2. 相关法规与标准：FDA 21 CFR Part 11、EU GMP Annex 11、GxP要求
聊审计追踪，绕不开这几座大山。
FDA 21 CFR Part 11、EU GMP Annex 11，还有广义的 GxP 要求。很多人第一次接触时，觉得这些法规又长又晦涩。我刚开始做验证那会儿也是一样，啃完原文，脑子还是懵的，不知道工具到底该做成什么样才算合规。
其实，把这些法规浓缩成一句话——它们都要求系统能生成“谁、在什么时候、做了什么、改了什么”的不可篡改记录。
就这么简单。但落地时全是细节。下面我带你捋一遍，把每个法规的核心条款拆开来看。
2.1 FDA 21 CFR Part 11 的核心抓手
Part 11 发布得比较早，1997年就有了。它的主要目标，是让电子记录具备和纸质记录同等的法律效力。
具体到审计追踪，条款 §11.10(e) 和 (j) 是核心。
- § 11.10(e)：要求系统生成「准确、完整的记录」，能追踪到数据创建、修改或删除的全过程。
- § 11.10(j)：要求系统生成「审计追踪」，记录操作者身份、操作时间、操作内容、变更前后的数据。
我见过很多系统，审计追踪只记录“张三修改了数据”，却不记录修改前和修改后的值。这在合规检查时肯定过不去。
Part 11 还特别强调了审计追踪的存储方式和安全保护。
| 条款 | 一句话要求 | 我踩过的坑 |
|---|---|---|
| §11.10(e) | 记录必须完整，能追溯变更 | 只存时间戳，不存旧值，白费功夫 |
| §11.10(j) | 审计追踪必须安全，不能关 | 有人给管理员开了个“关闭审计”按钮，检查时被开出480条款缺陷项 |
| §11.30 | 控制系统的访问权限 | 审计追踪文件不要存在用户可写目录下 |
2.2 EU GMP Annex 11 的差异点
EU GMP Annex 11 是欧盟的法规，2011年更新了一版。和 Part 11 相比，Annex 11 更强调「基于风险的决策」和「数据完整性（Data Integrity）」。
Annex 11 第7条和第8条，直接关联审计追踪。
- 第7条（数据完整性）：所有数据的输入、修改和删除，都必须通过系统功能记录下来。如果系统本身没有审计追踪功能，则需通过操作系统的日志来补充。
- 第8条（审计追踪）：记录必须包含操作者身份、时间和操作内容。并且，这些记录必须能够与其他相关记录进行关联（比如批记录号、生产订单号）。
你有没有发现，Annex 11 比 Part 11 多了一层“关联性”要求。
说白了，你不能只记录“修改了温度”，你必须能关联到“修改了温度设定值，对应的是哪一批次、哪个工单、哪个操作员”。
2.3 GxP 的普适性原则
GxP 是 Good X Practice 的缩写。X 可以是 Manufacturing (GMP)、Laboratory (GLP)、Clinical (GCP) 等。虽然每个行业的细则不同，但审计追踪的底层逻辑一致。
GxP 的核心是「数据完整性（Data Integrity）」的 ALCOA+ 原则。
- A – Attributable（归属）：知道谁做了这件事。
- L – Legible（清晰）：记录能被读懂。
- C – Contemporaneous（及时）：操作发生的同时就被记录。
- O – Original（原始）：不能丢，不能改。
- A – Accurate（准确）：记录的内容和实际操作一致。
- + — 扩展要求：Complete（完整）、Consistent（一致）、Enduring（持久）、Available（可获取）。
审计追踪，就是验证 ALCOA+ 是否落地的最直接证据。
我记得有一次做客户现场审计，对方 QA 问：“你怎么证明操作员没有在系统时间之外修改数据？” 我说：“我们审计追踪记录了系统时间，并且这个时间同步了 NTP 服务器，不能手工改。” 这就是「Contemporaneous」和「Accurate」的落地体现。
2.4 三者的关系与落地优先级
这仨法规没有谁代替谁，而是彼此补充的。
- FDA Part 11：如果你面向美国市场，这是强制要求。
- EU Annex 11：如果你面向欧盟市场，或用欧盟的设备，必须通过。
- GxP 原则：这是行业标杆，即使在监管不是那么严格的地区，我也建议你按这个做。否则后面合规检查太被动。
我在做工具选型时，一般按这个顺序问供应商：
1. 审计追踪能不能禁用？
2. 审计追踪能不能被管理员删除？
3. 修改数据后，审计追踪是否记录变更前后的值？
4. 审计追踪能不能导出为不可编辑格式（如 PDF/A）？
5. 审计追踪的存储时间是否可配置（至少保留至产品有效期+2年）？
如果有一条答“不能”或者“是默认关闭的”，基本就可以把这个供应商放到待观察名单里了。
供应商应答模板示例（假设你正在做选型调研）：
问：你们的审计追踪记录能被禁用吗？
合规回答：我们的系统不支持禁用审计追踪。审计追踪从系统首次启动即自动开启，且无法由任何用户关闭。
危险回答：可以，系统管理员可以在配置文件中设置 audit.enabled=true/false，重启后生效。
你想想看，如果供应商给你的是第二种回答，哪怕你把它设置成 true，下次检查人员要求看配置修改记录时，怎么证明你没有偷偷改成 false 又把数据改回去了？
2.5 整体知识结构
下面这张图，能帮你快速理清 FDA Part 11、EU GMP Annex 11 和 GxP 的关系，以及它们对审计追踪的具体要求。
好了，这一章的重点就是这些。你要记住，法规不是给你看的，是给系统做的。你的工具能自动满足这几条，合规审查就稳了。