审计追踪（GxP）——电子记录的谁、什么、何时和为什么

本主题是 SG Systems Global 监管词汇系列。

2025 年 10 月更新 • 数据完整性 • 21 CFR 第 11 部分 / EU Annex 11 / ALCOA+

审计追踪是一种安全的、计算机生成的、带有时间戳的日志，用于记录影响 GxP 数据和配置的操作——记录谁在何时做了什么，以及在适当情况下，记录原因。它是电子数据完整性的基石，也是21 CFR 第 11 部分、欧盟附件 11和ALCOA+的实际体现。在受监管的环境中——例如药品、生物制品、医疗器械、膳食补充剂和食品——产品放行和安全决策依赖于完整、可追溯且持久的记录。如果记录可以无痕更改，则不可信；如果无法还原其历史记录，则不能依靠它来保护产品。

如果记录可以在没有痕迹的情况下发生变化，那么它就不是证据，而是虚构。审计跟踪将数据转化为可辩护的证据。

1）它是什么

从本质上讲，审计追踪是一种控制手段，而非便利措施。它由计算机化的记录系统自动生成，并与该记录绑定，保存期限符合要求。审计追踪必须显示：(1)用户或仪器的身份；(2) 执行的事件（创建、编辑、批准、处置、导入、打印、失效、配置、计算）；(3)时间戳/时区和顺序；(4)对象标识符（批次、批号、测试、规格、标签、配方、设备、文档）；(5)重大变更的先前值和新值；以及 (6)变更重大或工作流程需要说明原因时（例如，覆盖、不合格处置、风险等级变更）的原因/注释。审计追踪必须由计算机生成，具有防篡改功能，完整且可按需供人阅读。

您应该期望的审计跟踪类型：

• 数据审计追踪 – 记录级别的变化（测试结果、称重、计算、标签、CoA 内容、批次说明）。
• 配置审计跟踪 – 控制主数据和系统设置（配方/规格、限制、标签模板、角色/权限、仪器因素）。
• 工作流程/签名轨迹 – 批准、拒绝、重新路由和签名的含义 审批工作流程.
• 安全/管理路径 – 帐户创建/禁用、密码策略更改、权限提升、API 密钥、集成映射。
• 设备/仪器轨迹 – 采集参数、方法版本、原始数据位置、集成状态。
• 系统事件 – 导入/导出、打印事件、备份/恢复、时间同步、补丁/应用程序更改。

范围。任何创建、处理、存储或传输与GxP相关的记录的系统都应维护审计追踪：MES/eBR–eBMR、LIMS、QMS（偏差/CAPA/变更）、WMS/标签控制、培训和设备系统，以及ERP接口（在这些系统中，它们成为放行/追溯决策的记录系统）。仪器和电子表格也不例外；它们必须提供审计追踪，或者配备与风险相称的独立验证和控制措施。

符合监管要求。相关规则（例如，21 CFR 210/211、111 、设备820和食品117）规定了必须存在的记录；第 11 部分和附件 11规定了电子记录的控制方式。审计追踪是确保电子证据可信度的关键所在。

2）实际实施（检查员期望看到的内容）

生命周期与验证。将审计跟踪视为一项经过验证的功能，而非简单的勾选框。在用户需求规范/功能描述符中定义需求，评估风险，编写可测试的验收标准，并在安装确认/运行确认/性能确认中验证行为：条目是否可以关闭？是否可以编辑？时钟是否同步（NTP）？时区是否已保存？导出是否保留上下文？打印输出是否准确呈现相同的内容和顺序？登录失败和权限提升是否会被记录？对于重大编辑，是否会强制执行更改原因提示？证据将包含在验证包中，并可追溯到测试。

身份与访问控制。唯一用户 ID；基于角色的权限；最小权限原则；职责分离（执行者与验证者、发起者与审批者、管理员与质量保证人员）。提升的权限必须受到严格控制和审计。共享账户和通用“实验室”用户在 GxP 系统中没有立足之地。远程访问和管理角色的多因素身份验证正迅速成为基本要求。

已采集内容。对于重要事件，记录路径必须包含记录 ID、事件类型、时间戳、用户/仪器、先前值和新值，以及适当的原因/注释。请勿依赖缺乏字段级上下文的通用“已更新”操作。对于电子签名，需采集签名者身份、签名含义（例如，已执行、已审核、已批准、已处置）以及与记录版本的关联。对于标签打印，需采集模板版本、数据来源和计数。

安全性和完整性。审计跟踪记录应从设计上就确保不可编辑。使用加密完整性检查或仅追加存储来保护日志，并辅以严格的备份/恢复测试。如果平台允许出于隐私或商业秘密目的进行正式的编辑，则编辑必须与操作跟踪记录分离，并提供充分的理由，且其本身也必须有完整的审计跟踪记录。

保留和可读性。在预定周期内保留原始数据、元数据和审计跟踪。规划格式过时方案：升级、供应商变更或归档后，必须仍能正常渲染。迁移活动本身受到变更控制和验证：抽查、校验和比较、并行访问和书面确认。

审查实践。审计跟踪并非仅在事件发生后才需要，而应定期审查。将异常审查嵌入批次处置和质量管理体系 (QMS) 关闭流程中：筛选出被覆盖、签名延迟、重复编辑、异常变更和登录失败等情况。定期管理审查应按区域和用户分析审计跟踪异常情况，为纠正和预防措施 (CAPA) 以及培训提供依据。

电子表格和审计工具。如果缺少审计跟踪，则需添加补偿控制措施：版本化模板、受保护的公式/单元格、访问限制、文档化验证、独立的第二人核查以及带有哈希值或水印的受控打印到 PDF。更佳方案：将审计工具和电子表格集成到提供原生跟踪的已验证平台中。

3）有效的设计模式

• 变更原因执行。 要求对重要数据/配置的编辑提供结构化的理由；无正当理由阻止保存。
• 时间纪律。 同步服务器和客户端；存储带有时区的时间戳；标记超出阈值的时钟漂移。
• 不可变的出口。 提供带有嵌入哈希值和上下文标题（记录 ID、版本、过滤器、时区）的签名 PDF/CSV，以便打印的副本保持可追溯性。
• 特权访问监督。 将管理员操作路由到 QA 进行定期审查；通知角色变化和紧急访问（“打破玻璃”）。
• 事件关联。 通过全局记录标识符链接跨系统轨迹（MES↔LIMS↔QMS↔WMS）；启用谱系。
• 证据门。 将批准与证据存在（附件、计算）联系起来；签名按钮在满足先决条件之前处于禁用状态。
• 仪表板。 实时向轮班主管和 QA 报告异常情况（覆盖、延迟签名、重复编辑）。

4）重要的指标

• 异常密度 每个批次/文档（标记的跟踪事件数量与步骤数量）——流程健康状况的领先信号。
• 逾期签名率 和 平均特征滞后 从执行→验证→批准。
• 特权操作计数 并与 SLA 内的 QA 审查成比例。
• 时钟漂移事件 检测和纠正时间。
• 审计追踪审查完成 批次、偏差、CAPA 和变更的比率。
• CAPA有效性 （6-12个月内再次出现类似异常情况）。

5）常见故障模式及避免方法

• 可编辑的轨迹。 任何删除或编辑跟踪条目的行为都会破坏完整性。解决方法：平台级不变性和职责分离；供应商认证。
• 部分捕获。 Trails 日志“已更新”，但缺少字段增量或用户身份信息。修复：配置字段级日志记录；要求提供重大编辑的原因。
• 共享帐户。 “LabUser” 签署所有内容。修复：唯一用户，无通用帐户；非活动状态后禁用；管理员的 MFA。
• 孤立出口。 PDF/CSV 缺少上下文或哈希值。修复：上下文标头、数字签名/哈希值与源文件一起存储。
• 時間混亂。 重建不同步的时钟中断。修复：NTP、监控、漂移警报、时区捕获。
• 评论剧院。 线索存在，但无人阅读。解决方法：在处置中逐一进行异常审核；定期进行 QA 抽样；审核完成情况的 KPI。
• 迁徙失忆症。 系统变更期间丢失的路径。修复方法：迁移协议、校验和、并行访问、签名；如有需要，保留旧系统映像。

6）与 V5 的关系

V5 由 SG Systems Global 在主数据和执行过程中嵌入审计线索，确保每个关键计算、移动和批准都具有可追溯性、安全性和可审查性。在 V5制造执行系统、eBMR 步骤、称重、配方编辑和保留会生成带有用户身份和原因代码的时间戳条目。 V5 仓储管理系统 跟踪记录接收、箱子移动、状态变化、标签打印和对账。 V5 质量管理体系 捕获偏差→CAPA、变更控制、投诉处理和培训认证，并提供链接签名和有效性检查。通过 V5 连接 API 将仪器元数据和结果批准绑定到 辅酶A.

例外审核。V5提供可配置的筛选器：显示所有覆盖、延迟签名（> X 小时）、同一用户执行并批准的尝试（已阻止）、版本不匹配以及对限制的重复编辑。QA 审核人员可以一目了然地了解批次或变更的来龙去脉，而无需滚动查看原始日志。对于审计，V5 会生成包含审计跟踪上下文（时区、应用的筛选器、版本标识符）的可直接用于检查的报告，因此导出的证据具有自描述性。

安全性和保留性。跟踪记录不可编辑，并受备份/恢复验证的保护。跟踪记录查看器的访问权限受角色限制；特权操作会报告给质量保证仪表板。长期可读性通过导出配置文件（带哈希值的签名 PDF/CSV/XML）和受控的变更控制迁移流程来管理。

标签和打印控制。模板版本和打印事件均有审计跟踪，并与 SKU/批次关联；系统记录打印者、使用的模板/版本和数量——从而弥补了引发召回的常见漏洞。

7）实施手册（团队就绪）

• 定义范围。 列出所有生成GxP记录的系统（MES、LIMS、QMS、WMS、ERP接口、标签系统、仪器仪表、电子表格）。确定每种数据类型的记录系统，并确定需要审计跟踪或补偿控制。
• 写下要求。 指定要捕获的事件、需要更改原因的字段、时区捕获、身份和导出格式。包括异常审核的报告需求。
• 证实。 挑战不变性、身份捕获、时间同步、管理员日志记录、导出完整性以及负载（长批次）下的性能。记录偏差和 CAPA。
• 培养。 教授签名的含义、何时需要说明理由、如何读取线索以及如何识别异常。培训管理员掌握特权访问卫生知识。
• 操作。 在批次处置、偏差关闭和变更审批中嵌入跟踪检查。追踪异常并输入到 APR/PQR 中。
• 保持。 定期测试备份/恢复、NTP 和跟踪报告的完整性。升级、修补或迁移时重新验证。

相关阅读

• 21 CFR 第 11 部分 – 电子记录和签名
• 欧盟GMP附件11 – 计算机化系统
• ALCOA+ 数据完整性 | GAMP® 5 软件验证
• 电子批次记录（eBR/eBMR） | 分析证书（CoA）
• V5制造执行系统 | V5 质量管理体系 | V5 仓储管理系统

8) 常见问题

Q1. 审计跟踪必须捕获什么？
身份、事件类型、时间戳/时区、对象/记录 ID、重大变化的先前/新值以及适当的原因/评论——加上批准时的签名含义。

Q2. 审计跟踪可以编辑吗？
不可以。它们必须是仅可追加且防篡改的。如果允许隐私编辑，则必须进行隔离、合理化，并进行审计跟踪，且不得更改原始内容。

Q3. 审计线索应多久审查一次？
按批次/记录处置（例外审查）和定期（例如每月/每季度）查看趋势，并进行 QA 监督和 KPI 以完成情况。

Q4. 电子表格和工具需要审计跟踪吗？
如果他们创建或转换用于决策的GxP数据，答案是肯定的——无论是原生试验还是补偿性控制（版本控制、保护措施、独立验证）。最佳实践是与原生试验系统集成。

Q5. 如何处理时区？
存储带有时区或 UTC 偏移量的时间戳并同步时钟。时钟漂移检测和校正应记录在案。

Q6. 审计跟踪必须保存多长时间？
只要底层记录必须在谓词规则下保留，并保证升级和迁移后的可读性。

Q7. 打印的 PDF 是否足够？
PDF 格式有助于提高可读性，但检查员可能会从记录系统中请求原始数据、元数据和实时跟踪。请确保导出的数据具有自描述性且完整性受到保护。

Q8. V5 在审计过程中有何帮助？
V5 呈现可供检查的视图，将审计跟踪与记录上下文（谁/什么/何时/为什么）连接起来，包括签名含义，并显示异常过滤器 - 减少证明控制所花费的时间。

相关词汇表链接：
• 电子记录： 21 CFR 第 11 部分 | 欧盟: 附件11 | 原则： 美国铝业+
• 制药/设备/食品： 210/211 | 820 | 117
• 系统： V5制造执行系统 | V5 质量管理体系 | V5 仓储管理系统