21 CFR Part 11 合规：实际要求有哪些

要点总结

• 21 CFR Part 11 合规源于系统周围的各项控制措施（验证、访问控制和审计追踪），而非技术本身。没有任何产品是“天然”合规的。
• 这项规则可归结为一个理念：即使没有纸质文件，对记录的每一项操作也都有姓名、时间戳和原因。
• Part 11 不是 HIPAA。HIPAA 规范健康数据的隐私和安全,而 Part 11 规范受 FDA 监管的记录和签名的完整性与可追溯性。一家公司可能满足其中一项,却不满足另一项。
• Part 11 自 1997 年起生效，至今仍是制药、生物技术、医疗器械和临床机构的一项核心要求。

‍

21 CFR Part 11 合规并不是某一项技术的属性。它是一整套用于证明电子记录可信的控制措施：经过验证的系统、访问控制，以及将每项操作与具名人员、时间戳和原因关联起来的审计追踪。FDA（美国食品药品监督管理局）不会认证产品符合 Part 11。使用系统的组织需要对系统周围的保障措施负责，这也是为什么两家公司可以使用同一款软件，却只有其中一家合规。

‍

什么是 21 CFR Part 11？

21 CFR Part 11 是 FDA 的一项法规，规定了电子记录和电子签名应如何管理，适用于制药、生物技术、医疗器械和临床研究等受 FDA 监管的行业。电子记录是指以电子形式创建、修改、维护、归档、检索或传输的任何数据，而电子签名则是手写签名的电子等效形式。其目标可以简单表述为：让电子记录和签名像纸和墨水一样可信、可追溯。该规则于 1997 年 3 月 20 日发布，1997 年 8 月 20 日生效，将近三十年后的今天仍然有效。您可以在 eCFR 中阅读21 CFR Part 11 的全文。

‍

21 CFR Part 11 合规究竟要求什么？

该规则共有三个子部分，但 21 CFR Part 11 的实际要求可归结为一份简短的清单。最清晰的记忆方式是：即使没有纸质文件，每项操作也都有姓名、时间戳和原因。审计追踪是带有时间戳、可追溯到用户的记录，涵盖每一次创建、编辑或删除操作，正是它使上述要求得以实现。

‍

‍

21 CFR Part 11 适用于哪些对象？

Part 11 适用于以电子方式保存规定记录，或使用电子签名代替手写签名的受 FDA 监管的组织。适用范围取决于记录本身，而非部门：只要受监管的组织创建、存储或传输受 FDA 监管的电子文件，处理该文件的系统就属于适用范围。这也包括传输系统，因此像 Fax.Plus 这样的安全在线传真服务，在传送受监管文件时，需要配合审计追踪和访问控制来运行。FDA 在其适用范围和应用指南中说明了该规定的覆盖范围有多广。

‍

21 CFR Part 11 与 HIPAA：有何区别？

这两者经常被混淆，但二者的区别十分重要。HIPAA（《健康保险流通与责任法案》）保护受保护健康信息（PHI）的隐私和安全，即受保实体处理的可识别个人身份的健康数据。21 CFR Part 11 则保护受 FDA 监管的电子记录和签名的完整性与可追溯性。HIPAA 的一种常见文件是Business Associate Agreement (BAA)，即允许供应商代表您处理 PHI 的合同。两者解决的是不同的问题，一个系统可以满足其中一项而不满足另一项。

‍

‍

如何应对 21 CFR Part 11 合规

应将合规视为一整套可以证明的控制措施，而不是可以买到的标签。在实践中，这意味着拥有附带供应商文档的经过验证的系统、访问控制和唯一的用户账户、完整的审计追踪、唯一且经过验证的电子签名，以及明确的记录保留规定。如果某项声明无法提供证据，宁可弱化表述，也不要夸大其词，因为监管机构评估的是您能够出示的证据，而不是您的主张。

‍

常见问题

‍

21 CFR Part 11 何时生效？

最终规则于 1997 年发布，并于 1997 年 8 月 20 日生效。该规则至今仍然有效，并继续适用于受 FDA 监管的电子记录和签名。

‍

21 CFR Part 11 适用于哪些对象？

它适用于受 FDA 监管的组织（例如制药、生物技术、医疗器械和临床运营机构），这些组织以电子方式创建、修改、维护、归档、检索或传输规定记录，或使用电子签名代替手写签名。

‍

21 CFR Part 11 的目的是什么？

其目的是使电子记录和签名像纸质记录一样值得信赖，从而使受 FDA 监管的记录能够被视为准确、可归属且可识别篡改的可靠记录。

‍

是否有产品开箱即“符合 21 CFR Part 11”？

没有。合规源于控制措施，以及系统的验证和运行方式，而不是仅靠产品本身。供应商可以为 Part 11 提供支持，但使用该系统的组织有责任证明自身合规。

‍

电子签名能否符合 21 CFR Part 11？

当每个签名唯一对应一个人、身份经过验证（通常采用双重验证），且签名会记录签署人的姓名、日期和时间以及签署原因时，电子签名可以支持 Part 11。某个工具是否符合要求，取决于其配置和验证方式。

‍

能否在 21 CFR Part 11 下使用 cloud 软件？

可以。当系统经过验证、访问受到控制、审计追踪完整，并且供应商提供支持您自行验证工作的文档时，cloud 软件可以在 Part 11 下使用。