Chính sách Quản lý hoạt động thuê ngoài và Thỏa thuận chất lượng của SAO NAM

Mục lục

1. Mục đích

Chính sách này thiết lập khuôn khổ để SAO NAM lựa chọn, đánh giá, phê duyệt, ký kết, giám sát và chấm dứt các hoạt động thuê ngoài có thể ảnh hưởng đến chất lượng sản phẩm, dịch vụ, dữ liệu, hồ sơ kỹ thuật, hoạt động GxP hoặc nghĩa vụ đối với khách hàng.

2. Phạm vi áp dụng

Chính sách áp dụng cho nhân viên, quản lý, kỹ sư, nhân sự chất lượng, kinh doanh, mua hàng, IT, nhà thầu phụ và các bên làm việc nhân danh SAO NAM.

Phạm vi hoạt động thuê ngoài có thể bao gồm:

• Hiệu chuẩn, thử nghiệm, sửa chữa, đánh giá, thẩm định hoặc kiểm tra kỹ thuật do bên ngoài thực hiện.
• Sửa chữa tại OEM, cung cấp linh kiện, firmware, phần mềm, license hoặc hỗ trợ kỹ thuật chuyên sâu.
• Lắp đặt, kéo cáp, tubing, mạng, điện, tủ điều khiển hoặc công việc hiện trường do nhà thầu phụ thực hiện.
• Cloud, hosting, backup, remote support, cybersecurity, phát triển phần mềm hoặc quản trị hệ thống.
• Vận chuyển thiết bị, lưu kho, tiêu hủy dữ liệu, tiêu hủy thiết bị hoặc logistics có liên quan.
• Đào tạo, tư vấn, audit, documentation hoặc các dịch vụ chuyên môn khác có ảnh hưởng đến khách hàng.

3. Thuật ngữ và định nghĩa

4. Nguyên tắc quản lý hoạt động thuê ngoài

5. Phân loại hoạt động thuê ngoài

6. Đánh giá rủi ro trước khi thuê ngoài

Trước khi giao việc, SAO NAM xem xét:

• Mức độ ảnh hưởng đến chất lượng, dữ liệu, GxP, an toàn và khách hàng.
• Khả năng phát hiện lỗi trước khi đầu ra được sử dụng.
• Khả năng thay thế nhà cung cấp hoặc khôi phục khi dịch vụ gián đoạn.
• Phạm vi dữ liệu, tài khoản, thiết bị hoặc cơ sở mà bên ngoài được tiếp cận.
• Mức độ phụ thuộc vào OEM, công cụ độc quyền hoặc linh kiện đặc thù.
• Yêu cầu pháp lý, hợp đồng, bảo hiểm, bảo mật và lưu trữ hồ sơ.
• Khả năng sử dụng nhà thầu phụ cấp hai và rủi ro chuỗi cung ứng.

7. Lựa chọn và phê duyệt nhà cung cấp dịch vụ

8. Đánh giá năng lực bên nhận việc

9. Hợp đồng, yêu cầu kỹ thuật và Thỏa thuận chất lượng

Tùy mức độ rủi ro, văn bản giữa các bên phải quy định các nội dung phù hợp:

• Phạm vi công việc, đầu ra, tiêu chí chấp nhận và thời hạn.
• Trách nhiệm của từng bên, đầu mối liên hệ và thẩm quyền phê duyệt.
• Yêu cầu về nhân sự, thiết bị, phương pháp, tài liệu và hồ sơ.
• Quản lý thay đổi, sai lệch, OOS/OOT, CAPA, khiếu nại và sự cố.
• Bảo mật, quyền sở hữu dữ liệu, truy cập, sao lưu, hoàn trả và tiêu hủy dữ liệu.
• Quyền audit, cung cấp hồ sơ, phản hồi câu hỏi và hỗ trợ điều tra.
• Quy định về nhà thầu phụ cấp hai.
• SLA, thời gian phản hồi, escalation và liên tục kinh doanh.
• Điều kiện chấm dứt, bàn giao, chuyển dữ liệu và hỗ trợ chuyển đổi.

10. Phân định trách nhiệm giữa các bên

11. Kiểm soát nhà thầu phụ cấp hai

• Bên nhận việc không được tự ý giao tiếp phần việc trọng yếu cho bên khác khi chưa có chấp thuận phù hợp.
• Nhà thầu phụ cấp hai phải đáp ứng yêu cầu tương đương về năng lực, bảo mật, dữ liệu và chất lượng.
• Phạm vi, địa điểm, trách nhiệm và quyền truy cập của nhà thầu cấp hai phải được xác định.
• Bên nhận việc chính vẫn chịu trách nhiệm đối với đầu ra và hành động của nhà thầu cấp hai.
• Thay đổi nhà thầu cấp hai phải được thông báo và đánh giá trước khi áp dụng.
• SAO NAM có quyền yêu cầu hồ sơ hoặc đánh giá bổ sung khi rủi ro cao.

12. Bảo mật, quyền sở hữu và quản lý dữ liệu

• Dữ liệu khách hàng chỉ được sử dụng cho mục đích đã phê duyệt.
• Quyền sở hữu dữ liệu, metadata, báo cáo, cấu hình và tài liệu phải được quy định rõ.
• Truy cập phải giới hạn theo vai trò, thời gian và phạm vi công việc.
• Không sao chép, chia sẻ, lưu lâu hơn hoặc tái sử dụng dữ liệu khi chưa được phép.
• Sự cố bảo mật hoặc mất dữ liệu phải được thông báo theo thời hạn đã thống nhất.
• Khi kết thúc dịch vụ, dữ liệu phải được hoàn trả, chuyển giao, archive hoặc tiêu hủy theo thỏa thuận.
• Tuân thủ Chính sách Bảo mật thông tin và Dữ liệu cá nhân; Chính sách Xử lý, Hủy và Tái sử dụng Dữ liệu.

13. Hoạt động thuê ngoài có ảnh hưởng GxP

Đối với hoạt động ảnh hưởng GxP, SAO NAM áp dụng kiểm soát tăng cường:

• Xác định intended use, yêu cầu GxP, tiêu chí và trạng thái thẩm định.
• Yêu cầu bằng chứng đào tạo, phương pháp, thiết bị, truy xuất và hồ sơ.
• Phân định rõ trách nhiệm deviation, CAPA, change control, data integrity và audit trail.
• Đảm bảo dữ liệu gốc, metadata và hồ sơ hỗ trợ có thể truy xuất.
• Đánh giá thay đổi trước khi ảnh hưởng hệ thống hoặc kết quả.
• Chỉ sử dụng đầu ra sau khi được rà soát và chấp thuận phù hợp.
• Khách hàng giữ quyền phê duyệt cuối cùng đối với trạng thái sử dụng GxP.

14. Hiệu chuẩn, sửa chữa và dịch vụ kỹ thuật thuê ngoài

• Các phép hiệu chuẩn ngoài năng lực được chuyển đến OEM hoặc đơn vị đủ năng lực/phạm vi công nhận phù hợp.
• Xác minh model, serial, dải đo, phương pháp, tiêu chí, loại chứng chỉ và yêu cầu as found/as left.
• Kiểm tra tình trạng hiệu chuẩn của chuẩn, phạm vi năng lực và hồ sơ truy xuất khi phù hợp.
• Thiết bị phải được đóng gói, vận chuyển, bảo hiểm và khử nhiễm phù hợp.
• Rà soát chứng chỉ, kết quả, sai lệch, sửa chữa và linh kiện thay thế trước bàn giao.
• Đánh giá ảnh hưởng khi phát hiện kết quả ngoài dung sai hoặc sửa chữa đáng kể.
• Không làm mất dữ liệu, cấu hình hoặc lịch sử thiết bị trong quá trình gửi ngoài.

15. CNTT, cloud, hosting và hỗ trợ từ xa thuê ngoài

• Xác định vị trí dữ liệu, mô hình lưu trữ, backup, recovery và khả năng xuất dữ liệu.
• Quy định tài khoản, MFA, logging, encryption, patch, incident notification và remote access.
• Đánh giá nhà cung cấp cloud/hosting về sẵn sàng, bảo mật, nhà thầu phụ và kết thúc dịch vụ.
• Không cho phép quyền truy cập thường trực khi không cần thiết.
• Thay đổi môi trường, platform, version, location hoặc subprocessor phải được thông báo.
• Phải có kế hoạch exit, chuyển dữ liệu và khôi phục khả năng vận hành khi chấm dứt.
• Tuân thủ Chính sách An ninh mạng, Quản lý lỗ hổng, Bản vá và Truy cập từ xa.

16. Quản lý thay đổi, sai lệch, khiếu nại và CAPA

17. Giám sát hiệu suất nhà cung cấp dịch vụ

Kết quả giám sát được sử dụng để duy trì, nâng mức kiểm soát, tạm ngừng hoặc chấm dứt phê duyệt.

18. Đánh giá, tái đánh giá và quyền audit

• Audit hoặc đánh giá tại chỗ/từ xa được thực hiện dựa trên rủi ro, lịch sử và phạm vi công việc.
• Bên nhận việc phải hỗ trợ cung cấp hồ sơ, trả lời câu hỏi và xử lý phát hiện phù hợp.
• Tái đánh giá được thực hiện định kỳ hoặc khi có thay đổi lớn, sự cố nghiêm trọng hay hiệu suất suy giảm.
• Khách hàng hoặc OEM có thể được tham gia đánh giá khi hợp đồng hoặc rủi ro yêu cầu.
• Kết quả audit được phân loại, theo dõi CAPA và xác nhận đóng.
• Quyền audit không làm giảm trách nhiệm tự kiểm soát của bên nhận việc.

19. Liên tục kinh doanh và dự phòng

• Nhà cung cấp hoạt động trọng yếu phải có kế hoạch ứng phó gián đoạn phù hợp.
• Xác định nhân sự thay thế, thiết bị dự phòng, địa điểm khác và nhà cung cấp thay thế khi cần.
• Thông báo sớm về gián đoạn, thiếu linh kiện, mất dữ liệu, sự cố mạng hoặc thay đổi năng lực.
• Thống nhất mức ưu tiên, thời gian phục hồi và kênh liên lạc khẩn cấp.
• Đánh giá rủi ro phụ thuộc duy nhất vào một OEM, một chuyên gia hoặc một công cụ độc quyền.
• Phối hợp kế hoạch chuyển đổi khi nhà cung cấp ngừng hoạt động hoặc ngừng hỗ trợ.

20. Kết thúc hợp đồng, chuyển giao và exit plan

• Xác định ngày kết thúc, công việc đang mở, hồ sơ chưa hoàn tất và nghĩa vụ còn lại.
• Thu hồi tài khoản, remote access, badge, license và quyền truy cập dữ liệu.
• Hoàn trả thiết bị, phụ tùng, tài liệu, bản vẽ, source file hoặc tài sản khách hàng.
• Chuyển dữ liệu, backup, configuration, log và knowledge cần thiết cho bên kế nhiệm.
• Xác nhận xóa hoặc tiêu hủy dữ liệu theo thỏa thuận.
• Giải quyết khiếu nại, CAPA, bảo hành và trách nhiệm sau chấm dứt.
• Cập nhật danh sách nhà cung cấp được phê duyệt và hồ sơ đánh giá cuối.

21. Hồ sơ và thời hạn lưu giữ

Hồ sơ có thể bao gồm:

• Đánh giá rủi ro, hồ sơ lựa chọn, phê duyệt và tái đánh giá.
• Hợp đồng, NDA, SLA, thỏa thuận chất lượng và phụ lục kỹ thuật.
• Chứng nhận, phạm vi năng lực, hồ sơ đào tạo, audit và CAPA.
• PO, work order, service report, certificate, test result và biên bản bàn giao.
• Change notice, deviation, complaint, incident và correspondence.
• Performance review, scorecard, escalation và quyết định duy trì/chấm dứt.
• Exit plan, xác nhận thu hồi quyền, hoàn trả hoặc tiêu hủy dữ liệu.

Thời hạn lưu giữ căn cứ pháp luật, hợp đồng, GxP, vòng đời sản phẩm và nhu cầu giải quyết khiếu nại.

22. Trách nhiệm thực hiện

23. Căn cứ và tài liệu tham chiếu

• EU GMP Chapter 7 – Outsourced Activities.
• EU GMP Annex 11 – Computerised Systems, đối với nhà cung cấp dịch vụ CNTT và dữ liệu.
• EU GMP Annex 15 – Qualification and Validation, đối với dịch vụ thẩm định thuê ngoài.
• ICH Q10 – Pharmaceutical Quality System, đối với quản lý hoạt động thuê ngoài và nguyên vật liệu mua vào.
• Chính sách Nhà cung cấp của SAO NAM.
• Chính sách Chất lượng và Tuân thủ GxP.
• Chính sách Hệ thống máy tính hóa và Tính toàn vẹn dữ liệu.
• Chính sách Hiệu chuẩn, Truy xuất đo lường và Kiểm soát thiết bị dịch vụ.
• Chính sách An ninh mạng, Quản lý lỗ hổng, Bản vá và Truy cập từ xa.
• Chính sách Kiểm soát tài liệu và Lưu giữ hồ sơ kỹ thuật.

24. Hiệu lực và rà soát

Chính sách có hiệu lực kể từ ngày được công bố trên website của SAO NAM và được rà soát ít nhất hằng năm hoặc sớm hơn khi có thay đổi về pháp luật, GxP, nhà cung cấp trọng yếu, mô hình thuê ngoài, công nghệ, dữ liệu hoặc xu hướng sai lệch.

Danh sách nhà cung cấp được phê duyệt, tiêu chí chấm điểm, biểu mẫu đánh giá, mẫu thỏa thuận chất lượng, SLA và hồ sơ audit được quản lý riêng, không công khai đầy đủ trên website.