A adoção de infraestruturas cloud públicas no setor da saúde acelerou significativamente nos últimos anos. Companhias farmacêuticas, biotecnológicas e de dispositivos médicos recorrem cada vez mais a plataformas como Microsoft Azure, Amazon Web Services ou Google Cloud Platform para suportar sistemas críticos GxP, atraídas pela sua escalabilidade, disponibilidade, segurança e flexibilidade operacional.
No entanto, a utilização de cloud pública em ambientes regulados levanta desafios específicos em termos de qualificação da infraestrutura, auditoria de fornecedores e conformidade regulamentar. Neste artigo analisamos estes desafios e partilhamos as chaves que deve conhecer para gerir com sucesso sistemas GxP na nuvem.
Um dos aspetos mais relevantes, e frequentemente mal interpretados, é a crença de que os fornecedores de cloud pública oferecem serviços "certificados GMP". Na prática, estes fornecedores contam com certificações internacionais amplamente reconhecidas, como a ISO 27001 ou relatórios SOC, que evidenciam a robustez dos seus controlos de segurança, disponibilidade e continuidade de negócio.
No entanto, estas certificações:
A conformidade GxP não se "herda" automaticamente pelo simples facto de utilizar um fornecedor de cloud de primeiro nível.
Este ponto compreende-se melhor através do modelo de responsabilidade partilhada da cloud.
Enquanto o fornecedor de cloud é responsável pela infraestrutura física, centros de dados, hardware, rede e camada de virtualização, a responsabilidade regulamentar continua a recair integralmente no utilizador regulado.
A empresa que contrata o serviço de cloud é responsável por:
A responsabilidade regulamentar nunca se delega, independentemente de onde esteja alojada a infraestrutura.
Desde uma perspetiva de qualificação de infraestruturas cloud, os sistemas GxP implementados na nuvem devem ser avaliados através de uma abordagem baseada em riscos, semelhante à aplicada em ambientes on-premise, mas adaptada às particularidades do modelo cloud.
Os fornecedores disponibilizam múltiplas capacidades técnicas, tais como:
Contudo, é o utilizador regulado quem deve decidir como se configuram estas capacidades, documentar tais configurações e demonstrar que são adequadas para a utilização prevista do sistema.
A auditoria de fornecedores de cloud pública também apresenta características diferenciais. Ao contrário dos fornecedores tradicionais, os grandes fornecedores de cloud não permitem auditorias in situ personalizadas. Em seu lugar, disponibilizam pacotes abrangentes de documentação que incluem:
Por isso, as empresas devem adotar uma abordagem de auditoria documental, centrada no serviço concreto contratado e no seu impacto GxP, avaliando se os controlos oferecidos são suficientes para cumprir os requisitos regulamentares aplicáveis.
Em relação ao Anexo 11 das EU GMP e à 21 CFR Parte 11, a utilização da cloud não elimina os requisitos regulamentares; simplesmente introduz novas camadas de complexidade técnica. Os seguintes aspetos requerem atenção especial:
Todos estes elementos devem ser geridos de forma estruturada dentro do sistema de qualidade da organização.
A gestão de infraestruturas cloud em ambientes regulados deve incluir:
Tudo isto deve integrar-se de forma coerente no Sistema de Gestão da Qualidade e alinhar-se com as expectativas das autoridades reguladoras, tanto em inspeções presenciais como remotas.
El cloud público representa una oportunidad clara para mejorar la eficiencia y la agilidad operativa en el sector salud. Sin embargo, no puede considerarse un entorno GxP por defecto.
La nube no elimina la necesidad de cualificar, validar y auditar; simplemente cambia la forma de hacerlo. Las organizaciones que entienden esta realidad y gestionan correctamente la cualificación y auditoría de sus proveedores cloud están mejor preparadas para aprovechar sus ventajas sin comprometer el cumplimiento regulatorio.
Na Ambit Iberia apoiamos as empresas do setor da saúde na qualificação de infraestruturas cloud, auditoria de fornecedores tecnológicos e validação de sistemas GxP, ajudando-as a implementar soluções cloud seguras, eficientes e alinhadas com os requisitos regulamentares atuais. Se necessita de apoio, clique aqui e teremos todo o gosto em ajudá-lo.
Somos especialistas há mais de 20 anos no desenvolvimento de estratégias e soluções de TI. Ajudamos os setores farmacêutico, de dispositivos médicos e de diagnóstico in vitro (IVD) a cumprir a regulamentação em todo o ciclo de vida do produto. Concebemos e implementamos infraestruturas inovadoras graças a uma oferta de serviços globais como alavanca facilitadora da transformação digital.