3. EU GMP Annex 11
个人觉得，Annex 11 和 Part 11 的差异，你不能只看字面。我这些年两边项目都跟过，说白了，Annex 11 更像个「总则」，它不跟你抠细节，但要求你理解验证的本质是什么。Part 11 正好相反，把电子签名、审计追踪这些条款写得明明白白。
为什么会这样？因为欧洲和美国的监管哲学不同。FDA 喜欢把规矩定死，你照着做就行。EMA 更喜欢说「你要证明你的系统是安全的」，至于怎么证明，你看着办，只要逻辑通就行。今天我们就来聊聊这套逻辑。
Annex 11 的核心要求
Annex 11 全篇其实不长，但每一条都很重。我把它拆成几个关键点，你注意看验证深度和风险绑定的部分，这是国内项目容易踩坑的地方。
- 验证范围：不只看软件本身，硬件、环境、操作流程都要包进来。我见过有人只测了软件功能，生产环境一上就崩，事后补验证，折腾两个月。
- 数据完整性：强调数据必须是 Alcoa+ 原则，我建议你把它和 Part 11 的数据完整性条款一起做映射，省得审计时两边说法不统一。
- 权限管理：必须有物理或逻辑隔离，而且不能只有一个账户共享。嗯，这里要注意，Annex 11 没有明确要求「独立密码」，但实际审计都会看。
- 记录保存：必须保存验证记录和操作日志，且不能随便删。我记得有一次客户用 Linux 服务器，root 权限随手可改系统时间，日志直接废了，审计被开了严重缺陷。
个人经验提醒：Annex 11 最让我头疼的是它对「遗留系统」的态度。老系统没有审计追踪，你怎么办？EMA 要求你做风险评估，然后通过 SOP 和流程补偿。别硬上改造，成本高且容易出合规漏洞。
Part 11 的对应条款
Part 11 更像是技术手册，每一项都有具体指标。我前面说了，Annex 11 是「道」，Part 11 是「术」。你对比着看，就能理解为什么 FDA 审计时那么纠结电子签名的实现方式。
| 维度 | Annex 11 | Part 11 |
|---|---|---|
| 范围 | 所有计算机化系统，涵盖硬件、软件、人员 | 特定条款：电子记录、电子签名、审计追踪 |
| 验证要求 | 基于风险，要证明系统「适合预定用途」 | 明确要求使用 21 CFR 820 的质量体系 |
| 数据安全 | 需要物理或逻辑访问控制 | 明确授权、检查、防篡改 |
| 审计追踪 | 建议保留，但没有具体格式要求 | 强制保留，且必须有人、时间、操作内容 |
| 电子签名 | 没有单独章节，分散在权限管理里 | 独立条款，签名必须绑定到具体人，不能复制 |
| 备份 | 要求有备份，但没说备份频率 | 隐含在数据完整性要求中，建议常规自动备份 |
| 培训 | 操作人员必须经过培训 | 签名的合法使用者必须接受培训 |
你看这个表，最明显的差异就是「审计追踪」。Annex 11 把它当成建议条款，很多欧盟本地的小药企就直接忽略了。但 FDA 那边，没有审计追踪的系统，验证报告写上天也没用。
核心差异：验证深度 vs. 风险管理
说白了，两边最核心的冲突点在于「验证要做到多细」。
- Annex 11：先做风险评估，高风险模块深度验证，低风险模块做个简单确认就行。比如一个单独的温度记录仪，你不需要做完整的 IQ/OQ/PQ，确认它采集数据准确即可。
- Part 11：几乎等量齐观，所有受控系统都要走完整的验证流程。FDA 不接受「风险分摊」这种说法。
我在项目中遇到过这种场景：一个 LIMS 系统做简单配置，欧盟的 QA 觉得做功能测试就行，美国的 QA 直接要求做完整的用户验收测试和权限安全测试。最后两边开会，统一按最高标准走，但成本翻了一倍。
避坑指南：千万不要因为某个模块风险低就跳过验证。你可以在验证计划里注明「风险等级低，采用简化验证」，但必须有风险评估报告支撑。我曾经见过一个客户，把所有云上服务都标为低风险，审计来了发现风险评估报告全是模板，直接给了 major observation。
SVG 知识体系图
我把 Annex 11 和 Part 11 的核心对比画成了一张图。你注意看看验证验证生命周期、风险管理和审计追踪这三块的占比，心里就有数了。
差异背后的实际影响
你想想看，这些差异在真实项目中怎么体现？我给你几个实际场景：
- 云服务供应商：Annex 11 允许你依赖供应商的审计报告，前提是你自己做了风险分析。Part 11 要求你必须做完整审计，且不能完全信任供应商。我建议如果你供应商是 AWS/Azure，直接拿到他们的 SOC2 报告，同时保留你自己的补充测试记录。
- 色谱数据系统：Annex 11 要求你确认方法锁定、数据防篡改。Part 11 在此基础上还要求电子签名必须能追溯到具体人员，且签名后的数据不能被覆盖。很多 CDS 系统的签名功能是不完整的，上线前必须做差异分析。
- PCR 结果自动判断系统：欧洲更关注算法验证，美国更关注电子记录和签名。两边审计重点完全不同，我做验证方案时都是分开写的。
个人习惯建议：在做验证方案时，我习惯先把 Annex 11 和 Part 11 的条款做一个对照表，然后找出两边都强制的条款，优先验证。剩下的差异化条款，根据你的目标市场决定深度。如果你们的产品是中欧双边申报，那就按最高标准走，别想着取中间值，审计会同时开好几家，细节不一样会很麻烦。
小结一下
实际上，Annex 11 和 Part 11 之间的空白地带，就是你最容易犯错的地方。比方说，Annex 11 没有强制要求系统必须锁定用户会话，但 Part 11 明确要求。如果你只按 Annex 11 做了验证，产品进了美国市场，审计员问你自动超时锁定的功能在哪里，你当场没话说。
我个人的经验是，做 GxP 系统合规，不要只看眼前的文件。把两边条款背熟，每次设计时都问自己一个问题：这个方法在两边审计时都能站住脚吗？如果有一个回答不了，就回去改方案。
好，这一块先说到这里。你记住，Annex 11 和 Part 11 不是对立的，它们是同一个目标的两个不同表述。理解了这个，后面的电子签名和备份要求就会豁然开朗。