药品计算机化系统验证指南(试行)

药品计算机化系统验证指南(试行)1范围本指南用于指导药品全生命周期（研制、生产、流通、使用）中计算机化系统的验证活动，适用于药品上市许可持有人、药品生产企业、经营企业、临床试验机构、药品使用单位等相关主体新建、升级、变更、退役各类GxP环境下计算机化系统的验证管理，也适用于对现有在用计算机化系统的验证状态评估。本指南基于《中华人民共和国药品管理法》《药品生产质量管理规范（2010年修订）》附录《计算机化系统》《药品数据管理规范（试行）》等国内法规要求，参考ICHQ10《药品质量体系》、ICHGMP指南相关要求制定，遵循风险管控、合规落地的原则，企业可结合自身实际情况调整验证深度，不得因本指南的要求降低药品质量安全标准。2术语与定义2.1计算机化系统：由硬件、软件、网络基础设施、相关操作规程、人员组成，能够实现特定业务功能，可独立运行或集成于其他设备的系统组合。2.2计算机化系统验证：通过一系列有计划的、文档化的活动，证明计算机化系统能够持续符合预定用途，满足法规要求与数据完整性要求的过程。2.3现成商用软件（COTS）：由供应商开发完成、面向市场公开销售，可直接采购投入使用的软件，不含定制化开发内容或仅针对用户需求做少量配置调整。2.4定制软件：根据用户特定业务需求专门开发的软件，含对现成商用软件的深度定制改造。2.5GxP环境：指所有涉及药品研制、生产、流通、检验的活动环境，其产生的数据直接影响药品质量安全与监管合规性。2.6ALCOA+：指数据完整性的核心要求，即可归属、清晰、同步、原始、准确，附加要求为完整、一致、持久、可及。2.7验证生命周期：指从计算机化系统的需求规划开始，到系统退役结束的全流程验证管理周期。2.8审计追踪：指有序记录系统内所有操作活动的电子序列，可追踪数据从创建到修改、删除、输出的全流程，保留操作人、操作时间、操作内容、修改原因等信息，无法被未经授权的修改或删除。3验证基本原则3.1风险分级原则：根据计算机化系统对药品质量安全、数据完整性、监管合规性的影响程度，确定验证活动的范围与深度，避免过度验证或验证不足。3.2全生命周期管理原则：验证不是一次性活动，需覆盖系统从需求规划到退役的全生命周期，持续保持系统的验证状态。3.3数据完整性优先原则：所有验证活动需以保障GxP数据符合ALCOA+要求为核心前提，不得因功能实现忽略数据完整性合规要求。3.4责任清晰原则：药品上市许可持有人/企业是计算机化系统验证的责任主体，对验证结果与系统合规性负最终责任，供应商承担配合提供验证支持文档与技术支持的责任。4验证生命周期各阶段要求4.1需求规划与计划阶段本阶段为验证活动的起始阶段，核心输出为用户需求说明书与验证总计划，具体要求如下：4.1.1用户需求说明书（URS）编制：由业务使用部门牵头，联合IT、质量部门共同编制，内容需包含：①预定用途，明确系统在GxP活动中的具体作用；②功能需求，明确所有需实现的业务功能，包含数据输入、处理、输出、存储的要求；③性能需求，明确系统响应时间、并发处理能力、运行稳定性要求；④合规需求，明确数据完整性、审计追踪、电子签名、权限管理的要求；⑤接口需求，明确与其他系统对接的数据传输规则、一致性要求；⑥安全需求，明确访问控制、数据加密、防攻击、灾备要求；⑦环境需求，明确硬件安装运行的温湿度、电源、网络环境要求；⑧验收标准，明确所有需求可验证的接受准则。URS需经业务、IT、质量部门签字批准。4.1.2初始风险评估：完成URS后，需开展初始风险评估，确定系统的GxP影响等级，识别对药品质量安全、数据完整性有影响的关键功能。风险评估可采用风险矩阵法或FMEA法，从影响程度、发生概率、可检测性三个维度打分，确定风险等级：影响程度分为“影响药品质量安全/数据不可信”“影响GxP活动开展但不直接影响质量”“不影响GxP”三个等级，对应不同的验证策略。初始风险评估需形成正式报告，经质量部门批准。4.1.3验证总计划（VTP）：针对单个系统或多个同类型系统编制验证总计划，内容包含：验证范围、职责分工、验证策略、验证阶段划分、可接受总原则、文档管理要求、变更与回顾要求、时间进度安排。VTP需经质量负责人批准后实施。4.2供应商管理与系统开发采购阶段4.2.1供应商审计：对影响GxP的关键系统，必须开展供应商审计，审计内容包含：供应商的质量体系运行情况、软件开发/维护能力、验证能力、信息安全管理能力、售后服务保障能力、合规资质。审计方式可根据系统风险等级选择：高风险关键系统采用现场审计，中风险系统采用远程审计或文件审计，成熟合规的标准化商用软件可简化审计，仅需收集供应商的合规声明、质量体系证书、验证文档即可。所有供应商审计需形成记录并存档。4.2.2定制开发系统管理：定制开发的系统，企业需参与需求评审、设计评审、阶段测试等全流程开发活动，每个开发阶段输出的文档需经企业相关部门审核确认，不得将开发验证全流程委托供应商后直接验收。4.2.3现成商用系统管理：采购现成商用系统，要求供应商提供完整的功能说明书、设计文档、出厂测试报告、合规声明，明确软件版本、知识产权归属、售后服务条款。4.3确认与验证实施阶段本阶段按照设计确认（DQ）、安装确认（IQ）、运行确认（OQ）、性能确认（PQ）的顺序开展，前一阶段不合格不得进入下一阶段。4.3.1设计确认（DQ）：DQ的目的是证明系统设计符合用户需求与法规要求，由验证项目组对照URS逐一核查系统设计方案：包含硬件配置选型、软件功能设计、审计追踪设计、电子签名设计、权限管理设计、接口设计、安全设计等，确认所有设计满足URS与法规要求，输出DQ记录，DQ合格后方可进场安装。4.3.2安装确认（IQ）：IQ的目的是证明系统按照设计要求正确安装在预定环境，内容包含：①核查硬件的型号、规格、数量、合格证，与设计要求一致；②核查安装环境（温湿度、电源、网络、防静电措施）符合设计要求；③核查软件安装版本正确，授权文件合法，系统配置符合设计要求；④核查网络连接、接口通信符合要求；⑤核查系统随机文档（操作手册、维护手册、合格证）完整收集；⑥核查安全配置（防火墙、防病毒软件、访问规则）符合要求。所有核查项目需记录，符合可接受标准后方可进入OQ阶段。4.3.3运行确认（OQ）：OQ的目的是证明系统在预定操作范围内所有功能运行正常，符合设计要求。OQ需按照经批准的测试方案开展，测试范围覆盖所有关键功能，包含：①正常参数范围与极限参数运行测试；②异常操作与报警功能测试；③权限分级与职责分离测试；④审计追踪功能测试，验证所有操作可追踪，修改留痕；⑤电子签名功能测试，验证一人一号、签名与操作绑定；⑥数据备份与恢复测试，验证备份数据完整可恢复；⑦接口数据传输测试，验证传输数据完整、一致、无差错；⑧故障处理与应急响应测试。测试过程中发现偏差需按照企业偏差管理程序开展调查，采取纠正预防措施，重新测试合格后方可通过OQ。4.3.4性能确认（PQ）：PQ的目的是证明系统在实际业务运行环境下，能够持续稳定符合预定用途，满足产品质量要求。PQ需在实际生产/业务场景下开展，测试要求：①关键生产控制系统PQ需至少完成3个连续生产批次的运行测试，验证系统运行稳定，工艺参数控制符合要求；②检验检测系统（如LIMS、色谱工作站）PQ需完成至少3次平行样品测试，测试结果偏差符合方法学要求，数据输出一致；③对需要连续运行的系统（如温湿度监控系统）需完成至少连续30天的运行测试，验证数据采集、存储、报警功能稳定；④需测试高峰并发负载下的系统性能，验证满足业务需求。PQ完成后，汇总所有测试结果，确认符合可接受标准。4.3.5验证总结所有确认测试完成后，验证项目组编制验证总结报告，内容包含：验证范围、各阶段测试结果概述、偏差处理情况、风险评估结果、验证结论，明确系统是否可投入正式使用。验证总结报告需经质量负责人批准后方可投入运行。4.4运行与维护阶段系统投入正式运行后，需持续保持验证状态，具体要求如下：4.4.1日常运行管理：严格执行操作规程，落实权限最小化与职责分离要求，定期（每年至少一次）复核用户权限，及时注销离职、岗位调整人员的账号，禁止共用账号。定期开展审计追踪审核，关键系统至少每月审核一次异常操作，中风险系统至少每季度审核一次，审核记录需存档。4.4.2数据管理：GxP数据按照法规要求定期备份，备份数据需加密存储，至少保留一份离线异地备份，每半年至少测试一次备份数据的可恢复性，确保数据不丢失、不篡改。数据保留期限符合法规要求：生产数据保留至药品有效期后1年，临床试验数据保留至试验结束后5年，上市后监测数据保留至药品退市后5年。4.4.3预防性维护：建立系统预防性维护计划，硬件定期开展保养检测，软件定期更新安全补丁，病毒库定期升级，定期监控系统运行性能，记录所有维护活动。4.4.4变更管理：所有系统变更（包含软件升级、硬件更换、系统迁移、核心参数调整、功能配置修改）都需按照变更管理程序执行，评估变更对验证状态的影响：微小变更（如不影响功能的安全补丁更新）仅需记录，无需额外验证；中等变更需要补充做IQ/OQ相关测试；重大变更（如核心功能升级、系统整体迁移）需重新开展全流程或部分流程验证，变更完成后需经质量部门批准方可投入使用。4.4.5验证状态回顾与再验证：关键系统每年开展一次验证状态回顾，中风险系统每3年开展一次，回顾内容包含：变更记录、偏差记录、维护记录、审计追踪审核结果、内外部审计发现问题、数据完整性事件，评估系统是否持续保持验证状态，回顾报告需经质量部门批准。出现以下情况时需触发再验证：①发生重大变更影响系统功能或数据完整性；②系统停用超过6个月重新启用；③发生重大偏差或药品质量问题与系统相关；④法规要求开展再验证；⑤回顾评估发现系统无法持续符合要求。4.5退役阶段系统拟退役停用的，按照以下要求执行：①提出退役申请，说明退役原因；②开展退役风险评估，评估退役对现有业务、数据保留、合规性的影响；③制定退役方案，明确数据迁移、备份、保留要求；④按照方案完成数据迁移与备份，确保数据在保留期限内可访问、可读；⑤关闭所有用户访问权限，停用系统；⑥记录退役全过程，形成退役报告，经质量部门批准后存档。5系统分级与差异化验证策略根据系统对GxP的影响程度分为三级，采用差异化验证策略：5.1关键GxP系统：直接影响药品质量安全、直接生成GxP核心数据，包括：生产过程控制系统（DCS、PLC）、电子批记录系统、工艺参数在线监测系统、LIMS系统、色谱工作站、检验仪器控制系统、冷库/运输车辆温湿度自动监测系统、临床试验数据管理系统、药品追溯系统、电子监管码系统等。此类系统需开展全流程验证，完成DQ/IQ/OQ/PQ全阶段活动，开展完整供应商审计，每年一次验证状态回顾。5.2非关键GxP系统：不直接影响药品质量，但支持GxP活动开展，包括：GxP文档管理系统、员工培训管理系统、供应商管理系统、办公OA系统（用于GxP审批）等。此类系统可简化验证，仅需完成URS、风险评估、IQ/OQ，PQ可简化或豁免，供应商审计可采用文件审计，每3年开展一次验证状态回顾。5.3非GxP系统：不涉及GxP活动，不影响药品质量安全，包括：企业考勤系统、后勤管理系统、财务核算系统（不涉及GxP数据管理）等。此类系统无需纳入本指南要求的验证范围，仅需满足业务需求即可。5.4特殊系统验证要求：①云部署计算机化系统：需将云服务商纳入供应商审计范围，额外验证云平台的数据隔离、访问控制、灾备能力、数据安全，明确企业与云服务商的职责划分，企业对数据完整性负主体责任，验证云平台的合规性；②设备嵌入式计算机系统：可与设备的确认验证同步开展，纳入设备IQ/OQ/PQ范围，无需单独编制验证文档，只需在设备确认文件中明确计算机系统部分的验证内容即可；③现有在用旧系统：本指南实施前已投入使用的系统，需开展验证状态评估，做风险评估，对不符合要求的部分整改，补做必要的确认验证，证明符合要求后可保持验证状态。6数据完整性与合规性要求所有GxP环境下的计算机化系统必须满足以下要求：①数据符合ALCOA+原则，不得存在数据不可归属、篡改、删除不留痕的情况；②审计追踪功能必须默认开启，不得随意关闭，审计追踪信息不得修改删除，仅管理员可进行备份操作；③电子签名必须一人一号，不得共用，电子签名与手写签名具有同等效力，签名需绑定操作内容、时间、操作人员；④权限管理遵循职责分离原则，操作、审批、审计权限不得由同一人兼任；⑤数据存储需采用不可篡改的存储方式，防止数据丢失或被篡改；⑥跨境传输GxP数据需符合《网络安全法》《数据安全法》的相关要求。7文档管理与职责划分7.1文档管理：所有验证活动都需形成文档化记录，验证文档至少包含：验证总计划、用户需求说明书、风险评估报告、供应商审计报告、DQ记录、IQ记录、OQ记录