GMP附錄《計算機化系統》法規解讀之“發生什么事兒了？”

　　2015年5月26日，CFDA正式發布了2010版GMP法規的新附錄之一《計算機化系統》，引起了國內制藥行業的廣泛討論和高度關注。其實許多制藥企業對它的內容并不陌生，因為這則法規于2013年作為征求意見稿已經添加到新版GMP法規附錄中。而現在，它將作為正式的法規于2015年12月1日起執行。這則法規附錄將給國內制藥企業帶來什么新的挑戰?從近兩年來CFDA的一系列舉措(頻繁的飛行檢查，2014年至今已取消近100家藥企的GMP證書)來看，國內GMP的監管力度是顯著增強的。所以屆時如果企業不能滿足《計算機化系統》法規的要求，將可能面臨十分嚴重的后果。

CFDA為何要發布這則法規?

　　國內外GMP法規有許多差異，而對計算機化系統的要求差異尤為明顯。CFDA所執行的2010版GMP法規內容與國際上其他法規機構的cGMP法規是對等的，如FDA 21 CFR Part 211。但美國的制藥企業除了執行 21 CFR Part 211以外，同時還要遵守21 CFR Part 11法規;歐盟國家的制藥企業除了執行歐盟GMP以外，還要遵循Annex 11法規。FDA的21 CFR Part 11與歐盟的Annex 11的內容是類似的，都是針對于制藥企業使用計算機化系統的法規要求。新頒布的《計算機化系統》法規附錄是國內法規與國際接軌的重要一步，將填補國內對于計算機化系統要求的法規空白，是實現與國際法規監管機構之間相互認可的前提條件之一。

法規到底講了些什么?

　　《計算機化系統》法規附錄究竟講了哪些內容?其實，我們發現內容并不多，全文共24條要求、6頁，共計2500字。我們嘗試對這些法規條文作了初步的解讀，把所理解的核心內容概括如下：

　　1. CFDA明確提出進行計算機化系統驗證的要求

　　以往，法規對于儀器的確認是一直有要求的，但對計算機軟件驗證的要求不明確。因而，大部分的制藥企業不對計算機系統進行驗證，或僅進行最簡單的確認。真正按照GAMP5指南基于風險評估進行完整驗證的企業不多，僅某些企業有國外業務、需要通過FDA或歐盟審計時才會考慮。而這則法規發布以后，明確對所有的國內制藥企業提出進行計算機化系統驗證的要求，為計算機化系統驗證提供了法規依據。這里尤其值得注意的是，法規附錄里要求進行基于風險評估的計算機化系統驗證，實際上就是指遵循GAMP5的驗證方法學，即計算機化系統驗證的形式應該是驗證(Validation)，通常所說的確認(Qualification，IQ/OQ/PQ)是不足夠的。

　　2. 數據合規性要求

　　法規明確了對數據輸入的準確性和數據處理過程的正確性要求，以保證數據的合規性。概括來說，對計算機系統合規性的功能要求可以總結為：訪問控制、權限分配、審計追蹤和電子簽名。

　　訪問控制：只有經許可的人員才能進入和使用系統。

　　權限分配：應當對進入和使用系統制訂授權、取消和授權變更的操作規程。

　　審計追蹤：用于記錄數據的輸入和修改以及系統的使用和變更。

　　電子簽名：明確了直接對電子數據進行電子簽名是合規的，但電子簽名需要符合相應法規。

　　其中，電子簽名是“可以有”，而不是“必須”，這取決于企業對于主數據的定義是電子數據還是紙質數據。這與21 CFR Part 11和Annex 11是一致的。對于審計追蹤記錄的要求，是“根據風險評估的結果，考慮在計算機化系統中建立數據審計跟蹤系統”，這可能是考慮到很多軟件自身功能設計上無法實現的情況。然而，對于色譜數據系統這樣的關鍵原始數據系統來說，審計追蹤肯定是必然的要求。

　　3. 電子數據安全性要求

　　電子數據安全性一般分為邏輯安全性和物理安全性。邏輯安全性即是通過軟件自身的權限控制對數據的訪問、錄入、修改和刪除等操作，確保不被人為誤操作或有意的篡改行為而影響數據安全。而物理安全性，即是對數據存儲的介質(如硬盤、光盤、服務器等)進行保護，確保系統本身不會因為物理介質的損壞或故障造成數據丟失。

　　4. 數據備份要求

　　關于電子數據的備份要求不算是新的法規要求，GMP法規也一直要求數據備份以保證原始數據的安全性。國內制藥企業通常也都制定了數據備份策略，但我們發現通常只是一個月甚至半年才做一次數據備份，真正發生故障時原始數據還是會嚴重丟失。這樣的數據備份歸檔，其形式意義大過于實際意義;而即使是這樣的一個備份頻率，企業都已經覺得數據備份的工作任務很重。其根本原因是缺乏良好的解決方案。《計算機化系統》單獨列出這條要求，將提高制藥企業對數據備份的重視，進而采納更先進的解決方案。

　　在下一期《計算機化系統》法規解讀中，我們將繼續逐項解析該則法規對制藥企業帶來的影響，工作站是否能應對新的法規要求?如何管理您實驗室的非色譜類數據?等等。

　　敬請關注。