法规与合规性要求
做审计追踪这行，法规和合规性要求是个绕不开的大山。很多刚入行的朋友经常问我：“这些法规条文那么多，我到底该看哪个？哪些是必须的？”
嗯，咱们今天就把它捋清楚。说白了，法规就是审计追踪的“尚方宝剑”和“紧箍咒”。没有法规，你的审计追踪设计得再好，老板可能觉得可有可无。有了法规要求，它就是强制项，是整个系统的生命线。
2.1 第一把剑：FDA 21 CFR Part 11
这个法规做制药、医疗器械的朋友应该最熟。它全称是“电子记录与电子签名规定”。我记得我刚开始接触时，觉得它条文特别绕。其实核心就三点：电子记录等同于纸记录、电子签名具有法律效力、你用的系统得能保证记录真实可靠。
Part 11 把审计追踪放在了非常关键的位置。它要求系统必须生成“安全的、计算机生成的、带时间戳的审计追踪”。
2.2 Part 11 中关于审计追踪的关键要求
我个人习惯把 Part 11 里对审计追踪的要求总结成四个“必须”：
- 必须安全： 审计追踪不能被操作员随意修改或删除。我见过一个项目，数据库管理员可以直接删日志，那这个审计追踪就等于摆设。
- 必须自动： 系统自动产生，不依赖人工去点“我要写日志了”。
- 必须完整： 记录谁、在什么时间、对什么数据、做了什么操作（特别是创建、修改、删除）。
- 必须可读： 你生成的审计日志，检查员过来看，得能看懂。
这里有一个当年让我踩过坑的点，分享给你们：
Part 11 还提到了一点，很多人会忽略，就是“检阅”要求。你生成的审计追踪，在需要审查时，系统得支持按时间、按操作人员、按记录类型去快速筛选和查看。
2.3 第二把剑：GxP 相关法规
GxP 是个大家族，G代表Good（良好），x代表不同的领域，比如 GMP（生产）、GLP（实验室）、GCP（临床）。
在不同的GxP场景下，对审计追踪的要求侧重点不太一样。我给你列个表，对比着看更清楚：
| 法规/指南 | 核心关注点 | 审计追踪侧重点 |
|---|---|---|
| EU Annex 11 (欧盟) | 计算机化系统验证 | 明确要求“变更日志”和“异常事件”的记录必须是不可更改的。个人觉得这个比FDA还严格一点点。 |
| 21 CFR Part 11 (美国) | 电子记录与签名 | 强调“谁、什么时间、做了什么、为什么改”的完整链条。 |
| ICH Q7 (原料药) | 数据完整性 | 特别关注生产步骤中的“遗漏”和“重做”操作，审计追踪必须有明确标识。 |
| NMPA (中国) | 药品记录与数据管理 | 强调“一数一源”，审计追踪要有数据溯源的功能。 |
你想想看，如果在 GMP 车间里，一个批次的灌装数据被人工改了几个参数，却没有留下审计追踪，那这个批次能不能放行？肯定不能。这就是法规赋予审计追踪的“一票否决权”。
2.4 数据完整性（Data Integrity）的 ALCOA+ 原则
说到法规，就绕不开“数据完整性”。这其实是所有合规性要求的底层逻辑。有一个经典原则叫 ALCOA+，我建议你做审计追踪设计时，把这几个字母贴在工位上：
- A - Attributable (可归属)：能追溯到具体的人或系统。
- L - Legible (清晰可读)：日志不能是乱码。
- C - Contemporaneous (同步记录)：操作发生时立刻记录，不能事后补录。
- O - Original (原始记录)：保存初次生成的记录，不是拷贝。
- A - Accurate (准确)：记录的数据不能被非授权篡改。
“+”号的部分是一些扩展要求，比如：
- Complete (完整)
- Consistent (一致)
- Enduring (持久保存)
- Available (可获得)
有一次我在做系统升级改造，客户提出“你们把旧系统的日志导出来扔了吧，反正新系统启动了”。我当场叫停。因为法规要求审计追踪必须是 Enduring（持久的），不能因为系统升级就丢失历史记录。最后我们花了三天时间，把旧日志迁移到了新系统的只读存储区。
2.5 法规之间的逻辑关系
下面这张图能帮你理清楚这几者之间的运作逻辑。它展示了从法规要求到具体落地实践的链路：
2.6 合规性检查清单
最后，我给正在设计审计追踪流程的你，准备了一份实用的检查清单。每次做新项目或者应对审计前，建议自己先过一遍：
合规性自检清单（简版）：
1. 是否能保证审计追踪记录不被操作员/管理员修改或删除？ [ ] 是 [ ] 否
2. 每一个数据修改动作，是否都记录了“旧值 → 新值”？ [ ] 是 [ ] 否
3. 系统产生记录的时间戳是否与标准时间服务器同步？ [ ] 是 [ ] 否
4. 审计日志是否可以按时间、用户、操作类型快速搜索？ [ ] 是 [ ] 否
5. 系统升级或数据迁移时，历史审计日志是否被完整保留且可读？ [ ] 是 [ ] 否
6. 你们是否定义了审计日志的存储周期（如至少7年或更久）？ [ ] 是 [ ] 否
说实话，法规条文看着多，但核心思路很清晰：就是管好“谁、在什么时候、对什么数据、做了什么、为什么”。我们的审计追踪设计，就是要把这几个问号变成明明白白的记录。别怕法规严格，它其实是你设计思路的最强背书。
嗯，关于法规和合规性的基础，就先讲到这里。记住这几个核心原则，后面我们谈具体技术实现时你就不会走偏了。