Cómo validar una hoja de cálculo Excel

En añadido a lo comentado en el post sobre las guías EDQM para validar sistemas y hojas Excel (enlace) y debido a algunas cuestiones que he ido recibiendo en estos días, voy a intentar resumir en una entrada del blog los condicionantes mínimos para afrontar con garantías una validación de una hoja de cálculo, por ejemplo en Excel.

Expectativas a nivel regulatorio

Cuando se trata de hojas de cálculo, ¿qué deberíamos validar? Según la EMA: “La validación de acuerdo con el párrafo 4 del anexo 11 es necesaria al menos para las hojas de cálculo que contengan código personalizado (por ejemplo, Visual Basic para las aplicaciones). Fórmulas u otros tipos de algoritmos deben ser verificados para verificar su exactitud.” Por lo tanto, deben existir controles apropiados para las plantillas de hojas de cálculo. Deben evitarse los cálculos erróneos debido a los datos que queden de los cálculos anteriores. La precisión y fiabilidad de las plantillas también deberán comprobarse adecuadamente (anexo 11, p. 7.1) y almacenarse de manera que se garantice un control adecuado de la versión (capítulo 4, p. 4.1).

Cuando se trata de comprobaciones de precisión (como exige el anexo 11, p. 6), la integridad de los datos es una cuestión importante. El documento de preguntas y respuestas explica que tanto los archivos como los cálculos deben protegerse de tal manera que las formulas no se sobrescriban accidentalmente. Se debe evitar la introducción accidental de un tipo de datos inapropiado o provocar un mensaje de error.

¿Qué deberemos tener en cuenta a la hora de validar?

Es una validación en toda regla, por lo que deberá quedar documentada. Y deberá tener en cuenta el Anexo 11 de las GMP (enlace) o la FDA 21CFR Part 11 (enlace), sin olvidar la Guía GAMP 5, o Good Automated Manufacturing Practice para la industria farmacéutica (enlace).

Vamos a entrar en materia. A la hora de validar una hoja de cálculo en Excel, un enfoque válido es plantear que no necesitamos mostrar que todos los cálculos son exactos y validar Excel en sí mismo. Lo que necesitamos mostrar, es que los cálculos son los cálculos correctos.

A la hora de tener en cuenta esto, habrá que revisar el diseño de la hoja de cálculo para verificar que el uso de la hoja de cálculo debe estar restringido al usuario asignado. Por lo tanto, habrá que colocar el fichero en una ubicación (servidor) con acceso limitado a los usuarios seleccionados. Y proteger la hoja de cálculo con una contraseña que permita a los usuarios abrir la hoja de cálculo (y siempre como sólo lectura).

En añadido, deseamos proteger la hoja de cálculo contra cualquier cambio no deseado, así que bloquearemos todas las celdas dentro de la hoja de cálculo (excepto las celdas en las que el usuario necesita dar entrada a datos). De esta manera, el usuario no puede cambiar celdas con fórmulas, constantes, etiquetas, etc.

Es interesante crear un audit trail para registrar lo que ha cambiado al utilizar la hoja de cálculo, y de esta manera podemos cumplir este apartado que requiere la normativa. Puede ser interesante incorporar cualquier módulo complementario, como las firmas electrónicas y los módulos de audit trail, para que puedan ser validados como sistemas/módulos genéricos y no requieran una validación completa en cada hoja de cálculo.

Habrá que implementar un número de versión en la hoja de cálculo, que también es útil para el control de cambios.

Uno de los elementos a comprobar en la validación es que el resultado calculado se presenta de la manera correcta. También si tiene el número correcto de decimales o se visualiza la unidad de medida.

Cuando un usuario rellena la plantilla de hoja de cálculo (validada) con datos, el archivo de hoja de cálculo resultante con datos es un registro electrónico. Por lo tanto, al igual que la plantilla, hay que asegurar de que estos archivos se almacenan en una ubicación (servidor) con acceso limitado a los usuarios seleccionados.

También puede ayudar dar a las celdas de entrada un color diferenciado para que la hoja de cálculo sea más clara y fácil de entender para los usuarios. Por ejemplo, coloreando aquellas celdas donde hay que introducir datos. El uso de menús desplegables o indicar los límites de entrada de datos puede evitar errores de entrada.

Lógicamente hay que preparar toda la documentación de validación. Dependiendo del impacto en la seguridad del paciente, la calidad del producto y la integridad de los datos y la complejidad de la hoja de cálculo, habrá que ser más o menos extensos en ello.

Durante la validación, verificaremos manualmente la confiabilidad de la hoja de cálculo. Por ejemplo, verificaremos los cálculos de la hoja de cálculo ingresando los valores esperados y los valores extremos y comprobando el comportamiento de la hoja de cálculo, o comparando los datos con datos ya conocidos.

Obviamente, habrá que generar y aprobar todos los procedimientos SOPs necesarios, tales como los procedimientos para la Gestión de Cambios y Configuraciones, Archivo o Recuperación de datos. También proporcionaremos instrucciones de trabajo sobre cómo utilizar la plantilla de hoja de cálculo para cada tipo de usuario, definiendo los tipos de usuario.

Finalmente, y tras aprobar la validación, dispondremos la hoja de cálculo para su uso. Cualquier cambio debe realizarse a través del Control de Cambios y las acciones para la revalidación pueden determinarse en base a una Evaluación de Riesgos.

Recomendaciones prácticas

Puede ser interesante, más allá de crear un plan maestro de validaciones para cada hoja de cálculo, el redactar uno maestro para validar hojas Excel. En cada validación podemos hacer referencia a este documento aprobado y así se ahorra tiempo y recursos del sistema de calidad.

Especificación de requisitos
La especificación de requisitos debe incluir todos los requisitos que la hoja de cálculo debe cumplir. Este documento debe ser simple y no técnico para que cualquiera que lea el documento entienda que los requisitos son. Hay que redactarlo para que lo entienda el usuario, no un asesor especializado en temas informáticos.

Algunas ideas prácticas para este URS pueden ser:

  • Enumerar todas las hojas y gráficos en el libro de trabajo
  • A qué usuarios se les debe permitir entrar en la hoja.
  • Cuáles son las celdas de entrada de datos.
  • Qué fórmulas o cálculos existen en la hoja.
  • Qué celdas representan la salida o el cálculo final de la hoja. Esto también puede referirse a un gráfico.
  • Para cada gráfico, es interesante definir propiedades como el título, las etiquetas de los ejes y las unidades, y los conjuntos de datos originados para crear el gráfico.
  • Realizar un análisis de riesgos para dar soporte y explicación a todo esto.

Especificaciones de diseño
Ahora que hemos definido los requisitos para cada hoja, podemos crear el documento de especificaciones de diseño del software. El propósito de este documento es describir cómo se han implementado los requisitos de usuario definidos anteriormente. Este documento, más técnico, debe incluir suficiente información para que un desarrollador pueda crear todo el proyecto de software basándose en la información contenida en este documento y a partir de la lectura de la especificación de requisitos.
Un enfoque interesante que he encontrado por internet es dividir cada hoja en cuatro secciones: Entradas, Procesamiento o cálculos, Salidas y Seguridad.

  • Entradas: Documentar las celdas en las que se espera que los usuarios introduzcan o actualicen los datos. Si se utiliza alguna regla de validación para hacer cumplir la entrada de datos apropiada, también debe documentarse aquí (por ejemplo un rango de datos esperado).
  • Cálculos: El procesamiento o cálculos consiste principalmente en documentar las fórmulas que se utilizan en la hoja. Cualquier macro o código personalizado también se documenta aquí.
  • Salidas: Los outputs suelen clasificarse en una de las tres categorías principales siguientes:

1. La celda o rango de celdas que contienen el resultado final de todos los cálculos anteriores
2. Gráficos: a veces se imprimen y guardan con informes externos.
3. Datos que se copian en una hoja de resultados finales o que se exportan a un archivo o base de datos separada.Hay que tener en cuenta las consideraciones previas sobre seguridad en las salidas, como acceso limitado a determinados usuarios a un servidor concreto.

  • Seguridad: Esta sección puede ser una afirmación breve, es decir, “Todas las celdas que no sean de entrada deben estar bloqueadas para evitar cambios“, o también recalcar que sólo determinados usuarios tienen clave de acceso o acceso al servidor. La renovación periódica de la clave de acceso también puede ser un dato interesante.

Protocolos de prueba
Las pruebas deben demostrar que los requisitos se han aplicado correctamente de acuerdo con las especificaciones de diseño. Es un esquema de validación clásico.

Las pruebas de Cualificación de la instalación (IQ) pueden limitarse a asegurar que el archivo se encuentra en una ubicación en la que los usuarios pueden acceder al archivo. Las pruebas de Cualificación Operativa (Operational Qualification, OQ) se centran principalmente en la verificación de fórmulas, macros y también en la seguridad de cada hoja para verificar que todas las celdas que no son de entrada están bloqueadas para evitar cambios. Por la naturaleza y complejidad de una hoja de cálculo, el IQ, el OQ y el PQ se pueden combinar en un único protocolo IOPQ.

Para empezar a generar nuestros casos de prueba, recomiendo dividir las pruebas en Entradas, Procesamiento, Salidas y Seguridad, ya que las pruebas de seguridad son más fáciles de probar en casos de prueba separados. Así podremos garantizar la trazabilidad.

Una de las claves y puntos de mayor riesgo son las fórmulas y macros. Existen varios métodos para verificar y probar las fórmulas.  Se debe probar hasta que todos los datos de las celdas de entrada hayan sido modificados, y ese resultado haya sido verificado. El punto clave es buscar fórmulas incorrectas o gráficos que no estén usando el conjunto de datos correcto o completo, o que estén apuntando a columnas de datos incorrectas.

Las macros se pueden probar introduciendo una serie de datos y comparando los resultados con una calculadora, o mediante una inspección visual que la función realizó como se esperaba.

Los gráficos se pueden probar mediante una combinación de inspección visual o verificación de las propiedades, incluyendo el conjunto de datos utilizado como base para los gráficos.

El tipo y la cantidad de pruebas de seguridad que puede realizar con las hojas de cálculo se basa en gran medida en cómo se ha implementado la seguridad. Como mínimo, debe probar que los usuarios se limitan a introducir datos sólo en las celdas de entrada definidas y que no tienen la capacidad de alterar ninguna otra parte de la hoja de cálculo. El no hacerlo puede comprometer la integridad del esfuerzo de validación y de cualquier dato o información generada por el libro de trabajo.

Si la hoja de cálculo debe ser utilizada por varias personas, se recomienda asegurarse de que la hoja de cálculo no pueda copiarse en un ordenador local. Esto evitaría, entre otras cosas, que la gente trabaje con una copia obsoleta de la hoja de cálculo.

Conclusiones:

La validación de hojas de cálculo en Excel es un requerimiento normativo que hay que cumplir como tal, si el uso del fichero impacta en la calidad, seguridad o trazabilidad del producto o proceso. Se han de dedicar tantos esfuerzos como complejidad y riesgo asociado tenga el fichero. Incorporar algunos complementos como el audit trail puede ayudar a mejorar la seguridad y trazabilidad del fichero, en conjunto con la ubicación en servidores seguros, copias de seguridad activas y uso de contraseñas.

Revisa los últimos requisitos regulatorios para definir qué se espera y qué se recomienda. Se debe planificar la validación en consecuencia y asegurarse de que las desviaciones del plan o las modificaciones se gestionan de forma controlada. Si la hoja de cálculo cumple con sus requisitos que han sido desarrollados por un equipo de personas competentes y el riesgo residual está cubierto por exhaustivas pruebas o por la funcionalidad de la hoja de cálculo, la hoja de cálculo le hará un gran servicio.

Espero que haya sido de vuestro interés, y espero vuestros comentarios. Gracias.

 

 

Deja un comentario