Dokumentacja walidacji systemów skomputeryzowanych

Kategoria zależy od stopnia konfiguracji i kodu własnego: kat. 3 to oprogramowanie standardowe używane bez konfiguracji lub w konfiguracji domyślnej, kat. 4 obejmuje oprogramowanie konfigurowalne (LIMS, MES, ERP), a kat. 5 oprogramowanie tworzone na zamówienie. Im wyższa kategoria i wpływ GxP, tym więcej testów własnych, mniej polegania na dostawcy. Klasyfikację robimy w kroku 01 i zapisujemy jej uzasadnienie, bo inspektor pyta nie o numer, lecz o to, dlaczego.

Ocena wpływu GxP decyduje o zakresie, nie o tym, czy walidować. System bez wpływu na jakość produktu, bezpieczeństwo pacjenta i integralność danych wymaga tylko udokumentowanej oceny i uzasadnienia. System z wpływem pośrednim dostaje proporcjonalnie mniejszy pakiet: ocena ryzyka, kluczowe testy, RTM. Najczęstsze uchybienie to brak dowodu, że ocenę w ogóle przeprowadzono.

Nie, to nie są konkurencyjne podejścia. CSA to wytyczne FDA dla oprogramowania w produkcji i systemie jakości wyrobów medycznych (21 CFR 820), sfinalizowane 24 września 2025; wytwórców leków nie obowiązują. GAMP 5 w 2. wydaniu (2022) już zawiera to samo krytyczne, oparte na ryzyku myślenie i ma załącznik wprost odnoszący się do CSA. Valready pracuje według GAMP 5 (2. wyd.): stamtąd bierze cykl życia, kategorię systemu i zakres testów proporcjonalny do ryzyka.

Może, pod warunkiem nadzoru człowieka. W Valready AI przygotowuje wyłącznie szkice. W sprincie przegląda je nasz ekspert CSV, zanim trafią do Ciebie; w Workspace przegląd prowadzi Twój zespół, a narzędzie nie zamknie pokrycia wymagania, dopóki człowiek nie zaakceptuje testu. Formalne zatwierdzenie następuje w Twoim QMS, przez Twoją Jednostkę Jakości. Odpowiada to zasadzie nadzoru człowieka (human-in-the-loop) z projektu EU GMP Annex 22. AI nigdy nie zatwierdza niczego samodzielnie.

Projekt Annex 22 (konsultacje zakończone w 2025 r., finalizacja w toku) oczekuje zdefiniowanego przeznaczenia modelu, walidacji i kontroli zmian, nadzoru człowieka nad wynikami oraz przejrzystości danych. Dla dokumentacji: wynik AI pozostaje szkicem, dopóki człowiek go nie przejrzy, a przegląd musi być udokumentowany: kto, kiedy i co zmienił. Jeśli Twój QMS nie ma procedury użycia AI, spisz ją przed pierwszym projektem.

Każde wymaganie z URS musi mieć co najmniej jeden test z wynikiem i odniesieniem do dowodu, a każdy test — wymaganie, które pokrywa. Inspektor sprawdza w obie strony: wymagania bez testu i testy bez wymagania. Najczęstsze uchybienia: RTM zrobiona po testach, rozjazd wersji między URS a protokołem, wymagania „pokryte” testem, który sprawdza coś innego. Valready pilnuje tej spójności w trakcie, nie na końcu.

Nie całość, ale trzeba wykazać, że zmianę oceniono. Potrzebne są: ocena wpływu zmiany na wymagania i funkcje GxP, test regresyjny tego, co dotknięte, oraz zapis w kontroli zmian. Przy częstych wydaniach SaaS najwięcej zależy od umowy z dostawcą: informacja o zmianach z wyprzedzeniem i dostęp do jego dokumentacji testowej. Przegląd okresowy wyłapuje to, co umknęło między wydaniami.

GAMP 5 wprost zachęca do wykorzystania pracy dostawcy, pod warunkiem udokumentowanej oceny dostawcy (audyt, kwestionariusz lub ocena zdalna) i sprawdzenia, że jego testy pokrywają Twoje wymagania. Sam testujesz to, co specyficzne dla Twojej konfiguracji, procesu i danych. Powołanie się na dokumenty dostawcy bez oceny dostawcy to jedno z częstszych uchybień.

Jedno i drugie, a każdą część kupuje się osobno. Workspace to narzędzie w subskrypcji: dokumentację i jej przegląd prowadzi Twój własny zespół, a dostęp nadajemy imiennie, bez samodzielnej rejestracji. Sprint walidacyjny to projekt wyceniany przed startem, w którym dokumenty przegląda nasz ekspert CSV. W obu przypadkach dokumenty zatwierdza Twoja Jednostka Jakości w Twoim QMS.

Nie. Nikt uczciwie nie może tego obiecać. Dajemy strukturę dokumentacji, która wiąże każde wymaganie z testem i dowodem; o końcowej zgodności decyduje zakres, kontekst i to, co zatwierdzi Twoja Jednostka Jakości.

Dane klienta są odseparowane i nie służą do trenowania modeli. Środowisko produkcyjne działa w Unii Europejskiej (Google Cloud). Narzędzie ma kontrolę dostępu, audit trail i wersjonowanie.

Od rozmowy o jednym systemie. Proponujemy zacząć od sprintu dokumentacji CSV, którego zakres i cenę uzgadniamy przed startem, a po nim, w razie potrzeby, od utrzymania w Workspace.