當我們談“審計跟蹤”時我們在談什么？

熱門推薦：審計跟蹤 , 電子采集 , GMP ,

作者：hacter 來源：蒲公英

2019-01-12

“數(shù)據(jù)審計跟蹤：是一系列有關計算機操作系統(tǒng)、應用程序及用戶操作等事件的記錄，用以幫助從原始數(shù)據(jù)追蹤到有關的記錄、報告或事件，或從記錄、報告、事件追溯到原始數(shù)據(jù)?！?

審計跟蹤，譯自英文“Audit trail”，初遇這個詞，略微有些奇怪，因為其中的“trail”，更多讓人聯(lián)想到刑偵一類的事件和人物，比如痕跡分析，比如李昌鈺，比如卷福，好吧，跑題了。

首先，我們來看下國內外法規(guī)的定義：

中國CFDA在GMP附錄《計算機化系統(tǒng)》中的定義：

“數(shù)據(jù)審計跟蹤：是一系列有關計算機操作系統(tǒng)、應用程序及用戶操作等事件的記錄，用以幫助從原始數(shù)據(jù)追蹤到有關的記錄、報告或事件，或從記錄、報告、事件追溯到原始數(shù)據(jù)。”

同時在該規(guī)范的第十六條也提到

“應當根據(jù)風險評估的結果，考慮在計算機化系統(tǒng)中建立數(shù)據(jù)審計跟蹤系統(tǒng)，用于記錄數(shù)據(jù)的輸入和修改以及系統(tǒng)的使用和變更。”

歐盟HPRA在EU GMP的附錄11 計算機化系統(tǒng)（鏈接：http://academy.gmp-compliance.org/guidemgr/files/ANNEX11_01-2011_EN.PDF）中提到：

“Consideration should be given, based on a risk assessment, to building into the system the creation of a record of all GMP-relevant changes and deletions (a system generated "audit trail"). For change or deletion of GMP-relevant data the reason should be documented. Audit trails need to be available and convertible to a generally intelligible form and regularly reviewed. ”

大致翻譯如下：

“在應該基于風險評估的考量，建立一個系統(tǒng)來記錄所有與GMP相關的變更和刪除（該審計跟蹤系統(tǒng)應是由系統(tǒng)自動生成）。對于所有與GMP相關數(shù)據(jù)的變更和刪除理由均應該被記錄。審計追蹤需要能將數(shù)據(jù)轉換成可被通常理解的形式并可被定期審核。”

另外，歐盟在2015年公布的數(shù)據(jù)完整性指南(鏈接：https://www.gov.uk/government/uploads/system/uploads/attachment_data/file/412735/Data_integrity_definitions_and_guidance_v2.pdf)中進一步解釋了審計跟蹤,

“Audit trails are metadata that are a record of critical information (for example the change or deletion of relevant data) that permit the reconstruction of activities.”

大致翻譯如下：

“審計跟蹤是元數(shù)據(jù)（計算機術語，用來描述數(shù)據(jù)屬性的數(shù)據(jù)），用來記錄對GMP關鍵信息的操作行為（例如相關數(shù)據(jù)的變更和刪除）”

在該指南里，還對具體的計算機化系統(tǒng)中的審計跟蹤提了具體的要求，例如：

“Where computerised systems are used to capture, process, report or store raw data electronically, system design should always provide for the retention of full audit trails to show all changes to the data while retaining previous and original data. It should be possible to associate all changes to data with the persons making those changes, and changes should be time stamped and a reason given. Users should not have the ability to amend or switch off the audit trail. ”

大致翻譯如下：

“如果計算機系統(tǒng)用于電子采集、處理、報告或存貯原始數(shù)據(jù)，系統(tǒng)設計應能提供全面審計追蹤并保存，記錄更改之前的原始數(shù)據(jù)的同時顯示對該數(shù)據(jù)進行的所有更改信息。伴隨對該數(shù)據(jù)的所有更改，應可以顯示做這些更改的人，更改均應有時間記錄，并給出理由。用戶不應具備修訂或關閉審計追蹤的能力。”

美國FDA在最新的21CFR Part 11（鏈接：https://www.fda.gov/RegulatoryInformation/Guidances/ucm125067.htm#f1）中也作了類似的定義和解釋有興趣的朋友可以通過上述鏈接自行了解。

（個人感覺，歐盟的定義和解釋最為清晰和具體，美國的定義更多偏向法規(guī)角度。中國的法規(guī)解釋，更偏向歐盟的方向。）

綜合上述法規(guī)定義，我們可以大致了解，審計跟蹤是一個系統(tǒng)，是一個基于風險評估對GMP關鍵信息的操作行為進行記錄的跟蹤系統(tǒng)。

另外，我們也發(fā)現(xiàn)，各國法規(guī)在提到審計跟蹤時也都無一例外的提到了另兩個名詞：計算機化系統(tǒng)（Computerised System）和數(shù)據(jù)可靠性（Date Integrity）。

下面我們來看下這兩個專有名詞的定義：

計算機化系統(tǒng)：是包括計算機系統(tǒng)、工藝過程、功能設備和使用環(huán)境（如SOP，人員等）的整體控制系統(tǒng)。

典型的有用于生產(chǎn)的MES（iBatch Pharm），用于實驗室的Lims（Lab Ware），用于質量管理的QMS，設備的EQMS等等。

數(shù)據(jù)可靠性：應能保證在數(shù)據(jù)的整個生命周期內，所有數(shù)據(jù)均完全、一致和準確。

“Data must be:

A –attributable to the person generating the data

L – legibleand permanent

C –contemporaneous