審計追蹤（GxP）－電子記錄的“人、事、時、因”

本主題屬於 SG Systems Global 監管術語系列。

更新於 2025 年 10 月 • 資料完整性 • 21 CFR 第 11 部分 / 歐盟附件 11 / ALCOA+

審計追蹤是一種安全的、電腦生成的、帶有時間戳記的日誌，用於記錄影響 GxP 數據和配置的操作——記錄誰在何時做了什麼，以及在適當情況下，記錄原因。它是電子資料完整性的基石，也是21 CFR 第 11 部分、歐盟附件 11和ALCOA+的實際體現。在受監管的環境中—例如藥品、生物製品、醫療器材、膳食補充劑和食品—產品放行和安全決策依賴完整、可追溯且持久的記錄。如果記錄可以無痕更改，則不可信；如果無法還原其歷史記錄，則不能依靠它來保護產品。

“如果記錄可以無痕更改，那就不是證據，而是虛構的。審計追蹤可以將數據轉化為可辯護的證據。”

1）它是什麼

從本質上講，審計追蹤是一種控製手段，而非便利措施。它由電腦化的記錄系統自動生成，並與該記錄綁定，保存期限符合要求。稽核追蹤必須顯示：(1)使用者或儀器的身分；(2) 執行的事件（建立、編輯、核准、處置、匯入、列印、失效、配置、計算）；(3)時間戳記/時區和順序；(4)物件識別碼（批次、批號、測試、規格、標籤、配方、設備、文件）；(5) 以及重大變更的先前值和新值； (6)變更重大或工作流程需要說明原因時（例如，覆蓋、不合格處置、風險等級變更）的原因/註記。審計追蹤必須由電腦生成，具有防篡改功能，完整且可按需供人閱讀。

您應該了解的審計追蹤類型：

• 數據審計追蹤 – 記錄層級的變更（測試結果、稱重、計算、標籤、CoA 內容、批次說明）。
• 配置審計追蹤 – 受控主資料和系統設定（配方/規格、限制、標籤範本、角色/權限、儀器因素）。
• 工作流程/簽章路徑 ——審批、拒絕、重新審批以及簽名的涵義 審批工作流程.
• 安全/管理日誌 – 帳戶建立/停用、密碼原則變更、權限提升、API 金鑰、整合對應。
• 設備/儀器軌跡 – 擷取參數、方法版本、原始資料位置、整合狀態。
• 系統事件 – 匯入/匯出、列印事件、備份/還原、時間同步、修補程式/應用程式變更。

範圍。任何創建、處理、儲存或傳輸與GxP相關的記錄的系統都應維護審計追蹤：MES/eBR–eBMR、LIMS、QMS（偏差/CAPA/變更）、WMS/標籤控制、培訓和設備系統，以及ERP介面（在這些系統中，它們成為放行/追溯決策的記錄系統）。儀器和電子表格也不例外；它們必須提供審計追踪，或配備與風險相稱的獨立驗證和控制措施。

符合監管要求。相關規則（例如，21 CFR 210/211、111 、設備820和食品117）規定了必須存在的記錄；第 11 部分和附件 11規定了電子記錄的控制方式。審計追蹤是確保電子證據可信度的關鍵。

2）實際執行情況（檢查員希望看到的內容）

生命週期與驗證。將審計追蹤視為一項經過驗證的功能，而非簡單的勾選方塊。在使用者需求規格/功能描述符中定義需求，評估風險，編寫可測試的驗收標準，並在安裝確認/執行確認/效能確認中驗證行為：條目是否可以關閉？是否可以編輯？時脈是否同步（NTP）？時區是否已保存？導出是否保留上下文？列印輸出是否準確呈現相同的內容和順序？登入失敗和權限提升是否會被記錄？對於重大編輯，是否會強制執行更改原因提示？證據將包含在驗證包中，並可追溯到測試。

身分與存取控制。唯一使用者 ID；基於角色的權限；最小權限原則；職責分離（執行者與驗證者、發起者與審核者、管理者與品質保證人員）。提升的權限必須受到嚴格控制和審計。共享帳戶和通用「實驗室」用戶在 GxP 系統中沒有立足之地。遠端存取和管理角色的多因素身份驗證正迅速成為基本要求。

已採集內容。對於重要事件，記錄路徑必須包含記錄 ID、事件類型、時間戳記、使用者/儀器、先前值和新值，以及適當的原因/註釋。請勿依賴缺乏欄位層級上下文的通用「已更新」操作。對於電子簽名，需採集簽名者身分、簽名含義（例如，已執行、已審核、已批准、已處置）以及與記錄版本的關聯。對於標籤列印，需擷取範本版本、資料來源和計數。

安全性和完整性。審計追蹤記錄應從設計上就確保不可編輯。使用加密完整性檢查或僅追加儲存空間來保護日誌，並輔以嚴格的備份/復原測試。如果平台允許出於隱私或商業機密目的進行正式的編輯，則編輯必須與操作追蹤記錄分離，並提供充分的理由，且本身也必須有完整的審計追蹤記錄。

保留和可讀性。在預定週期內保留原始資料、元資料和稽核追蹤。規劃格式過時方案：升級、供應商變更或歸檔後，必須仍能正常渲染。遷移活動本身受到變更控制和驗證：抽查、校驗和比較、平行存取和書面確認。

審查實踐。審計追蹤並非僅在事件發生後才需要，而應定期審查。將異常審查嵌入批次處置和品質管理系統 (QMS) 關閉流程中：篩選出被覆蓋、簽章延遲、重複編輯、異常變更和登入失敗等情況。定期管理審查應按區域和使用者分析審計追蹤異常情況，為糾正和預防措施 (CAPA) 以及培訓提供依據。

電子表格和審計工具。如果缺少審計跟踪，則需添加補償控制措施：版本化模板、受保護的公式/單元格、訪問限制、文檔化驗證、獨立的第二人核查以及帶有哈希值或水印的受控打印到 PDF。更佳方案：將稽核工具和電子表格整合到提供原生追蹤的已驗證平台中。

3）行之有效的設計模式

• 變更理由執行。 重要資料/配置的修改必須提供結構化的理由；無正當理由禁止保存。
• 時間管理能力。 同步伺服器和客戶端；儲存帶時區的時間戳記；標記超出閾值的時鐘漂移。
• 不可更改的匯出。 提供帶有嵌入式雜湊值和上下文標題（記錄 ID、版本、過濾器、時區）的簽名 PDF/CSV 文件，以便列印副本保持可追溯性。
• 特權存取監管。 將管理員操作路由至 QA 進行定期審查；通知角色變更和緊急存取權限（「打破玻璃」）。
• 事件關聯。 透過全域記錄標識符將系統（MES↔LIMS↔QMS↔WMS）之間的路徑連結起來；實現家譜功能。
• 證據之門。 將審批與證據（附件、計算結果）掛鉤；在滿足先決條件之前，簽名按鈕將被停用。
• 儀錶板。 即時向主管和品質保證人員報告異常情況（覆蓋、延遲簽名、重複編輯）。

4）關鍵指標

• 異常密度 每個批次/文件（標記的追蹤事件數與步驟數）－流程健康狀況的領先訊號。
• 延遲簽章率 以及 平均簽名滯後 從執行→驗證→批准。
• 特權行為計數 並依服務等級協定 (SLA) 內的品質保證審核比例執行。
• 時鐘漂移事件 已偵測到並有時間進行修正。
• 審計追蹤審查完成情況 批次、偏差、CAPA 和變更的比率。
• CAPA有效性 （6-12個月內再次出現類似例外情況）。

5）常見故障模式及避免方法

• 可編輯路徑。 任何刪除或編輯追蹤條目的功能都會破壞完整性。解決方案：平台層面的不可篡改性和職責分離；供應商認證。
• 部分捕獲。 日誌記錄顯示“已更新”，但未記錄欄位變更或使用者身份資訊。解決方法：配置欄位層級日誌記錄；要求提供重大編輯的原因。
• 共享帳戶。 “LabUser”對所有操作進行簽名。修復方案：使用唯一用戶，不使用通用帳戶；不活動後停用；管理員啟用多因素身份驗證 (MFA)。
• 孤立出口。 PDF/CSV 檔案缺少上下文或哈希值。解決方法：將上下文頭部、數位簽章/雜湊值與原始程式碼一起儲存。
• 時鐘混亂。 時間不同步導致重建中斷。解決方法：NTP、監控、漂移警報、時區捕獲。
• 評論劇院。 記錄存在，但無人閱讀。解決方法：對處置結果進行例外審查；定期進行品質保證抽樣；設定審查完成率的關鍵績效指標。
• 移民失憶症。 系統變更過程中遺失了遷移路徑。解決方法：遷移協定、校驗和、並行存取、簽章確認；必要時保留舊系統鏡像。

6）它與V5的關係

V5 由 SG Systems Global 它將審計追蹤嵌入到主資料和執行過程中，從而確保每個關鍵計算、操作和批准都可追溯、安全可靠且可審查。 V5 MESeBMR 的步驟、稱重、配方編輯和暫存都會產生帶有時間戳記、使用者身分和原因代碼的條目。 V5 WMS 追蹤記錄接收、貨位移動、狀態變更、標籤列印和核對。 V5品質管理體系 記錄偏差→糾正和預防措施 (CAPA)、變更控制、投訴處理和培訓認證，並關聯簽名和有效性檢查。透過以下方式整合到 LIMS： V5 連接 API 將儀器元資料和結果審批綁定到同一譜系，該譜係由以下系統使用： 輔酶A.

例外審核。 V5提供可設定的篩選器：顯示所有覆蓋、延遲簽章（> X 小時）、同一用戶執行並批准的嘗試（已封鎖）、版本不符以及對限制的重複編輯。 QA 審核人員可以一目了然地了解批次或變更的來龍去脈，而無需滾動查看原始日誌。對於審計，V5 會產生包含審計追蹤上下文（時區、應用的篩選器、版本識別碼）的可直接用於檢查的報告，因此導出的證據具有自我描述性。

安全性和保留性。追蹤記錄不可編輯，並受備份/復原驗證的保護。追蹤記錄檢視器的存取權限受角色限制；特權操作會報告給品質保證儀表板。長期可讀性透過匯出設定檔（具有雜湊值的簽章 PDF/CSV/XML）和受控的變更控制遷移流程來管理。

標籤和列印控制。範本版本和列印事件均有審計跟踪，並與 SKU/批次關聯；系統記錄列印者、使用的範本/版本和數量——從而彌補了引發召回的常見漏洞。

7) 執行手冊（團隊就緒）

• 明確範圍。 列出所有產生 GxP 記錄的系統（MES、LIMS、QMS、WMS、ERP 介面、標籤系統、儀器、電子表格）。確定每種資料類型的記錄系統，並要求提供審計追蹤或採取補償控制措施。
• 撰寫需求文件。 明確要擷取的事件、需要記錄變更原因的欄位、時區資訊、身分識別識別以及匯出格式。同時，需包含例外審查所需的報告。
• 證實。 挑戰資料不可篡改性、身分擷取、時間同步、管理員日誌記錄、匯出完整性以及高負載（長批次）下的效能。記錄偏差並制定糾正和預防措施 (CAPA)。
• 火車。 講解簽名含義、何時需要提供理由、如何解讀存取軌跡以及如何發現異常情況。培訓管理員掌握特權存取管理規範。
• 操作。 在批次處置、偏差關閉和變更審批流程中嵌入追蹤檢查。分析異常情況並將其回饋至年度績效評估/產品品質報告。
• 維持。 定期測試備份/復原、NTP 和追蹤報告的完整性。升級、打補丁或遷移後，重新驗證其完整性。

相關閱讀

• 21 CFR 第 11 部分 – 電子記錄和簽名
• 歐盟GMP附件11－電腦化系統
• ALCOA+ 資料完整性 | GAMP® 5 軟體驗證
• 電子批次記錄（eBR/eBMR） | 分析證書（CoA）
• V5 MES | V5品質管理體系 | V5 WMS

8) 常見問題解答

問題1：審計追蹤必須記錄哪些內容？
身分、事件類型、時間戳記/時區、物件/記錄 ID、重大變更的先前/新值，以及適當的原因/註釋—以及批准時的簽名含義。

Q2. 審計追蹤記錄可以編輯嗎？
不。它們必須僅可附加且防篡改。如果允許隱私資訊編輯，則必須將其單獨列出，並提供正當理由，且其本身必須有審計跟踪，同時不得更改原始內容。

問題3：審計追蹤應該多久審查一次？
在批次/記錄處置時（例外審查），並定期（例如，每月/每季）進行趨勢分析，同時進行品質保證監督和完成情況的關鍵績效指標。

第四季：電子表格和儀器需要審計追蹤嗎？
如果他們創建或轉換用於決策的 GxP 數據，那麼答案是肯定的——無論是原生追蹤還是補償控制措施（版本控制、資料保護、獨立驗證）。最佳實踐是與具有原生追蹤功能的系統整合。

Q5. 如何處理時區？
儲存包含時區或 UTC 偏移的時間戳記並同步時鐘。時鐘漂移的偵測和校正應記錄在案。

Q6. 審計追蹤記錄必須保留多久？
只要底層記錄必須根​​據謂詞規則保留，並且在升級和遷移後仍能保證可讀性。

Q7. 列印出來的PDF檔案就夠了嗎？
PDF檔案有助於提高可讀性，但檢查人員可能會要求提供原始資料、元資料以及來自記錄系統的即時追蹤記錄。請確保匯出的文件具有自描述性並受到完整性保護。

Q8. V5 在審計過程中如何提供協助？
V5 提供可直接用於檢查的視圖，將審計追蹤與記錄上下文（誰/什麼/何時/為什麼）結合起來，包括簽名含義，並顯示異常過濾器，從而減少證明控制所需的時間。

相關詞彙表連結：
• 電子記錄： 21 CFR 第 11 部分 歐盟： 附件11 原則： 美鋁+
• 醫藥/醫療器材/食品： 210/211 | 820 | 117
• 系統： V5 MES | V5品質管理體系 | V5 WMS