医疗器械计算机信息系统管理制度

医疗器械计算机信息系统管理制度第一条为规范本单位医疗器械计算机信息系统（以下简称“医械信息系统”）的全生命周期管理，保障医疗器械全链条追溯数据真实、准确、可追溯，落实网络安全与数据安全主体责任，根据《医疗器械监督管理条例》《医疗器械经营监督管理办法》《医疗器械使用质量监督管理办法》《医疗器械唯一标识系统规则》《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《网络安全等级保护条例》等法律法规及监管规范，结合本单位实际，制定本制度。第二条本制度适用于本单位所有与医疗器械质量管理、业务运营、追溯管控相关的医械信息系统的规划、选型、开发、部署、验证、运行、维护、升级、报废全流程管理，覆盖医疗器械采购、验收、贮存、销售、运输、使用、不良事件监测、召回等全业务环节的信息化管理活动。本制度所指医械信息系统包括但不限于医疗器械进销存管理系统、医疗器械唯一标识（UDI）管理系统、医院物流延伸（SPD）系统、医院信息系统（HIS）中医械管理模块、冷链温湿度监测系统、医疗器械不良事件上报系统、数据备份与容灾系统、网络安全防护系统等。第三条本制度涉及的核心术语定义如下：（一）医疗器械唯一标识（UDI）：指由产品标识（DI）和生产标识（PI）组成，用于唯一识别医疗器械的代码，可实现医疗器械全生命周期追溯，其中产品标识是识别医疗器械型号规格和包装的唯一代码，生产标识是与生产过程相关的信息编码，包括生产批号、序列号、生产日期、失效日期等。（二）关键质量操作：指涉及医疗器械质量安全管控的核心操作，包括首营企业/首营品种审核、采购验收、出库复核、不合格品判定、召回管理、不良事件上报等操作。（三）审计追踪：指系统自动记录的所有涉及数据创建、修改、删除的操作痕迹，包含操作人、操作时间、操作内容、操作前后数据状态、操作IP等信息，且不可篡改、不可删除。（四）数据恢复时间目标（RTO）：指系统发生故障后，从故障发生到系统及数据恢复至可正常使用状态的最大允许时间。第一章组织机构与职责第四条单位主要负责人是医械信息系统管理的第一责任人，全面负责医械信息系统的合规性、数据真实性、网络与数据安全管理工作，保障系统建设、维护、安全防护所需的人员、经费、设备资源，审批系统重大调整、报废等事项。第五条质量管理部门是医械信息系统合规性管理的牵头部门，主要职责包括：（一）参与医械信息系统的选型、需求调研、验证、升级全流程，审核系统功能是否符合医疗器械监管法规及本单位质量管理体系要求；（二）负责医械信息系统中质量数据的监督管理，定期检查数据录入的真实性、准确性、完整性，督促业务部门整改数据质量问题；（三）负责系统权限合规性审核，对关键质量操作权限的分配、调整进行审批，监督岗位分离制度落实；（四）组织开展医械信息系统的定期验证、内部审核工作，配合药品监督管理部门的监督检查，如实提供系统相关数据与资料；（五）牵头制定系统应急预案，参与应急演练与故障处置后的合规性验证。第六条信息技术部门是医械信息系统技术管理的责任部门，主要职责包括：（一）负责医械信息系统的开发、部署、运行维护、升级改造、故障处理，保障系统稳定运行；（二）负责系统的网络安全、数据安全防护工作，落实网络安全等级保护要求，定期开展漏洞扫描、安全加固、数据备份与恢复测试；（三）负责系统账号管理、权限分配、参数设置，严格按照审批流程调整系统配置；（四）配合质量管理部门开展系统验证、内部审核、监管检查等工作，提供技术支持；（五）负责系统相关硬件设备、备份介质的日常管理。第七条业务部门（包括采购、仓储、销售、临床使用、物流等部门）是医械信息系统的使用主体，主要职责包括：（一）严格按照本制度及系统操作规范录入业务数据，确保数据真实、准确、及时，不得录入虚假数据，不得规避系统管控开展线下业务；（二）负责本部门业务相关的系统功能反馈、故障上报，配合系统升级、验证、培训等工作；（三）严格保管个人系统账号，不得转借、共用账号，不得越权操作；（四）落实本部门岗位的系统数据安全责任，防止数据泄露、丢失。第八条医械信息系统设置三类核心岗位权限，实行“岗位分离、最小权限、权责匹配”原则：（一）系统管理员岗：由信息技术部门人员担任，负责系统维护、权限分配、参数设置、数据库管理，不得参与采购审核、质量验收、出库复核等关键质量操作，不得修改业务数据与审计追踪日志；（二）质量管理员岗：由质量管理部门人员担任，负责质量数据审核、关键质量操作审批、系统合规性检查，不得修改系统核心参数、不得删除业务记录与审计追踪日志；（三）业务操作员岗：由各业务部门人员担任，仅可在授权范围内操作对应业务模块，不得访问未授权模块、不得修改已审核通过的业务数据。第二章系统选型、部署与验证管理第九条医械信息系统选型应当遵循“合规优先、功能适用、安全可靠、扩展性强”的原则，优先选择具有3年以上医疗器械行业信息化服务经验、符合国家监管要求的系统供应商，确保系统满足UDI实施、全链条追溯、质量管控等核心需求。第十条系统选型前，由质量管理部门牵头，组织信息技术、采购、仓储、销售/临床等部门开展需求调研，形成《医械信息系统需求清单》，明确强制性功能要求，至少包括以下内容：（一）基础数据管理功能：支持供货者资质、产品资质、客户资质、UDI数据、产品注册证/备案凭证信息的录入、审核、更新、过期预警，自动校验资质有效性，资质过期时自动拦截对应业务操作；支持与国家医疗器械唯一标识数据库对接，自动同步产品基础信息。（二）采购管理功能：支持采购订单线上提交、自动校验供货者资质与产品资质有效性、首营企业/首营品种审批流程嵌入、采购记录自动生成与留存，首营品种未完成审批的不得生成采购订单；进口医疗器械可自动关联报关单、检验检疫证明信息。（三）验收管理功能：支持UDI扫码核验、人工录入补充信息，自动关联产品注册信息、供货信息、采购订单信息，验收合格自动生成验收记录，验收不合格自动触发不合格品隔离流程，禁止不合格品进入合格库区；冷链产品验收时可自动核对温湿度监测数据，数据不符合要求的直接拦截入库操作。（四）贮存管理功能：支持库区库位管理、批次/UDI关联管理、效期预警、近效期预警、温湿度监测数据对接、不合格品管控、盘点管理，近效期产品出库前需经质量管理员审核；支持按产品特性设置贮存条件，不符合贮存要求的自动预警。（五）销售/使用管理功能：支持销售订单/使用申请线上提交、自动校验客户资质/诊疗科目有效性、出库复核扫码、销售/使用记录自动生成、特殊管控器械（植入类、冷链类、体外诊断试剂）流向跟踪，植入类器械支持关联患者信息、手术信息实现全链条追溯。（六）冷链管理功能：支持冷链贮存、运输温湿度数据实时上传、超温预警、运输轨迹跟踪，温湿度数据与产品批次/UDI自动关联，数据不可篡改，超温未处置的产品禁止出库；可自动生成冷链运输记录，交付客户时可一键导出。（七）不良事件与召回管理功能：支持不良事件报告录入、审核、对接国家医疗器械不良事件监测信息系统上报，支持召回产品按UDI/批次快速追溯流向、生成召回清单、推送召回通知、留存召回全流程记录。（八）系统管理功能：支持分级权限管理、审计追踪日志自动生成、数据备份与恢复、系统参数配置、多系统接口兼容，审计追踪日志不可删除、不可篡改，保留期限符合监管要求。第十一条系统选型需开展供应商资质审核，索取供应商营业执照、相关软件著作权证书、医疗器械行业服务案例、系统功能验证报告、数据安全保障能力证明等资料，必要时对供应商进行现场考察。外购系统需签订正式采购合同与售后服务协议，明确系统功能要求、数据安全责任、售后服务响应时间（7*24小时技术支持，重大故障2小时内到场）、升级迭代义务、数据归属权等内容。第十二条自行开发的医械信息系统应当留存完整的开发文档，包括需求说明书、设计文档、测试报告、用户手册、源代码管理记录、安全测评报告等，确保开发过程可追溯，系统安全符合等保要求。第十三条医械信息系统正式上线运行前，必须开展全面验证，验证工作由质量管理部门牵头，信息技术部门、业务部门共同参与，形成《医械信息系统验证报告》，验证合格并经单位负责人审批后方可上线使用。验证内容至少包括：（一）功能验证：对需求清单中的所有功能逐项测试，验证业务流程是否顺畅、管控规则是否生效、记录生成是否准确，测试用例覆盖率不低于100%，功能通过率不低于99%；（二）权限验证：验证不同岗位账号的权限边界，测试越权操作是否被系统拦截，关键质量操作权限是否分离，确保岗位分离要求落实；（三）数据准确性验证：录入至少100条测试业务数据，验证数据流转的一致性，确保各模块数据关联准确、无遗漏、无偏差，数据准确率达到100%；（四）稳定性验证：连续72小时满负荷运行测试，验证系统无宕机、无数据丢失、无异常报错，系统可用率不低于99.9%；（五）安全验证：验证数据备份恢复功能、审计追踪功能、病毒防护能力、漏洞防护能力是否符合要求，模拟常见攻击场景，验证系统防护有效性；（六）接口验证：验证与UDI数据库、不良事件上报系统、温湿度监测系统、财务系统等外部系统的对接稳定性与数据准确性，数据传输错误率为0。第十四条医械信息系统运行期间，每3年开展一次全面再验证；出现以下情形之一的，应当在10个工作日内开展专项验证：（一）系统重大功能升级或核心质量管控参数调整；（二）服务器更换、系统迁移、部署架构调整；（三）发生重大数据安全事件或系统故障影响数据真实性；（四）监管法规要求发生重大变化，需调整系统功能；（五）质量管理部门认为需要验证的其他情形。第十五条验证报告应当由参与验证的部门负责人签字确认，与验证方案、测试记录、问题整改记录等资料一并归档保存，保存期限至系统报废后10年。第三章系统运行与操作管理第十六条系统账号实行“一人一号、实名登记”管理，严禁转借、共用账号，严禁冒用他人账号操作。账号开设需由员工所在部门提交申请，经部门负责人审核、质量管理部门确认权限合规后，由系统管理员开设并分配对应权限，账号开通时间不得超过申请审批通过后的2个工作日。第十七条账号密码应当符合复杂度要求：长度不少于8位，包含大写字母、小写字母、数字、特殊字符中的至少三类，密码每90天强制更换一次，不得与最近5次使用的密码重复；连续5次输入错误密码的账号自动锁定30分钟，解锁需经部门负责人审批后由系统管理员操作。第十八条员工岗位调整或离职的，人力资源部门应当在员工离岗当日通知信息技术部门，系统管理员应当在24小时内调整或注销对应账号权限，离职员工账号必须永久注销，不得复用；临时用工人员的账号设置有效期，到期自动注销。第十九条业务操作应当严格按照系统流程执行，确保所有业务数据“真实、准确、及时、完整”录入系统，不得线下开展业务后补录数据，不得录入虚假数据，不得擅自修改已审核通过的业务数据。确需修改已审核数据的，应当提交修改申请，说明修改原因并附相关证明材料，经质量管理部门审批通过后，由质量管理员在系统中操作，修改过程全程留痕，审计追踪日志自动记录修改前后数据、操作人、操作时间、审批记录。第二十条基础数据操作规范：（一）首营企业、首营品种资料由采购部门收集并初审，提交质量管理员审核，审核通过后方可录入系统，系统自动关联资质有效期，提前30天发出资质过期预警；供货者、客户、产品资质更新后，需在5个工作日内完成系统信息更新与审核。（二）UDI基础数据优先从国家医疗器械唯一标识数据库同步，确保产品信息与监管部门数据库一致，无法同步的由质量管理员人工核对注册证信息后录入，录入错误率为0。（三）资质过期未更新的供货者、客户、产品，系统自动拦截对应采购、销售/使用订单，直至资质更新并审核通过后解除拦截，拦截记录留存归档。第二十一条采购与验收操作规范：（一）采购订单必须在系统中提交，系统自动校验供货者资质、产品资质、经营范围有效性，校验不通过的无法提交订单；紧急采购需经质量管理部门负责人审批后开通临时权限，采购后24小时内补齐相关资料。（二）验收人员应当凭系统中的采购订单开展验收，逐批扫描产品UDI码（无UDI的录入批次信息），核对产品名称、型号、规格、批号、生产日期、有效期、数量、注册证号等信息，验收合格的确认入库，系统自动生成验收记录，验收记录与采购订单、UDI数据自动关联；验收不合格的录入不合格原因，系统自动将产品划入不合格品库区，触发质量管理员复核流程。（三）冷链产品验收时应当同步核对运输过程温湿度监测数据，温湿度不符合要求的直接判定为不合格，不得入库，不合格品处置记录永久留存。第二十二条贮存与养护操作规范：（一）仓储人员按照系统分配的库位存放产品，扫码确认库位信息，确保系统库位数据与实际一致，账货相符率不低于99.9%；（二）系统自动设置效期预警规则：距有效期不足90天的产品标记为“近效期”，距有效期不足30天的标记为“临期”，分别推送预警信息至仓储管理员与质量管理员，每月生成效期预警报表；（三）近效期产品出库前必须经质量管理员审核确认可销售/使用后，方可生成出库订单；临期产品原则上不得出库，特殊情况需经质量管理部门负责人审批并告知客户/使用科室风险后，方可出库；（四）冷链温湿度监测系统实时同步数据至医械信息系统，温湿度超出规定范围的，系统自动向仓储管理员、质量管理员发送短信、APP双重预警，预警响应时间不得超过30分钟，处置过程与结果需录入系统，超温产品需经质量评估合格后方可使用/销售。第二十三条销售/使用与出库操作规范：（一）销售订单/使用申请在系统中提交后，系统自动校验客户资质/诊疗科目、经营范围有效性，校验不通过的无法提交；特殊管控医疗器械销售需额外核验购买单位的资质许可范围。（二）出库复核人员应当逐件扫描产品UDI码，系统自动核对产品信息、批次、数量与订单一致性，复核通过后方可出库，系统自动生成出库记录，关联产品流向信息，确保每一件产品的流向可追溯。（三）植入类、介入类医疗器械出库时，必须扫描UDI码关联患者信息、手术信息，确保产品从供货者到使用者的全链条可追溯，患者出院时系统自动生成植入器械追溯卡交付患者，追溯数据永久保存。（四）冷链产品出库时，系统自动核验冷链包装温湿度监测设备状态，确认正常后方可出库，运输过程温湿度数据实时回传系统，交付客户时同步提供加盖公章的温湿度记录。第二十四条不良事件与召回操作规范：（一）业务部门发现医疗器械不良事件后，应当在24小时内录入医械信息系统，提交质量管理员审核，审核通过后通过系统对接国家医疗器械不良事件监测信息系统上报；严重伤害、死亡事件应当在法规规定的24小时内上报，不得迟报、瞒报。（二）收到药品监督管理部门或注册人发布的召回通知后，质量管理员应当在2小时内将召回产品的UDI、批次、召回级别、召回原因等信息录入系统，系统自动检索该批次产品的所有库存、流向信息，生成召回清单，召回覆盖率达到100%。（三）采购/销售部门根据召回清单通知相关供货者/客户/科室，召回进展、召回产品处置情况及时录入系统，形成完整的召回记录，召回记录永久保存。第二十五条审计追踪日志管理：（一）系统所有操作均自动生成审计追踪日志，日志内容包括操作人账号、操作人姓名、操作时间、操作IP地址、操作模块、操作内容、操作前后的数据变化等；（二）审计追踪日志不可删除、不可修改、不可导出编辑，仅可授权查询，查询日志需经质量管理部门负责人审批，由系统管理员协助查询，查询过程与内容留存记录；（三）日志保存期限与业务记录保存期限一致：一般医疗器械记录保存至有效期后2年，无有效期的不少于5年，植入类、介入类医疗器械记录及对应日志永久保存。第四章数据安全与备份管理第二十六条医械信息系统严格落实网络安全等级保护制度，根据系统重要性确定等保护级：涉及第三类医疗器械经营、三级医疗机构使用的医械信息系统不低于网络安全等级保护第三级，其他情形不低于第二级，每年按要求开展等级测评，测评不合格的3个月内完成整改。第二十七条网络安全防护措施：（一）部署下一代防火墙、入侵检测/防御系统、终端防病毒系统、Web应用防火墙等安全设备，实现边界防护、入侵防范、病毒防护，安全设备特征库每日更新；（二）每月至少开展1次全面漏洞扫描，每季度开展1次渗透测试，高危漏洞修复时间不超过72小时，中危漏洞不超过7天，低危漏洞不超过30天，漏洞修复后进行验证并留存记录；（三）系统访问实行身份认证，关键质量操作、系统管理员操作实行双因子认证（密码+短信验证码/动态令牌），禁止系统直接暴露在公网，远程访问需通过VPN专线并进行身份校验，操作行为全程留痕；（四）每季度开展一次网络安全培训，提升员工安全意识，严禁点击陌生链接、下载不明文件、使用工作邮箱注册非工作网站，严禁将工作设备接入未授权网络。第二十八条数据分类分级管理：（一）核心数据：包括植入类/介入类医疗器械追溯数据、患者个人信息、重大不良事件数据、核心质量管控数据，实行最高等级防护，采用国密算法加密存储、加密传输，访问需经质量管理部门与信息技术部门双重审批；（二）重要数据：包括医疗器械进销存数据、冷链监测数据、供应商/客户资质数据、一般不良事件数据，实行严格访问管控，定期备份，防止数据泄露、丢失；（三）一般数据：包括系统基础配置数据、操作日志统计数据、公开产品信息，实行常规防护措施。第二十九条个人信息保护严格遵守《中华人民共和国个人信息保护法》要求：（一）仅收集业务必需的患者个人信息，不得过度收集，收集前告知患者信息用途并取得明示同意，不得强制授权；（二）患者个人信息采用加密存储，访问、导出个人信息需经医务部门（或质量管理部门）与信息技术部门负责人双重审批，留存审批记录，导出数据采用加密传输；（三）严禁非法泄露、出售、向第三方提供患者个人信息，因业务需要向第三方提供的，需签订保密协议，明确数据安全责任，且仅提供必要范围内的信息。第三十条数据备份实行“本地备份+异地容灾备份”双重机制，确保数据不丢失：（一）本地备份：采用磁盘阵列存储备份数据，每日对核心数据、重要数据进行增量备份，每周进行全量备份；一般数据每周增量备份，每月全量备份；（二）异地容灾备份：采用异地机房（距离本单位机房不少于100公里）或合规云服务进行异地备份，备份频率与本地一致，备份数据与生产系统物理隔离，防止火灾、水灾等自然灾害导致的数据丢失；（三）备份数据采用加密存储，备份介质专人管理，存放在防火、防潮、防磁、防盗的专用场所，异地备份数据每季度检查一次可用性，检查记录留存归档。第三十一条每月至少开展1次备份数据恢复测试，验证备份数据的完整性、可恢复性，测试用例覆盖率不低于核心数据的100%，测试形成记录。数据恢复时间目标（RTO）要求：核心数据恢复时间不超过4小时，重要数据不超过8小时，一般数据不超过24小时。第三十二条数据保存期限严格符合法规要求：（一）一般医疗器械业务数据及备份数据，保存至医疗器械有效期后2年，无有效期的不少于5年；（二）植入类、介入类医疗器械全链条追溯数据、不良事件数据、召回数据永久保存；（三）系统运维记录、安全日志、备份记录保存不少于10年；（四）法律法规另有规定的，从其规定。第五章系统维护、升级与报废管理第三十三条信息技术部门负责医械信息系统的日常运维，每日开展系统巡检，检查内容包括服务器CPU、内存、磁盘使用率（磁盘使用率超过80%及时扩容）、网络连通性、系统运行状态、安全设备运行状态、温湿度监测系统状态等，形成《系统日巡检记录》，发现异常及时处置。第三十四条系统故障处理流程：（一）操作人员发现系统故障或异常，第一时间向信息技术部门报修，说明故障现象、影响范围；（二）信息技术部门接到报修后立即响应，一般故障（不影响核心业务开展）处理时间不超过2小时，重大故障（影响核心业务开展）处理时间不超过8小时；（三）故障处理完成后，信息技术部门验证故障解决情况，通知报修部门确认，形成《故障处理记录》；（四）重大故障导致数据异常的，处理完成后由质量管理部门组织核对相关业务数据，确保数据准确无误，重大故障情况需在2小时内上报单位负责人与质量管理部门。第三十五条系统升级管理：（一）系统升级分为功能性升级与安全性升级，升级前由信息技术部门制定升级方案，明确升级内容、升级时间、影响范围、回退预案，升级方案需经质量管理部门审核，确认升级后不降低系统合规性、不影响数据质量；（二）升级前必须进行全量数据备份，升级操作尽量选择非工作时间（如夜间、周末），减少对业务的影响，升级前提前3个工作日通知相关业务部门；（三）升级完成后，由质量管理部门、业务部门共同开展功能验证与数据验证，验证通过后方可正式上线，形成《系统升级验证报告》；（四）升级失败的，立即启动回退预案，恢复至升级前状态，确保业务尽快恢复正常，升级失败原因记录归档。第三十六条系统参数调整严格执行审批流程：涉及质量管控规则的参数（如效期预警时间、资质校验规则、拦截规则等）调整，由业务部门提出申请，说明调整原因并附相关依据，经质量管理部门负责人审批通过后，由系统管理员操作，调整过程全程留痕，记录在审计追踪日志中；非质量类参数调整由信息技术部门负责人审批后实施。第三十七条医械信息系统符合以下情形之一的，可以申请报废：（一）系统使用年限超过8年（自行开发系统超过10年），硬件老化、性能不足，无法满足业务需求，且升级改造性价比过低；（二）系统功能无法适配最新监管法规要求，且无法通过升级改造达标；（三）系统存在重大安全隐患，无法修复，可能导致数据泄露或丢失；（四）其他需要报废的情形。第三十八条系统报废流程：（一）信息技术部门提出报废申请，说明报废原因、系统现状、数据处置方案，提交质量管理部门审核；（二）质量管理部门审核确认系统确实无法满足合规要求后，报单位主要负责人审批；（三）审批通过后，信息技术部门负责将系统中的所有业务数据完整导出、分类归档，按照数据保存期限要求妥善存储，确保数据可追溯、可查询；（四）报废硬件设备采用符合国家保密标准的数据消磁或多次覆盖方式进行数据擦除，防止数据泄露，涉密设备需委托有资质的机构进行销毁；（五）报废相关资料（申请、审批、数据归档记录、硬件处置记录）归档保存，保存期限不少于10年。第六章培训、考核与应急管理第三十九条医械信息系统操作培训纳入员工年度培训计划，培训类型包括：（一）新员工入职培训：新员工上岗前必须完成系统操作规范、数据质量要求、安全管理规定的培训，培训时长不少于8学时，考核合格后方可开设系统账号、上岗操作；（二）专项培训：系统升级、功能调整、监管法规更新时，及时组织相关岗位人员开展专项培训，确保掌握最新要求，培训覆盖率100%；（三）年度全员培训：每年至少组织1次全员培训，内容包括系统操作技能、数据真实性要求、网络安全知识、法规合规要求，培训后进行考核，考核合格率不低于95%。第四十条培训应当留存记录，包括培训通知、培训课件、签到表、考核试卷、培训效果评估等资料，保存期限不少于3年。第四十一条医械信息系统管理情况纳入部门与员工绩效考核，考核指标包括：（一）数据录入准确率：要求不低于99.9%，出现虚假数据的从重考核，造成严重后果的追究相应责任；（二）操作合规性：无越权操作、无转借账号、无违规修改数据等行为，违规一次扣减相应绩效；（三）故障上报及时性：发现故障及时上报，无隐瞒不报导致损失的情形；（四）安全合规性：无网络安全违规行为，无数据泄露事件。考核结果与员工绩效、评优、晋升挂钩，对违规操作的人员按照单位规章制度予以处罚，情节严重涉嫌违法的，移交司法机关处