Praktyka CSV

Czym jest walidacja systemów komputerowych (CSV)?

2026-10-30 · Autor: M.A., Kierownik walidacji

Co oznacza walidacja systemów komputerowych

W produkcji farmaceutycznej, biotechnologicznej i wyrobów medycznych oprogramowanie, które wpływa na jakość produktu, bezpieczeństwo pacjenta albo integralność zapisów regulowanych, musi mieć wykazaną przydatność do zamierzonego zastosowania. Walidacja systemów komputerowych to sposób, w jaki się to wykazuje: zaplanowany zestaw działań i dokumentów, z których inspektor lub audytor odczyta, co system ma robić, jak to zweryfikowano i kto przejrzał dowody.

Potocznie mówi się o systemach komputerowych, przepisy używają określenia systemy skomputeryzowane; chodzi o to samo. Zakres obejmuje systemy laboratoryjne, takie jak LIMS i systemy danych chromatograficznych, systemy produkcyjne, takie jak MES i SCADA, systemy jakości, takie jak eQMS, moduły ERP o wpływie GxP oraz coraz częściej aplikacje chmurowe i SaaS. O zakresie decyduje zamierzone zastosowanie: ten sam produkt może w jednej firmie wymagać pełnej walidacji, a w innej niewielkiej.

Czego wymagają przepisy

Aneks 11 dotyczy wszystkich form systemów skomputeryzowanych używanych w działaniach regulowanych GMP. Aplikacja powinna być zwalidowana, a infrastruktura IT zakwalifikowana. EU GMP Annex 11 — Systemy skomputeryzowane

Zarządzanie ryzykiem powinno być stosowane w całym cyklu życia systemu skomputeryzowanego, z uwzględnieniem bezpieczeństwa pacjenta, integralności danych i jakości produktu. EU GMP Annex 11, pkt 1

Systemy przechowujące zapisy elektroniczne muszą być zwalidowane, aby zapewnić dokładność, niezawodność, stałe działanie zgodne z przeznaczeniem i możliwość wykrycia zapisów nieważnych lub zmienionych. 21 CFR §11.10(a)

Nad systemami komputerowymi należy sprawować odpowiednią kontrolę, tak aby zmiany w głównych zapisach produkcji i kontroli oraz w innych zapisach wprowadzały wyłącznie osoby upoważnione. 21 CFR §211.68(b)

Cykl życia walidacji i jego dokumenty

GAMP 5 opisuje oparty na ryzyku cykl życia, od koncepcji przez projekt i eksploatację po wycofanie, i dzieli oprogramowanie na kategorie 1, 3, 4 i 5, od oprogramowania infrastruktury po aplikacje tworzone na zamówienie. ISPE GAMP 5: A Risk-Based Approach to Compliant GxP Computerized Systems, wydanie drugie (lipiec 2022)

Niezależnie od metodyki pakiet walidacyjny zwykle zawiera ten sam łańcuch dokumentów, z których każdy opiera się na poprzednim:

• Plan walidacji: zakres, podejście, role, dokumenty do przygotowania i kryteria akceptacji.
• Specyfikacja wymagań użytkownika (URS): co system musi robić w zamierzonym zastosowaniu, zapisane tak, by każde wymaganie dało się przetestować.
• Specyfikacja funkcjonalna i projektowa (FS, DS): jak skonfigurowany system spełnia każde wymaganie.
• Ocena ryzyka, często funkcjonalna (FRA): które funkcje wpływają na bezpieczeństwo pacjenta, jakość produktu lub integralność danych i jak dokładnie trzeba je testować.
• Protokoły testów i zapisy z wykonania (IQ, OQ, PQ lub odpowiedniki): obiektywny dowód, że system działa zgodnie ze specyfikacją.
• Macierz identyfikowalności wymagań (RTM): każde wymaganie powiązane z ryzykiem, testami i ich wynikami.
• Raport podsumowujący walidację: co zrobiono, jakie były odchylenia i jak je rozwiązano oraz wniosek, że system nadaje się do użycia.

Uruchomienie systemu nie kończy walidacji. Stan zwalidowany utrzymuje się przez kontrolę zmian, przeglądy okresowe, obsługę incydentów i odchyleń, sprawdzanie kopii zapasowych i odtwarzania, a na końcu wycofanie z migracją lub archiwizacją danych.

Systemy skomputeryzowane powinny być okresowo oceniane, aby potwierdzić, że pozostają w stanie zwalidowanym i są zgodne z GMP. EU GMP Annex 11, pkt 11

Walidacja oparta na ryzyku i CSA

Wysiłek walidacyjny powinien podążać za ryzykiem. Funkcja wyliczająca wynik zwolnienia serii wymaga rygorystycznych testów ze skryptem; opcja układu raportu może wymagać niewiele więcej niż udokumentowanego sprawdzenia. Testowanie wszystkiego z tą samą głębokością nie jest dokładniejsze. Zasypuje testy, które mają znaczenie, tymi, które go nie mają.

FDA zaleca podejście oparte na ryzyku do budowania zaufania do oprogramowania produkcyjnego i systemów jakości, z mniej obciążającymi działaniami, w tym testami bez skryptu, tam gdzie ryzyko jest niższe. FDA, Computer Software Assurance for Production and Quality Management System Software (final guidance, 3 February 2026; supersedes the 24 September 2025 version)

Computer Software Assurance bywa przedstawiane jako następca CSV. Trafniej czytać je jako zmianę akcentów w tej samej dyscyplinie: najpierw krytyczne myślenie, dokumentacja proporcjonalna do ryzyka i dowody użyteczne, a nie obszerne.

Gdzie walidacja najczęściej zawodzi

• Wymagania, których nie da się przetestować, na przykład „system ma być przyjazny dla użytkownika”, więc nic się z nimi nie wiąże.
• Ocena ryzyka pisana po testach, żeby uzasadnić to, co już zrobiono.
• Identyfikowalność, która istnieje w macierzy, ale nie w dowodach: test przypisany do wymagania, którego nigdy nie sprawdzał.
• Dokumentacja dostawcy przyjęta bez oceny dostawcy i bez sprawdzenia, co faktycznie obejmuje.
• Walidacja traktowana jak kamień milowy projektu, bez kontroli zmian i przeglądów okresowych po uruchomieniu.

Gdzie jest miejsce Valready

Valready to wspierana przez AI platforma dokumentacji walidacji systemów skomputeryzowanych (CSV) — każdy dokument przegląda człowiek przed wydaniem. Przygotowuje szkice opisanych wyżej dokumentów, od URS po macierz identyfikowalności, utrzymuje powiązania między nimi i oznacza każdy eksport jako szkic. AI nigdy nie zatwierdza: wskazana osoba akceptuje lub odrzuca każdy dokument, a zatwierdzenie odbywa się w Państwa QMS.