Що має містити контракт із провайдером комп'ютеризованої системи

 

1. Основний принцип

Коли ви, як регульований користувач (наприклад, фармацевтична компанія), довіряєте частину своїх GMP-діяльностей (будь-яких операцій, що впливають на якість ліків) зовнішньому провайдеру або внутрішньому ІТ-відділу, ви повинні укласти з ними контракт. Цей контракт чи внутрішні процедури мають чітко описувати, хто відповідає.

2. Роз'яснення кожного пункту

i. Describes the activity та documentation to be provided (Описує послуги та документацію, що надаються)

Цей пункт вимагає, щоб у контракті було чітко прописано, що саме робитиме провайдер (наприклад, адмініструвати сервери, проводити резервне копіювання даних) та яку документацію він надаватиме (звіти про валідацію, логи, записи про зміни). Без цього ви не можете контролювати процес.

ii. Establishes the company procedures and regulatory requirements to be met (Встановлює процедури компанії та нормативні вимоги, які мають бути виконані)

Провайдер повинен не просто виконувати свою роботу, але й робити це відповідно до ваших внутрішніх процедур (SOP) і всіх нормативних вимог GMP. Контракт має це прямо обговорювати.

iii. Назви на regular, ad hoc and incident reporting and oversight (incl. SLAs and KPIs), answer times, resolution times, etc. (Узгоджує регулярну, позапланову та інцидентну звітність, нагляд (вкл. SLA та KPI), час відповіді, час рішення тощо)

Це про контроль та швидкість реакції. У контракті мають бути прописані:

• SLA (Service Level Agreement): рівень обслуговування, який провайдер зобов'язується забезпечити.
• KPI (Key Performance Indicators): ключові показники ефективності, наприклад час, за який провайдер повинен відповісти на запит (answer time) або усунути проблему (resolution time).

iv. Agrees on conditions for supplier audits (Узгоджує умови для аудитів постачальника)

Ви як замовник маєте право та обов'язок перевіряти провайдера. Контракт повинен чітко встановлювати умови, на яких ви можете приїхати до нього та провести аудит його системи, процесів та документації, щоб переконатися, що він відповідає вимогам GMP.

v. Agrees on support при regulatory inspections, if so requested (Погоджує підтримку під час регуляторних інспекцій, якщо вона буде потрібна)

Якщо до вас прийде регуляторний орган (наприклад, FDA або EMA) з перевіркою, у нього можуть виникнути питання системи, якою керує ваш провайдер. У цьому випадку провайдер зобов'язаний надати повну підтримку та надати всю необхідну інформацію.

vi. Agrees on resolution of issues brought up during normal operation, audits and regulatory inspections etc. (Узгоджує вирішення питань, що виникають під час звичайної роботи, аудитів та регуляторних інспекцій тощо)

Контракт повинен містити чіткий алгоритм дій щодо усунення будь-яких проблем, які можуть виникнути — чи то помилка в роботі системи, чи зауваження аудитора, чи вимога регулятора.

vii. Defines requirements and processes for communication of quality and security related issues (Визначає вимоги та процеси для інформування про проблеми, пов'язані з якістю та безпекою)

Це про оперативне сповіщення. Провайдер повинен негайно повідомляти вас про будь-які інциденти, які можуть вплинути на якість продукції або безпеку даних (наприклад, зламування системи, збій сервера, помилка в програмі).

viii. Defines an exit strategy by which the regulated user може retain control of system data (Визначає стратегію виходу, за якої регульований користувач може зберегти контроль над даними системи)

Що станеться, якщо ви вирішите змінити провайдера чи розірвати контракт? Цей пункт вимагає наявності плану виходу. Він повинен гарантувати, що ви отримаєте всі свої дані в повному обсязі та зможете безпечно перенести їх в іншу систему, не втративши жодного байта.

ix. Agrees on the process for release of new system versions and on the regulated user’s possibility to test these prior to release (Узгоджує процес випуску нових версій системи та можливість регульованого користувача протестувати їх до випуску)

Будь-яке оновлення системи може призвести до збоїв. Тому провайдер повинен наперед повідомляти про випуск нових версій. Більш того, у вас має бути можливість протестувати це оновлення у своєму тестовому середовищі, перш ніж воно буде встановлене в робоче. Це дозволяє уникнути непередбачених проблем у виробничому процесі.

У підсумку всі ці пункти спрямовані на одну мету: гарантувати, що ви, як замовник, зберігаєте повний контроль над системою і даними, навіть якщо нею керує зовнішній підрядник, і що всі вимоги GMP неухильно дотримуються.