2. 法规与合规框架落地
ePRO 系统承载的是受试者自报的原始数据，一旦进入监管核查范围，其电子记录与电子签名就必须满足目标市场的法规要求。本节不泛谈“合规很重要”，而是把 FDA 21 CFR Part 11、EMA GCP 以及 NMPA 相关指导原则拆解为可落地的系统要求，并用一个多中心临床试验的合规检查清单案例，完成一次合规差距分析。
一、三部法规各自管什么
FDA 21 CFR Part 11 的核心是电子记录与电子签名的可信性。它要求系统具备：安全的用户登录与权限控制、可追溯的审计追踪（audit trail）、记录不可篡改且可恢复、电子签名与记录绑定并显示签名者、日期、时间与签名含义。对 ePRO 而言，受试者在手持设备上提交的每条症状评分，都属于电子记录；研究者或数据管理员在后台执行的审核、质疑、锁定操作，若以电子方式完成，则涉及电子签名。
EMA GCP 更强调数据完整性与受试者保护。ICH E6(R2) 引入基于风险的质量管理，要求申办方对关键数据与关键流程进行风险识别与监控。ePRO 的合规重点在于：设备发放与回收记录、受试者依从性证据、数据修改的完整留痕、以及稽查轨迹能否支持核查。EMA 对电子数据的要求与 Part 11 有重叠，但更关注“数据从受试者到数据库”的全程可追溯。
NMPA 相关指导原则 在《药物临床试验质量管理规范》（2020 版）及《临床试验数据管理工作技术指南》中，对电子数据采集提出明确要求：系统需经过验证、具备稽查轨迹、权限分级、数据备份与灾难恢复能力。NMPA 核查中常关注：ePRO 设备是否经过校准或确认、受试者是否本人操作、数据修改是否有理由与授权。
二、ALCOA+ 原则在 ePRO 中的具体映射
ALCOA+ 是数据完整性的通用判据，但在 ePRO 场景下需要落到具体功能点：
- Attributable（可归因）：每条记录必须绑定唯一受试者 ID 与设备 ID，后台操作绑定唯一用户账号，禁止共用账号。
- Legible（清晰）：电子记录以结构化字段存储，时间戳采用统一时区（建议 UTC 或带时区偏移），避免本地时间歧义。
- Contemporaneous（同步）：受试者提交时即打时间戳，离线补录需标记“补录”并记录实际填写时间与提交时间。
- Original（原始）：ePRO 设备上的首次录入即为原始记录，后台不得覆盖，只能以新增版本或质疑方式处理。
- Accurate（准确）：输入范围校验、逻辑校验（如疼痛评分 0–10）、设备端确认提示，减少误录。
- Complete（完整）：缺失字段、未提交访视、设备故障均需在系统中可见，不得静默丢弃。
- Consistent（一致）：同一受试者跨访视、跨设备的数据格式与编码一致，时间顺序合理。
- Enduring（持久）：数据保留至法规要求的年限，存储介质可迁移且可读。
- Available（可用）：核查时能按受试者、访视、字段快速导出完整稽查轨迹。
三、合规检查清单案例：多中心临床试验的差距分析
假设某多中心 III 期试验，计划入组 480 例受试者，覆盖 12 家中心，使用手持 ePRO 设备采集每日症状评分与每周生活质量问卷。申办方在启动前进行一次合规差距分析，检查清单如下表。表中“现状”为示例假设，用于演示差距分析方法，并非真实项目实测结果。
| 检查项 | 法规依据 | 现状（示例） | 差距 | 整改建议 |
|---|---|---|---|---|
| 用户唯一账号与权限分级 | Part 11 §11.10(d) | 研究者共用中心账号 | 高 | 为每位研究者创建独立账号，角色绑定中心与授权范围 |
| 审计追踪不可关闭 | Part 11 §11.10(e) | 后台可关闭审计日志 | 高 | 审计追踪强制开启，任何关闭操作本身被记录并告警 |
| 电子签名绑定记录 | Part 11 §11.50/§11.70 | 审核仅记录“已审核” | 中 | 签名包含姓名、日期、时间、含义，且与记录版本绑定 |
| 离线补录标记 | ALCOA+ Contemporaneous | 补录无标记 | 中 | 补录数据增加“补录”标识与双时间戳 |
| 设备发放与回收记录 | EMA GCP 数据追溯 | 纸质登记，未入系统 | 中 | 设备序列号与受试者 ID 在系统中关联，回收状态可查 |
| 数据备份与恢复演练 | NMPA 数据管理指南 | 有备份，未演练 | 低 | 每季度执行恢复演练并留存记录 |
| 稽查轨迹导出 | Part 11 §11.10(k) | 仅管理员可导出 | 低 | 授权核查人员按需导出，导出行为留痕 |
差距分析的关键不是“有没有”，而是“能否在核查现场被证明”。例如，审计追踪不仅要求存在，还要求能按受试者、时间范围、操作类型筛选，并显示修改前值、修改后值、修改人、修改时间与修改理由。若系统只记录“数据已修改”而不保留旧值，则无法满足 Part 11 对记录可追溯的要求。
四、从差距到整改：优先级与验证
整改应按风险排序：直接影响数据可信性与受试者安全的项优先，如账号共用、审计追踪可关闭、电子签名缺失。整改后需通过验证活动确认系统满足要求，验证不是一次性文档，而是包含安装确认、运行确认与性能确认的持续过程。对 ePRO 而言，重点验证：权限矩阵是否按角色生效、审计追踪是否覆盖所有关键操作、离线补录是否按规则标记、导出文件是否包含完整稽查轨迹。
五、落地建议
把法规要求转化为系统需求时，建议采用“条款—功能—证据”三段式映射。例如，Part 11 §11.10(e) 对应“审计追踪强制开启且不可关闭”，证据是“审计追踪配置截图与关闭尝试被记录的日志”。EMA GCP 对设备追溯的要求，对应“设备序列号与受试者 ID 在系统中关联”，证据是“设备发放回收台账导出文件”。NMPA 对系统验证的要求，对应“IQ/OQ/PQ 文档与偏差处理记录”，证据是“验证报告与变更控制记录”。
最后，合规不是一次性检查，而是贯穿试验全周期的持续活动。建议在启动前完成差距分析与整改，中期执行一次抽查，锁库前完成稽查轨迹完整性复核。只有把法规条款落到具体功能、具体证据、具体责任人，ePRO 系统才能在核查中经得起追问。