QC 实验室数据完整性检查怎么过：审计追踪、权限分离与验证文档的落地清单

制药 QC 实验室的数据完整性检查，难点从来不是「我们没上系统」，而是「上了系统也说不清数据是不是可信」。检查官问的问题往往很具体：这条积分参数是谁改的、为什么改？这个人有没有权限做这件事？原始图谱能不能调出来？系统升级之后重新验证过吗？这篇文章把这五类问题摊开，给出每一项的落地做法与自查清单。

一、检查官最常追问的五个问题

1. 审计追踪能不能被关闭？谁有权限关？
2. 数据改动有没有留痕，能不能查到改动人、改动时间和改动原因？
3. 权限是怎么分的，有没有共享账号，职责分离靠什么保证？
4. 电子签名是否满足法规要求，签名和记录是不是永久绑定？
5. CDS / HPLC 的原始数据（含元数据与仪器审计追踪）是否完整保存，还是只存了打印件？

再加上一个贯穿性问题：这套系统的验证文档在哪？升级之后重新评估过吗？下面逐项拆解。

二、审计追踪：不可关闭是底线，字段级留痕才是及格线

「审计追踪不可关闭」是法规底线，但只做到这一点还不够。真正经得起检查的审计追踪，要满足四个条件：

• 字段级前后值记录：不只是「这条记录被修改了」，而是「这个字段从 98.6% 改成了 98.4%」；
• 修改原因强制填写：系统层面不允许空原因提交，杜绝「原因：无」这类无效记录；
• 追加存储、不可篡改：以哈希链形式追加，任何历史条目不可编辑或删除；
• 无法由管理员关闭：包括系统管理员和实施人员，任何人都不能在界面上关闭或清空审计追踪。

三、权限与职责分离：留下「做过复核」的证据

权限问题在检查中往往比技术问题更致命，因为它直接指向管理体系的有效性。要点有三：

• 账号唯一、禁止共享：一人一号是前提。系统中若存在「qc01 / qc02」这类通用账号，或者多人共用同一账号，追溯链就断了。
• 职责分离（SoD）由规则引擎保证：不能只靠制度文件规定「检验人不得复核自己录入的数据」，要有系统规则强制拦截。
• 定期权限复核留痕：权限不是设一次就完了。人员调岗、离职、职责变化后是否及时回收权限，是检查时常被追问的点。系统应支持定期权限复核并记录结论。

此外还有一条容易被忽略的：时钟治理。所有系统必须统一 NTP 时钟源，操作员不能修改系统时间——时间戳可被篡改，等于审计追踪的根基被动摇。

四、电子签名：三要素、双组件、永久绑定

电子签名要满足 21 CFR Part 11 的基本要求，需要同时具备：

批放行环节建议再加一道系统级门禁：当批次审计追踪尚未完成放行前审核时，质量受权人的签名按钮直接禁用。这一条把「先放行后补审」这条风险路径从系统层面封死了，在检查中是很强的加分项。

五、CDS / HPLC 原始数据：不能只存打印件

「只保存了打印件」是数据完整性检查中反复出现的缺陷。完整的原始数据应当包含三部分：

• 原始图谱数据（chromatogram 原始文件）；
• 元数据（采集参数、积分参数、方法版本、仪器信息）；
• 仪器侧审计追踪（谁在 CDS 软件里改过积分参数、什么时候改的）。

做法是通过 CDS / HPLC 集成接口把三件套导入 LIMS，与检验记录、批次信息关联归档。检查时能在系统内直接调阅原始图谱并展示其审计追踪，而不需要从仪器工作站导出，说服力完全不同。

同时建议把环境监测数据（冷库、稳定性箱的温湿度）接入系统，超限自动报警并归档——这类数据人工抄录的方式在检查中同样会被质疑。

六、验证文档：GAMP 5 文档包要准备什么

系统上线只做功能测试、没有形成验证文档，是另一个高频问题。GAMP 5 框架下至少要交付：

1. VMP（验证主计划）——界定验证范围、策略与职责；
2. URS（用户需求说明）——把业务需求与法规要求写成可测试的条目；
3. 风险评估——识别哪些功能影响产品质量与数据完整性，决定验证深度；
4. IQ / OQ / PQ 脚本与执行记录——安装、运行、性能确认的可核查证据；
5. 需求追溯矩阵——需求、风险、测试用例双向对应，证明没有漏测；
6. 版本变更影响评估——系统升级后评估影响范围并决定是否再验证。

最后一项最容易被忽略：升级之后没有重新评估。很多实验室上线时验证做得很完整，两三年后系统升级过若干次，却拿不出任何变更影响评估记录。合规状态不是一次性达成的，而是需要持续维护的。

七、可直接执行的自查清单

1. 能否在系统界面上找到关闭审计追踪的入口？（应找不到）
2. 随机抽一条记录，能否导出包含「谁 / 何时 / 什么字段 / 前后值 / 原因」的完整审计追踪？
3. 是否存在共享账号或通用账号？
4. 「检验人不得复核本人数据」是系统强制还是制度约定？
5. 最近一次权限复核是什么时候，有记录吗？
6. 系统时间是否统一 NTP，操作员能否修改时间？
7. 电子签名是否包含姓名、时间、含义三要素，是否与记录永久绑定？
8. 记录变更后原签名是否失效并可见？
9. CDS / HPLC 的原始数据、元数据、仪器审计追踪是否完整入库？
10. 环境监测数据是自动采集还是人工抄录？
11. 验证文档包（VMP / URS / IQ / OQ / PQ / 追溯矩阵）是否齐备？
12. 系统历次升级是否有变更影响评估与再验证记录？

这 12 条里如果有多项答不上来，建议先做一次数据完整性核查，把差距清单列清楚再动手——比在检查前夕临时补材料有效得多。