實(shí)驗(yàn)室分析儀器的數(shù)據(jù)完整性是當(dāng)今藥監(jiān)機(jī)構(gòu)的檢查重點(diǎn)，而審計(jì)追蹤則是確保其數(shù)據(jù)完整性的有效手段。特別是針對(duì)計(jì)算機(jī)化系統(tǒng)，審計(jì)追蹤功能幾乎成為強(qiáng)制要求。但究竟什么是審計(jì)追蹤，哪些儀器需要審計(jì)追蹤，如何進(jìn)行審計(jì)追蹤，審計(jì)追蹤如何做到定期審核，我們或多或少會(huì)有點(diǎn)疑問。本文將根據(jù)國(guó)內(nèi)外相關(guān)法規(guī)指南，提供這些問題的解答。

1. 什么是審計(jì)追蹤

數(shù)據(jù)審計(jì)追蹤：是一系列有關(guān)計(jì)算機(jī)操作系統(tǒng)、應(yīng)用程序及用戶操作等事件的記錄，用以幫助我們從原始數(shù)據(jù)追蹤到有關(guān)的記錄、報(bào)告或事件，或從記錄、報(bào)告、事件追溯到原始數(shù)據(jù)。

——中國(guó)GMP附錄(2015):計(jì)算機(jī)化系統(tǒng) 第六章 術(shù)語

簡(jiǎn)單來說，審計(jì)跟蹤是用來呈現(xiàn)系統(tǒng)中“誰、何時(shí)、做什么、為什么這樣做”的記錄，能夠重現(xiàn)與電子記錄的創(chuàng)建、修改或刪除有關(guān)的事件過程。通過審核審計(jì)追蹤，可以知道測(cè)試數(shù)據(jù)的產(chǎn)生是否真實(shí)、有效，是否符合數(shù)據(jù)完整性的要求。

2. 審計(jì)追蹤的法規(guī)依據(jù)

2.1 中國(guó)GMP附錄(2015):計(jì)算機(jī)化系統(tǒng)

第十六條 計(jì)算機(jī)化系統(tǒng)應(yīng)當(dāng)記錄輸入或確認(rèn)關(guān)鍵數(shù)據(jù)人員的身份。只有經(jīng)授權(quán)人員，方可修改已輸入的數(shù)據(jù)。每次修改已輸入的關(guān)鍵數(shù)據(jù)均應(yīng)當(dāng)經(jīng)過批準(zhǔn)，并應(yīng)當(dāng)記錄更改數(shù)據(jù)的理由。應(yīng)當(dāng)根據(jù)風(fēng)險(xiǎn)評(píng)估的結(jié)果，考慮在計(jì)算機(jī)化系統(tǒng)中建立數(shù)據(jù)審計(jì)跟蹤系統(tǒng)，用于記錄數(shù)據(jù)的輸入和修改以及系統(tǒng)的使用和變更。

2.2 美國(guó)聯(lián)邦法規(guī)21章 第11款 (21 CFR Part 11) 中的11.10 (e)部分

使用審計(jì)追蹤（獨(dú)立地）記錄操作者登錄和操作（包括電子記錄的創(chuàng)建、修改或刪除）的日期和時(shí)間，該審計(jì)追蹤記錄應(yīng)該是安全的、計(jì)算機(jī)自動(dòng)生產(chǎn)的，自帶時(shí)間標(biāo)記的。審計(jì)追蹤產(chǎn)生的新記錄不能覆蓋之前的記錄信息。審計(jì)追蹤記錄應(yīng)該與其所歸屬的記錄的保存期一致；此外，當(dāng)FDA需要審核和拷貝時(shí)，審計(jì)追蹤文件應(yīng)該是可用的。

2.3 歐盟GMP附件11 中的審計(jì)追蹤部分

基于風(fēng)險(xiǎn)評(píng)估，應(yīng)該考慮在系統(tǒng)內(nèi)部創(chuàng)建所有和GMP數(shù)據(jù)相關(guān)的創(chuàng)建、變更和刪除記錄（就是在系統(tǒng)內(nèi)部產(chǎn)生審計(jì)追蹤）。對(duì)于變更或者刪除GMP相關(guān)的數(shù)據(jù)，應(yīng)該記錄原因。應(yīng)該具有審計(jì)追蹤功能，并且可以轉(zhuǎn)化為一般意義上易于理解的形式，便于定期審核。

此外，MHRA的《GXP數(shù)據(jù)完整性指南和定義》，WHO的《數(shù)據(jù)完整性指南》以及其他與數(shù)據(jù)完整性相關(guān)的法規(guī)指南都有與上述法規(guī)相類似的審計(jì)追蹤要求。

3. 哪些儀器需要審計(jì)追蹤

并不是所有儀器都需要審計(jì)追蹤，我國(guó)和歐盟的GMP 文件都提到“基于風(fēng)險(xiǎn)評(píng)估”進(jìn)行考慮，企業(yè)應(yīng)該通過科學(xué)合理的風(fēng)險(xiǎn)評(píng)估來決定哪些儀器的數(shù)據(jù)安全性風(fēng)險(xiǎn)高，需要審計(jì)追蹤進(jìn)行管控。例如，如果該儀器具有以下特點(diǎn)，應(yīng)該評(píng)估為高風(fēng)險(xiǎn)：

（1） 這些儀器產(chǎn)生的數(shù)據(jù)屬于關(guān)鍵工藝參數(shù)，直接影響產(chǎn)品質(zhì)量和患者安全。

（2） 為保證測(cè)試數(shù)據(jù)的完整性和有效性，數(shù)據(jù)需要以電子數(shù)據(jù)的方式生成并存儲(chǔ)于儀器的數(shù)據(jù)庫中。這樣的電子數(shù)據(jù)具有被修改，刪除或偽造的風(fēng)險(xiǎn)。

（3） 系統(tǒng)復(fù)雜，測(cè)試過程產(chǎn)生大量數(shù)據(jù)，無法通過簡(jiǎn)單的書面記錄的方式進(jìn)行完整的溯源。

一般來說，如溶出度儀、高效液相色譜儀、質(zhì)譜儀、氣相色譜儀等都屬于這類高風(fēng)險(xiǎn)儀器。其中溶出度儀更是檢測(cè)藥物釋放溶出程度的重要儀器，是保證和衡量固體口服制劑生產(chǎn)工藝及質(zhì)量的重要環(huán)節(jié)，其測(cè)試結(jié)果將直接影響品質(zhì)量和患者安全，是藥監(jiān)機(jī)構(gòu)關(guān)注的重點(diǎn)。

這些高風(fēng)險(xiǎn)儀器的計(jì)算機(jī)化系統(tǒng)要求進(jìn)行審計(jì)追蹤管理。如果上述儀器沒有審計(jì)追蹤功能，或?qū)徲?jì)追蹤功能處于關(guān)閉狀態(tài)，審查人員就有理由懷疑其測(cè)試數(shù)據(jù)的真實(shí)性和有效性，如果企業(yè)無法提供有效證據(jù)來澄清這種造假的嫌疑，將會(huì)引發(fā)審查人員對(duì)產(chǎn)品質(zhì)量的質(zhì)疑和對(duì)企業(yè)整個(gè)GMP體系的不信任。

例如，《PIC/S GMP 缺陷分級(jí)指南》指出，如果有證據(jù)表明或發(fā)現(xiàn)企業(yè)有偽造、蓄意歪曲，或蓄意篡改產(chǎn)品或數(shù)據(jù)的行為，將會(huì)被定義是關(guān)鍵缺陷。而關(guān)鍵缺陷將直接導(dǎo)致企業(yè)的GMP證書被收回。

4. 如何進(jìn)行審計(jì)追蹤

審計(jì)追蹤應(yīng)該囊括整個(gè)計(jì)算機(jī)化系統(tǒng)的各個(gè)層面，一個(gè)完整的審計(jì)追蹤才能保證所有與數(shù)據(jù)安全性相關(guān)的行為均有被記錄。例如PDA TR80 /2018就給我們展示了一個(gè)囊括基礎(chǔ)系統(tǒng)到測(cè)試結(jié)果各個(gè)層面的審計(jì)追蹤流程：

另外，在對(duì)整個(gè)計(jì)算機(jī)化系統(tǒng)進(jìn)行審計(jì)追蹤的過程中，還應(yīng)該注意以下幾點(diǎn)：

（1） 審計(jì)追蹤均應(yīng)激活，必要時(shí)采用風(fēng)險(xiǎn)評(píng)估來識(shí)別（如本文第3部分）。

（2） 一般用戶不應(yīng)有權(quán)限修改或關(guān)閉審計(jì)追蹤。如果系統(tǒng)管理員進(jìn)行了修改，或者關(guān)閉了審計(jì)追蹤，則應(yīng)保存有一份該動(dòng)作的記錄和理由說明。

（3） 審計(jì)追蹤產(chǎn)生的新記錄不能覆蓋之前的記錄信息。

（4） 審計(jì)追蹤記錄應(yīng)該可以被導(dǎo)出，以便提供審查人員審核。

（5） 無法被審計(jì)追蹤的行為應(yīng)該被限制，例如直接在儀器上對(duì)測(cè)試樣品進(jìn)行單次進(jìn)樣。

5. 審計(jì)追蹤應(yīng)該包含哪些內(nèi)容

各國(guó)法規(guī)就要求審計(jì)追蹤需要完整可追溯，通過審計(jì)追蹤可以重建與電子記錄的創(chuàng)建、修改或刪除有關(guān)的事件過程。這就要求審計(jì)追蹤的記錄中應(yīng)該至少包含以下內(nèi)容：

（1） 時(shí)間

每個(gè)審計(jì)追蹤記錄都應(yīng)該有時(shí)間戳，記錄所有動(dòng)作執(zhí)行的時(shí)間和日期。

另外，所有系統(tǒng)的時(shí)間應(yīng)該與標(biāo)準(zhǔn)時(shí)間同步。

（2） 人物

所有動(dòng)作都應(yīng)該記錄執(zhí)行用戶的名稱，且必須能關(guān)聯(lián)到人員。

（3） 動(dòng)作描述

通過動(dòng)作描述應(yīng)能夠識(shí)別動(dòng)作的內(nèi)容和性質(zhì)，能夠知道當(dāng)時(shí)究竟干了什么。動(dòng)作對(duì)象的信息也應(yīng)該明確，例如是執(zhí)行測(cè)試動(dòng)作，測(cè)試對(duì)象（樣品）的信息應(yīng)該完整，才能進(jìn)行有效的歸屬和追溯。

（4） 變更/刪除的理由

如果涉及數(shù)據(jù)變更或刪除的動(dòng)作，還應(yīng)記錄其理由。

6. 審計(jì)追蹤如何審核

相關(guān)法規(guī)中提到的“定期審核”，并不是要求例行審核所有的審計(jì)追蹤內(nèi)容。而究竟要審核哪些記錄，多久審核一次，同樣需要根據(jù)風(fēng)險(xiǎn)評(píng)估來確定。企業(yè)應(yīng)該根據(jù)風(fēng)險(xiǎn)水平來決定不同系統(tǒng)的審核程度和審核頻率，以及同一系統(tǒng)中不同種類審計(jì)追蹤記錄的審核優(yōu)先程度。

以系統(tǒng)的風(fēng)險(xiǎn)水平進(jìn)行分類。針對(duì)不同風(fēng)險(xiǎn)水平的系統(tǒng)，制定需要審核的內(nèi)容，例如下面的范例：

高風(fēng)險(xiǎn)系統(tǒng)需要審核與下面行為相關(guān)的審計(jì)追蹤：

（1） 測(cè)試參數(shù)的變化

（2） 數(shù)據(jù)處理參數(shù)的變化

（3） 刪除數(shù)據(jù)

（4） 修改數(shù)據(jù)

（5） 篡改數(shù)據(jù)

（6） 分析人員的行為

（7） 測(cè)試結(jié)果不合理的處理（如色譜峰不合理積分）

（8） 與數(shù)據(jù)相關(guān)的安全漏洞

中、低風(fēng)險(xiǎn)系統(tǒng)需要審核與下面行為相關(guān)的審計(jì)追蹤：

（1） 數(shù)據(jù)的變更

（2） 數(shù)據(jù)的刪除

（3） 未經(jīng)授權(quán)的訪問或操作