إدارة وصول المستخدمين

1. الغرض والنطاق

يُستخدم هذا الإجراء لطلب صلاحيات الوصول إلى الأنظمة المحوسبة المستخدمة في ممارسات التصنيع الجيد (GMP) للمنتجات الصيدلانية النهائية المخصصة للاستخدام البشري، واعتمادها والتحقق منها ومراجعتها وإلغائها. ويشمل الموظفين والمتعاقدين والمورّدين والحسابات ذات الامتيازات العالية والحسابات غير المرتبطة بأشخاص، ضمن العمليات في الاتحاد الأوروبي والولايات المتحدة.

قالب مرجعي أولي للصياغة: قبل اعتماد هذا الإجراء، يجب على إدارة الجودة ومالك النظام تأكيد مدى انطباقه، وتحديد البدلاء بالاسم، وقواعد الوصول، ومواقع حفظ السجلات. لم يتم التحقق من ترتيبات التوظيف في الموقع، أو أنظمة الهوية، أو القدرات التقنية. ويُعد سير العمل التفصيلي ضابطًا مقترحًا للمشروع، وليس ادعاءً بأن كل خطوة منه مفروضة قانونًا.

تظل تهيئة التوقيعات الإلكترونية والتحقق من صحة الأنظمة ضمن إجراء CSV (التحقق من الأنظمة المحوسبة). وتُستثنى أنظمة الأعمال العادية التي لا تؤثر في GMP.

2. المراجع والمصطلحات

• المفوضية الأوروبية، ملحق EU GMP Annex 11، يناير 2011، القسمان 12 و14.
• إدارة الغذاء والدواء الأمريكية (FDA)، 21 CFR 211.68(b) والجزء 11 (Part 11)، الأقسام 11.1 و11.10(d) و(g) و(i) و11.100 و11.200 و11.300، عند انطباقها.
• إدارة الغذاء والدواء الأمريكية (FDA)، سلامة البيانات والامتثال لممارسات التصنيع الجيد للأدوية (CGMP): أسئلة وأجوبة، ديسمبر 2018، السؤالان 4 و5؛ إرشادات غير ملزمة.

الوصول ذو الامتيازات العالية هو الوصول الذي يسمح بإدارة الأمان أو بإجراء تغييرات تتجاوز صلاحيات دور التشغيل العادي. أما الحساب غير المرتبط بشخص فيُستخدم لتنفيذ خدمة آلية محددة. ويُقصد بـ إدارة الجودة وحدة الجودة المسؤولة عن المساءلة.

3. المسؤوليات

يجب تعيين بديل مدرّب لكل دور من أدوار الاعتماد والتحقق. ولا يجوز لأي شخص اعتماد صلاحيات الوصول ذات الامتيازات العالية الخاصة به. كما يجب ألا يتحقق المسؤول بصورة مستقلة من تهيئة الامتيازات العالية التي نفّذها بنفسه.

4. وضع خط الأساس لصلاحيات الوصول

1. يجب على مالك النظام إعداد مصفوفة وصول قبل إنشاء الحسابات. ويجب تحديد كل دور، والإجراءات المسموح بها، والتركيبات المحظورة، وصلاحيات الاعتماد.
2. حدّد صلاحيات التشغيل وصلاحيات الإدارة بصورة منفصلة. واقصر تعديل سجلات GMP واعتمادها على الأشخاص المصرّح لهم والمحددين بالاسم.
3. سجّل مالك كل حساب غير مرتبط بشخص، والغرض منه، والواجهات المسموح له باستخدامها. ويُحظر تنفيذ أعمال GMP التفاعلية أو استخدام التوقيعات الإلكترونية من خلال هذا الحساب.
4. حدّد إعدادات التحقق من الهوية، والمصادقة، وفترة عدم النشاط، وقفل الحساب، واستعادة بيانات الاعتماد، والمراجعة، من خلال مواصفات النظام المعتمدة.
5. حدّد مدى انطباق الجزء 11 من خلال إجراء CSV. وقبل استخدام التوقيعات الإلكترونية، تحقّق من التحقق من الهوية، وضوابط التوقيع، وأي إقرار مؤسسي مطلوب ومطبق لدى FDA. وافحص مواصفات CSV مقابل الأقسام المنطبقة 11.200 و11.300 فيما يتعلق بمكونات التوقيع، وجلسات التوقيع، وملكية التوقيع، وضوابط بيانات الاعتماد.
6. إذا حالت القيود التقنية دون تطبيق الضوابط المعتمدة، فافتح إجراء ضبط تغيير وأجرِ تقييمًا لاستثناء بموافقة إدارة الجودة. ولا تبدأ استخدام GMP المتأثر حتى تعتمد إدارة الجودة بديلًا ثبتت فعاليته أو تُصحّح القيود. ويجب ألا يؤدي أي استثناء إلى إسقاط متطلب تنظيمي واجب التطبيق.

5. طلب الوصول واعتماده

1. يجب على مقدم الطلب فتح طلب وصول قبل الاستخدام الأول أو تغيير الدور.
2. سجّل النظام، والهوية الفريدة للشخص، وجهة العمل أو الجهة الراعية، والدور، والمبرر، وتاريخ البدء، وتاريخ الانتهاء، وأدلة التدريب المطلوبة.
3. يجب على مالك العملية مقارنة المهام المطلوبة بمصفوفة الوصول. وحدّد الصلاحيات المتعارضة بين الأنظمة عندما تؤثر في القرار نفسه المتعلق بـ GMP.
4. يجب على مالك النظام اعتماد تعيين الدور إلى الصلاحيات التقنية. وتُحال أي امتيازات تتجاوز المصفوفة إلى إدارة الجودة قبل تنفيذها.
5. إذا كانت المعلومات متعارضة أو كان التدريب غير مكتمل، فأعِد الطلب مع تحديد الأدلة الناقصة. ولا تنسخ صلاحيات مستخدم آخر بديلًا عن التقييم.
6. استخدم البديل المسمّى عند غياب الشخص المخوّل بالاعتماد. ولا تسمح ضغوط الإنتاج بالاعتماد الذاتي أو مشاركة بيانات الاعتماد.