- 266 -

ANEKS 7
SISTEM KOMPUTERISASI

PRINSIP

Aneks ini berlaku untuk semua bentuk sistem komputerisasi yang digunakan
sebagai bagian dari kegiatan yang diatur CPOB. Sistem komputerisasi adalah
seperangkat komponen perangkat lunak dan perangkat keras yang bersama-
sama melakukan fungsi-fungsi tertentu.

Aplikasi hendaklah divalidasi; Infrastruktur IT hendaklah dikualifikasi.

Penggantian operasi manual oleh sistem komputerisasi tidak boleh
mengakibatkan penurunan kualitas produk, kendali proses atau Pemastian
Mutu. Tidak boleh terjadi peningkatan risiko menyeluruh terhadap proses.

UMUM

1. Manajemen Risiko
Manajemen risiko hendaklah diterapkan sepanjang siklus hidup sistem
komputerisasi dengan memerhatikan keamanan pasien, integritas data dan
kualitas produk. Sebagai bagian dari sistem manajemen risiko, keputusan
mengenai tingkat validasi dan pengendalian integritas data hendaklah
berdasarkan sebuah penilaian risiko yang benar dan terdokumentasi dari
sistem komputerisasi.

2. Personel
Hendaklah diciptakan kerja sama yang erat antara semua personel terkait
seperti Pemilik Proses, Pemilik Sistem, Personel Berwenang dan IT. Semua
personel hendaklah memiliki kualifikasi yang tepat, tingkat akses dan
tanggung jawab yang ditetapkan untuk melaksanakan tugas mereka.

3. Pemasok dan Penyedia Jasa

3.1 Bila pihak ketiga (misal pemasok, penyedia jasa) digunakan misal
untuk menyediakan, menginstalasi, mengonfigurasi,
mengintegrasikan, memvalidasi, memelihara (misal melalui akses
jarak jauh), memodifikasi atau menyimpan sistem yang
terkomputerisasi atau layanan terkait atau untuk pemrosesan data,
 - 267 -

perjanjian formal hendaklah tersedia antara industri farmasi dan

pihak ketiga mana pun, dan perjanjian ini hendaklah mencakup
pernyataan yang jelas tentang tanggung jawab pihak ketiga. Bagian
IT hendaklah memiliki tanggung jawab yang setara.

3.2 Kompetensi dan keandalan pemasok merupakan faktor kunci saat

memilih produk atau penyedia layanan. Kebutuhan audit hendaklah
didasarkan pada penilaian risiko.

3.3 Dokumentasi yang disertakan dengan produk commercial off-the-

shelf hendaklah dikaji oleh Pengguna Berwenang untuk memastikan
bahwa persyaratan pengguna terpenuhi.

3.4 Sistem mutu dan informasi audit yang berkaitan dengan pemasok
atau pengembang perangkat lunak dan sistem yang diterapkan
hendaklah tersedia bagi inspektur berdasarkan permintaan.

FASE PROYEK

4. Validasi
4.1 Dokumentasi dan laporan validasi hendaklah mencakup langkah-
langkah yang relevan dalam siklus hidup. Industri farmasi hendaklah
dapat menjustifikasi standar mereka, protokol, kriteria
keberterimaan, prosedur dan catatan berdasarkan penilaian risiko
mereka.

4.2 Dokumentasi validasi hendaklah mencakup catatan pengendalian

perubahan (jika ada) dan laporan tiap penyimpangan yang diamati
selama proses validasi.

4.3 Daftar termutakhir semua sistem yang relevan dan fungsionalitas

CPOB mereka (persediaan) hendaklah tersedia.

4.4 Untuk sistem kritis, deskripsi sistem termutakhir yang merinci

pengaturan fisik dan logical, aliran data dan interfaces dengan sistem
atau proses lain, prasyarat perangkat keras dan perangkat lunak, dan
tindakan pengamanan hendaklah tersedia.
 - 268 -

4.5 Spesifikasi Kebutuhan Pengguna (SKP) hendaklah menguraikan

fungsi sistem komputerisasi yang diperlukan dan didasarkan pada
penilaian risiko terdokumentasi dan dampak terhadap CPOB.
Kebutuhan pengguna hendaklah dapat ditelusuri sepanjang siklus
hidup.

4.6 Pengguna Berwenang hendaklah menjalankan semua langkah yang

dibutuhkan untuk memastikan bahwa sistem telah dikembangkan
menurut Sistem Mutu Industri Farmasi yang tepat. Pemasok
hendaklah dinilai dengan tepat.

4.7 Untuk validasi sistem komputerisasi yang dibuat berdasarkan

pesanan atau sistem yang disesuaikan dengan kebutuhan hendaklah
tersedia proses yang memastikan penilaian formal dan pelaporan
kualitas dan kinerja untuk semua tahap siklus-hidup sistem.

4.8 Bukti metode uji dan skenario uji yang sesuai hendaklah tersedia.
Limit parameter sistem (proses), limit data dan penanganan kesalahan
hendaklah dipertimbangkan secara khusus. Perangkat uji otomatis
dan lingkungan uji hendaklah memiliki penilaian yang memadai dan
terdokumentasi.

4.9 Jika data dipindahkan ke format atau sistem data lain, validasi
hendaklah mencakup pengecekan bahwa data tidak berubah nilainya
dan/atau makna selama proses pemindahan tersebut.

FASE OPERASIONAL

5. Data
Sistem komputerisasi yang menukar data secara elektronik dengan sistem
lain hendaklah mencakup built-in checks yang tepat untuk pemasukan dan
pemrosesan data yang benar dan aman demi minimalisasi risiko.

6. Pemeriksaan Akurasi
Untuk data penting yang dimasukkan secara manual hendaklah dilakukan
pemeriksaan tambahan terhadap keakuratan data. Pemeriksaan ini dapat
dilakukan oleh operator kedua atau dengan cara elektronik yang tervalidasi.
Kekritisan dan konsekuensi potensial data yang keliru atau salah
 - 269 -

pemasukan ke sistem hendaklah menjadi bagian dari kajian manajemen

risiko.

7. Penyimpanan Data
7.1 Data hendaklah diamankan baik secara fisik maupun elektronik
terhadap kerusakan. Data tersimpan hendaklah diperiksa terhadap
aksesibilitas, keterbacaan dan akurasi. Akses ke data hendaklah
dijamin selama periode penyimpanan.

7.2 Back-up data yang relevan hendaklah dilakukan secara teratur.

Integritas dan akurasi data back-up dan kemampuan untuk
mengembalikan data hendaklah diperiksa selama validasi dan
dipantau secara berkala.

8. Cetakan
8.1 Hendaklah memungkinkan untuk mendapatkan salinan jelas dari
data yang tersimpan secara elektronik.

8.2 Untuk catatan pendukung pelulusan bets, sistem hendaklah

memungkinkan perolehan cetakan dengan indikasi yang
menunjukkan bila ada perubahan sejak pemasukan data asli.

9. Audit Trails
Berdasarkan penilaian risiko hendaklah dipertimbangkan membangun
sistem yang memuat catatan data yang diubah atau dihapus (sistem audit
trail). Perubahan atau penghapusan data terkait CPOB hendaklah
didokumentasikan. Audit trail hendaklah tersedia dan dapat dikonversi ke
format yang dapat dipahami secara umum dan dikaji secara berkala.

10. Manajemen Perubahan dan Konfigurasi

Setiap perubahan pada sistem komputerisasi termasuk konfigurasi sistem
hendaklah hanya dilakukan secara terkendali sesuai prosedur yang
ditetapkan.
 - 270 -

11. Evaluasi berkala

Sistem komputerisasi hendaklah dievaluasi secara berkala untuk
memastikan bahwa sistem tersebut tetap berada dalam status tervalidasi
dan memenuhi ketentuan CPOB. Evaluasi tersebut hendaklah mencakup,
di mana diperlukan, rentang fungsionalitas saat ini, catatan penyimpangan,
insiden, masalah, riwayat pemuktahiran (upgrade), kinerja, keandalan,
keamanan dan laporan status validasi.

12. Keamanan
12.1 Kontrol fisik dan/atau logical controls hendaklah tersedia untuk
membatasi akses terhadap sistem komputerisasi kepada personel
yang berwenang. Metode yang tepat untuk mencegah pihak yang tidak
berwenang masuk ke sistem dapat mencakup penggunaan kunci,
kartu pas, kode pribadi dengan kata sandi, biometrik, akses terbatas
ke peralatan komputer dan area penyimpanan data.

12.2 Tingkat pengendalian keamanan tergantung pada kekritisan sistem

komputerisasi.

12.3 Penciptaan, perubahan, dan pembatalan otorisasi akses hendaklah

dicatat.

12.4 Sistem manajemen data dan dokumen hendaklah dirancang untuk

mencatat identitas operator yang masuk, mengubah,
mengonfirmasikan atau menghapus data termasuk tanggal dan
waktu.

13. Manajemen Insiden

Semua insiden, tidak hanya kegagalan sistem dan kesalahan data,
hendaklah dilaporkan dan dinilai. Akar penyebab insiden kritis hendaklah
diidentifikasi dan menjadi dasar Tindakan Korektif - Tindakan Pencegahan
(TKTP).

14. Tanda Tangan Elektronik

Catatan elektronik dapat ditandatangani secara elektronik. Tanda tangan
elektronik hendaklah:
 - 271 -

a) memiliki nilai yang sama seperti tanda tangan manual dalam lingkungan
perusahaan;
b) secara permanen terhubung dengan masing-masing catatan; dan
c) dilengkapi waktu dan tanggal pelaksanaan.

15. Pelulusan Bets

Jika sistem komputerisasi digunakan untuk mencatat sertifikat dan
pelulusan bets, sistem tersebut hanya boleh mengizinkan personel
berwenang (sesuai dengan tahapan proses) untuk menyertifikasi pelulusan
bets. Sistem hendaklah secara jelas mengidentifikasi dan mencatat personel
yang meluluskan atau menyertifikasi bets. Hal ini hendaklah dilakukan
dengan menggunakan tanda tangan elektronik.

16. Keberlanjutan Bisnis

Untuk ketersediaan sistem komputerisasi yang mendukung proses kritis,
pengaturan hendaklah dibuat untuk memastikan kesinambungan
dukungan bagi proses tersebut jika terjadi kerusakan sistem (misal
menggunakan sistem manual atau alternatif). Waktu yang dibutuhkan
untuk menerapkan pengaturan alternatif hendaklah didasarkan pada risiko
dan kesesuaian untuk sistem tertentu dan proses bisnis yang didukungnya.
Pengaturan ini hendaklah didokumentasikan dan diuji secara memadai.

17. Pengarsipan
Data dapat diarsipkan. Data tersebut hendaklah diperiksa untuk
aksesibilitas, keterbacaan dan integritas. Jika perubahan yang relevan
dilakukan terhadap sistem (misal peralatan komputer atau program),
kemampuan untuk mengambil data hendaklah dijamin dan diuji.

GLOSARIUM

Aplikasi
Perangkat lunak terpasang pada “platform”/perangkat keras tertentu yang
menyediakan fungsionalitas spesifik.

Berdasarkan pesanan/sistem yang disesuaikan pada kebutuhan

Sistem komputerisasi yang didesain secara individual disesuaikan dengan proses
bisnis yang spesifik.
 - 272 -

Commercial off the shelf software (COTS)

Perangkat lunak yang tersedia secara komersial, di mana kesesuaian
penggunaannya dibuktikan melalui spectrum yang luas dari para pengguna.

Infrastruktur IT
Perangkat keras dan perangkat lunak seperti perangkat lunak jaringan dan
sistem operasi, yang memungkinkan aplikasi berfungsi.

Pemilik proses
Personel yang bertanggung jawab atas proses bisnis.

Pemilik sistem
Personel yang bertanggung jawab atas ketersediaan, dan pemeliharaan sistem
komputerisasi dan untuk keamanan data yang ada pada sistem itu.

Pihak ketiga
Pihak yang tidak dikelola secara langsung oleh pemegang izin edar dan / atau
izin impor.

Siklus hidup
Seluruh fase dalam keberadaan sistem mulai dari kebutuhan awal sampai akhir
penggunaan termasuk desain, spesifikasi, pemrograman, pengujian, instalasi,
operasi, dan pemeliharaan.