilidad y la gestión sobre sus datos.
Las autoridades reguladoras tanto nacionales como internacionales – como la AEMPS, la FDA o la MHRA- se centran en garantizar que las empresas de estos sectores tengan una estrategia clara sobre cómo se puede garantizar la integridad de los datos críticos durante todo su ciclo de vida. Y en cuanto a una inspección de integridad de datos, el énfasis se ha movido hacia proporcionar evidencias de la trazabilidad de los datos.
En nuestro artículo Validación de Sistemas Informatizados: marco regulatorio, sectores y alcance, podéis consultar por sectores, el alcance y requisitos que cada regulación establece en relación a la validación de sistemas informatizados y la integridad de los datos.
Precisamente, la semana pasada nuestro equipo asistió en Barcelona a la XV Jornada de NCF, organizadas por la AEFI (Asociación Española de Farmacéuticos de la Industria). Dentro del programa de la jornada, se trató el tema de integridad de datos -por ejemplo, en la ponencia “Integridad de datos: expectativas de la inspección y ejemplos de desviaciones“– motivado por el creciente aumento de desviaciones en integridad de datos en las inspecciones.
Dada la importancia de esta cuestión, hemos preparado este briefing con las claves acerca cómo preparar una inspección de integridad de datos, y superarla de forma efectiva.
Inspección de integridad de datos: conceptos previos
La integridad de datos no se refiere solo a la calidad de los datos sino a qué información es necesaria para tomar decisiones informadas.
Se deben considerar los datos como un proceso continuo formado por las siguientes fases: la generación del dato, la transcripción, la comunicación, el almacenamiento y la destrucción.
La gobernanza de los datos implica todas las disposiciones tomadas para asegurar los datos -independientemente de la forma en que se generen, graben, procesen o almacenen- garantizan un registro exacto y consistente a lo largo de todo el ciclo de vida de los datos.
Y el Ciclo de vida de los datos abarca la forma en que los datos se generan, se procesan, se revisan, se comunican y se usan para tomar decisiones, se almacenan y, finalmente, se destruyen al final del periodo de retención. Esto puede representar transferencias entre sistemas informáticos internos o externos.
Cómo preparar una inspección de integridad de datos
A la hora de preparar una inspección de integridad de datos, debemos comprender el enfoque de los auditores o inspectores.
Hoy en día, los datos electrónicos son el principal foco de los inspectores de entidades reguladoras ya que estos son datos originales. Estos registros por su naturaleza pueden ser consultados o buscados. Las copias impresas, como los pdfs, ya no son suficientes ya que estos datos generalmente no son completos ni originales. Los datos electrónicos proporcionan una trazabilidad completa de los datos críticos y proporcionan evidencia sobre cómo se generó un resultado final. El inspector puede comenzar con un resultado específico y luego pasar por la secuencia de eventos que precede al momento en que se registró el resultado utilizando el audit trail (registro electrónico seguro que permite la reconstrucción de eventos relacionados con la creación, modificación o eliminación de registros electrónicos).
Para dar confianza de que se tiene control sobre los datos, las organizaciones deben considerar qué datos producen y la mejor forma de segregarlos y organizarlos en el sistema informatizado.
Los inspectores pueden solicitar una lista de usuarios activos, privilegios de usuario o el informe de audit trail. El inspector también puede solicitar una demostración por parte del personal. Buscarán revisar los procedimientos, políticas y controles.
El principio ALCOA debe ser la base de todas las actividades de gestión de datos y esto respaldará cualquier inspección de integridad de datos.
El principio ALCOA
En un artículo anterior hicimos referencia al acrónimo ALCOA. Este concepto es un marco de referencia utilizado para asegurar el control y la confiabilidad de los datos. ALCOA no distingue si los datos existen en soporte electrónico o en papel. Por sus siglas en inglés, el significado del término es el siguiente:
- Attributable: (atribuible) quién ejecutó una tarea determinada, y cuándo lo hizo.
- Legible: se puede leer un archivo de datos y sus entradas escritas.
- Contemporaneous: (contemporáneo) los datos fueron documentados en el momento de la actividad.
- Original: copia original, dato observado o copia certificada.
- Accurate: (preciso) el dato no tiene errores o edición y no tiene enmiendas que no estén documentadas.
Estos principios son la base para controlar los propios datos e indican el camino a seguir para asegurar la integridad de los mismos.
¿Qué se debe tener en cuenta?
Cuando nos preparamos para una inspección de integridad de datos, debemos realizar una auditoría interna para saber si estamos cumpliendo con la normativa vigente y responder a las siguientes preguntas:
- ¿Cómo se revisan los datos? (qué se revisa y en qué medida).
- ¿Están completos todos los datos y metadatos? (la forma en que los datos se definen y se recopilan). Las inspecciones se centran en la fuente original de los datos (el metadato). Ya que por definición suelen estar en formato electrónico y son más fáciles de buscar y consultar.
- ¿Cómo se procesan los datos? (aseguramos que los datos no se modifiquen, se dupliquen o se falsifiquen).
- ¿Quién genera y revisa los datos? (niveles de accesos y responsabilidad de originar y revisar los datos).
- ¿Cómo se resumen los datos? ¿Cómo se reportan los resultados? (aseguramos que se estén utilizando todos los datos relevantes y se evite una selección tendenciosa).
- ¿Se validan todos los procesos e interfaces?
- ¿Cómo se conservan y archivan los datos? (qué, cómo y dónde).
Una buena gestión de datos le proveerá al inspector la certeza necesaria respecto a que tenemos el control.
Seguir un enfoque sistemático para asegurar la integridad de datos
Para facilitar la tarea del inspector cuando realice la inspección de integridad de datos, debemos elegir un enfoque sistemático:
- Revisar los procedimientos operativos estándar (SOP) aplicables.
- Identificar etapas críticas.
- Revisar o crear diagramas de flujo y mapas de procesos.
- Identificar interfaces críticas.
- Identificar documentación crítica.
- Revisar los hallazgos previos de nuestra propia auditoría o de inspecciones anteriores, las acciones correctivas que se han llevado a cabo y la correspondiente evaluación de su efectividad.
- Realizar la validación basada en un análisis de riesgos.
- Asegurar la seguridad de la información (identificación de usuarios, control de contraseñas, audit trail, copias de seguridad, control de accesos a datos del sistema, seguridad de los registros)
Nuestro equipo debe controlar las entradas de datos y debe realizar revisiones en varias etapas; desde que los datos se generan y mientras se transmiten. También debe prestar especial atención a los usuarios, la gestión de acceso a los sistemas; autorizaciones y permisos, niveles de acceso debidamente justificados. Así como controlar tareas claves, tales como los audit trail o la gestión de backup.
Es recomendable generar un cuestionario o checklist a partir de un modelo de flujo de datos o mapas mentales. De esta forma, aseguramos la integridad de los datos y nos preparamos para la inspección de integridad de datos.
En Oqotech, acompañamos a nuestros clientes a lo largo de todo el proceso, desde la informatización de sus sistemas hasta la validación de SI y el cumplimiento de la regulación nacional e internacional de cada sector. Escríbenos o llámanos y nuestros consultores expertos te ofrecerán asesoramiento a medida.
