【转】从IQ、OQ、PQ聊聊CSV的历史 - 其实CSV很简单

叶非

一篇不错的文章，推荐给大家！
2016-04-09 松涛阵阵 松涛阵阵 松涛阵阵 松涛阵阵  

微信号 Songtao_CSV

功能介绍 解读IT合规及计算机化系统验证（CSV）

一、概述
自从国家食品药品监督管理总局发布《计算机化系统》和《确认与验证》两个附录，自2015年12月1日起施行，计算机化系统验证CSV的话题逐渐开始火热起来。
其实在这两个附录发布之前，中国的药厂也是要做计算机设备的IQ、OQ、PQ验证的，俗称3Q验证，于是就总有人问我，这之前做的验证和刚刚发布需要做的CSV有什么区别？正好之前写过一篇文章来讨论这个，这次再结合《计算机化系统》这个附录，说一下我的理解，顺便回顾一下CSV的发展历史。

二、两条平行线理论
我敬爱的“矮大紧”高晓松高老师曾经有过一段对于对人类社会的走势的说法，人类社会的发展过程中存在两条平行线。一条是科技，一条是文艺。这两条线是缠绕在一起的螺旋上升的，类似于基因的组织形式。有时候科技遥遥领先了，但是如果文艺没有跟上来就会产生类似于第一次世界大战那样的悲剧。现在中国就是一个缺少文艺大师的年代，科技飞速进步，但是人类精神世界缺少指引，但是人是靠希望才能生存的动物，所以中国有一种思潮就是开始复古，向古代的那些先贤寻求精神上的支撑。
同理对于医药计算机化系统历史来说也是两条平行线，一条是技术，一条是管理。技术进步为人类带来了巨大的福祉；但是，翻开医药历史，古代就不说了，就算是到了近现代，由于对技术的缺乏管理而对人类健康造成的伤害可以说是血泪斑斑、罄竹难书。（我自己本人就是中国落后的药检制度的受害者，不提了，都是眼泪。）
计算机化系统合规，技术和管理的纠结，主要就分为以下四个阶段：

第1阶段： 最开始纸质文档，对应有相应的纸质文档的管理形式；
第2阶段：然后就是计算机设备，对应的管理手段就是3Q验证；
第3阶段：现在的具有代表性的计算机化系统，如ERP系统、LIMS系统，对应的就是现在的IT合规管理体系；
第4阶段：未来就是移动互联、云和大数据的时代的来临，目前连FDA也没有出台相应的指南来如何进行相应的管理体系的建设（FDA作为监管机构，一定会沉着，一般也不会为了某种新兴技术而站台）。
目前世界总体的IT合规体系处于第3阶段，滥觞于美国FDA发布的21 CFR Part 11，如果以Part11为美国今天计算机化系统验证的起点，那么中国大概落后美国20年。
人走错路并不可怕，如果人类不走错路就不可能发现全世界，如果哥伦布不走错路就不会发现美洲大陆。可怕的是只有一两个人出去走，去探索，然后大家按照这一两个人的思路来发展。人的感官和思路都是主观的局限的，而且一个人的力量太单薄了，还得照顾眼前的苟且，尽管心中有诗和远方。只有大家一起探索才能走出符合中国的合规管理体系，这也是我建立这个公众号的初衷。（有点扯远了，汗。。。）

三、CSV历史
从技术的角度来说，上个世纪早期的所谓的计算机系统其实就是一堆二极管、三极管、集成电路堆砌而成的硬件，往往被认定为设备，而早期的计算机系统（软件）所做到仅仅就是为了降低高昂的硬件成本，在一定程度上模拟硬件设备。但是随着软件技术的飞速发展，今天的软件系统的复杂度已经远远超出了当时的最天才的软件工程师的想象。
现代和早期的计算机设备时期对比，主要有两个变化：
1. 硬件费用和软件费用的占比彻底来了个大逆转，总体上软件费用占比已经远远超过硬件；
2. 软件实施开发费用和运行期间的维护费用占比来了个大逆转，维护期间的费用大大超过实施开发阶段的费用。
IQ,OQ及PQ作为在计算机设备验证时期，于计算机系统爆炸性发展之前就已经确立的模式，自然就被继承下来，至少是作为术语继承下来，作为今天计算机化系统验证（CSV）的某些阶段和活动的别称。但是由于IQ,OQ及PQ模式最初的设计是用来验证单个的设备而不是用来验证一个完整的计算机化系统的实施过程，所以IQ,OQ及PQ模式不足以支撑今天软件的复杂性并给被监管企业带来一系列严重的问题，主要表现在如下几点缺陷（或者说对于CSV体系应该具备的，但是IQ,OQ及PQ模式不具备的）：
1. 管理系统开发实施配置过程来满足用户需求，特别是对于GAMP中4类和5类计算机系统，再不是仅仅经过FAT和SAT就可以应用的计算机设备；
2. 风险分析和风险管理，“CFDA附件1 第二章  原则 第三条 风险管理应当贯穿计算机化系统的生命周期全过程，应当考虑患者安全、数据完整性和产品质量。作为质量风险管理的一部分，应当根据书面的风险评估结果确定验证和数据完整性控制的程度。”
3. 电子记录和电子签名的应用；
4. 用户培训体系；
5. SOP体系的建立（或者说合规体系的建立）。
后面三点主要是源于现在计算机化系统的复杂性，仅仅依靠3Q验证是远远不够的，而是需要一整套体系来支撑，需要一系列的规章制度及人员来解决在各种复杂情况下计算机化系统所要面对的各种问题。
针对于电子记录电子签名，SOP体系建立等问题会有专门的文章来和大家探讨这些内容。

四、结论
单单的IQ,OQ及PQ模式对第3阶段的复杂的计算机化系统的验证（CSV）是远远不够的。

S.T._uMq0Y

莎瓦娜 发表于 2016-4-14 11:12
我觉得csv，不能很好的深入进行，一个很重要的原因是专业，让外行的人去验证内行人都难以进行的验证，当然 ...

这也是国内对于计算机化系统验证和数据完整性所面临的最大的问题，质量管理的不理解IT技术手段，IT人员听不懂质量。所以CSV要解决的最大的问题之一就是CSV体系的建立和理念的普及。
CSV就是要把质量部门拉入到IT系统建设和维护的过程中，把质量因素融入到IT系统的功能和流程中，形成业务、质量和IT三权分立互相制约的关系。

spandy

感谢楼主分享

2279110531

感谢楼主分享

祁莉萍_P4B80

长知识了，谢谢楼主

北重楼

计算机验证关键项目都验证了即可，是没必要份IQ\OQ\PQ

石头968

质量源于设计。
计算机系统硬件、软件的设计、开发、调试，应该是重点中的重点。但是用户却无能为力深入参与，也没必要深入参与。
一个win10，上万名软件工程师开发数年，用户有能力审核？不可能的事儿。
计算机系统每一步都固然很重要，但是每一步都应该有专业的人去做，而不是都让用户去做。

chenjiao501

了解学习，谢谢分享

1092957692

楼主分析的很好

S.T._uMq0Y

谢谢，斑竹发布。混迹蒲公英多年，终于有机会能为大家提供点什么东西了。希望大家一起探讨，共同进步。

S.T._uMq0Y

石头968 发表于 2016-4-14 08:51
质量源于设计。
计算机系统硬件、软件的设计、开发、调试，应该是重点中的重点。但是用户却无能为力深入参 ...

恩，严重同意。虽然用户是承担合规的最终责任，GAMP5也明确提出要充分利用供应商的活动。所以我们需要设定一个CSV的体系，来明确哪些工作是用户做的，哪些是质量做的，哪些是IT做的，哪些可以供应商来做。

莎瓦娜

我觉得csv，不能很好的深入进行，一个很重要的原因是专业，让外行的人去验证内行人都难以进行的验证，当然做不好

石头968

S.T._uMq0Y 发表于 2016-4-14 10:23
恩，严重同意。虽然用户是承担合规的最终责任，GAMP5也明确提出要充分利用供应商的活动。所以我们需要设 ...

职责矩阵，是验证活动中的明确分工

石头968

S.T._uMq0Y 发表于 2016-4-14 10:23
恩，严重同意。虽然用户是承担合规的最终责任，GAMP5也明确提出要充分利用供应商的活动。所以我们需要设 ...

职责矩阵，是验证活动中的明确分工

石头968

莎瓦娜 发表于 2016-4-14 11:12
我觉得csv，不能很好的深入进行，一个很重要的原因是专业，让外行的人去验证内行人都难以进行的验证，当然 ...

各司其职，该谁做的事儿，谁就得做，也不能都归咎于用户。

叶非

S.T._uMq0Y 发表于 2016-4-14 11:21
这也是国内对于计算机化系统验证和数据完整性所面临的最大的问题，质量管理的不理解IT技术手段，IT人员听 ...

欢迎继续讨论。原作者来了！

莎瓦娜

uiofer 发表于 2016-4-14 11:28
欢迎继续讨论。原作者来了！

说的好，有道理

zhangym

的确是，面对一堆数据库进行验证时，我们的IT人员对此都只能应付，最主要的就是对CSV的理念不了解，包括我自己在做这一块但是还没有很好的深入。所以要多学习，感谢楼主的分享。

youlanyu0912

G5中不断强调充分利用供应商的活动、不要做重复性工作也是考虑到被监管公司本身的性质不足以完成或者无法很好的完成过于专业性的IT审核工作，需要由主题专家来完成相应的审核评估工作。对于被监管公司来说工作的核心在于如何制定一份详细的需求说明规范，而这项工作对于大部分公司来说也一定难度，更加让人感到无奈的是国内大部分供应商也没有足够的专业知识用来支持被监管公司的工作开展，就如文字里所描述的，20年的技术差距并不是一个人二个人的恶补所能跨越的，任重而道远

S.T._uMq0Y

youlanyu0912 发表于 2016-4-14 17:20
G5中不断强调充分利用供应商的活动、不要做重复性工作也是考虑到被监管公司本身的性质不足以完成或者无法很 ...

恩，你提到了两个关键的问题。
第一，就是主题专家SME的设定，对于大多数国内企业还是比较陌生，但是这是未来的趋势，因为CSV体系中需要有人去弥补质量和IT之间的巨大鸿沟。
第二，国内供应商的水平问题，如果按照国际上的供应商审计原则，供应商本身就要自己有一套QMS来迎合被监管公司的需求，绝大多数国内供应商就得歇了。