實驗室分析儀器的數(shù)據(jù)完整性是當(dāng)今藥監(jiān)機(jī)構(gòu)的檢查重點，而審計追蹤則是確保其數(shù)據(jù)完整性的有效手段。特別是針對計算機(jī)化系統(tǒng)，審計追蹤功能幾乎成為強(qiáng)制要求。但究竟什么是審計追蹤，哪些儀器需要審計追蹤，如何進(jìn)行審計追蹤，審計追蹤如何做到定期審核，我們或多或少會有點疑問。本文將根據(jù)國內(nèi)外相關(guān)法規(guī)指南，提供這些問題的解答。

1. 什么是審計追蹤

數(shù)據(jù)審計追蹤：是一系列有關(guān)計算機(jī)操作系統(tǒng)、應(yīng)用程序及用戶操作等事件的記錄，用以幫助我們從原始數(shù)據(jù)追蹤到有關(guān)的記錄、報告或事件，或從記錄、報告、事件追溯到原始數(shù)據(jù)。

——中國GMP附錄(2015):計算機(jī)化系統(tǒng) 第六章 術(shù)語

簡單來說，審計跟蹤是用來呈現(xiàn)系統(tǒng)中“誰、何時、做什么、為什么這樣做”的記錄，能夠重現(xiàn)與電子記錄的創(chuàng)建、修改或刪除有關(guān)的事件過程。通過審核審計追蹤，可以知道測試數(shù)據(jù)的產(chǎn)生是否真實、有效，是否符合數(shù)據(jù)完整性的要求。

2. 審計追蹤的法規(guī)依據(jù)

2.1 中國GMP附錄(2015):計算機(jī)化系統(tǒng)

第十六條 計算機(jī)化系統(tǒng)應(yīng)當(dāng)記錄輸入或確認(rèn)關(guān)鍵數(shù)據(jù)人員的身份。只有經(jīng)授權(quán)人員，方可修改已輸入的數(shù)據(jù)。每次修改已輸入的關(guān)鍵數(shù)據(jù)均應(yīng)當(dāng)經(jīng)過批準(zhǔn)，并應(yīng)當(dāng)記錄更改數(shù)據(jù)的理由。應(yīng)當(dāng)根據(jù)風(fēng)險評估的結(jié)果，考慮在計算機(jī)化系統(tǒng)中建立數(shù)據(jù)審計跟蹤系統(tǒng)，用于記錄數(shù)據(jù)的輸入和修改以及系統(tǒng)的使用和變更。

2.2 美國聯(lián)邦法規(guī)21章 第11款 (21 CFR Part 11) 中的11.10 (e)部分

使用審計追蹤（獨立地）記錄操作者登錄和操作（包括電子記錄的創(chuàng)建、修改或刪除）的日期和時間，該審計追蹤記錄應(yīng)該是安全的、計算機(jī)自動生產(chǎn)的，自帶時間標(biāo)記的。審計追蹤產(chǎn)生的新記錄不能覆蓋之前的記錄信息。審計追蹤記錄應(yīng)該與其所歸屬的記錄的保存期一致；此外，當(dāng)FDA需要審核和拷貝時，審計追蹤文件應(yīng)該是可用的。

2.3 歐盟GMP附件11 中的審計追蹤部分

基于風(fēng)險評估，應(yīng)該考慮在系統(tǒng)內(nèi)部創(chuàng)建所有和GMP數(shù)據(jù)相關(guān)的創(chuàng)建、變更和刪除記錄（就是在系統(tǒng)內(nèi)部產(chǎn)生審計追蹤）。對于變更或者刪除GMP相關(guān)的數(shù)據(jù)，應(yīng)該記錄原因。應(yīng)該具有審計追蹤功能，并且可以轉(zhuǎn)化為一般意義上易于理解的形式，便于定期審核。

此外，MHRA的《GXP數(shù)據(jù)完整性指南和定義》，WHO的《數(shù)據(jù)完整性指南》以及其他與數(shù)據(jù)完整性相關(guān)的法規(guī)指南都有與上述法規(guī)相類似的審計追蹤要求。

3. 哪些儀器需要審計追蹤

并不是所有儀器都需要審計追蹤，我國和歐盟的GMP 文件都提到“基于風(fēng)險評估”進(jìn)行考慮，企業(yè)應(yīng)該通過科學(xué)合理的風(fēng)險評估來決定哪些儀器的數(shù)據(jù)安全性風(fēng)險高，需要審計追蹤進(jìn)行管控。例如，如果該儀器具有以下特點，應(yīng)該評估為高風(fēng)險：

（1） 這些儀器產(chǎn)生的數(shù)據(jù)屬于關(guān)鍵工藝參數(shù)，直接影響產(chǎn)品質(zhì)量和患者安全。

（2） 為保證測試數(shù)據(jù)的完整性和有效性，數(shù)據(jù)需要以電子數(shù)據(jù)的方式生成并存儲于儀器的數(shù)據(jù)庫中。這樣的電子數(shù)據(jù)具有被修改，刪除或偽造的風(fēng)險。

（3） 系統(tǒng)復(fù)雜，測試過程產(chǎn)生大量數(shù)據(jù)，無法通過簡單的書面記錄的方式進(jìn)行完整的溯源。

一般來說，如溶出度儀、高效液相色譜儀、質(zhì)譜儀、氣相色譜儀等都屬于這類高風(fēng)險儀器。其中溶出度儀更是檢測藥物釋放溶出程度的重要儀器，是保證和衡量固體口服制劑生產(chǎn)工藝及質(zhì)量的重要環(huán)節(jié)，其測試結(jié)果將直接影響品質(zhì)量和患者安全，是藥監(jiān)機(jī)構(gòu)關(guān)注的重點。

這些高風(fēng)險儀器的計算機(jī)化系統(tǒng)要求進(jìn)行審計追蹤管理。如果上述儀器沒有審計追蹤功能，或?qū)徲嬜粉櫣δ芴幱陉P(guān)閉狀態(tài)，審查人員就有理由懷疑其測試數(shù)據(jù)的真實性和有效性，如果企業(yè)無法提供有效證據(jù)來澄清這種造假的嫌疑，將會引發(fā)審查人員對產(chǎn)品質(zhì)量的質(zhì)疑和對企業(yè)整個GMP體系的不信任。

例如，《PIC/S GMP 缺陷分級指南》指出，如果有證據(jù)表明或發(fā)現(xiàn)企業(yè)有偽造、蓄意歪曲，或蓄意篡改產(chǎn)品或數(shù)據(jù)的行為，將會被定義是關(guān)鍵缺陷。而關(guān)鍵缺陷將直接導(dǎo)致企業(yè)的GMP證書被收回。

4. 如何進(jìn)行審計追蹤

審計追蹤應(yīng)該囊括整個計算機(jī)化系統(tǒng)的各個層面，一個完整的審計追蹤才能保證所有與數(shù)據(jù)安全性相關(guān)的行為均有被記錄。例如PDA TR80 /2018就給我們展示了一個囊括基礎(chǔ)系統(tǒng)到測試結(jié)果各個層面的審計追蹤流程：

另外，在對整個計算機(jī)化系統(tǒng)進(jìn)行審計追蹤的過程中，還應(yīng)該注意以下幾點：

（1） 審計追蹤均應(yīng)激活，必要時采用風(fēng)險評估來識別（如本文第3部分）。

（2） 一般用戶不應(yīng)有權(quán)限修改或關(guān)閉審計追蹤。如果系統(tǒng)管理員進(jìn)行了修改，或者關(guān)閉了審計追蹤，則應(yīng)保存有一份該動作的記錄和理由說明。

（3） 審計追蹤產(chǎn)生的新記錄不能覆蓋之前的記錄信息。

（4） 審計追蹤記錄應(yīng)該可以被導(dǎo)出，以便提供審查人員審核。

（5） 無法被審計追蹤的行為應(yīng)該被限制，例如直接在儀器上對測試樣品進(jìn)行單次進(jìn)樣。

5. 審計追蹤應(yīng)該包含哪些內(nèi)容

各國法規(guī)就要求審計追蹤需要完整可追溯，通過審計追蹤可以重建與電子記錄的創(chuàng)建、修改或刪除有關(guān)的事件過程。這就要求審計追蹤的記錄中應(yīng)該至少包含以下內(nèi)容：

（1） 時間

每個審計追蹤記錄都應(yīng)該有時間戳，記錄所有動作執(zhí)行的時間和日期。

另外，所有系統(tǒng)的時間應(yīng)該與標(biāo)準(zhǔn)時間同步。

（2） 人物

所有動作都應(yīng)該記錄執(zhí)行用戶的名稱，且必須能關(guān)聯(lián)到人員。

（3） 動作描述

通過動作描述應(yīng)能夠識別動作的內(nèi)容和性質(zhì)，能夠知道當(dāng)時究竟干了什么。動作對象的信息也應(yīng)該明確，例如是執(zhí)行測試動作，測試對象（樣品）的信息應(yīng)該完整，才能進(jìn)行有效的歸屬和追溯。

（4） 變更/刪除的理由

如果涉及數(shù)據(jù)變更或刪除的動作，還應(yīng)記錄其理由。

6. 審計追蹤如何審核

相關(guān)法規(guī)中提到的“定期審核”，并不是要求例行審核所有的審計追蹤內(nèi)容。而究竟要審核哪些記錄，多久審核一次，同樣需要根據(jù)風(fēng)險評估來確定。企業(yè)應(yīng)該根據(jù)風(fēng)險水平來決定不同系統(tǒng)的審核程度和審核頻率，以及同一系統(tǒng)中不同種類審計追蹤記錄的審核優(yōu)先程度。

以系統(tǒng)的風(fēng)險水平進(jìn)行分類。針對不同風(fēng)險水平的系統(tǒng)，制定需要審核的內(nèi)容，例如下面的范例：

高風(fēng)險系統(tǒng)需要審核與下面行為相關(guān)的審計追蹤：

（1） 測試參數(shù)的變化

（2） 數(shù)據(jù)處理參數(shù)的變化

（3） 刪除數(shù)據(jù)

（4） 修改數(shù)據(jù)

（5） 篡改數(shù)據(jù)

（6） 分析人員的行為

（7） 測試結(jié)果不合理的處理（如色譜峰不合理積分）

（8） 與數(shù)據(jù)相關(guān)的安全漏洞

中、低風(fēng)險系統(tǒng)需要審核與下面行為相關(guān)的審計追蹤：

（1） 數(shù)據(jù)的變更

（2） 數(shù)據(jù)的刪除

（3） 未經(jīng)授權(quán)的訪問或操作