某制药厂信息技术办法

某制药厂信息技术办法一、总则

(一)目的：依据《中华人民共和国网络安全法》《药品生产质量管理规范》及相关行业基础标准，结合企业信息化建设实际需求，规范信息技术应用与管理，提升生产运营效率与数据安全水平。针对当前企业信息化程度不高、数据管理混乱、系统应用分散等问题，制定本办法旨在实现信息系统统一管理、数据资源有效整合、网络安全风险有效防控，保障生产稳定运行与质量持续改进。

1、统一信息技术管理标准，消除系统孤岛；

2、加强数据全生命周期管控，提升数据价值；

3、完善网络安全防护体系，确保业务连续性。

(二)适用范围：覆盖企业生产管理、质量管理、设备管理、仓储管理、人力资源、行政办公等所有涉及信息系统应用的业务领域及对应部门、岗位。正式员工、一线操作工、外包人员均须遵守，合作供应商信息系统接入需经信息管理部门审核。生产环境监控系统、质量管理信息系统、仓储管理系统等专项系统应用除外，由相关部门制定补充规定。

1、生产部、质量部、设备部、仓储部、人力资源部、行政部等；

2、车间操作工、班组长、质检员、仓管员、系统管理员、部门文员。

(三)核心原则：遵循合规性、权责对等、风险导向、效率优先、持续改进原则，结合信息化管理特点补充“统一规划、分级管理、动态维护”原则。全员参与、预防为主，确保信息系统与业务流程深度融合。

1、信息系统建设与使用必须符合国家法律法规及行业规范；

2、明确各部门信息系统管理职责，落实责任到人；

3、定期评估信息系统应用效果，持续优化系统功能与操作流程。

(四)层级与关联：本办法为专项管理制度，适用于企业所有信息系统应用场景，与《企业安全生产管理制度》《企业质量管理手册》《企业财务报销制度》等关联制度存在冲突时，以本办法为准，特殊情况需报总经理审批。信息管理部门负责统筹协调，各部门负责本领域信息系统应用管理。

1、与《企业安全生产管理制度》在设备监控系统应用方面存在衔接；

2、与《企业质量管理手册》在电子批记录管理方面存在关联。

(五)相关概念说明：1、信息系统指企业内部所有计算机软硬件系统，包括但不限于生产管理系统、质量管理信息系统、仓储管理系统等；2、数据全生命周期管理涵盖数据采集、传输、存储、处理、应用、销毁等环节。

二、组织架构与职责分工

(一)组织架构：企业设立信息管理部门，负责信息化建设与管理的顶层设计，总经理直接领导。生产部、质量部、设备部等业务部门设立兼职信息联络员，负责本部门信息系统应用管理。信息管理部门下设系统管理员、网络安全员，分别负责系统运维与网络安全工作，与各业务部门形成“集中管理、分级负责”的协同机制。

1、信息管理部门与各业务部门职责清晰，避免交叉管理；

2、兼职信息联络员需定期参加信息管理部门组织的培训，提升系统应用能力。

(二)决策与职责：总经理负责审定信息化建设重大事项，包括信息系统选型、年度预算、网络安全策略等。信息管理部门负责提出建议方案，组织评审论证，确保决策科学合理。重大事项决策需经总经理办公会审议，确保决策符合企业发展战略。

1、总经理每月听取一次信息管理部门工作汇报；

2、信息系统重大故障处置需及时向总经理报告。

(三)执行与职责：信息管理部门负责制定信息系统管理制度，组织系统上线、运维、培训，定期开展网络安全检查。生产部负责生产管理系统操作管理，确保数据真实准确；质量部负责质量管理信息系统数据审核，监督电子批记录规范使用；设备部负责设备监控系统数据完整性与可用性保障；仓储部负责仓储管理系统操作规范执行。

1、生产部操作工需经信息管理部门考核合格后方可独立操作生产管理系统；

2、质量部每月对电子批记录进行专项检查，问题及时反馈生产部整改。

(四)监督与职责：信息管理部门负责组织年度信息化工作考核，考核结果与部门绩效挂钩。内部审计部门每年对信息系统管理进行一次审计，重点关注数据安全、系统运维、操作规范等方面，审计结果作为改进依据。监督结果直接纳入被监督部门绩效考核，形成闭环管理。

1、信息管理部门每季度对系统操作进行抽查，发现问题通报批评；

2、内部审计发现的问题需限期整改，逾期未整改的由部门负责人承担责任。

(五)协调联动：建立跨部门信息系统管理联席会议制度，每季度召开一次，信息管理部门牵头，生产部、质量部、设备部、仓储部等部门参与，重点协调系统应用中的跨部门问题。各部门信息系统操作异常需第一时间向信息管理部门报告，由信息管理部门协调解决，确保业务连续性。

1、生产部与仓储部在物料出入库系统对接中存在争议时，由信息管理部门组织调解；

2、系统管理员需及时响应各部门系统故障报障，优先保障生产系统正常运行。

三、信息系统应用管理

(一)系统选型与采购：信息系统选型需遵循“实用为主、适度超前”原则，由信息管理部门组织需求调研，编制技术方案，经专家组评审后报总经理审定。采购过程需符合招标法规定，优先选择成熟可靠、服务完善、价格合理的供应商，签订协议时明确功能需求、售后服务、知识产权等关键条款，确保采购合规。

1、需求调研需覆盖所有相关业务部门，形成需求清单；

2、技术方案需包含系统架构、功能模块、数据接口等内容。

(二)系统上线与切换：信息系统上线前需完成功能测试、安全测试、用户培训，制定详细上线方案，明确切换方式、应急预案、责任分工。上线初期实行试运行制度，由信息管理部门牵头，相关业务部门参与，收集运行问题并持续优化，试运行合格后方可全面推广。

1、系统上线前需组织全员培训，考核合格后方可上岗；

2、切换过程中需做好数据备份，确保数据安全。

(三)系统运维与升级：信息管理部门负责建立系统运维制度，明确系统巡检、故障处理、变更管理等要求。系统升级需经审批，制定升级方案，升级期间暂停相关业务操作，升级后进行功能验证，确保系统稳定运行。运维记录需完整存档，作为系统改进依据。

1、系统巡检每周开展一次，重点检查服务器运行状态、网络连接情况；

2、系统升级需经信息管理部门提出申请，总经理审批后方可实施。

(四)数据管理：建立数据全生命周期管理制度，明确数据采集、传输、存储、处理、应用、销毁等环节的操作规范与责任主体。生产管理系统采集的生产数据需经车间操作工复核、质量部审核后方可录入质量管理信息系统，确保数据真实准确。电子批记录需符合GMP要求，操作过程需实时记录，不得篡改。

1、数据采集需按照规定的格式和频次进行，确保数据完整性；

2、数据存储需符合安全要求，定期进行数据备份；

3、数据销毁需履行审批手续，确保数据不可恢复。

(五)操作规范：各业务部门需根据信息系统特点制定操作规程，明确操作步骤、权限设置、异常处理等内容。信息管理部门负责组织操作规程培训，确保全员掌握规范操作方法。操作过程中需做好日志记录，问题及时反馈，形成持续改进机制。

1、生产管理系统操作规程需经信息管理部门审核，确保符合实际需求；

2、操作工违反操作规程造成系统故障的，需承担相应责任。

四、信息系统安全防护

(一)管理目标与核心指标：确保信息系统安全稳定运行，数据安全完整，全年系统故障率控制在5%以内，数据丢失事件零发生。核心KPI包括系统可用性、数据完整性、安全事件发生率等，统计口径以系统日志、故障报告、审计记录为准。

1、系统可用性指系统正常服务时间占计划运行时间的百分比；

2、数据完整性指数据采集、传输、存储过程中无丢失、错误的情况。

(二)专业标准与规范：制定信息系统安全管理制度，明确访问控制、密码管理、数据加密、病毒防护等要求。系统访问需遵循“按需授权、最小权限”原则，密码需定期更换且不得使用简单密码。数据传输需加密处理，重要数据需做备份。标注高风险控制点：系统访问控制、数据备份与恢复、应急响应，防控措施包括：强制密码策略、定期备份、制定应急预案。

1、高风险点：系统访问控制，防控措施：强制密码策略、多因素认证；

2、高风险点：数据备份与恢复，防控措施：每日备份、异地存储。

(三)管理方法与工具：采用“纵深防御”安全架构，部署防火墙、入侵检测系统、防病毒软件等安全工具。建立安全事件应急响应机制，明确事件分级、处置流程、责任分工。定期开展安全培训，提升全员安全意识。适配中小型企业管理水平，采用标准化、模块化安全解决方案，简化管理流程。

1、安全工具部署需符合国家信息安全标准；

2、安全事件处置需在2小时内启动应急响应。

五、信息系统操作规范

(一)主流程设计：信息系统操作流程分为“登录-授权-操作-退出”四个环节。登录环节需验证用户身份，授权环节需检查用户权限，操作环节需符合业务规范，退出环节需安全关闭系统。各环节责任主体：登录环节为操作工，授权环节为信息管理部门，操作环节为业务部门，退出环节为操作工。操作标准需符合系统提示，操作时限根据业务需求确定，一般操作不超过30分钟。操作过程需记录日志，作为追溯依据。

1、登录环节需验证用户名、密码，异常登录需立即报告；

2、操作环节需符合业务规范，禁止违规操作。

(二)子流程说明：电子批记录操作作为专项子流程，需符合GMP要求，操作过程需实时记录，不得篡改。操作前需核对物料信息，操作中需双人复核，操作后需确认完成状态。与主流程衔接节点：登录环节与授权环节衔接，操作环节与退出环节衔接。简易操作细则：电子批记录操作需在系统规定时间内完成，超时需报告主管。要求：操作过程需留痕，不得删除、修改已记录信息。

1、电子批记录操作需在系统规定时间内完成，超时需报告主管；

2、操作过程需留痕，不得删除、修改已记录信息。

(三)流程关键控制点：系统访问控制、电子批记录操作、数据备份作为核心管控标准。系统访问控制需验证用户身份、检查权限；电子批记录操作需双人复核、实时记录；数据备份需定期进行、确保可用性。简易核查方式：检查系统日志、核对操作记录、验证备份文件。责任主体：系统访问控制由信息管理部门负责，电子批记录操作由质量部负责，数据备份由信息管理部门负责。高风险点增设双重校验：电子批记录操作需经操作工和主管双重校验。

1、系统访问控制需验证用户身份、检查权限；

2、电子批记录操作需经操作工和主管双重校验。

(四)流程优化机制：流程优化发起条件：系统操作效率低下、用户反馈问题较多。简易评估流程：收集用户反馈、分析操作数据、提出优化方案。审批权限：部门负责人审批。时限：每月评估一次。每年至少一次全流程复盘优化，简化审批环节，提高操作效率。优化方向：简化操作步骤、减少操作时限、提升系统易用性。

1、流程优化发起需经用户申请、部门负责人审批；

2、优化方案需经试用验证，确保符合实际需求。

六、信息系统权限管理

(一)权限设计：按“业务类型+金额等级+岗位层级”分配权限。业务类型包括生产管理、质量管理、设备管理、仓储管理等；金额等级分为一般业务（低于1万元）和特殊业务（高于1万元）；岗位层级分为操作工、班组长、部门负责人。操作权限包括数据录入、查询、修改、删除；审批权限包括单级审批、多级审批；查询权限包括本人数据、部门数据、全部数据。常规权限指一般业务操作权限，特殊权限指特殊业务操作权限。权限层级简化为三个层级：操作工、班组长、部门负责人。

1、操作工拥有一般业务操作权限，无审批权限；

2、班组长拥有一般业务审批权限，无特殊业务权限。

(二)审批权限标准：审批层级分为单级审批、多级审批。单级审批适用于一般业务，由直接上级审批；多级审批适用于特殊业务，由部门负责人和总经理审批。节点及时限：单级审批时限不超过2个工作日，多级审批时限不超过5个工作日。禁止越权/越级审批，审批过程需记录日志，作为追溯依据。责任追溯机制：通过审批日志、操作记录追溯审批责任。

1、单级审批由直接上级审批，时限不超过2个工作日；

2、多级审批由部门负责人和总经理审批，时限不超过5个工作日。

(三)授权与代理：授权条件包括岗位变动、临时离职；授权范围限于本人权限范围内；授权期限不超过3个月，需经部门负责人审批。临时代理简化管理，明确最长代理时限为7天，代理期间需向信息管理部门报备，交接时需确认权限状态。无需复杂流程，简化为口头报备、交接确认。

1、授权需经部门负责人审批，期限不超过3个月；

2、临时代理需报备，最长7天。

(四)异常审批流程：明确紧急、权限外、补批等场景的简易审批路径。紧急场景设置加急通道，由部门负责人直接审批；权限外场景需经信息管理部门协调，由总经理审批；补批场景需附简单书面说明，由直接上级审批。异常审批需附简单书面说明，留存痕迹，作为后续改进依据。

1、紧急场景由部门负责人直接审批；

2、权限外场景由总经理审批。

七、信息系统监督与考核

(一)执行要求与标准：明确操作规范、信息录入及痕迹留存，界定执行不到位的简易判定标准。操作规范需符合系统提示，信息录入需准确完整，痕迹留存需真实有效。执行不到位判定标准：系统操作记录缺失、数据错误率超过5%、违反操作规程。责任主体：操作工、班组长、部门负责人。

1、系统操作记录缺失视为执行不到位；

2、数据错误率超过5%视为执行不到位。

(二)监督机制设计：建立“日常+专项”双重监督机制，日常监督由信息管理部门每周开展，重点检查系统访问记录、操作日志；专项监督由内部审计部门每季度开展，重点检查数据完整性、安全防护措施。嵌入至少三个关键内控环节：系统访问控制、电子批记录操作、数据备份，说明简易落地要求：系统访问需验证身份、检查权限；电子批记录操作需双人复核、实时记录；数据备份需定期进行、确保可用性。

1、日常监督由信息管理部门每周开展，重点检查系统访问记录、操作日志；

2、专项监督由内部审计部门每季度开展，重点检查数据完整性、安全防护措施。

(三)检查与审计：明确监督内容、简易方法及频次。监督内容包括系统访问控制、电子批记录操作、数据备份等，简易方法包括检查系统日志、核对操作记录、验证备份文件。频次为日常监督每周一次，专项监督每季度一次。检查结果形成简单报告，明确整改要求及责任人，整改期限不超过1个月。

1、检查内容包括系统访问控制、电子批记录操作、数据备份；

2、检查结果形成简单报告，明确整改要求及责任人。

(四)执行情况报告：规范上报流程、主体、周期及内容。上报流程：信息管理部门每月向总经理汇报；上报主体：信息管理部门；上报周期：每月一次；上报内容：核心数据、存在风险、简单改进建议。报告简化，需含系统故障次数、数据错误率、安全事件数量、改进建议等，作为考核与决策依据。

1、核心数据包括系统故障次数、数据错误率、安全事件数量；

2、改进建议需具体可行。

八、考核与改进管理

(一)绩效考核指标：设定专项考核指标，包括系统应用率、数据准确率、安全事件发生率、故障处理及时率等，权重分别为30%、30%、20%、20%，评分标准为优秀（90-100）、良好（80-89）、合格（60-79）、不合格（低于60），考核对象为信息管理部门、各业务部门及相关岗位。定量指标以系统数据为准，定性指标以审计结果为准，兼顾生产业务目标与风险管控，适配中小型企业考核水平。

1、系统应用率指信息系统使用人数占应使用人数的比例；

2、数据准确率指数据错误数量占数据总量的比例。

(二)评估周期与方法：考核周期为月度与年度，月度考核由信息管理部门组织，重点检查定量指标完成情况；年度考核由总经理组织，重点检查定性指标及全年目标达成情况。简易方法为数据统计、现场检查、用户访谈，界定各周期考核重点：月度考核侧重过程监控，年度考核侧重结果评估。

1、月度考核由信息管理部门组织，重点检查定量指标；

2、年度考核由总经理组织，重点检查定性指标。

(三)问题整改机制：建立“发现-整改-复核-销号”闭环，按一般问题（影响较小）和重大问题（影响较大）分类，一般问题整改时限不超过1周，重大问题整改时限不超过1个月，责任人需明确并落实整改措施，逾期未整改的由部门负责人承担责任并进行简单问责。

1、一般问题整改时限不超过1周；

2、重大问题整改时限不超过1个月。

(四)持续改进流程：基于考核、检查、业务变化及政策调整优化制度，明确建议收集通过每月例会进行，简易评估由信息管理部门组织，审批由总经理负责，跟踪由信息管理部门负责，简化流程，确保可落地。

1、建议收集通过每月例会进行；

2、简易评估由信息管理部门组织。

九、奖惩管理办法

(一)奖励标准与程序：奖励情形包括系统应用优秀、数据管理先进、安全防护突出等，奖励类型为奖金或荣誉表彰，标准根据贡献大小分为一、二、三等奖，申报由个人或部门提出，审核由信息管理部门进行，审批由总经理负责，公示在公告栏进行，发放在月度例会上进行，流程简易高效。违规行为界定为一般违规（影响较小）、较重违规（影响中等）和严重违规（影响较大），结合风险等级明确简易判定标准：一般违规指操作失误，较重违规指违反制度，严重违规指造