CPOB dan sistem elektronik: apa yang sebenarnya dituntut dari catatan produksi digital
CPOB mengharuskan catatan produksi elektronik memenuhi prinsip data integrity ALCOA+: attributable, legible, contemporaneous, original, accurate, serta complete, consistent, enduring, dan available. Dalam praktiknya, sistem harus mencatat setiap perubahan, mengendalikan akses pengguna, menyediakan audit trail yang tidak bisa dimanipulasi, dan didukung validasi yang terdokumentasi.
Yang berubah saat catatan berpindah ke sistem
Catatan bets di atas kertas punya satu sifat yang jarang disadari sampai kertasnya diganti.
Kertas sulit diubah tanpa meninggalkan bekas.
Coretan terlihat. Tulisan tangan bisa dikenali. Halaman yang hilang meninggalkan lubang pada penomorannya.
Sistem elektronik tidak punya sifat itu dengan sendirinya.
Sebuah angka bisa diubah tanpa jejak sama sekali, kecuali sistemnya memang dirancang untuk meninggalkan jejak.
Karena itu, begitu catatan produksi pindah ke sistem, CPOB menuntut hal-hal yang tidak pernah diminta dari kertas.
Bukan karena sistem dianggap kurang bisa dipercaya, tetapi karena sifat yang dulu melekat pada kertas kini harus dibangun dengan sengaja.
Pedoman CPOB dari BPOM mengatur cara pembuatan obat yang baik di Indonesia dan mengacu ke PIC/S, termasuk untuk sistem terkomputerisasi.
Bagian inilah yang paling sering menjadi titik lemah saat pabrik mulai meninggalkan catatan kertas.
ALCOA+: integritas data dalam praktik sehari-hari
Prinsip integritas data biasanya diringkas menjadi ALCOA+.
Akronimnya mudah dihafal. Maknanya baru terasa saat setiap hurufnya diwujudkan menjadi perilaku sistem yang konkret.
| Prinsip | Yang dituntut | Wujudnya dalam sistem produksi |
|---|---|---|
| Attributable | Jelas siapa pelakunya | Setiap aksi terikat pada satu identitas pengguna, tanpa akun bersama di area produksi |
| Legible | Bisa dibaca dan tetap terbaca | Catatan tetap terbaca sepanjang masa simpan, termasuk setelah sistem diperbarui |
| Contemporaneous | Dicatat saat kejadian berlangsung | Timestamp berasal dari sistem, bukan diketik ulang oleh operator setelahnya |
| Original | Catatan pertama, bukan salinan | Data mentah dari equipment tersimpan, bukan hanya hasil olahannya |
| Accurate | Benar dan lengkap | Nilai di luar rentang ditolak saat dimasukkan, bukan diperbaiki belakangan |
| Complete | Termasuk hasil pengujian ulang | Retest tercatat beserta reason-nya, tanpa menimpa hasil sebelumnya |
| Consistent | Urutan waktunya masuk akal | Timestamp berurutan dan bersumber dari acuan waktu yang sama |
| Enduring | Bertahan sepanjang masa simpan | Tidak bergantung pada media atau perangkat yang mudah hilang |
| Available | Bisa diakses saat dibutuhkan | Catatan bets bisa ditarik saat inspeksi tanpa proses pemulihan khusus |
Dua baris yang paling sering jadi temuan adalah Attributable dan Contemporaneous.
Menariknya, keduanya bersumber dari kebiasaan kerja sehari-hari, bukan dari fitur software.
Tiga hal yang paling sering menjadi temuan
1. Penggunaan akun bersama di area produksi
Ini hampir selalu berawal dari alasan yang masuk akal.
Terminal di area produksi dipakai bergantian oleh banyak operator. Login berulang memperlambat pekerjaan. Mengetik password dengan sarung tangan merepotkan.
Maka dibuatlah satu akun bersama untuk setiap lini.
Sejak itu, semua catatan dari terminal itu kehilangan atribusinya.
Sistem hanya mencatat “OPERATOR_LINE3”. Tidak ada cara membuktikan siapa orang di baliknya.
Untuk keperluan CPOB, ini melemahkan semua catatan dari terminal itu, bukan hanya sebagian.
Solusinya praktis: login yang cepat, sesi yang terkunci sendiri, dan tanda tangan elektronik yang hanya diminta di langkah yang memang mewajibkannya.
Kepatuhan tidak boleh bergantung pada kesabaran orang menghadapi sistem yang merepotkan.
2. Audit trail ada, tetapi tidak menjawab apa-apa
Hampir semua sistem mengaku punya audit trail.
Yang membedakan adalah apakah audit trail itu bisa menjawab pertanyaan inspektur.
Audit trail yang berguna mencatat nilai sebelum perubahan, nilai sesudahnya, siapa yang mengubah, kapan, dan atas dasar apa.
Audit trail yang tidak berguna hanya mencatat sebuah record “diubah” pada jam tertentu.
Bedanya baru terasa saat inspektur menunjuk satu nilai dan bertanya kenapa nilai itu berubah.
Jawabannya harus ada di dalam sistem, bukan di ingatan seseorang.
Ada satu syarat lain yang sering terlewat.
Audit trail tidak boleh bisa dimatikan.
Kalau administrator bisa mematikannya, tidak ada cara membuktikan fungsinya sedang aktif saat sebuah catatan dibuat.
Bisa dimatikan saja sudah menjadi masalah.
3. Validasi dianggap selesai setelah implementasi
Kualifikasi sistem lewat IQ, OQ, dan PQ sering diperlakukan seperti proyek yang punya tanggal selesai.
Padahal status tervalidasi hanya bertahan selama sistemnya tetap sama seperti saat divalidasi.
Setiap perubahan konfigurasi, versi, atau proses menuntut penilaian dampak.
Yang perlu Anda tunjukkan bukan sekadar bahwa validasi pernah dikerjakan.
Yang perlu ditunjukkan adalah bahwa sistem yang berjalan hari ini masih tervalidasi.
Karena itulah kemampuan mempromosikan konfigurasi antar-environment, dari development ke pengujian lalu ke produksi, lengkap dengan riwayat perubahan dan rollback, nilainya jauh melebihi sekadar kenyamanan operasional.
Batas tanggung jawab vendor dan pabrik
Ada satu kesalahpahaman yang biayanya mahal.
Membeli sistem yang disebut compliant tidak otomatis membuat pabrik compliant.
Yang bisa disediakan vendor adalah sistem yang mampu memenuhi persyaratan, beserta dokumentasi pendukungnya.
Yang tidak bisa disediakan vendor adalah bukti bahwa sistem itu bekerja dengan benar untuk proses Anda, pada konfigurasi Anda, dengan data Anda.
| Tanggung jawab vendor | Tanggung jawab pabrik |
|---|---|
| Sistem mampu menghasilkan audit trail yang lengkap | Audit trail benar-benar aktif dan ditinjau secara berkala |
| Kontrol akses tersedia dan bisa dikonfigurasi | Hak akses sesuai peran, ditinjau, dan dicabut saat tidak diperlukan |
| Mekanisme tanda tangan elektronik tersedia | Prosedur menetapkan siapa menandatangani apa dan dengan makna apa |
| Dokumentasi pengembangan dan pengujian tersedia | Kualifikasi IQ, OQ, dan PQ dijalankan di fasilitas Anda |
Pertanyaan yang layak diajukan ke calon vendor bukan “apakah sistem Anda sudah compliant”.
Pertanyaan yang lebih tajam adalah:
“Tunjukkan audit trail untuk satu nilai yang diubah, lalu buktikan bahwa fungsi itu tidak bisa dinonaktifkan.”
Pertanyaan pertama mengundang jawaban pemasaran.
Pertanyaan kedua hanya bisa dijawab dengan demo langsung.
Catatan tentang rujukannya
Pedoman CPOB diterbitkan dan diperbarui BPOM, termasuk bagian tentang sistem terkomputerisasi.
Persyaratan serupa berlaku pada CPOTB untuk obat tradisional dan CPKB untuk kosmetik, dengan penyesuaian ruang lingkup.
Edisi pedoman dan penomoran aneksnya bisa berubah dari waktu ke waktu.
Untuk persyaratan yang berlaku bagi kategori produk dan izin edar Anda, rujuk langsung edisi CPOB terbaru dari BPOM.
Artikel ini membahas arti persyaratan itu bagi sistem produksi, dan bukan pengganti nasihat regulatori.
Posisi VECHR MES
VECHR MES mencatat setiap aksi produksi beserta identitas pengguna, timestamp sistem, dan konteks prosesnya.
Atribusinya terbentuk dari cara data dibuat, bukan dari disiplin mengisi formulir.
Audit trail bersifat append-only dan tidak bisa dinonaktifkan dari dalam aplikasi, termasuk oleh administrator.
Kontrol akses dicek di server untuk setiap aksi, bukan disembunyikan di tampilan. Artinya hak akses tidak bisa dilewati dengan memanggil API langsung.
Tanda tangan elektronik bersifat hash-chained. Setiap tanda tangan terikat pada isi catatan yang ditandatangani, jadi perubahan apa pun setelahnya memutus rantai dan langsung terlihat.
Catatan bets elektronik bisa diekspor sebagai dokumen yang bisa diverifikasi secara independen. Hash dari catatan cetak bisa dicek tanpa login, jadi verifikasinya tidak bergantung pada kepercayaan terhadap sistem penerbitnya.
Untuk menjaga status tervalidasi, konfigurasi dipromosikan dari development ke pengujian lalu ke produksi, lengkap dengan perbandingan perubahan dan rollback.
Pembahasan mekanisme yang setara dalam kerangka FDA tersedia di 21 CFR Part 11 untuk manufaktur.
Pertanyaan yang Sering Diajukan
Apa hubungan CPOB dengan 21 CFR Part 11?
Keduanya mengatur integritas data pada catatan elektronik, tetapi dari yurisdiksi yang berbeda. 21 CFR Part 11 adalah regulasi FDA di Amerika Serikat, sedangkan CPOB adalah pedoman BPOM yang mengacu ke PIC/S. Prinsipnya sangat mirip: data harus bisa ditelusuri, tidak bisa diubah tanpa jejak, dan bisa diverifikasi.
Apakah audit trail boleh dinonaktifkan demi meningkatkan performa sistem?
Tidak. Audit trail yang bisa dimatikan pengguna, termasuk administrator, tidak lagi menjamin integritas data. Kemampuan mematikannya saja sudah bisa menjadi temuan audit, entah fitur itu pernah dipakai atau tidak.
Siapa yang bertanggung jawab terhadap validasi sistem, vendor atau pabrik?
Tanggung jawabnya dibagi. Vendor bertanggung jawab atas pengembangan dan dokumentasi sistem. Pabrik bertanggung jawab membuktikan sistem itu bekerja dengan benar untuk proses dan konfigurasi di fasilitasnya. Validasi vendor tidak bisa menggantikan kualifikasi di lingkungan produksi.
Apakah tanda tangan elektronik harus menggunakan biometrik atau sertifikat digital?
Tidak. Yang terpenting, tanda tangan itu unik, terhubung ke catatan yang ditandatangani, tidak bisa dipakai orang lain, dan menunjukkan peran penandatangan dalam proses. User ID dan password yang dikelola dengan benar sudah bisa memenuhi syarat itu.
Apakah spreadsheet masih boleh dipakai untuk catatan yang diatur CPOB?
Secara teknis bisa, tetapi biasanya lebih rumit dari perkiraan. Spreadsheet tetap harus divalidasi, dan umumnya tidak punya audit trail serta kontrol akses yang memadai tanpa mekanisme tambahan. Banyak temuan audit muncul karena tidak bisa dibuktikan siapa yang mengubah data, kapan, dan apa yang diubah.