La normativa FDA 21 CFR Part 11 stabilisce le linee guida per l'espletamento di talune procedure del processo produttivo. È opportuno sottolineare che per la validazione degli ambienti secondo tali linee guida, la normativa non prevede necessariamente l'acquisizione di strumenti specializzati (tool analitici, sistemi di gestione documentale, strumenti di reportistica, ecc.), bensì la verifica che tutte le procedure adottate nel processo rispettino certi requisiti.
Questa distinzione è molto importante, in quanto spesso è la stessa normativa a creare confusione tra gli ammistratori di produzione. Nella sostanza, quando ad esempio in 21 CFR part 11 si dice che "Il sistema deve avere più livelli di sicurezza. Ad ogni utente deve essere assegnato un account con uno username ed una password unici, richiesti entrambi per l'accesso al sistema. L'identità ed il ruolo dell'utente vengono quindi combinati con gli attributi del sistema di controllo degli accessi ad uno o più documenti per determinare se questi ha diritto di accesso oppure no ad una specifica procedura", è chiaro che l'azienda farmaceutica dovrà dotarsi di (a) un sistema centralizzato di gestione degli account, (b) un sistema di sicurezza e di (c) una differenziazione automatica per ruoli (amministratore, tecnici analista, operatore, ecc.).
La normativa non suggerisce come affrontare questi problemi, tuttavia è chiaro che l'amministratore di produzione dovrà adoperarsi perché l'ambiente produttivo sia dotato degli opportuni strumenti di controllo aziendale di processo (tool analitici, sistemi di gestione documentale, strumenti di reportistica, ecc.).
Soltanto quando l'amministratore avrà tutti i mezzi indispensabili, esso potrà richiedere la validazione 21 CFR Part 11. Tale validazione consisterà in una verifica che tutti i requisiti richiesti siano rispettati (dall'accesso tracciato degli operatori sul banco di lavoro alla produzione di reportistica standardizzata ad uso degli amministratori).

Riassumendo, possiamo dire che sono quattro i "pilastri" fondamentali della normativa 21 CFR Part 11:

• Sistema di Sicurezza Centralizzato: obbligo di accesso tramite login con username e password personali.
• Differenziazione Automatica dei Ruoli: ad es., un operatore non potrà avere accesso alle medesime funzionalità analitiche e ai medesimi dati a cui potrà invece avere accesso un tecnico-analista. Per banalizzare, ad un operatore potrà essere consentita la visualizzazione di una Carta di Controllo della Qualità (aggiornabile in tempo reale), ma sarà impeditata la visualizzazione di una serie di altre informazioni (statistiche) più dettagliate, quali ad esempio indici di capacità di processo, violazioni di specifiche, andamento dello storico, ecc.
• Sistema Standardizzato di Reportistica: La normativa richiede esplicitamente "La possibilità di generare copie accurate e complete di record leggibili ed in forma elettronica adatte per un controllo/ispezione, rivisitazione, e copia da parte dell'agenzia". Indispensabile quindi la disponibilità di strumenti software in grado non solo di creare tabelle e grafici modificabili ed esplorabili, ma anche di contenere informazioni di gestione non necessariamente attinenti la fase di analisi.
• Tracciabilità di ogni singola operazione (Audit Trail): Punto cardine della normativa è che OGNI SINGOLA OPERAZIONE deve essere tracciata e far parte di uno storico consultabile in qualsiasi momento in forma di report standard dagli amministratori di sistema o dagli enti certificanti. In altre parole, l'amministratore deve essere in grado di stabilire "chi ha fatto cosa, in quale istante, da quale macchina (e possibilmente per quale motivo)" in forma leggibile ed editabile.