Chữ ký điện tử

Chủ đề này là một phần của... SG Systems Global Thuật ngữ về quy định và hoạt động.

Cập nhật tháng 12 năm 2025 • Phần 11 / Phụ lục 11 Kiểm soát, Phê duyệt & Phân bổ • Đảm bảo chất lượng, Tuân thủ, CNTT, Vận hành

Chữ ký điện tử là những phê duyệt và xác nhận có giá trị pháp lý được thực hiện trong một hệ thống điện tử, trong đó sự kiện ký tên được xác định duy nhất cho một cá nhân cụ thể và gắn liền với một bản ghi và ý nghĩa cụ thể (ví dụ: “đã xem xét”, “đã phê duyệt”, “đã thực hiện”, “đã phát hành”). Trong các hệ thống sản xuất và chất lượng được quản lý chặt chẽ, chữ ký điện tử không chỉ đơn thuần là một ô chọn hoặc tên được gõ. Đó là một sự kiện được kiểm soát phải chứng minh danh tính , ý định và liên kết bản ghi để bản ghi đã ký đáng tin cậy và có thể bảo vệ được trong các cuộc kiểm toán và điều tra. Đó là lý do tại sao chữ ký điện tử gắn liền chặt chẽ với 21 CFR Phần 11 , Phụ lục 11 của EU , tính toàn vẹn dữ liệu và dấu vết kiểm toán có thể quy kết ghi lại người đã ký, nội dung họ đã ký, thời điểm họ ký và ý nghĩa của chữ ký.

Chữ ký điện tử rất quan trọng vì chúng chuyển đổi các bản ghi điện tử thành bằng chứng đáp ứng tiêu chuẩn tuân thủ. Nếu chữ ký yếu – tài khoản dùng chung, ý nghĩa mơ hồ, thiếu thông tin người ký, hoặc bản ghi có thể chỉnh sửa sau khi ký – thì hệ thống sẽ khó bảo vệ, ngay cả khi quy trình cơ bản tốt. Chữ ký điện tử mạnh cho phép hoạt động không cần giấy tờ, chu kỳ phát hành nhanh hơn, quy trình làm việc được kiểm soát và trách nhiệm giải trình đáng tin cậy trong toàn bộ quá trình thực thi hàng loạt ( eBMR ), sai lệch, CAPA, kiểm soát tài liệu, đào tạo và các quyết định về nhà cung cấp/chất lượng. Mục tiêu rất đơn giản: bản ghi điện tử phải có giá trị tương đương với bản ghi giấy có chữ ký – thường là tốt hơn – vì bằng chứng được đóng dấu thời gian và có thể truy vết.

“Chữ ký điện tử chỉ có giá trị nếu nó chứng minh được danh tính, ý định và mối liên hệ không thể phá vỡ với chính xác bản ghi đã được ký.”

1) Chữ ký điện tử thực sự chứng minh điều gì

Chữ ký điện tử hợp lệ phải chứng minh ba điều:

• Danh tính: Người ký được xác định duy nhất (không dùng chung thông tin đăng nhập) và được xác thực.
• Ý định: Người ký có ý định ký và hiểu ý nghĩa của chữ ký (đã xem xét/phê duyệt/thực hiện/phát hành).
• Đóng bìa đĩa: Chữ ký gắn liền với hồ sơ cụ thể tại thời điểm ký và không thể tách rời hoặc sử dụng sai mục đích.

Khi có đầy đủ các yếu tố này, chữ ký điện tử sẽ mạnh hơn chữ ký viết tay vì nó được ghi dấu thời gian, có thể xác định người ký và liên kết với ngữ cảnh hệ thống (vai trò, bước quy trình làm việc, phiên bản bản ghi). Khi thiếu các yếu tố này, "chữ ký điện tử" chỉ trở thành một công cụ giao diện người dùng với giá trị chứng cứ yếu.

2) Chữ ký điện tử so với hồ sơ điện tử

Hồ sơ điện tử chính là dữ liệu: hồ sơ lô hàng, sai lệch, CAPA, kết quả kiểm tra, tài liệu được kiểm soát, chứng nhận hoàn thành khóa đào tạo. Chữ ký điện tử là hành động phê duyệt hoặc xác nhận được áp dụng cho hồ sơ đó. Hai yếu tố này phải hoạt động cùng nhau. Hồ sơ không có chữ ký được kiểm soát có thể không đầy đủ để được chấp thuận. Chữ ký mà không có hồ sơ được kiểm soát thì vô nghĩa.

Đây là lý do tại sao Phần 11 thường được tóm tắt là “hồ sơ điện tử và chữ ký điện tử”. Bạn phải kiểm soát cả hồ sơ (tính toàn vẹn, thời gian lưu trữ, nhật ký kiểm toán) và chữ ký (danh tính, ý định, tính ràng buộc). Nếu một trong hai yếu tố yếu, việc tuân thủ sẽ sụp đổ.

3) Tại sao chữ ký điện tử tồn tại trong các hoạt động được quản lý?

Chữ ký điện tử tồn tại vì quy trình sản xuất được quản lý chặt chẽ dựa trên các quyết định được ghi chép lại. Sự phê duyệt xác định những gì được phép: các bước sản xuất nào đã được thực hiện, những sai lệch nào được chấp nhận, những hành động khắc phục (CAPA) nào đã được hoàn tất, thông số kỹ thuật nào có hiệu lực, lô hàng nào được xuất xưởng. Không có chữ ký, các quyết định sẽ không rõ ràng. Với chữ ký, các quyết định trở nên có thể quy trách nhiệm và có thể bảo vệ được.

Chữ ký điện tử cũng cho phép các hoạt động không cần giấy tờ và giảm thiểu sự phức tạp trong quy trình. Thay vì in và quét các biểu mẫu, tổ chức có thể thu thập chữ ký ngay tại thời điểm thực hiện thao tác, với liên kết tức thì đến hồ sơ và nhật ký kiểm toán. Khi được thực hiện tốt, điều này sẽ cải thiện cả việc tuân thủ và hiệu quả vì nó giảm thiểu lỗi sao chép và rút ngắn khoảng thời gian giữa hành động và việc lập tài liệu.

4) Ý nghĩa của chữ ký: "Đã xem xét" không đồng nghĩa với "Đã phê duyệt"

Ý nghĩa của chữ ký là một trong những yêu cầu thường bị bỏ qua nhất. Chữ ký phải thể hiện một mục đích nhất định. Những mục đích phổ biến của chữ ký bao gồm:

• Đã thực hiện: “Tôi đã thực hiện bước/hành động này.”
• Đã xác minh: “Tôi đã xác nhận kết quả/bước này đáp ứng các yêu cầu.”
• Đã đánh giá: “Tôi đã xem xét hồ sơ và thấy nó đạt yêu cầu.”
• Tán thành: “Tôi chấp thuận việc sử dụng bản ghi/quyết định này.”
• Phát hành: “Tôi chuyển lô hàng/mẻ hàng/tài liệu này sang tiểu bang tiếp theo.”

Hệ thống cần làm cho ý nghĩa trở nên rõ ràng và nhất quán. Nếu mọi thứ chỉ được ghi là "đã ký", chữ ký đó sẽ yếu vì không rõ người ký đã xác nhận điều gì. Các hệ thống mạnh mẽ sẽ ghi lại ý nghĩa của chữ ký dưới dạng siêu dữ liệu và hiển thị rõ ràng trong hồ sơ và trong nhật ký kiểm toán.

5) Các biện pháp kiểm soát xác thực: Giúp bảo vệ danh tính

Danh tính là nền tảng. Ngay cả chương trình chữ ký điện tử mạnh nhất cũng sẽ sụp đổ nếu quá trình xác thực yếu. Tối thiểu, một chương trình có thể bảo vệ được cần phải có:

• Tài khoản người dùng duy nhất: Không dùng chung tài khoản đăng nhập, không có tài khoản "người điều hành" chung chung.
• Xác thực mạnh mẽ: Các tiêu chuẩn mật khẩu, xác thực đa yếu tố (MFA) khi cần thiết và các biện pháp kiểm soát việc đặt lại mật khẩu.
• Cung cấp có kiểm soát: cai quản cấp quyền truy cập và việc hủy cấp phép.
• Quyền dựa trên vai trò: Chỉ những người có vai trò được ủy quyền mới có thể ký và chỉ được phép thực hiện các hành động nhất định.RBAC).

Nhiều hệ thống cũng yêu cầu “xác thực lại khi ký” (ví dụ: nhập lại mật khẩu hoặc xác nhận danh tính) đối với các chữ ký quan trọng như phê duyệt phát hành hàng loạt hoặc phê duyệt sai lệch. Mục tiêu là làm rõ ý định và danh tính tại thời điểm ký, chứ không chỉ khi đăng nhập.

6) Quản lý hồ sơ và kiểm soát thay đổi sau khi ký kết

Chữ ký phải gắn liền với trạng thái hồ sơ tại thời điểm ký. Vấn đề cốt lõi là "chỉnh sửa sau khi ký". Nếu hồ sơ có thể bị thay đổi sau khi phê duyệt mà không thể truy vết, thì sự phê duyệt đó trở nên vô nghĩa. Một cách tiếp cận hợp lý thường bao gồm:

• Khóa: Sau khi được ký, các trường thông tin quan trọng trong hồ sơ sẽ bị khóa hoặc được kiểm soát phiên bản.
• Kiểm soát phiên bản: Các thay đổi sau khi ký kết yêu cầu tạo một bản sửa đổi mới với các phê duyệt mới (liên quan đến kiểm soát tài liệu và thay đổi kiểm soát).
• Khả năng hiển thị nhật ký kiểm toán: Mọi thay đổi sau khi ký kết đều được ghi lại và hiển thị, bao gồm cả người đã thay đổi cái gì và lý do tại sao.
• Logic vô hiệu hóa chữ ký: Một số thay đổi nhất định sẽ tự động làm vô hiệu hóa các chữ ký trước đó và yêu cầu ký lại.

Việc liên kết hồ sơ cũng bao gồm kiểm soát tệp đính kèm. Nếu một hồ sơ tham chiếu đến các tệp đính kèm (báo cáo, PDF, hình ảnh), chữ ký phải áp dụng cho toàn bộ gói hồ sơ, chứ không chỉ một trường riêng lẻ.

7) Chữ ký điện tử được sử dụng ở đâu (Các trường hợp sử dụng phổ biến)

Chữ ký điện tử xuất hiện ở bất cứ nơi nào cần xác định nguồn gốc và có thể bảo vệ được các quyết định. Các trường hợp sử dụng phổ biến bao gồm:

• Thực hiện hàng loạt: hoàn thành từng bước, kiểm tra trong quá trình sản xuất, xác nhận thông dây chuyền và ký duyệt lô hàng cuối cùng trong quy trình. eBMR.
• Giữ/thả: đặt và thả sự cách ly/tổ chức Trạng thái của các lô hàng và mẻ hàng.
• Các sai lệch và điều tra: Phê duyệt sai lệch, kết luận điều tra và kiểm tra hiệu quả.
• CAPA: Phê duyệt CAPA, ký xác nhận hoàn thành hành động và kết thúc quá trình.
• Thay đổi kiểm soát: Phê duyệt yêu cầu thay đổi, phê duyệt triển khai và đánh giá sau triển khai.
• Kiểm soát tài liệu: Phê duyệt quy trình vận hành tiêu chuẩn (SOP), ủy quyền ngày hiệu lực, phê duyệt lỗi thời.
• Đào tạo: Giấy chứng nhận hoàn thành khóa đào tạo và xác nhận năng lực.
• Quyết định về nhà cung cấp và chất lượng: Quyết định của MRB và phê duyệt hành động khắc phục của nhà cung cấp.

Trong mỗi trường hợp, chữ ký phải phản ánh đúng ý nghĩa và phải được giới hạn bởi vai trò để người dùng không được ủy quyền không thể ký các quyết định có rủi ro cao.

8) Kỳ vọng về nhật ký kiểm toán đối với các sự kiện quan trọng

Các sự kiện ký điện tử phải có thể truy vết được. Một nhật ký kiểm toán đáng tin cậy cho chữ ký điện tử thường ghi lại:

• Thông tin người ký: Mã định danh người dùng và, nếu có, tên in hoa.
• Dấu thời gian: Ngày/giờ ký (bao gồm cả sự nhất quán về múi giờ).
• Ý nghĩa: Đã xem xét/phê duyệt/thực hiện/phát hành.
• Mã số hồ sơ: Bản ghi nào và phiên bản/bản sửa đổi nào đã được ký?
• Phương pháp xác thực: Liệu việc xác thực lại có xảy ra khi ký kết đối với các bước có tác động lớn hay không.

Các kiểm toán viên cũng quan tâm đến các lỗi và việc ghi đè chữ ký: các lần đăng nhập không thành công, việc hủy chữ ký, việc đặt lại mật khẩu và bất kỳ hành động quản trị nào có thể làm ảnh hưởng đến việc xác thực. Đó là lý do tại sao các hệ thống chữ ký phải được liên kết với việc cấp quyền truy cập có kiểm soát và được giám sát để phát hiện các mẫu bất thường.

9) Các kiểu lỗi thường gặp (Cách chữ ký điện tử trở nên yếu đi)

Các chương trình chữ ký điện tử thường gặp lỗi theo những cách có thể dự đoán được:

• Tài khoản được chia sẻ: Nó phá hủy tính xác thực và khiến chữ ký trở nên không thể bảo vệ được.
• Ý nghĩa không rõ ràng: “Đã ký” mà không có ý định rõ ràng.
• Các bản ghi có thể chỉnh sửa sau khi ký: Các phê duyệt sẽ trở nên vô nghĩa nếu hồ sơ có thể bị sửa đổi mà không có sự kiểm soát chặt chẽ về quy trình chỉnh sửa.
• Quyền ký kết quá rộng: Quá nhiều người dùng có thể phê duyệt các bước có tác động lớn, làm suy yếu sự phân công trách nhiệm.
• Cung cấp nguồn lực yếu: Việc lạm dụng quyền hạn và quyền truy cập lỗi thời dẫn đến khả năng ký kết trái phép.
• Xem xét nhật ký kiểm toán kém: Các sự kiện đặc trưng tồn tại nhưng không được giám sát; các mô hình đáng ngờ không được phát hiện.

Giải pháp nằm ở quản trị và thiết kế: kiểm soát danh tính mạnh mẽ, ý định chữ ký rõ ràng, các quy tắc khóa/sửa đổi hồ sơ được thực thi và quyền hạn dựa trên vai trò phù hợp với hệ thống chất lượng.

10) Kế hoạch thực tiễn: Triển khai chữ ký điện tử có khả năng bảo vệ pháp lý

Một bản kế hoạch triển khai thực tế sẽ trông như thế này:

• 1) Xác định các điểm đặc trưng: Liệt kê các quy trình công việc yêu cầu chữ ký (các bước xử lý hàng loạt, phát hành, sai lệch, CAPA, kiểm soát thay đổi, tài liệu).
• 2) Định nghĩa ý nghĩa của chữ ký: Đã được xem xét/phê duyệt/thực hiện/phát hành và đảm bảo hệ thống ghi lại chúng.
• 3) Xác định vai trò: Phân định quyền ký tên theo vai trò và thực thi việc phân tách nhiệm vụ.
• 4) Thực thi các biện pháp kiểm soát danh tính: Tài khoản riêng biệt, xác thực mạnh mẽ, cấp phép được kiểm soát.
• 5) Gắn chữ ký vào hồ sơ: Khóa hoặc kiểm soát phiên bản các bản ghi đã ký; bảo lưu các tệp đính kèm và ngữ cảnh.
• 6) Ghi lại nhật ký kiểm toán: Các sự kiện quan trọng được ghi lại, xem xét và lưu giữ trong khoảng thời gian quy định.
• 7) Theo dõi và đánh giá: Thực hiện rà soát truy cập định kỳ và giám sát nhật ký kiểm toán để phát hiện các bất thường về chữ ký.

Kế hoạch này biến chữ ký điện tử thành một thế mạnh về tuân thủ quy định chứ không chỉ là một "tính năng tùy chọn". Mục tiêu là làm cho việc sử dụng chữ ký trở nên tự nhiên và khó bị lạm dụng.

11) Điều này phù hợp như thế nào với V5 bởi SG Systems Global

Thực thi và phê duyệt được kiểm soát. Trên nền tảng V5 , chữ ký điện tử hỗ trợ việc thực thi được kiểm soát trên các mô-đun: ký xác nhận các bước MES vào eBMR sẵn sàng kiểm tra , giữ và giải phóng WMS , và phê duyệt QMS cho các sai lệch, CAPA, MRB và kiểm soát thay đổi. RBAC và cấp phép được kiểm soát đảm bảo chỉ những vai trò được ủy quyền mới có thể ký các quyết định cụ thể.

Khả năng kiểm toán. Các sự kiện ký tên được ghi lại kèm theo thông tin về nguồn gốc, ý nghĩa và dấu thời gian, giúp tăng cường khả năng theo dõi kiểm toán và hỗ trợ bằng chứng phù hợp với Phần 11/Phụ lục 11. Hồ sơ có thể được khóa hoặc kiểm soát phiên bản để đảm bảo chữ ký luôn được gắn liền với trạng thái hồ sơ chính xác.

Tóm lại: V5 sử dụng chữ ký điện tử để tăng cường trách nhiệm giải trình và bảo vệ tính toàn vẹn dữ liệu — biến các phê duyệt thành bằng chứng có thể bảo vệ và sẵn sàng cho việc kiểm tra mà không cần giấy tờ.

12) Câu hỏi thường gặp

Câu 1. Chữ ký điện tử có giá trị pháp lý không?
Trong nhiều bối cảnh được quản lý chặt chẽ, câu trả lời là có — khi được thực hiện với các biện pháp kiểm soát phù hợp về danh tính, mục đích và liên kết hồ sơ, và khi tuân thủ các quy định hiện hành và chính sách của tổ chức.

Câu 2. Chữ ký điện tử có yêu cầu nhập lại mật khẩu không?
Thường áp dụng cho các chữ ký có tác động lớn. Một số hệ thống yêu cầu xác thực lại ngay tại thời điểm ký để làm rõ ý định. Phương pháp cụ thể cần phù hợp với mô hình rủi ro và kỳ vọng của cơ quan quản lý.

Câu 3. Liệu một bản ghi đã ký có thể được sửa đổi sau này không?
Nó không nên được phép thay đổi mà không có khả năng truy vết. Thông thường, các bản ghi đã ký sẽ được khóa hoặc các thay đổi yêu cầu phải có bản sửa đổi mới và phê duyệt lại, với đầy đủ nhật ký kiểm toán cho thấy những gì đã thay đổi và lý do tại sao.

Câu 4. Điều gì làm hỏng chữ ký điện tử nhanh nhất?
Tài khoản dùng chung, ý nghĩa chữ ký không rõ ràng, quyền ký kết rộng rãi mà không phân tách trách nhiệm, và khả năng chỉnh sửa hồ sơ sau khi ký mà không có sự kiểm soát việc sửa đổi.

Câu 5. Nên ưu tiên sử dụng chữ ký điện tử ở đâu?
Hãy bắt đầu với các điểm kiểm soát có giá trị cao: hoàn thành và phát hành bước sản xuất theo lô, phê duyệt sai lệch/CAPA, phê duyệt kiểm soát thay đổi và phê duyệt tài liệu được kiểm soát. Đây là những chữ ký mà các kiểm toán viên và các nhà điều tra dựa vào nhiều nhất.

Câu 6. Những thông tin nào cần được ghi lại trong nhật ký kiểm toán đối với chữ ký?
Ai đã ký, khi nào, bản ghi/phiên bản nào đã được ký, chữ ký có ý nghĩa gì và (nếu có) cách thức xác thực được thực hiện như thế nào. Hồ sơ phải được lưu giữ và có thể truy xuất.

Đọc liên quan
• Yêu cầu cốt lõi: 21 CFR Phần 11 | Phụ lục 11 | Toàn vẹn dữ liệu | Đường mòn kiểm toán
• Kiểm soát truy cập: Quyền truy cập dựa trên vai trò | Cấp quyền truy cập | Quản lý truy cập người dùng
• Bối cảnh quy trình làm việc: eBMR | MES | V5 QMS | Thay đổi kiểm soát