Registros electrónicos 1. Introducción El uso cada vez más frecuente de ordenadores y sistemas informáticos en los laboratorio ha aumentado la cantidad de registros electrónicos. Existen muchas ventajas en el uso de registros electrónicos, por ejemplo, que no es necesario espacio físico en los archivos, y se mejora la capacidad de búsqueda de registros, etc. La mayoría de los laboratorios disponen de registros electrónicos aunque aún se producen muchos registros físicos. Un ejemplo de registro son los informes de auditorias internas y externas, los documentos relativos a los equipos, la competencia del personal, etc. A pesar de esto, muchos laboratorios no saben exactamente cómo gestionar los registros electrónicos. La Norma ISO/IEC 17025:2005 [1] incluye requisitos sobre cómo debería un laboratorio gestionar registros en general, y estos requisitos so, por supuesto, válidos también para los registros electrónicos. El Informe Técnico de EUROLAB Guía para la gestión de software en laboratorios, según la Norma ISO/IEC 17025:2005 [2] proporciona guía y consejo sobre la gestión de ordenadores y software, incluyendo los registros electrónicos. En este Cook Book, se proporciona una guía sobre cómo tratar los registros electrónicos en el laboratorio utilizando como base los consejos y requisitos de los dos documentos mencionados anteriormente. 2. Procedimiento para registros electrónicos En la Norma ISO/IEC 17025 se indica en el punto 4.13.1.1 que El laboratorio debe establecer y mantener procedimientos para la identificación, la recopilación, la codificación, el acceso, el archivo, el almacenamiento, el mantenimiento y la disposición de los registros de la calidad y los registros técnicos. Los registros de la calidad deben incluir los informes de las auditorías internas y de las revisiones por la dirección, así como los registros de las acciones correctivas y preventivas. Estos requisitos son válidos también para registros electrónicos. El requisito se cumple documentando en el sistema de gestión de la calidad cómo se nombran (preferiblemente mediante una identificación de su tarea como parte del nombre, si aplica) los registros electrónicos, dónde se archivan y almacenan (qué servidor, redes, carpetas electrónicas, etc.) y el personal que tiene acceso a los sitios de almacenamiento, tanto físico como electrónico. En el sistema de gestión de la calidad
se debe decidir un tiempo razonable de almacenamiento (habitualmente es al menos durante 10 años) y cómo se deben borrar/eliminar, o qué hacer cuando ha pasado el tiempo de almacenamiento. Los requisitos relativos al tiempo de almacenamiento de los registros se mencionan en el punto 4.13.1.2 pero estos requisitos también se pueden cumplir de la forma que se ha mencionado anteriormente. El laboratorio debería desarrollar formatos preestablecidos para los registros electrónicos que genera y debería indicar la forma en la que los protegerá de cambios involuntarios. Tener formatos preestablecidos disminuye la posibilidad de cometer errores por parte del personal. 3. Almacenamiento de registros electrónicos El punto 4.13.1.2 de la Norma ISO/IEC 17025 indica que Todos los registros deben ser legibles y se deben almacenar y conservar de modo que sean fácilmente recuperables en instalaciones que les provean un ambiente adecuado para prevenir los daños, el deterioro y las pérdidas. Se debe establecer el tiempo de retención de los registros. El almacenamiento de datos electrónicos se hace habitualmente en un servidor. Si el servidor que se usa para almacenamiento está situado en una instalación con acceso físico y electrónico limitado (una sala cerrada, un firewall y contraseña) y en la que se controlan las condiciones ambientales, se cumplen los requisitos relativos a la prevención de daños o deterioro. Debería describirse en la documentación del sistema de gestión lo mencionado anteriormente. Además, se debería considerar la protección contra incendios y la necesidad de instalar alarmas de incendio y antirrobo. En un laboratorio con actividad normal no hay necesidad de instalar alarmas antirrobo solamente para proteger la información almacenada en los servidores. Si el laboratorio utiliza ordenadores portátiles para registrar datos, se recomienda copiar regularmente estos datos a los servidores. 4. Tiempo de almacenamiento de los registros electrónicos Otro asunto importante es el formato utilizado para almacenar la información. Debido a la rapidez con la que se evoluciona en el sector de la informática, existe el riesgo de que los datos almacenados en un formato específico, por ejemplo, un formato especial conectado a un programa a medida, puedan ser imposibles de leer incluso antes de que haya transcurrido el tiempo de almacenamiento. La mejor forma de evitar estos problemas es almacenar los registros en un formato susceptible de mantener durante
un largo periodo de tiempo, por ejemplo en formato texto o para datos registrados el formato Excel. Los dos formatos perdurarán bastante tiempo y si desaparecen se conocerá con suficiente antelación y habrá diferentes soluciones comerciales para los problemas de recuperación. El laboratorio debe describir en su sistema de gestión de la calidad la solución que escoja (qué formato). El laboratorio también debe ser consciente del riesgo de que la solución adoptada (tanto para el hardware como para los medios de almacenamiento) debe poder leer los registros antes de sean muy antiguos y por lo tanto si existe este riesgo, los registros almacenados deben ser transferidos a medios más modernos. La solución de guardar tecnología antigua puede derivar en problemas si deja de funcionar, y por lo tanto no se recomienda. 5. Seguridad El punto 4.13.1.3 de la Norma ISO/IEC 17025:2005exige que Todos los registros deben ser conservados en sitio seguro y en confidencialidad. Se cumplen los requisitos anteriores al colocar servidores en lugares de acceso físico restringido (habitaciones cerradas) y al restringir con contraseñas el acceso a los servidores a personal autorizado. Los servidores deberían estar protegidos (por ejemplo con un firewall) de la intrusión a través de redes, etc. Mediante la protección de archivos de forma similar, se cumplen los requisitos del punto 4.13.1.4 El laboratorio debe tener procedimientos para proteger y salvaguardarlos registros almacenados electrónicamente y para prevenir el acceso no autorizado o la modificación de dichos registros. El resto de requisitos relativos a copias de seguridad se cumple al tener procedimientos normales de copias de seguridad (cuán a menudo, qué archivos, medios utilizados, etc.) y un almacenamiento razonablemente seguro de las copias de seguridad (cerrado, en un lugar diferente al de los ordenadores, y considerar al menos la cuestión de la protección anti incendios). Si existe el riesgo de que los archivos guardados se cambien por error, se recomienda proteger los archivos frente a escritura. 6. Registros técnicos, incluyendo datos primarios El punto 4.13.2.1 declara que El laboratorio debe conservar, por un período determinado, los registros de las observaciones originales, de los datos derivados y de información suficiente para establecer un protocolo de control, los registros de calibración, los registros del personal y una copia de cada informe de ensayos o certificado de calibración emitido. El requisito se cumple mediante el almacenamiento de las observaciones originales y de los datos derivados en formato texto o en formato Excel. Una buena forma de almacenar registros vinculados a una tarea es colocarlos en una carpeta electrónica o en una página web dedicada solamente a esa tarea. Si se han
realizado cálculos como parte de esa tarea, no es necesario guardar los sistemas de cálculo antiguos durante todo el periodo de almacenamiento, aunque se tiene que ser capaz de mostrar el informe de validación del sistema de cálculo, que deberá ser almacenado el tiempo suficiente para cubrir el tiempo de almacenamiento de las tareas para las que se usó el sistema de cálculo. Los certificados de calibración del equipo utilizado y los registros de personal no se almacenan habitualmente en la misma carpeta electrónica o página web que el resto de la información y es por importante por lo tanto que se haga referencia en el informe de ensayo, preferiblemente, a los equipos usados y al personal que realizó las tareas. El tiempo que los registros deben permanecer almacenados depende. Puede haber requisitos de las autoridades de mantener los registros durante 30 años o para siempre. Pero en los casos normales el tiempo de almacenamiento debería decidirlo el laboratorio. Lo normal es al menos 5 años, y en la mayoría de casos, diez años. 7. Repetición de ensayos/calibraciones El punto 4.13.2.1 continúa Los registros correspondientes a cada ensayo o calibración deben contener suficiente información para facilitar, cuando sea posible, la identificación de los factores que afectan a la incertidumbre y posibilitar que el ensayo o la calibración sea repetido bajo condiciones lo más cercanas posible a las originales. Este requisito puede ser problemático de manejar ya que hay mucha información (por ejemplo, hojas de cálculo, notas de trabajo, contratos, etc.) necesaria para repetir un ensayo o calibración, y mucha en formato físico. Si el laboratorio quiere tener todos los registros de forma electrónica, toda la información en formato papel debe escanearse y almacenarse en las carpetas electrónicas o páginas web de las tareas. Para hacer más fácil el almacenamiento el laboratorio puede elaborar una lista de comprobación de lo que debería contener una carpeta o página web. Es importante resaltar una nota de la Norma ISO/IEC 17025:2005 que indica En ciertos campos puede ser imposible o impracticable conservar los registros de todas las observaciones originales lo que quiere decir que en algunos caos está permitido reducir la cantidad de registros de observaciones originales. Una posibilidad es reducir el número de medidas guardadas, por ejemplo, para datos de puntos que se obtienen cada 10 segundos durante un ensayo de un mes de duración debería ser suficiente con almacenar un dato de cada seis (cada minuto) si los datos no varían demasiado.
El requisito final del punto 4.13.2.1 indica que Los registros deben incluir la identidad del personal responsable del muestreo, de la realización de cada ensayo o calibración y de la verificación de los resultados. Cuando se usan registros electrónicos hay diferentes formas de incluir la identidad del personal. Es importante etiquetar e identificar todos los registros de forma similar, por ejemplo, con el número de tarea y un encabezado que describa qué registro contiene, por ejemplo, registro de muestreo. Con la mención del personal en el informe de ensayo/calibración, se cierra el círculo. Pero para tener una trazabilidad más robusta, el nombre de los responsables debería mencionarse en todos los registros de observaciones originales, datos derivados, hojas de cálculo, cuadernos de trabajo, etc. incluso si se guardan de forma electrónica. 8. Identificación de los datos El punto 4.13.2.2 exige que Las observaciones, los datos y los cálculos se deben registrar en el momento de hacerlos y deben poder ser relacionados con la operación en cuestión. Como se ha comentado antes, este requisito se cumple usando una identificación por orden/tarea 9. Eliminando errores La gestión de los errores se menciona en el punto 4.13.2.3 Cuando ocurran errores en los registros, cada error debe ser tachado, no debe ser borrado, hecho ilegible ni eliminado, y el valor correcto debe ser escrito al margen. Todas estas alteraciones a los registros deben ser firmadas o visadas por la persona que hace la corrección. En el caso de los registros guardados electrónicamente, se deben tomar medidas similares para evitar pérdida o cambio de los datos originales. Puede ser complicado gestionar algunos tipos de registros electrónicos. Una forma es realizar una auditoría sobre los registros guardados como archivos de texto. En la referencia [2] se introduce el concepto de sesión en la cual se pueden cambiar errores sin necesidad de auditoría. Los laboratorios pueden identificar una sesión y los cambios de datos fuera de la sesión necesitan de una auditoría, (es decir, si los datos no se han borrado pero han expirado). Una sesión es el periodo durante el cual el operador está trabajando en el ordenador sin interrupciones largas, por ejemplo una pausa para almorzar se considera una pausa larga, mientras que ir al baño no se considera una pausa larga. Habitualmente las sesiones más largas son de cuatro o cinco horas. Durante una sesión el operador puede cambiar, por ejemplo introducir datos sin realizar ninguna gestión especial. Cuando los datos se cambian desde fuera de una sesión el cambio requiere una auditoría (el nombre de la persona que cambió el dato, hora del cambio y el dato original que fue introducido Referencias
1) ISO/IEC 17025:2005 Requisitos generales para la competencia de los laboratorios de ensayo y calibración. 2) Guidance for the Management of Computer and Software in laboratories with reference to ISO/IEC 17025:2005, EUROLAB Technical Report Nº 2/2006, October 2006.
ANEXO I: CHECKLIST
En este Checklist se listan todos los requisitos de la Norma ISO/IEC 17025. La forma en la que se cumplen los requisitos debería describirse debajo de Solución, y en la columna Referencia se debería incluir una referencia al sistema de gestión de la calidad. Las líneas extra al final del checklist pueden usarse para comprobar puntos adicionales Requisitos en la Norma ISO7IEC 17025 Solución Referencia Procedimientos para la identificación de registros de calidad y técnicos Procedimientos para la recopilación de registros de calidad y técnicos Procedimientos para el indexado (identificación) de registros de calidad y técnicos Procedimientos para el archivo de registros de calidad y técnicos Procedimientos para el almacenamiento de registros de calidad y técnicos (por ejemplo carpetas electrónicas, páginas web, etc.) Procedimientos para el mantenimiento de registros técnicos y de calidad Procedimientos para la eliminación de registros de calidad y técnicos Los registros deben ser legibles Los registros deben ser almacenados y conservados de forma que estén fácilmente recuperables (el formato decidido) Los registros deben ser almacenados y conservados en instalaciones que proporcionen un ambiente adecuado que prevenga el daño, el deterioro y la pérdida Tiempo de almacenamiento decidido Forma de eliminación de los registros Todos los registros deben mantenerse seguros y confidenciales ( Dónde están localizados los servidores? Cómo se protegen los servidores, los registros y las copias de seguridad de intrusiones electrónicas? Cómo se protegen los servidores, los registros y las copias de seguridad de intrusiones físicas?
Cuáles son los procedimientos de copias de seguridad? (frecuencia, qué archivos, qué medios se usan, etc.) Derechos de acceso a los servidores tanto físicos como electrónicos Forma de identificación del personal Forma de nombrar los registros Sesión definida Solución de pista de auditoria (seguimiento de cambios en un registro) COOK BOOK Nº13