2. 临床试验数据管理法规与标准体系

临床试验数据管理的每一个动作——从CRF设计、数据录入、质疑发出，到数据库锁定和归档——都不是“团队约定”，而是被一套多层级的法规与标准体系约束的。理解这套体系的关键，不是背条款，而是搞清楚：谁在约束你、约束什么对象、约束到什么程度。本节按“法规层级—约束对象—落地动作”三条线索展开。

一、四层结构：从法律到技术规范

约束临床试验数据管理的规则可以分成四个层级，越往下越具体、越可执行：

• 法律与部门规章层：如《药品管理法》《药物临床试验质量管理规范》（GCP，2020版）。它规定“必须做什么”，例如数据必须可溯源、必须保护受试者权益、申办者负有数据质量最终责任。
• 国际通行规范层：ICH-GCP E6(R2/R3)。它给出临床试验全过程的国际共识，是跨国申报和国内审评共同参照的框架。
• 电子记录与计算机化系统层：21 CFR Part 11、ICH E6(R2)第5.5节、NMPA《药物临床试验数据管理工作技术指南》。它规定“电子数据怎么才算可信”，直接约束EDC、ePRO、IWRS等系统。
• 数据标准层：CDISC标准族（CDASH、SDTM、ADaM、Define-XML、ODM、Controlled Terminology）。它规定“数据用什么结构、什么命名、什么编码来表达”，保证数据可交换、可审评、可复用。

这四层不是并列的，而是逐层细化：法律说“数据要可靠”，Part 11说“电子签名要绑定到记录且不可否认”，CDISC说“不良事件用AE域、严重程度用AESEV变量、编码用MedDRA”。

二、ICH-GCP：数据管理的“总纲”

ICH-GCP对数据管理的核心要求集中在几个点上。第一，源数据与源文件：源数据是原始记录及其核证副本，数据管理必须保证CRF中的数据与源数据一致，任何修改都要留痕。第二，质量保证与质量控制：申办者要建立基于风险的质量管理体系，数据管理中的核查、质疑、稽查都属于这个体系。第三，计算机化系统：E6(R2)明确要求系统经过验证、有审计追踪、有权限控制、有数据备份与恢复能力。第四，记录保存：基本要求是试验结束后保存至少2年，但实际常按NMPA要求保存至药物上市后5年，具体以最新法规为准。

三、21 CFR Part 11：电子记录与电子签名的“硬约束”

Part 11是FDA对电子记录和电子签名的规定，虽然源自美国，但已成为全球EDC系统设计的通用参照。它主要约束三件事：

• 电子记录可信：系统要能生成准确的、完整的副本，供审阅和复制；记录修改必须留下审计追踪，且追踪不可被普通用户关闭或编辑。
• 电子签名有效：签名必须与记录绑定，包含签名人姓名、日期时间、签名含义（如“审核”“批准”）；签名不能通过简单复制粘贴转移。
• 系统访问控制：每个用户唯一账号，权限按角色分配，离职或转岗及时回收；连续登录失败要有锁定机制。

落到EDC上，就是：审计追踪默认开启且不可关闭、质疑修改保留旧值和新值、数据库锁定后数据不可直接编辑、电子签名需重新输入密码确认。

四、CDISC标准族：数据的“通用语言”

CDISC不是一部法规，而是一组标准，解决“数据怎么表达”的问题。数据管理最常接触的是：

• CDASH：临床数据采集标准，规定CRF上字段的命名和结构，让不同研究采集的数据从一开始就趋于一致。
• SDTM：提交数据标准，规定数据提交给监管机构时的域结构，如DM（人口学）、AE（不良事件）、LB（实验室）、VS（生命体征）。
• ADaM：分析数据标准，规定统计分析的衍生数据集结构，如ADSL、ADAE。
• Define-XML：描述SDTM/ADaM数据集元数据的机器可读文件，说明每个变量来源、计算方式、编码。
• ODM：操作数据模型，用于系统间交换元数据和数据。
• Controlled Terminology：受控术语，规定变量取值，如性别M/F/U、是否Y/N/U。

一个常见误区是“先随便建库，最后再转SDTM”。实际上，CDASH到SDTM的映射应在建库前就设计好，否则后期转换会大量返工。例如CDASH中“是否发生不良事件”字段，在SDTM中要映射到AE域的AETERM、AESTDTC等变量，并补充AESER、AEREL等，这些在采集阶段就要预留。

五、NMPA要求：国内落地的“最后一公里”

NMPA在ICH-GCP基础上，结合国内实际提出了更具体的要求。《药物临床试验数据管理工作技术指南》强调：数据管理计划（DMP）要覆盖全流程；数据核查要基于风险；数据修改要留痕；数据库锁定要有明确标准和审批记录。此外，NMPA对数据真实性、完整性、可溯源性的核查非常严格，现场核查会直接比对源文件与EDC数据，因此“源数据核查”不是可选项。

六、法规如何落到系统与流程上

把上述要求翻译成日常动作，可以形成一张“约束—对象—动作”的对照关系。下图展示了四层法规标准分别约束哪些对象，以及数据管理团队需要执行的关键动作。

七、一个可执行的检查清单

把法规要求转成日常可核对的清单，能显著降低核查风险。以下清单可直接用于项目启动前的自查：