Artykuł 20

1. Systemy skomputeryzowane związane z dobrymi praktykami wytwarzania substancji czynnych podlegają walidacji z uwzględnieniem różnorodności, złożoności i krytyczności systemu skomputeryzowanego.

2. Odpowiednia kwalifikacja instalacyjna oraz kwalifikacja operacyjna muszą wykazać odpowiedniość sprzętu komputerowego i oprogramowania do realizacji przypisanych zadań.

3. Dostępne na rynku oprogramowanie, które zostało zakwalifikowane, nie wymaga takiego samego poziomu testowania jak oprogramowanie niedostępne na rynku. W przypadku gdy istniejący system skomputeryzowany nie zostaje zwalidowany w momencie instalacji, przeprowadza się walidację retrospektywną, jeżeli dostępna jest odpowiednia dokumentacja.

4. Systemy skomputeryzowane muszą posiadać mechanizmy kontrolne zapobiegające nieuprawnionemu dostępowi, zmianom danych oraz wybrakowaniu danych. Wszelkie zmiany danych muszą być rejestrowane i poddawane przeglądowi w ramach ścieżki audytu.

5. Dostępne muszą być pisemne procedury obsługi i konserwacji systemów skomputeryzowanych.

6. W przypadku ręcznego wprowadzania danych krytycznych drugi operator lub sam system przeprowadzają dodatkową kontrolę poprawności wprowadzonych danych.

7. Incydenty związane z systemami skomputeryzowanymi, które mogą mieć wpływ na jakość substancji czynnych lub ich produktów pośrednich lub na wiarygodność zapisów lub wyników badań, muszą być rejestrowane i wyjaśniane w drodze postępowania wyjaśniającego.

8. Zmiany w systemie skomputeryzowanym wprowadza się zgodnie z procedurą kontroli zmian i w stosownych przypadkach – są one formalnie zatwierdzane, dokumentowane i badane. Należy prowadzić zapisy wszystkich zmian w systemie skomputeryzowanym, w tym modyfikacji i ulepszeń sprzętu, oprogramowania oraz wszelkich innych krytycznych elementów systemu. Zapisy te muszą wykazać, że system skomputeryzowany jest utrzymywany w stanie zwalidowanym.

9. Należy wprowadzić system tworzenia kopii zapasowych, który zapobiega trwałej utracie zapisów w wyniku awarii lub uszkodzenia systemu skomputeryzowanego.

10. Należy zapewnić ochronę danych w odniesieniu do wszystkich systemów skomputeryzowanych.

11. Oprócz wykorzystania systemu skomputeryzowanego możliwe jest rejestrowanie danych za pomocą innych środków.