【原创讨论】纸质记录代替电子签名与审计追踪

石头968

    在多次的《计算机化系统与数据完整性》的培训中，我都专门提到了，如果计算机化系统暂时没有“审计追踪功能”怎么办？
    当然，如果能够在“成本与风险相适宜”的情况下，轻而易举的增加这个功能，是一件皆大欢喜的事情。
    如果需要更换价格昂贵的设备，或者需要被“狠宰一刀”，那么还是算了吧！
    我建议的做法是，使用纸质记录，人工签名，来全面追踪我们对数据进行的所有删、改，包括所有的对计算机系统做出的重要的非正常操作活动，都可以辅以纸质纪录来进行控制。应详细记录删改人、删改时间，并记录删改的理由，必要时删、改应经过书面批准。
    最近看了WHO的《数据与记录管理规范指南》中对于电子签名的纸质记录替代问题，与我的建议不谋而合。
    当然，这只是一种不得已的暂时的做法，并不值得推广，当没有“审计追踪功能”的系统被自然淘汰后，新的技术手段和硬件/软件措施，还是要积极使用的！
    我一再强调的“与时俱进”的技术和方法!

    在WHO的《数据与记录管理规范指南》第9节：良好文件规范
    对特定人员行为可归属性控制措施的特殊风险管理考量：
    若系统缺少电子签名的功能，可以使用混合模式对电子记录签名。
    为了对电子记录进行手写签名， 一种简单的方法可以是：创建一个印有系统使用以及数据审核书面规程的单独受控页面。该页面上应列明应审核的电子数据集以及任何其他应当审核的相关元数据，并为数据的作者、审核者、 和/或批准者的手写签名提供空白栏。
    该份有手写签名的纸质记录应当安全且可追踪到电子数据集上。可以使用的方法包括流程性的方法，如详细的归档目录，或者技术手段，如将签字页扫描图片的认证真实副本嵌入电子数据集中。
    混合记录方法很可能会比全电子化方法更加费事，因此 如果可能建议使用全电子签名。

    同样道理，使用混合模式代替电子审计追踪功能，在没有审计追踪功能的计算机化系统上，使用纸质记录来替代电子的审计追踪功能，应该是一种暂时可行的做法。
   以下是我的课件中摘录的重点内容：

    纸质记录的审计追踪，任何修改、删除都必须使原始数据清晰可读，并记录进行修改的人员、修改日期及修改原因，根据需要证实并说明变化的理由。
    电子记录的审计追踪，在系统和记录中均应允许复原或再现与事件相关的创建、修改和删除电子数据的过程，应保存原始输入和文档的用户 ID，行动的时间、日期、及行动的理由。
    计算机系统用于获取、处理、报告、存贮原始数据时，系统设计应能提供全面审计追踪的功能，能够显示对数据进行的所有删、改。
    审计追踪功能应显示删改人、删改时间，并记录删改的理由，必要时删、改应经过批准。
    审计追踪仅对关键的操作事项进行记录，无需包括所有的活动。
    只要能够达到GMP的要求，纸质的追踪记录也可以被接受。（任何删改都经过申请、审核、批准）
    企业应根据科技发展的状况，采用普遍被接受的科学的方法进行药品生产和检验。（与时俱进）

    呵呵，你继续读法规原文：

    当一个计算机化系统缺乏计算机生成的审计追踪，人员可以使用替代方法，比如日志的程序控制使用、变更控制、记录版本控制或其他纸质加电子记录的组合来满足 GxP 对以下文档可追溯性的具体监管期望，如对什么、谁、时间、原因的记录。程序控制应当包括书面规程、培训项目、 记录审核及审计以及管理过程的自查。

    当然，混合模式记录的方法，并不是最好的方法，只是权宜之计，随着科技的发展，审计追踪功能有更好。
    但是没有也不犯法！
    以后就不知道了！

    最后，还请参阅：
    【原创讨论】哪些设备仪器需要“审计追踪”（二）
    https://www.ouryao.com/forum.php? ... 93260&fromuid=19880
    (出处: 蒲公英 - 制药技术的传播者 GMP理论的实践者)
    【原创讨论】哪些设备仪器需要“审计追踪”？（一）
    https://www.ouryao.com/forum.php? ... 93015&fromuid=19880
    (出处: 蒲公英 - 制药技术的传播者 GMP理论的实践者)

    并不是所有的设备仪器、计算机系统（自控系统），都必须有电子签名和审计追踪功能
    哪些必须有
    哪些可以有
    哪些可以没有
    自己要去分析判断，并基于法规要求和风险等级，书面分类管理。

仁者心动

石头968 发表于 2016-1-21 09:47
实在没有审计追踪功能，又真的需要删、改数据，您说怎么办？
一刀都砍死吗

没有审计追踪的话，可以通过电脑设定进入密码，一人一个账户，密码唯一，定期更换，qc只有操作员权限。
QA定期审计设备日志，不得有任何更改删除的记录，一般有的话日志里字体颜色可以看出来。
我一个客户当初这么问过，我就是这么建议的，如果没有恶意删除篡改的迹象，审计官也还是可以接受的。
硬件不足，软件补，后期的培训、SOP和人员管理、qa审计核实其实也一样可以起到审计追踪的目的，目前的检查案例来看也都通过了，但是这只是一时的权宜之计。
出警告信那些个厂家，都是被发现恶意篡改数据的线索，检察官顺着查下去毙掉的。

stupid22273

欧盟2017年就不接受纸质审计了，现在都2016年了，还是未雨绸缪，抓紧上审计软件吧。

石头968

stupid22273 发表于 2016-1-21 09:38
欧盟2017年就不接受纸质审计了，现在都2016年了，还是未雨绸缪，抓紧上审计软件吧。

走出去的，肯定要遵守目标地的法规。
本文说的是WHO，中国也还没有期限，暂时可以慢慢来吧

Sword

数据删改使用纸质记录进行追踪，有点自欺欺人的意思

石头968

Sword 发表于 2016-1-21 09:45
数据删改使用纸质记录进行追踪，有点自欺欺人的意思

实在没有审计追踪功能，又真的需要删、改数据，您说怎么办？
一刀都砍死吗

Sword

石头968 发表于 2016-1-21 09:47
实在没有审计追踪功能，又真的需要删、改数据，您说怎么办？
一刀都砍死吗

真删、改数据，然后没在纸质记录上填写，您说怎么办？谁能保证记录的及时性（按照您之前“可以事后补填”的观点）？

Sword

石头968 发表于 2016-1-21 09:47
实在没有审计追踪功能，又真的需要删、改数据，您说怎么办？
一刀都砍死吗

我认为没有审计追踪就属于很大的缺陷，确实该砍死

石头968

Sword 发表于 2016-1-21 10:06
我认为没有审计追踪就属于很大的缺陷，确实该砍死

好吧

石头968

Sword 发表于 2016-1-21 10:06
真删、改数据，然后没在纸质记录上填写，您说怎么办？谁能保证记录的及时性（按照您之前“可以事后补填” ...

任何手段都阻止不了故意作假行为，比如同步填写，看到2填写3，你说怎么办？
监督人、操作人、填写人，串通一气，你有办法吗？
所以，也不能太极端了

老鸟

有审计追踪确实要方便很多，你想过没，如果你采用纸质记录来代替审计追踪，你将增加多少工作？而且所有记录必须做平衡？手填的越多，越容易出问题……

石头968

药厂老鸟 发表于 2016-1-21 10:45
有审计追踪确实要方便很多，你想过没，如果你采用纸质记录来代替审计追踪，你将增加多少工作？而且所有记录 ...

所以才说是权宜之计，过渡阶段的必要手段，不推荐的方法

石头968

药厂老鸟 发表于 2016-1-21 10:45
有审计追踪确实要方便很多，你想过没，如果你采用纸质记录来代替审计追踪，你将增加多少工作？而且所有记录 ...

混合记录方法很可能会比全电子化方法更加费事，因此 如果可能建议使用全电子签名。

我们也可以参照欧盟的2017年底的期限。

Sword

石头968 发表于 2016-1-21 10:41
任何手段都阻止不了故意作假行为，比如同步填写，看到2填写3，你说怎么办？
监督人、操作人、填写人，串 ...

所以合适的监控手段非常重要，尤其是作为GAMP5以及FDA 21CFR PART 11硬性要求之一

总是挑战硬性的要求，这也不好吧

xhf123456

现在客户审计对有没有审计追踪的一票否决

石头968

Sword 发表于 2016-1-21 10:58
所以合适的监控手段非常重要，尤其是作为GAMP5以及FDA 21CFR PART 11硬性要求之一

总是挑战硬性的要求 ...

我引用的是WHO的指南，仅具有部分指导意义
GAMP5以及FDA 21CFR PART 11似乎也没有硬性要求，至少我没看到，你可以摘出来看看
本文中的指南原文也说了：对特定人员行为可归属性控制措施的特殊风险管理考量

石头968

xhf123456 发表于 2016-1-21 11:07
现在客户审计对有没有审计追踪的一票否决

并非所有的设备仪器，都必须有这个功能，基于风险的分级管理，才是科学的。
【原创讨论】哪些设备仪器需要“审计追踪”？（一）
https://www.ouryao.com/forum.php? ... 5&fromuid=19880
(出处: 蒲公英 - 制药技术的传播者 GMP理论的实践者)

石头968

xhf123456 发表于 2016-1-21 11:07
现在客户审计对有没有审计追踪的一票否决

哪些必须有
哪些可以有
哪些可以没有
自己要去分析判断，并基于法规要求和风险等级，书面分类管理。

红叶舞秋山

谢谢分享啊

北重楼

审计追踪是很重要，但是药学基础研究不能丢，丢了魂就什么都拿不回来了

石头968

北重楼 发表于 2016-1-21 13:21
审计追踪是很重要，但是药学基础研究不能丢，丢了魂就什么都拿不回来了

审计追踪只是便于追查犯罪分子，并不能有效预防犯罪