Pocas expresiones se usan tanto y se entienden tan poco en investigación clínica como «cumple Part 11». Aparece en folletos, en webs de proveedores y en cuestionarios de selección de centros. Merece la pena saber qué dice exactamente la norma, qué añade el Anexo 11 europeo y, sobre todo, qué parte depende del software y qué parte depende del centro.
Qué son, en una línea cada una
21 CFR Part 11 es la norma de la FDA estadounidense sobre registros electrónicos y firmas electrónicas. Se aplica cuando un registro que exige la normativa de la FDA se guarda en formato electrónico, por ejemplo en un ensayo que se presentará a la FDA.
El Anexo 11 es el anexo sobre sistemas informatizados de las normas europeas de correcta fabricación (EudraLex, volumen 4). Nació para la fabricación de medicamentos, pero sus principios se usan como referencia en ensayos clínicos, junto con la guía específica de la EMA sobre sistemas informatizados en ensayos de 2023.
Lo que pide Part 11, apartado por apartado
El núcleo técnico está en el apartado 11.10, los controles para sistemas cerrados. Estos son los que afectan directamente al software:
- 11.10(a), validación: el sistema tiene que estar validado para garantizar exactitud, fiabilidad y rendimiento constante, y poder detectar registros no válidos o alterados.
- 11.10(b), copias: tiene que poder generar copias exactas y completas de los registros, en formato legible por personas y en formato electrónico.
- 11.10(c), conservación: los registros deben estar protegidos y recuperables durante todo el periodo de conservación.
- 11.10(d), acceso: el acceso al sistema debe estar limitado a personas autorizadas.
- 11.10(e), registro de auditoría: registros de auditoría seguros, generados por el sistema y con fecha y hora, que registren de forma independiente las entradas y acciones que crean, modifican o borran registros. Los cambios no pueden ocultar la información anterior.
- 11.10(f) y (g), controles de secuencia y de autoridad: el sistema debe imponer el orden correcto de los pasos cuando proceda y comprobar que solo las personas autorizadas pueden firmar, modificar o acceder a los registros.
Los apartados (i), (j) y (k) hablan de formación del personal, de políticas escritas que hagan a cada persona responsable de lo que firma y del control de la documentación del sistema. Esos ya no dependen del software: dependen del centro.
Lo que añade el Anexo 11
El Anexo 11 recorre ideas parecidas con un enfoque basado en el riesgo. Algunos apartados que conviene conocer:
- §4, validación: la documentación de validación debe cubrir todo el ciclo de vida del sistema.
- §6, comprobaciones de exactitud: para datos críticos introducidos a mano debe haber una comprobación adicional, que puede hacer un segundo operador.
- §8, copias impresas: debe ser posible obtener copias impresas claras de los datos almacenados electrónicamente.
- §9, registro de auditoría: según una evaluación del riesgo, el sistema debe registrar los cambios y borrados relevantes, y documentar el motivo del cambio.
- §10, gestión de cambios: cualquier cambio en el sistema debe hacerse de forma controlada.
- §12, seguridad: controles físicos y lógicos para limitar el acceso a personas autorizadas.
Y la guía de la EMA de 2023, más concreta todavía
La guía de la EMA sobre sistemas informatizados en ensayos clínicos baja a detalles que Part 11 no menciona. Pide que el registro de auditoría muestre el valor anterior y el actual, quién hizo el cambio (usuario, función y organización), cuándo y, cuando proceda, por qué, y que capture los cambios por campo y no por página (apartado 6.2.1). Pide un cierre de sesión automático por inactividad que el usuario no pueda desactivar (anexo 4, A4.17), bloqueo de la cuenta tras varios intentos fallidos (A4.12) y que la información que pueda romper el ciego no aparezca en el registro de auditoría que ven los usuarios ciegos (6.2.1).
Por qué ningún software «cumple Part 11» él solo
Part 11 no tiene un sello ni una certificación oficial que se pegue a un producto. El cumplimiento es del sistema completo: el software, su validación en el uso concreto que le da el centro y los procedimientos escritos de quien lo usa. La guía de la EMA lo dice expresamente: la parte responsable sigue siendo la responsable última de la validación (anexo 2).
Lo que sí puede hacer un proveedor es dos cosas: construir el software para que cubra los requisitos técnicos (auditoría, accesos, copias, control de versiones) y entregar documentación de validación que el centro pueda incorporar a la suya. Si un proveedor te dice que su producto cumple Part 11 y no tienes que hacer nada más, conviene desconfiar.
Cómo lo cubre DriCloud
El módulo de ensayos clínicos de DriCloud está pensado precisamente para la parte que depende del software: registro de auditoría de cada cambio con valor anterior y nuevo, usuario, fecha y hora; auditoría de accesos, accesos fallidos, cuentas bloqueadas y cambios de permisos; visitas finalizadas que solo cambian con motivo; segunda verificación registrada; cierre de sesión por inactividad; borrado siempre lógico y auditado; copias completas en PDF no editable; y documentación de validación, versión visible y aviso previo de cada cambio de versión. Si quieres ver cómo se compara con herramientas eSource específicas, lo tienes en nuestra comparativa de herramientas eSource.
Lista rápida para tu próxima auditoría
- ¿Cada persona tiene su usuario y sus permisos documentados?
- ¿El registro de auditoría está activo y nadie puede desactivarlo?
- ¿Tienes la documentación de validación del proveedor y tu propia validación de uso?
- ¿Tienes un procedimiento para revisar el registro de auditoría de forma periódica?
- ¿Sabes cómo entregar al monitor una copia completa y no editable?
Fuentes: 21 CFR 11.10 (texto consolidado); EudraLex, volumen 4, Anexo 11; EMA, guía sobre sistemas informatizados y datos electrónicos en ensayos clínicos (2023). Consultadas el 5 de noviembre de 2026.
