2. CAPA法规与标准

CAPA（Corrective and Preventive Action）并非孤立的管理工具，而是全球主流质量管理体系标准中的核心闭环机制。不同法规与标准对CAPA的侧重点、触发条件、证据留存深度及跨组织协同要求存在显著差异。理解这些差异，是构建供应商CAPA协同平台、实现跨组织追溯与改进证据链留存的法规基础。

2.1 三大标准对CAPA的核心要求对比

ISO 9001、IATF 16949 和 FDA 21 CFR Part 820 分别代表了通用质量管理、汽车行业特殊要求以及医疗器械法规监管的典型视角。下表从关键维度对比了它们对CAPA的要求差异：

2.2 ISO 9001:2015 中的CAPA逻辑

ISO 9001:2015 将纠正措施与预防措施统一在“10.2 不合格与纠正措施”条款中，强调基于风险的思维。其核心流程可概括为：

• 触发： 任何不合格（产品、过程、体系）或客户投诉。
• 响应： 采取措施控制并纠正不合格，处理后果。
• 分析： 评审不合格，确定根本原因。
• 行动： 制定并实施纠正措施，防止再发生。
• 验证： 评审所采取措施的有效性。
• 更新： 必要时更新策划的风险和机遇。

对于供应商协同平台，ISO 9001 提供了基础接口：组织应确保外部供方过程受控，但并未强制要求供应商使用相同的CAPA系统或实现实时数据交换。

2.3 IATF 16949:2016 中的供应商CAPA强制要求

IATF 16949 在汽车行业将CAPA要求推向了更深层次，特别是对供应商的管控：

• 供应商开发与CAPA传递： 组织必须要求供应商实施CAPA过程，并确保其有效性传递至次级供应商。
• 问题解决过程： 强制使用结构化问题解决方法（如8D、A3），并要求与客户和供应商共享进展。
• 防错验证： 纠正措施必须包含防错（Poka-Yoke）的应用，且防错装置需定期验证。
• 变更管理联动： 任何与CAPA相关的变更（设计、过程、供应商）必须通知客户并获得批准。

2.4 FDA 21 CFR Part 820 中的CAPA子系统

FDA 21 CFR Part 820（现已过渡至QMSR，但CAPA要求实质保留）将CAPA定义为独立的“子系统”，具有最严格的法规约束力：

• 独立程序： 必须建立书面的CAPA程序，并作为质量体系的核心文件。
• 数据源整合： CAPA必须从多个数据源触发：不合格品、投诉、审核、服务报告、过程控制数据、返工记录等。
• 统计方法： 要求使用统计技术（如控制图、帕累托分析）识别重复性问题，并触发预防措施。
• 供应商CAPA： 组织必须确保供应商的CAPA过程符合820要求，并保留供应商CAPA活动的记录。
• 记录保留： CAPA记录必须保留至产品预期寿命结束或法规要求期限（通常为2年，但植入类器械更长）。

2.5 三大标准CAPA流程的整合视图

尽管三大标准在细节上存在差异，但其核心CAPA流程遵循共同的闭环逻辑。下图展示了跨标准整合的CAPA协同流程，特别突出了供应商参与节点和证据链留存点：

2.6 构建协同平台时的法规映射要点

基于上述标准要求，在设计供应商CAPA协同平台时，需要将法规要求映射为具体的功能模块和数据结构：

• 多标准兼容的CAPA模板： 平台应支持ISO通用模板、IATF 8D模板、FDA CAPA模板，并允许用户根据客户特定要求（CSR）自定义字段。
• 强制字段与证据链完整性： 对FDA和IATF场景，平台应强制要求填写根本原因分析方法、防错验证结果、有效性评估指标等字段，否则无法提交或关闭。
• 跨组织权限与追溯： 供应商、组织、客户（如OEM）应拥有不同层级的查看、编辑和审批权限。所有操作应记录时间戳和操作人，形成不可篡改的审计追踪。
• 数据趋势与预防措施触发： 平台应内置统计图表（如帕累托图、趋势图），当同一供应商或同一缺陷类型超过阈值时，自动触发预防措施CAPA。
• 记录保留与导出： 支持按法规要求期限保留CAPA记录，并提供一键导出符合FDA或IATF审核格式的完整报告包。