Numeral 10.13.5 — NOM-241-SSA1-2025, Buenas prácticas de fabricación de dispositivos médicos

10.13.5 Si varios productos son procesados en el mismo equipo, y éste utiliza el mismo procedimiento de limpieza, puede

usarse un producto representativo para la validación o el criterio del "peor caso". Esta selección puede estar basada en la

solubilidad y dificultad de limpieza y los cálculos de los límites residuales con base en una combinación de la concentración y

toxicidad.

10.13.6 La validación de limpieza debe realizarse en tres aplicaciones consecutivas del procedimiento de limpieza con. resultados satisfactorios.

10.13.7 La vigencia de la limpieza de los equipos de fabricación, accesorios, utensilios y todas las tuberías debe establecerse. con base en los resultados de la validación.

10.13.8 Se debe establecer un programa periódico para la determinación de trazas de productos incluidos en la validación de. limpieza. Esta periodicidad debe establecerse con base en la valoración de riesgo.

10.14 Validación de métodos analíticos.

10.14.1 Los métodos analíticos no farmacopeicos deben validarse conforme a sus protocolos considerando lo indicado en la. FEUM.

10.14.2 Cuando se utilizan métodos farmacopeicos, se debe demostrar la aplicabilidad al producto, bajo las condiciones de. operación del laboratorio y en función del método analítico deseado.

10.15 Validación de sistemas computacionales.

10.15.1 Los sistemas computacionales que impactan en la calidad del producto e integridad de datos, deben estar validados.

10.15.2 Deben contar con un inventario de todos los sistemas computacionales.

10.15.3 Los sistemas computacionales deben considerar componentes de software, instrumentos, equipos e infraestructura de. tecnología de la información.

10.15.3.1 Deben contar con un sistema de protección, integridad y respaldo de la información, los cuales deben determinarse. basados en la documentación de evaluación de riesgos del sistema computacional. El acceso y legibilidad de los datos debe

asegurarse durante todo el tiempo de retención.

10.15.3.2 El acceso a éstos debe ser controlado.

10.15.3.2.1 Se deben aplicar controles físicos y/o lógicos para restringir el acceso a usuarios con diferentes niveles de. autorización. Los códigos de seguridad deben definirse de acuerdo a criterios predeterminados y ser modificados de acuerdo a

una valoración de riesgos.

10.15.3.2.2 El sistema debe bloquear un usuario después de una cantidad definida de intentos de ingreso fallido.

10.15.3.3 Cuando un sistema computarizado genere registros electrónicos y/o emplee firmas electrónicas, éstos deben ser. considerados en la validación:

10.15.3.3.1 Son considerados registros electrónicos los documentos y registros que son creados, modificados, mantenidos,. archivados, recuperados y/o transmitidos a través de sistemas electrónicos.

10.15.3.3.2 En caso que se determine que un sistema genera y mantiene datos electrónicos regulados, debe existir evidencia. documental para asegurar su trazabilidad, fácil acceso e integridad de los mismos.

10.15.3.4 Si efectúan captura de datos críticos manualmente debe haber una revisión adicional en la exactitud de los datos. que puede ser realizada por una segunda persona o a través de un medio electrónico validado.

10.15.3.5 Los datos deben ser protegidos por herramientas tales como copias de seguridad realizadas con las frecuencias. definidas de acuerdo a un procedimiento.

10.15.3.6 La capacidad para restaurar los datos, así como la integridad y la exactitud para su respaldo, deberá ser verificada. durante la validación y ser monitoreados de acuerdo a una valoración de riesgos.

10.15.3.7 Basado en una valoración de riesgos determinar la necesidad de que el sistema incluya un sistema de auditoría de. datos, programada para registrar independientemente la fecha y hora de ingreso de los usuarios, así como las acciones de crear,

modificar o eliminar registros electrónicos.

10.15.3.7.1 La auditoría de los datos (audit trail) deberá prevenir su alteración y deberá estar disponible y convertible en un. modo entendible, durante su periodo de retención, para permitir evidencia en la cadena de eventos.

10.15.4 El proceso de validación debe abarcar todas las fases relevantes del ciclo de vida de acuerdo a la adecuabilidad de. uso, categoría y arquitectura del sistema, para asegurar la exactitud, integridad y consistencia en el desempeño previsto de los

sistemas computacionales.

https://www.dof.gob.mx/nota_detalle.php?codigo=5754074&fecha=04/04/2025&print=true 28/57

10.15.4.1 La Gestión de Riesgos debe aplicarse a la validación completa, incluyendo las fases de planeación,. especificaciones, pruebas, liberación del sistema, mantenimiento y retiro del sistema.

10.15.4.2 Los componentes de la infraestructura de tecnología de la información y cualquier instrumento o equipo relevante. deben ser calificados.