數據的完整性

本主題屬於 SG Systems Global 監管及營運指南庫。

資料完整性：確保記錄可信—ALCOA 證據、稽核追蹤、受控存取和可辯護的決策。

更新於 2026 年 1 月 • 資料完整性、美國鋁業公司 (ALCOA)、審計追蹤、第 11 部分、附件 11、CSV、記錄保存、存取控制 • 跨產業

數據完整性是指確保記錄在整個數據生命週期內都值得信賴——完整、準確、可追溯，並免受不當更改。在受監管的生產和品質系統中，「完整性」並非一種哲學概念，而是批次放行、產品決策、調查以及病人/客戶安全的實際操作基礎。如果數據不可信，基於該數據所做的決策也站不住腳。

組織機構常常將資料完整性與網路安全或資料品質混為一談。安全性旨在防止未經授權的存取；品質著重於資料的適用性；完整性則證明記錄與其聲稱的內容相符，且未被篡改、暗中損壞或脫離其上下文。上下文包括元資料（時間戳記、使用者 ID、版本）、稽核追蹤以及確保在出現問題時無法篡改歷史記錄的程序控制措施。

資料完整性在壓力最大的時候最為重要：例如偏差調查、不合格事件、供應商糾紛、批次處置決定或審計。在這些時刻，組織要麼擁有可靠的證據鏈，要麼只能依靠辯解。完整性能夠防止「我們認為事情是這樣發生的」取代「我們可以證明事情是這樣發生的」。

“如果記錄可以改寫，那就不能算是證據。”

1）資料完整性究竟是什麼意思

資料完整性意味著您的記錄可以作為可信的證據。實際上，完整性證明了：

• 記錄具有歸屬性： 你可以可靠地回答「誰在何時做了什麼，以及為什麼」。
• 記錄已完成： 沒有缺失的結果、缺失的批次、缺少的審計追蹤條目或缺少的附件。
• 記錄一致： 時間戳記、版本和狀態轉換是一致且可重現的。
• 記錄受到保護： 未經授權的更改是可預防和可偵測的，包括試圖刪除或回溯日期。
• 記錄仍然可用： 根據保存規定，這些資料可以在多年後被檢索、解讀和審查。

完整性並非僅限於「資料值」。它還包括賦予這些值意義的上下文：儀器、方法、單位、版本、審批和追溯連結。沒有校準狀態的溫度讀數並非可信的證據。沒有測試方法修訂的「合格」結果站不住腳。沒有審計追蹤的批次記錄只是一份空洞的故事。

在受監管的領域——例如製藥、醫療器材、食品安全和其他高風險製造業——誠信是產品放行決策、調查和監管機構信任的基石。一旦誠信遭到破壞，其他一切都將變得可以商量。

2）為什麼資料完整性不容妥協

有四個強制函數使完整性得以實現：

殘酷的現實是：完整性失效代價高昂，因為它會造成「無法證實的現實」。當資料不可信時，組織會採取過度測試、重複工作、延長批次暫停時間以及回報管理層審查等應對措施。即使產品本身是安全的，無法證明其安全性也會成為營運瓶頸。

完整性缺失也具有傳染性。一旦人們認為記錄可以被竄改，他們的行為就會改變：「以後再錄入」、「修正數值」、「更新電子表格」、「之後再核對」。這種文化上的轉變比任何技術缺陷都能更快地破壞證據品質。

3）資料完整性、品質和安全性

團隊經常將這些概念混淆，從而設計出錯誤的控制措施。

安全與完整性缺失的情況很常見：強大的邊界控制、薄弱的內部治理，以及可以篡改歷史記錄的特權使用者。完整性與安全性缺失的情況也同樣存在：完善的審計追蹤、薄弱的存取控制，以及極高的未經授權存取風險。在受監管的工作中，兩者都不可或缺——但完整性才是確保記錄具有法律效力的關鍵。

4）資料生命週期：完整性的成敗在此一舉

完整性並非單一的控制措施，而是貫穿資料生命週期各階段的控制措施共同作用的結果：

• 創建： 數據是如何產生的（儀器、系統、手動輸入），包括方法和版本。
• 處理： 計算、轉換和導出結果——其中經常發生隱藏的操縱。
• 回顧： 審批工作流程、異常處理和升級途徑（見 審批工作流程).
• 報告： 摘要、儀錶板和 PDF 報告可能脫離了基本事實。
• 貯存： 記錄的儲存位置、保護方式以及稽核追蹤的保存方式。
• 恢復： 在審計和調查過程中重現記錄上下文的能力。
• 保留/存檔： 長期保存 記錄保存 規則。
• 性格： 保質期屆滿後，進行受控銷毀，並附有書面理由。

大多數完整性保護措施失敗的原因在於它們只專注於儲存而忽略了創建和處理過程。這種做法本末倒置。如果記錄在採集時就遭到破壞，那麼之後再製定任何保留策略都無法彌補。

5）定義範圍：什麼才算是記錄

誠信始於對範圍的嚴格界定。如果你不定義什麼是受控記錄，別人就會替你定義——而且通常會以一種降低責任感的方式來定義。

一份實用範圍圖包括：

• 品質記錄： 偏差、調查、批准、CAPA（見 偏差管理 以及 CAPA).
• 生產記錄： 批次文檔，例如 BMR 以及電子版的類似產品，例如 EBR.
• 設備記錄： 設備歷史證據（DHR / 電子資料記錄).
• 實驗室記錄： 結果、計算和審核歷史記錄（通常與…相關） 實驗室資訊管理系統).
• 主要的數據： 受控配方、物料清單、規格和參數限制（見 主資料控制).
• 元數據： 時間戳記、使用者 ID、版本以及稽核追蹤本身。
• 附件： PDF、影像、原始資料檔案、儀器匯出檔案—通常是隱藏篡改的最容易的地方。

範圍還必須包括「影子系統」：電子表格、本機資料夾、共用磁碟機和臨時資料庫。如果關鍵計算在受控系統之外的 Excel 中進行，那麼完整性風險就存在於這些系統中，而不是存在於您引以為傲地向審計人員展示的已驗證應用程式中。

6）美國鋁業公司實務：證據而非口號

ALCOA是誠信期望最常用的縮寫。 ALCOA 的價值不在於這個縮寫，而是它所強制執行的可測試行為：

• 可歸因的： 唯一身分、受控存取權限和可靠的使用者歸屬。
• 清晰易讀： 記錄必須能夠長期保存且易於理解（包括電子可讀性）。
• 同時期： 事件發生時即被記錄，而非事後重建。
• 原文： 保留來源資料和記錄的首次擷取（並防止其被覆蓋）。
• 準確： 數值正確，計算過程受控，錯誤可偵測。

當組織將ALCOA視為培訓內容時，它就會失效。你無法透過「培訓」來解決一個使用者可以篡改結果、刪除審計追蹤或簽署他們未執行操作的系統問題。 ALCOA的執行依賴於控制措施，而不是海報。

7）治理：所有權、程序與證據

誠信並非一項IT項目，而是一種品質治理模式。缺乏治理，管控失效，例外情形成為常態。

核心治理支柱：

• 所有權： 明確系統/資料所有者，負責完整性控制和定期審查。
• 文件控制: 資料處理、審核、更正和偏差的標準作業規程。
• 版本控制: 方法、規範、配方和配置的受控版本。
• 切換控制: 評估系統變更、修補程式和配置更新對完整性的影響。
• 培訓+能力： 經過訓練的用戶，以及經過訓練的審閱者，他們知道「好的證據」是什麼樣的。
• 定期檢討： 審計追蹤、特權存取和關鍵記錄會定期進行審查。

治理也必須明確「糾正規則」。當錯誤發生時，如何修正？哪些行為是允許的，哪些行為是禁止的，以及哪些資訊必須記錄在審計追蹤中？如果答案是“我們直接修復它”，那麼就存在完整性漏洞。

8) 存取控制：UAM、RBAC 和 SoD

誠信最容易因存取權限而喪失。如果錯誤的人可以做出錯誤的行為——或者如果沒有人能夠證明是誰做了什麼——記錄就變得可以隨意篡改。

必須存在且可測試的控制措施：

• 已定義的角色和權限： 透過控制 使用者存取管理（UAM）.
• 紅十字會 執法： 特權操作受到限制且可被審查。
• 供應紀律： 建立/移除存取權限 存取權限配置 控制。
• 職責分離： 沒有自我認可或「我修改了它，我認可了它」（見 職責分離).
• 定期存取權限審查： 存取權限會定期審核，並非永遠正確（請參閱） 訪問審查 執行系統中的紀律）。

特權存取是風險最高的完整性漏洞。管理員通常擁有修改主資料、更改稽核追蹤配置或復原會改變歷史記錄的備份的權限。完整性計畫必須將特權存取視為可控的品質風險，而不是「必要的IT便利」。

9) 審計追蹤與元資料：完整性引擎

對於關鍵電子記錄而言，審計追蹤並非可有可無。它是使不當更改顯而易見、使合法更改具有辯護性的機制。

有效的審計追蹤必須證明：

• 完整性： 關鍵操作會被記錄下來（建立、修改、刪除、批准、覆蓋）。
• 歸因： 使用者身分唯一性；共享帳戶會破壞歸屬資訊。
• 時間戳記： 可靠的時間和時區處理（時間漂移會造成「不可能」的序列）。
• 變更原因： 在適當情況下，系統需要給出理由，而不是默默修改。
• 可審查性： 審計追蹤是可查詢的，並且會定期審查，而不是「需要時才提供」。

元資料往往是資料完整性的保障。如果可以匯出資料卻遺失了元資料（例如審核者、版本、裝置、方法），那麼資料的意義也就喪失了。這就是「僅報告存檔」存在風險的原因：它們雖然保留了PDF文件，卻丟棄了證明資料真實性所需的結構化上下文資訊。

10）電子簽名和批准的含義

電子簽名只有在其意義得以保留的情況下才有意義。簽名並非圖形，而是一種受控聲明。

電子簽名的誠信要求包括：

• 身份驗證： 簽名與已認證使用者綁定，而非共享登入資訊。
• 意圖清晰度： 批准的內容（以及批准的版本）是明確規定的。
• 不可否認性： 由於控制措施薄弱，使用者無法合理地拒絕簽名。
• 可審計性： 標誌性事件會以時間戳記和意義的形式記錄在稽核追蹤中。

這就是為什麼完整性與21 CFR 第 11 部分和附件 11相交的原因：控制的目的是確保電子記錄和簽名與紙質記錄一樣值得信賴——通常更值得信賴——因為它們保存了事件歷史。

11) 驗證與系統保障：CSV 和 GAMP 5

購買了流行的系統並不能保證資料的完整性。只有當系統經過配置、驗證和運行，能夠妥善保存關鍵記錄時，才能確保資料的完整性。

在受監管的環境中，這通常透過以下方式解決：

• 電腦系統驗證 (CSV): 驗證系統支援預期用途並保護關鍵記錄的完整性。
• GAMP 5: 應用基於風險的驗證方法，並將精力集中在完整性風險最高的地方。
• 變更控制驅動的重新驗證： 當您打補丁、升級、遷移基礎架構或修改配置時，會評估其對完整性的影響。

驗證必須涵蓋確保記錄可信任的控制路徑功能：稽核追蹤的產生和擷取、存取權限控制、電子簽名行為、時間處理、報告產生（以及與底層資料的連結）以及資料匯出/匯入控制。如果您驗證了工作流程而沒有驗證證據鏈，那麼您驗證的內容就錯了。

12) 保留和可恢復性：歸檔和恢復

完整性也是一個時間問題。記錄必須在規定的保留期限內保持可信度和可檢索性。因此，保留、歸檔和災難復原不僅是IT衛生措施，更是完整性控制的關鍵所在。

恢復後的完整性是一個常見的盲點。即使生產恢復，恢復後的系統如果遺失審計追蹤的連續性或重置時間戳，也可能造成合規性和證據的災難。因此，恢復演練必須驗證完整性控制，而不僅僅是正常運作時間。

13）執行化：真正有效的日常控制措施

完整性管理計劃只有在日常營運中融入控制措施才能取得成功。其目標是防止隱性故障並及早發現偏差。

經得起檢討的營運控制措施：

• 審計追蹤審查頻率： 對關鍵審計追蹤進行例行審查，而不僅僅是「可用」審查。
• 主資料治理： 在受控編輯下 主資料控制 具備審批和可追溯性。
• 偏差關聯： 完整性問題會被記錄為品質事件並進行調查（見 優質活動管理).
• 異常處理規範： 覆蓋和「臨時」權限會被記錄、批准和撤銷。
• 定期存取權限審查： 角色和權限會根據實際工作職能進行重新驗證。
• 時間同步檢查： 系統時鐘受到控制；時間漂移被視為完整性缺陷。
• 資料導出控制： 確保導出的資料不會成為可編輯的平行資料。

14）關鍵績效指標與營運節奏

資料完整性應該像營運控制一樣進行管理，並且有可衡量的結果。

檢查頻率應基於風險。高流量場所、高變化率和軟體驅動型操作需要比穩定環境更頻繁的檢查。如果控制措施沒有被測量，它們就會逐漸失效，直到檢查迫使你注意到。

15）「完整性塊測試」檢查表

如果想要快速進行完整性評估（是否可行），請執行區塊測試。其目的是證明系統能夠防止錯誤操作，並在錯誤操作發生時保留證據。

如果模組測試失敗，則應將其視為品質異常。完整性控制要嘛有效，要嘛無效－在檢驗過程中，「幾乎有效」的說法是站不住腳的。

16）常見故障模式

• 共用帳戶和通用登入資訊。 歸因不明，審計追蹤變得毫無意義。
• 可編輯的來源檔案。 「原始」資料被無痕覆蓋或重新計算。
• 未審核審計追蹤記錄。 線索存在，但無人尋找－因此操縱行為未被發現。
• 行政權力濫用。 擁有特權的使用者可以悄悄地更改結果、停用日誌記錄或更改保留策略。
• 時間流逝。 時間戳變得不可靠；序列變得無法辯護。
• 僅PDF格式的記錄策略。 報告得以保留，但結構化的真相和元資料卻遺失了。
• 電子表格中的「真相」。 關鍵計算在受控系統之外進行。
• 恢復會破壞完整性。 系統恢復上線，但審計追蹤或簽名含義已損壞。

17）跨產業案例

誠信原則是普世的，但不同產業的具體要求卻不盡相同：

• 醫藥製造： 完整性是批次放行和調查準備的基礎；與…相關 良好規範, 21 CFR第211部分以及電子記錄控制。
• 醫療設備： 完整性支持設計和生產證據鏈，例如 氫氟酸, DMR以及 DHR.
• 食品加工： 誠信與可追溯性、召回和合規控制息息相關；而誠信的缺失則表現為對帳不符和無法核實的決策。
• 執行系統： MES及其相關層必須維護狀態的真實性和證據；完整性與此相關 MES系統 控制和審計追蹤。
• 實驗室： 完整性取決於方法控制、原始資料保存和審查紀律；薄弱的整合會導致「複製/貼上真相」。

共同的教訓是：誠信不是一個部門，而是你證據鏈從頭到尾的可靠性。

18）擴展常見問題解答

Q1. 什麼是資料完整性？
數據完整性是一門學科，它確保記錄在整個數據生命週期中是值得信賴的——完整、準確、可追溯，並免受不當更改。

Q2. 資料完整性與網路安全是同一回事嗎？
不。安全性防止未經授權的存取；完整性證明記錄是可信的證據，包括審計追蹤、元資料和受控變更歷史。

Q3. ALCOA在實務上意味著什麼？
美國鋁業公司 這意味著記錄具有歸屬性、清晰易讀、及時性、原始性和準確性——透過存取管理、審計追蹤和審查紀律等控制措施來強制執行。

第四季：最常見的完整性故障有哪些？
共享登入資訊、不受控制的電子表格、未經審核的審計追蹤、薄弱的特權存取控制以及報告/存檔期間元資料的遺失。

Q5. 系統恢復後，我們如何證明資料的完整性？
恢復測試不僅要驗證正常運作時間，還要驗證稽核追蹤的連續性、時間戳記的正確性、存取控制和簽章意義（見 備份驗證 （原則）。

相關閱讀
• 核心誠信理念： 美國鋁業公司 | 審計追蹤（GxP） | 良好規範 | 記錄保留 | 數據歸檔 | 數據保留
• 驗證 + 治理： CSV | GAMP 5 | 變更控制 | 文件控制 | 版本控制
• 取得權限 + 問責： 用戶訪問管理 | 基於角色的訪問 | 存取權限配置 | 職責分離
• 電子記錄背景： 21 CFR第11部分 | 附件二 | 電子簽名
• 系統背景： MES系統 | 電子批次記錄（EBR） | 電子品質管理系統 | MES備份驗證