计算机化系统验证管理规程（CSV SOP）

计算机化系统验证管理规程（CSVSOP）文件名称计算机化系统验证管理规程文件编号SOP-IT-CSV-001版本号A/0文件类别管理规程（SOP）起草部门＿＿＿＿＿＿生效日期＿＿＿＿年＿＿月＿＿日适用领域GMP／GxP计算机化系统全生命周期验证总页数共＿页环节部门／岗位签名日期起草＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿审核＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿批准质量负责人＿＿＿＿＿＿＿＿＿＿编制说明（方法学与条款依据已核对，四处需注意）一、风险评估方法选用FMEA、FTA或风险矩阵，不采用HAZOP。HAZOP面向工艺危害与偏差分析，用于计算机化系统属方法错配，检查时会被质疑风险评估的有效性。二、“Tier1／2／3”是风险分级，与GAMP5的软件分类（1～4类）不是同一维度。前者回答“这个系统要验证到什么深度”，后者回答“这个软件按什么方式验证”。二者应同时使用，不能互相替代。三、年度系统回顾不是法规强制条款，是企业自设的持续验证机制，用于支撑GMP年度质量回顾与自检。写进SOP后即成为内部强制要求，但对外表述时应说明其性质，避免被误认为法定要求。四、欧盟GMP附录11中，数据存储与备份的条款是第7.2条，审计追踪为第9条。标准编号与条款引用一律按此对应，不使用流传版本中常见的“4.7”等错误条号。1目的规范本企业GxP计算机化系统全生命周期验证管理，明确系统从立项判定、风险评估与分级、验证实施、放行使用、变更与再验证、日常管控、年度回顾直至退役各阶段的职责、流程与文件要求，确保持续满足法规要求与数据完整性要求，保证电子记录真实、准确、完整、可追溯，防止数据丢失、篡改与不可追溯。2范围2.1适用于本企业全部用于GxP活动的计算机化系统，包括但不限于：实验室信息管理系统（LIMS）、色谱数据系统（CDS）与工作站、制造执行系统（MES）、数据采集与监控系统（SCADA）、电子批记录系统、质量管理系统、电子文档管理系统、仓储管理系统、电子签名系统、设备自带数据采集软件。2.2不适用于纯办公用途、不产生GxP记录的系统（如普通办公自动化、个人办公软件）。此类系统如后续被用于处理GxP数据，须按本规程第5.1条重新判定并纳入管理。2.3覆盖的验证活动包括：GxP属性判定、风险评估与分级、验证总计划、URS编制、供应商评估、IQ／OQ／PQ、数据备份与恢复验证、电子签名与权限矩阵验证、偏差与CAPA、验证报告与放行、变更与再验证、日常管控、年度回顾、系统退役。3职责角色职责质量负责人／QA批准本规程；审批风险评估、验证方案、验证报告、变更评估、偏差与CAPA、年度回顾报告；确认系统放行；组织数据完整性检查与自检IT负责人统筹验证实施；负责服务器、数据库、网络、权限与备份管理；组织供应商对接；负责部署、运维与退役执行业务负责人（QC／生产／仓储）提出需求并编制URS；参与风险评估与OQ／PQ测试；确认业务功能满足使用要求；负责日常使用与异常上报验证负责人编制验证方案与报告；组织测试执行与记录；协调跨部门测试；跟踪偏差与CAPA关闭供应商提供URS应答、功能说明、测试证据、安装与运维手册、培训；配合验证并提供必要声明文件系统用户按授权范围操作，不越权、不私自修改配置与数据库，发现异常及时上报4定义CSV：计算机化系统验证（ComputerizedSystemValidation），通过文件化证据证明系统持续满足预定用途与法规要求的过程。GxP：药品、医疗器械等领域的良好生产与实验室规范总称。4Q：设计确认（DQ）、安装确认（IQ）、运行确认（OQ）、性能确认（PQ）。URS：用户需求规格说明，须逐条可测试。ALCOA+：可归属、清晰、同步、原始、准确，加完整、一致、持久、可获得。审计追踪：安全、带时间戳、不可篡改的操作记录，涵盖GxP数据的创建、修改、删除与审批。Tier分级：按数据影响度划分的系统风险等级（Tier1高、Tier2中、Tier3低），决定验证深度与回顾频次。RTO／RPO：恢复时间目标／恢复点目标，用于备份与恢复验证。VMP：验证总计划，统领本企业全部验证活动的纲领性文件。5程序5.1GxP属性判定与立项5.1.1任何新增或改造的信息系统，在采购或开发前须先做GxP属性判定：是否创建、修改、存储、传输、审批GxP记录；是否影响产品质量、患者安全或数据可靠性。判定结论写入立项申请，QA会签。5.1.2判定为GxP系统的，纳入验证范围并按本规程执行；判定为非GxP系统的，记录判定理由并存档，后续用途变更时重新判定。5.1.3立项须明确系统范围、数据范围、接口关系、实施计划与验证资源。5.2验证总计划与系统清单5.2.1QA会同IT每年编制并更新《验证总计划》，覆盖全部GxP系统，明确各系统的Tier等级、验证状态、验证方式、计划完成时间与责任人。5.2.2同步维护《计算机化系统清单》与《验证状态台账》，作为VMP的支撑文件。清单应无遗漏，这是检查中最先被调取的文件之一。5.3风险评估与分级5.3.1系统上线前须完成GxP风险评估，方法采用FMEA、故障树分析（FTA）或风险矩阵，不使用HAZOP。5.3.2评估维度至少包括：产品质量影响、患者安全影响、数据完整性影响、审计追踪完整性、权限控制、备份与恢复、接口可靠性、网络与安全、人为操作风险、法规符合性。5.3.3按评估结论划定Tier等级，并据此确定验证深度：Tier典型系统验证深度恢复测试回顾频次Tier1LIMS、CDS与色谱工作站、MES、电子批记录系统完整IQ＋OQ＋PQ每季度每年Tier2文档管理、培训管理、设备管理、质量管理系统IQ＋OQ＋简化PQ每半年每年Tier3辅助记录类、非关键数据采集工具IQ＋简化OQ年度抽查每两年5.3.4风险评估报告须经QA批准；报告中的风险控制措施应逐条转化为验证方案的测试项，形成一一对应，避免评估与验证脱节。5.3.5Tier分级与GAMP5软件分类（1～4类）应同时标注于风险评估报告中，二者维度不同：前者定验证深度，后者定验证方式。5.4URS编制与供应商评估5.4.1业务部门编制URS，内容须覆盖：业务功能、数据与记录要求、审计追踪、电子签名、权限与角色、备份与恢复、接口、报表、性能、法规符合性与数据完整性要求。每条需求应可测试、可判定。5.4.2URS由业务、IT、QA共同评审，QA批准后方可采购或开发；后续需求变更走变更控制，并同步更新URS版本。5.4.3Tier1系统的供应商须开展供应商评估（可现场审计或问卷评估），评估开发质量体系、合规能力、变更通知机制、技术支持与退出安排，形成评估报告并存档。供应商评估不能替代企业自身的验证责任。5.5验证方案5.5.1验证负责人依据URS与风险评估报告编制验证方案，内容至少包括：系统概述、版本、架构与数据流；验证范围与不适用范围及理由；职责分工与测试环境说明；风险控制措施与测试项的对应关系；IQ／OQ／PQ测试项、接受标准、测试步骤、记录表格；数据备份恢复、电子签名、权限矩阵、审计追踪专项测试；偏差与CAPA处理规则、测试数据与记录的归档要求。5.5.2方案经业务、IT、QA评审，QA批准后执行。方案批准后不得随意修改，需修改的走方案变更并记录理由，变更后的测试项须重新审批。5.64Q实施5.6.1DQ设计确认。适用于自开发或深度定制系统，确认设计文件（功能规格、详细设计、数据模型）满足URS；商业化成品软件可免DQ，但须在验证方案中说明理由。5.6.2IQ安装确认。确认硬件型号与序列号、软件版本与许可、操作系统与数据库版本、时区与字符集、网络与端口、存储与备份路径、基础权限配置、审计追踪功能已开启、随机文件齐全。时区配置错误将直接导致时间戳缺陷，属高频问题，必须单独记录核对结果。5.6.3OQ运行确认。在受控环境证明功能符合URS，必测项包括：基础功能：录入、查询、修改、审批、打印、导出、报表计算准确性；权限矩阵：角色与权限分配符合最小权限原则，越权操作被拦截；审计追踪：数据新增、修改、删除、审批、登录注销均自动生成追踪记录，时间戳不可篡改，追踪功能不可关闭；电子签名：签名与操作人、时间、签名含义绑定，满足21CFRPart11第11.50、11.70条对签名表现形式与记录链接的要求；接口：系统间数据传输准确、无丢失、无重复；备份与恢复：按第5.7条执行，须在隔离环境完成，禁止在生产环境做恢复测试；告警：备份失败、登录失败、权限变更、审计追踪关闭等事件能触发告警；负面测试：非法输入、超长字符、越界值、断网、异常断电后的数据一致性。5.6.4PQ性能确认。在真实业务工况与正常负荷下连续运行，证明系统长期稳定。Tier1系统应使用真实业务流程闭环（如样品录入—检验—复核—审批—放行）；连续运行周期由风险评估确定，建议7～14天（属企业约定，非法规要求）。PQ重点不是重复OQ，而是真实数据、真实负荷下的稳定性与数据一致性。5.7数据备份与恢复专项验证5.7.1备份与恢复验证作为OQ的独立测试集，测试项至少包括：备份任务自动执行与哈希完整性校验、标准恢复、时间点恢复、备份链断裂的负面测试、异地介质恢复、备份失败告警、历史介质可读性抽查。5.7.2恢复后须逐项核对：业务数据、元数据、审计追踪的连续性与不可篡改、用户与权限、配置与方法文件、字符集与时区、哈希比对记录、恢复操作本身是否被记录。5.7.3实测恢复时间应记录并与预定RTO比对；RPO由备份调度保证，须在方案中说明依据。相关要求见EUGMP附录11第7.2条：备份数据的完整性与准确性、以及恢复能力，应在验证期间检查并定期监控。5.7.4备份策略执行3-2-1原则（3份副本、2种介质、1份异地），异地指不同建筑或不同园区。5.8偏差与CAPA5.8.1测试结果不符合接受标准时，立即启动偏差，记录现象、发生时间、影响的数据范围与初步风险评估。5.8.2偏差调查须区分三类原因：测试操作错误、系统缺陷、接受标准设定不合理。第三类需修订方案并重新审批，不得以降标准方式通过测试。5.8.3整改后须重新测试并留存记录；偏差关闭、CAPA有效性确认后，验证方可继续。所有偏差与CAPA编号纳入验证报告，不得游离于报告之外。5.9验证报告与放行5.9.1全部测试完成且偏差、CAPA关闭后编制验证报告，内容包括：方案执行回顾、测试项与结果汇总、偏差与CAPA清单及关闭状态、风险再评估结论、遗留风险说明、总体验证结论。5.9.2报告经业务、IT、QA评审，QA批准。未获批准放行的系统，禁止用于GxP活动。5.9.3放行后即时更新《验证状态台账》，登记系统名称、版本、Tier等级、验证日期、下次回顾日期、验证状态（待验证／验证中／已验证／待再验证／已退役）。5.10变更控制与再验证5.10.1系统任何变更均须走变更控制，变更类型包括：软件版本升级、补丁安装、数据库迁移、服务器或存储更换、功能新增或修改、权限架构调整、备份策略变更、接口变更、供应商变更。5.10.2由业务、IT、QA组成评估小组，判定变更风险与再验证范围：高风险变更：核心软件版本升级、数据库迁移、架构重构——须重新OQ，必要时补做PQ；中低风险变更：报表模板调整、界面字段增减——做影响评估加针对性补充测试；无影响变更：评估后免于测试，但评估结论须书面留档，不得口头判定。5.10.3变更实施、测试、批准完成后，同步更新验证报告、URS、台账与相关SOP。5.11日常管控5.11.1权限管理：按最小权限原则授权；权限至少每季度复核一次；人员离职或岗位变动当日冻结或调整账号；权限变更留审批与审计追踪记录。5.11.2备份与恢复：按批准的备份SOP执行；按Tier等级开展恢复测试并归档记录；备份失败须告警并处置，不得出现长期失败无人发现的情形。5.11.3审计追踪：追踪记录定期归档，不得删除、不得关闭；QA定期抽查，抽查记录留存。5.11.4运维管理：运维操作须有工单与审批，操作过程进入审计追踪；禁止运维人员直接修改生产数据库中的数据。5.12年度系统回顾5.12.1Tier1、Tier2系统每年开展一次系统回顾；Tier3系统每两年一次。此项为企业自设的持续验证要求，用于支撑年度质量回顾与自检，非法规强制条款。5.12.2回顾内容包括：全年故障与告警、偏差与CAPA、变更与再验证情况、备份成功率与恢复测试结果、审计追踪抽查发现、用户反馈与培训情况、供应商服务情况、风险再评估结论。5.12.3回顾结论分为：维持验证状态、需补充测试、需重大升级、准备退役。回顾报告经QA批准，结论涉及的后续行动纳入年度计划跟踪。5.13系统退役5.13.1系统停用前提交退役申请，由IT与QA评估GxP数据与审计追踪的保留要求，确认满足法规与文件保存期限。5.13.2退役前完成数据归档：导出全部GxP原始数据、元数据、审计追踪与必要配置，做归档介质可读性验证并建立长期保管台账，明确保管责任人与调取方式。5.13.3服务器与存储中的数据清除按信息安全与保密要求执行；严禁在未完成归档验证前删除GxP数据。退役完成后更新验证状态台账为“已退役”。5.14培训5.14.1系统放行前，由IT与供应商对系统管理员、操作人员、QA开展培训，内容含系统操作、权限使用、审计追踪要求、数据完整性、异常与偏差上报。5.14.2培训须有签到与考核记录并归档；新员工上岗前完成培训并通过考核方可获得系统权限。6文件与归档6.1每个GxP系统建立一套完整验证档案，包括：GxP判定记录、风险评估报告、供应商评估报告、URS、验证方案、原始测试记录与截图、偏差与CAPA、验证报告、变更记录、年度回顾报告、退役报告（如适用）。6.2档案实行电子与纸质双轨归档，保存期限与该系统所产生GxP数据的保存期限一致；电子档案须可读、可检索、可追溯到原始记录。6.3档案由QA归口管理，借阅与调取留记录。7相关文件SOP-IT-002计算机化系统权限管理规程SOP-IT-003数据备份与恢复管理规程SOP-QA-005偏差管理规程SOP-QA-006纠正与预防措施（CAPA）管理规程SOP-QA-007变更控制管理规程SOP-QA-008风险管理规程SOP-QA-009文件与记录管理规程SOP-QA-010年度质量回顾管理规程8附件附件名称附件1GxP属性判定表附件2计算机化系统风险评估表（FMEA）附件3用户需求规格（URS）模板附件4验证方案模板附件5IQ／OQ／PQ测试记录表