GxP

Ця тема є частиною SG Systems Global бібліотека посібників з нормативних актів та операцій.

Оновлено у січні 2026 р. • Відповідність GxP, GMP, цілісність даних, журнали аудиту, електронні записи, валідація, системи якості, засоби контролю на основі ризиків

GxP – це скорочення від «Good x Practice» (Належна практика x) – сукупність регламентованих очікувань щодо того, як ви проектуєте, проводите та доводите контрольовані операції, коли на кону стоять якість продукції та безпека людей. Це не окремий закон. Це шаблон: ви повинні виконувати роботу контрольованим чином, документувати її надійним чином та демонструвати, що ваші системи (люди, процеси та технології) поводяться передбачувано в умовах змін та стресу.

Якщо ви ставитеся до GxP як до «ще однієї паперової роботи», ви вже на хибному шляху. Паперова робота — це побічний продукт, а не мета. Метою є контроль, підтверджений доказами : потрібні люди виконують правильну роботу в правильній послідовності, використовуючи правильні матеріали та обладнання, і ви можете довести це пізніше без героїчної реконструкції. Ось чому розмови про GxP швидко зводяться до цілісності даних , журналів аудиту , перевірки комп’ютерних систем (CSV) та контролю змін . Це не «ІТ-теми». Це сучасна контрольна поверхня для регульованих операцій.

Ось незручна правда: більшість «GxP-програм» зазнають невдачі одним із двох способів. Або вони стають театром документації — красиві папки, слабке виконання — або вони стають надмірно контрольованими — настільки повільними, що бізнес обходить засоби контролю. Сталий GxP не є ні тим, ні іншим. Це система контролю, що базується на ризиках, яка робить шлях дотримання вимог найшвидшим шляхом, а невідповідність ускладнює, робить очевидним і таким, що можна виправити.

«GxP — це не про наявність документів. Йдеться про контроль і можливість довести це, коли це важливо».

1) Що насправді означає GxP

GxP – це модель якісної операційної діяльності . Це набір очікувань щодо того, як регламентована робота планується, виконується, документується, перевіряється та вдосконалюється. У реальному світі «бути GxP» означає, що ви можете швидко та обґрунтовано відповісти на чотири запитання:

• Що мало статися? (затверджені процедури, специфікації, інструкції)
• Що насправді сталося? (сучасні записи з можливістю відстеження)
• Чи було це прийнятним? (визначені критерії прийняття + перегляд + розпорядження)
• Коли це було неприйнятно, що ви з цим зробили? (відхилення, розслідування, CAPA, ефективність)

Зверніть увагу, чого не вистачає: «документ існує». Ви можете мати документи та все одно не пройти перевірку GxP, якщо ваше виконання слабке, ваші дані ненадійні або ваші засоби контролю можна обійти. GxP — це не система ведення документації. Це модель забезпечення дотримання правил, що реалізується через управління, проектування процесів, навчання, системні засоби контролю та нагляд.

2) Що включає (і що не включає) позначка «x»

«X» у GxP – це змінна величина: різні регульовані сфери застосовують «належну практику» до різних контекстів. Найчастіше згадуються такі:

• GMP (Належна виробнича практика): продукт виготовляється послідовно та контролюється. Див. GMP / cGMP.
• GDP (Належна практика дистрибуції): цілісність продукту підтримується шляхом зберігання та дистрибуції. Див. GDP.
• GCP (Належна клінічна практика): клінічне дослідження є етичним, контрольованим та таким, що простежується.
• GLP (Належна лабораторна практика): доклінічні лабораторні дослідження є контрольованими та надійними.

GxP ширше поняття, ніж «фармацевтична GMP», але воно також не є синонімом «будь-якого стандарту». Багато організацій також використовують програми ISO ( ISO 9001 , ISO 13485 ) та програми для клієнтів (роздрібні торговці, виробники оригінального обладнання або схеми сертифікації). Вони можуть перетинатися з GxP, але перетин не є ідентичністю. Різниця зазвичай проявляється у двох місцях:

• Юридична захищеність: Очікування щодо GxP пов'язані з дотриманням нормативних актів та ризиками для пацієнта/громадськості.
• Ретельність доказів: GxP очікує посиленого контролю за записами, відстеженням та змінами, особливо для комп'ютеризованих систем.

Якщо ваша команда каже: «Ми ISO, отже, ми GxP», сприймайте це як попереджувальний знак. ISO може бути чудовим стандартом. Але він не автоматично відповідає вимогам GxP щодо електронних записів, журналів аудиту, перевірених станів та контрольованих винятків.

3) Що насправді забезпечують регулятори та аудитори

Аудитори не «перевіряють ваші наміри». Вони перевіряють ваші засоби контролю та ваші докази . На практиці більшість аудиторських висновків об’єднуються в передбачувані категорії:

• Неконтрольовані зміни: ти змінив щось важливе і не впорався з цим (контроль змін, MOC).
• Слабке розслідування: виникла проблема, а ви не знайшли справжньої причини (RCA якість).
• CAPA, яка не працює: дії існують, але повторення продовжується (КАПА ефективність).
• Ненадійні записи: записи запізнюються, є неповними, їх можна редагувати безслідно або вони суперечливі (цілісність даних).
• Прогалини в компетенціях: люди, які виконують роботу, не навчені/не кваліфіковані для цієї роботи (навчальна матриця).
• Прогалини в контролі постачальників: ви передали ризик на аутсорсинг, але не керували ним (кваліфікація постачальника).

Зверніть увагу ще раз: це проблеми виконання та контролю , а не «ми забули форму».

4) ALCOA+ та ланцюг доказів

Якщо вам потрібна єдина ментальна модель для доказів GxP, використовуйте ALCOA (та його розширені варіанти «ALCOA+»). Основна ідея проста: регульовані записи повинні бути такими, що відносяться до певної категорії, розбірливими, сучасними, оригінальними та точними, а розширені атрибути часто включають повноту, узгодженість, довговічність та доступність.

Це важливо, оскільки «якість» – це не просто властивість продукту. У регульованій роботі якість також є властивістю запису . Якщо вашому запису не можна довіряти, то й вашим рішенням щодо випуску не можна довіряти, навіть якщо фізичний продукт у належному стані. Ось чому висновки щодо цілісності даних настільки руйнівні: вони ставлять під сумнів увесь ланцюг доказів.

ALCOA+ також є місцем, де паперові операції тихо руйнуються. Паперові документи можуть відповідати вимогам, але вони крихкі: легко датувати їх заднім числом, їхня розбірливість різна, копіювання створює неоднозначність, а «перевірка» перетворюється на ручний пошук. Цифрові дані можуть бути гіршими, якщо їх впровадити неправильно, але цифрові також можуть усунути цілі класи порушень цілісності, якщо контроль доступу, журнали аудиту та перевірка виконані правильно.

5) Стек контролю GxP

Найкорисніший спосіб структурувати GxP – це використовувати стек контролю: шари контролю, які підсилюють один одного. Якщо у вас лише один шар (наприклад, перевірка якості), зрештою вас розчавлять обсяг, складність або мінливість персоналу.

Сильний GxP є «складовим». Слабкий GxP є «одноточковим», зазвичай спираючись на героїчні досягнення контролю якості, жменьку експертів або невеликий набір електронних таблиць, до яких ніхто не хоче торкатися.

6) Документація, яка має значення

Документація GxP існує для виконання двох завдань: (1) визначення контрольованого способу роботи та (2) доведення того, що робота виконувалася під контролем. Проблема полягає в тому, що більшість організацій створюють документацію, яка не виконує жодної з цих функцій: вона або занадто розпливчаста (не може забезпечити узгодженість), або занадто складна (ніхто не дотримується її під тиском).

Як мінімум, функціональна система документації GxP включає:

• Система контролю документів правила (власність, версії, розповсюдження, застарівання).
• Практичний, виконуваний СОП (написано для операторів, а не для аудиторів).
• Зберігання записів про якість відповідає бізнес-очікуванням та нормативним вимогам (зберігання записів).
• Готовність до аудиту через рутину Внутрішній аудит та огляди трендів.

Документація також повинна відповідати тому, як ви фактично працюєте. Якщо у вашому цеху швидкі зміни кадрів та висока плинність кадрів, ваша документація повинна бути розроблена для швидкості та ясності: покрокові інструкції, вбудовані критерії приймання та мінімальне «тлумачення». Якщо ваша документація потребує тлумачення, ваш результат відрізнятиметься залежно від зміни, як і ваш ризик.

7) Контроль персоналу: навчання + доступ

Більшість проблем із якістю пов’язані не з «поганими людьми». Це неправильно узгоджені системи : система дозволила комусь виконувати роботу, яку він не повинен був виконувати, або не чітко висловила очікування, або зробила правильний шлях занадто повільним. GxP управління персоналом зосереджується на можливостях та повноваженнях.

Три будівельні блоки мають значення:

• Компетентність: навчання визначається для кожної ролі та відстежується (див. навчальна матриця).
• Авторизація: система забезпечує дотримання меж ролей (див. рольовий доступ та управління доступом користувачів).
• Контроль життєвого циклу: доступ надається, перевіряється та видаляється передбачувано (див. забезпечення доступу та періодичний перегляд доступу, такий як огляд доступу практики для операційних систем).

У цифровому середовищі спільні облікові записи – це прямий шлях до перевірки цілісності даних. Якщо ви не можете приписати дії окремим особам, ви не можете захистити записи. Якщо ви не можете захистити записи, ви не можете захистити рішення про їх розголошення. Це не теорія – так працює правозастосування.

8) Відхилення, невідповідність та CAPA

GxP не передбачає досконалості. Він передбачає контрольовану реакцію. Ось чому обробка відхилень та CAPA не є «якісною документацією». Вони є механізмом, який запобігає нормалізації дефектів.

Як мінімум, функціональна система винятків включає:

• Управління відхиленнями на випадок відхилень від процесу та непередбачених подій.
• Невідповідність засоби контролю для продукції або виходів процесу, що не відповідають вимогам прийнятності.
• Структуроване розслідування з аналіз причин очікування.
• Коригувальні та запобіжні дії через КАПА з перевірками ефективності.

Багато організацій зазнають невдачі в «замиканні циклу». Вони фіксують відхилення, складають звіт про CAPA, закривають його та рухаються далі, поки повторюється та сама схема відхилень. Саме так ви отримуєте систему якості, яка виглядає перевантаженою, але не покращує результати. Регуляторів не вражає обсяг. Їх вражає контроль та тенденція покращення.

9) Ризиково-орієнтована GxP (як уникнути надмірного контролю)

Ризик-орієнтоване мислення – це спосіб підтримувати GxP сильним та операційно життєздатним. Ви не контролюєте все однаково. Ви контролюєте те, що найважливіше для безпеки, ідентичності, міцності, чистоти та продуктивності (або ваших еквівалентних критично важливих для якості атрибутів), і ви розробляєте легші засоби контролю там, де ризик низький.

Два практичні інструменти з'являються постійно:

• Матриця ризиків мислення (важкість × виникнення × виявність або подібне).
• Структури ризиків якості, такі як ICH Q9 та ширше системне управління, таке як ICH Q10.

GxP на основі ризиків — це не дозвіл на недбалість. Це дозвіл на точність . Мета полягає в тому, щоб зменшити зусилля на ручну перевірку шляхом посилення превентивного контролю та зосередження уваги людини на винятках. Це шлях до масштабування без лінійного збільшення кількості персоналу з контролю якості.

10) Перевірка комп'ютерної системи (CSV)

У сучасних операціях ваш «процес» частково виконується програмним забезпеченням. Це означає, що GxP невіддільний від CSV : демонстрація того, що комп'ютеризовані системи послідовно працюють так, як призначено для їх використання, що відповідає GxP.

CSV — це не одноразова подія. Це процес підтримки перевіреного стану в міру розвитку вашої системи — нових функцій, оновлень конфігурації, інтеграцій, виправлень, змін інфраструктури та змін ролей користувачів. Саме тому контроль змін та перевірка об'єднані в одне ціле.

Як мінімум, очікуйте життєвий цикл CSV, який включає:

• Чітке цільове використання та вимоги (УРС).
• Підхід до валідації на основі ризиків (часто керований GAMP 5).
• Тестування на відповідних рівнях: тестування постачальників (FAT), тестування сайту (UAT), та задокументовано V&V докази.
• Кваліфікація систем та середовищ, де це застосовується (див. IQ/OQ/PQ концепції).

CSV не працює, коли перетворюється на вправу з прапорцем. Якщо ваш пакет валідації не може пояснити, як система запобігає критичним збоям (неправильна партія, неправильний випуск, неправильний розрахунок, несанкціоновані зміни), він не захищає вас. Він лише витрачає час вашої команди.

11) Електронні записи та підписи

Якщо ви використовуєте електронні системи для записів GxP, вам потрібні засоби контролю, які зроблять ці записи достовірними. Дві поширені рамки, що формують очікування, – це 21 CFR Частина 11 та Додаток 11. Точне тлумачення залежить від контексту, але практичні теми контролю є послідовними:

• Унікальний ідентифікатор користувача: дії, що відносяться до окремих осіб (спільні облікові записи відсутні).
• Контрольований доступ: ролі та дозволи відображають відповідальність (RBAC).
• Електронні підписи: підписи мають значення та пов'язані із записами (електронні підписи).
• Аудиторські сліди: зміни можна відстежувати та переглядати (журнали аудиту).
• Зберігання записів: записи залишаються доступними та неушкодженими (зберігання записів).

Організації часто зазнають невдачі, розглядаючи Частину 11/Додаток 11 як «посилення ІТ». Це не так. Це система контролю якості ваших доказів. Чудовий виробничий процес зі слабким електронним контролем все ще може створювати невиправдані записи, а невиправдані записи все ще можуть вас зруйнувати.

12) Журнали аудиту, які можна використовувати

Аудиторський журнал корисний лише тоді, коли він може підтримувати реальний огляд. Багато систем технічно «мають аудиторський журнал», але все одно не відповідають очікуванням GxP, оскільки журнал є шумним, неповним або відірваним від прийняття рішень.

Користувацький журнал аудиту має три властивості:

• Повнота: він фіксує всі події, що стосуються GxP (створення, зміна, видалення, затвердження, відхилення, перевизначення).
• Контекст: він пов'язує зміни з бізнес-об'єктами (партія, випробування, лот, відхилення) та містить обґрунтування, коли це необхідно.
• Можливість перегляду: Рецензенти можуть фільтрувати, шукати та зосереджуватися на подіях високого ризику (не тонути в журналах).

Саме тут стає важливим сучасне мислення «перевірки за винятком». Якщо ваш перевірка журналу аудиту проводиться за принципом «прочитати все», цього не станеться. Єдиний масштабований підхід — визначити, які події мають найбільше значення, і зробити їх перевіреними за задумом (зміни привілейованого доступу, редагування даних після затвердження, повторні невдалі входи, аномальні зміни, зміни статусу випущених партій тощо).

Якщо вам потрібна чітка перевірка: попросіть свою команду контролю якості витягнути журнал аудиту для одного критичного запису та пояснити це простою мовою. Якщо це займає годину та експорт бази даних, ваш журнал аудиту не призначений для операцій GxP. Він призначений для зберігання.

13) Контроль інфраструктури: резервне копіювання, встановлення виправлень, аварійне відновлення

GxP не обмежується інтерфейсом користувача застосунку. Якщо базова платформа крихка, то й ваші докази також крихкі. Ось чому засоби контролю інфраструктури відображаються в аудитах: резервне копіювання, тестування відновлення, виправлення, посилення кібербезпеки та аварійне відновлення – все це частина підтвердження того, що записи є довговічними та доступними.

Навіть якщо ви не використовуєте MES, застосовуються ті самі теми операційного контролю. Для виробничих систем ви часто побачите ці теми формалізовані як:

• Перевірка резервної копії (доведіть, що ви можете відновити, а не лише створити резервну копію).
• Управління патчем (контрольовані оновлення, які не порушують перевірений стан).
• Контроль кібербезпеки (ідентичність, мінімальні привілеї, моніторинг).
• Висока доступність та аварійного відновлення планування безперервності бізнесу.

Це не «приємні речі». Якщо ваша система не працює, люди створюватимуть тіньові записи. Якщо з'являться тіньові записи, звірка стане ручною. Якщо звірка стане ручною, помилки стануть ймовірними. Якщо помилки стануть ймовірними, ваш ланцюг доказів GxP швидко послаблюється.

14) Контроль постачальника та лабораторії

Ризик GxP не обмежується вашими чотирма стінами. Якщо ви купуєте матеріали, компоненти, аутсорсингові випробування або послуги, ваша система якості повинна поширюватися на контроль постачальників. Зазвичай це включає:

• Кваліфікація постачальника (затвердження, моніторинг, повторна оцінка).
• Структури ризиків постачальників (управління ризиками постачальників та управління ризиками ланцюга поставок).
• Докази приймання матеріалів, такі як COA та перевірка сертифікатів справжності.
• Відстежуване зберігання та передача (ланцюг опіки).
• Цілісність лабораторної системи (наприклад, LIMS засоби контролю, цілісність даних, перевірка).

Контроль постачальників не спрацьовує, коли організації ставляться до «затвердженого постачальника» як до незмінної істини. Постачальники змінюються. Процеси відхиляються від норми. Люди йдуть у відставку. Якщо ви не моніторите, ви не контролюєте — ви лише припускаєте.

15) Операції GxP: виконання, відстеження, випуск

На операційному рівні GxP стає конкретним: як ви ідентифікуєте матеріали, як ви реєструєте споживання, як ви обробляєте затримки, як ви звіряєте дохідність та як ви приймаєте рішення про випуск. Це ті моменти, де створюються – або втрачаються – якісні результати.

Ключові моделі операційного контролю включають:

• Контрольовані виробничі записи (див. BMR та електронні еквіваленти, такі як ЄБР / еБМР).
• Контроль ідентифікації та статусу (див. матеріальний карантин та статус затримки якості/карантинного режиму).
• Рішення щодо контрольованого вивільнення (див. випуск партії, випуск готової продукції та статус випуску).
• Відстеження від початку до кінця (див. простежуваність, тренування з відкликання та імітація відтворення).

В добре організованих операціях рутинне виконання генерує рутинні докази. Забезпечення якості не потребує «інтерпретації» запису, оскільки запис створюється шляхом контрольованого виконання. В погано організованих операціях забезпечення якості стає перекладачем між безладною реальністю та чистою документацією, а це дорога та крихка позиція.

16) Як GxP виглядає в різних галузях

Принципи GxP є послідовними, але операційні «гарячі точки» різняться залежно від галузі. Якщо ви хочете донести GxP до всіх керівних команд, це допоможе закріпити приклади, характерні для конкретної галузі, не вдаючи, що кожен сектор ідентичний.

Спільний знаменник для всіх галузей залишається тим самим: контрольоване виконання + достовірні записи + ефективна обробка винятків + керовані зміни.

17) Поширені режими відмови GxP

Якщо ви хочете швидко покращити GxP, припиніть полювати за «рідкісними проблемами». Виправте поширені режими відмови, які з’являються всюди:

• Мислення, що зосереджується на документації. Написання процедур без розробки елементів керування виконанням. Результат: стандартні операційні процедури існують, реальність зміщується.
• QA як площина керування. Перевірка якості використовується для того, щоб відстежувати все. Результат: повільний реліз, суперечливі висновки та вигорання.
• Аудиторські сліди як шум. Журнали існують, але їх неможливо переглянути. Результат: ви не можете довести їхню цілісність; ви не можете виявити аномалії на ранній стадії.
• Валідація як проєкт, а не життєвий цикл. Система «валідується» один раз, а потім змінюється ad hoc. Результат: валідований стан непомітно зникає.
• Тіньові системи. Електронні таблиці та додаткові журнали існують «тимчасово». Результат: паралельні істини, ризик узгодження, відсутність доказів.
• Надмірний контроль. Все вимагає схвалення. Результат: операції обходять елементи керування; винятки стають невидимими.
• Самовдоволення постачальника. Список затверджених постачальників вважається постійним. Результат: відхилення та несподіванки.
• Слабкі розслідування. «Помилка оператора» використовується за замовчуванням. Результат: повторення продовжується.

Виправлення цих проблем не вимагає досконалості. Воно вимагає визначення пріоритетів: посилити контроль там, де ризик найвищий, інструменталізувати систему, щоб проблеми були помітні на ранній стадії, та замкнути цикл за допомогою CAPA, яка фактично запобігає повторенню.

18) Скопіюйте/вставте контрольний список оцінки GxP

Використовуйте це як практичну самооцінку. Мета полягає у визначенні того, де ваша програма «документована», але не «контрольована».

Якщо ви отримали низький бал у розділі D, не «пишіть більше стандартних операційних процедур». Виправте системні засоби контролю. Докази GxP настільки ж переконливі, наскільки переконлива система, яка їх генерує.

19) Розширені поширені запитання

Q1. Чи є GxP тим самим, що й GMP?
Ні. GMP є одним з основних членів родини GxP, що зосереджена на виробництві. GxP є ширшою парасолькою (виробництво, лабораторії, дистрибуція, клінічна практика тощо).

Q2. Який найшвидший спосіб посилити слабку програму GxP?
Перестаньте покладатися на героїчні досягнення контролю якості. Посиліть контроль під час виконання (навчання/застосування доступу, блокування, відстеження, журнали аудиту) та створіть справжній цикл винятків (відхилень + КАПА), що зменшує рецидиви.

Q3. Чи електронні системи автоматично забезпечують відповідність вимогам?
Ні. Погані електронні системи можуть призвести до швидшого та масштабованішого порушення вимог. Цифрові технології допомагають лише тоді, коли вони покращують цілісність даних та забезпечує реальний контроль (ідентифікація, дозволи, журнали аудиту, перевірка).

Q4. Який зв'язок між CSV та Частиною 11/Додатком 11?
CSV полягає в тому, щоб довести, що система працює належним чином для її використання. Частина 11 / Додаток 11 стосуються достовірності електронних записів та засобів контролю. На практиці вам потрібно і те, й інше.

Q5. Який найбільший тривожний сигнал у демонстрації постачальника, готового до GxP?
Якщо система дозволяє критичні дії з «попередженнями» та покладається на перевірку після факту, а не на запобігання, то це мислення, орієнтоване на документацію, і воно не масштабуватиметься.

Пов'язане читання
• Основні концепції GxP: GMP / cGMP | GDP | цілісність даних | Аудиторський слід | ICH Q10 | ICH Q9
• Цифрова відповідність: Перевірка комп'ютерної системи (CSV) | GAMP 5 | 21 CFR ч. 11 | Додаток 11 | Електронні підписи
• Цикл системи якості: Документ контрольний | Контроль змін | Управління відхиленнями | Невідповідність | КАПА
• Оперативні докази: Електронний облік партії (EBR) | Статус карантину / затримки | Простежуваність | Вправа для відкликання