解读 GxP 数据修改的电子签名与修改理由要求

制药企业在信息化系统选型或者信息化系统实施过程中，常存在两个认知误区：一软件中修改任何数据，都必须弹窗让用户再次输入账号密码执行“电子签名”；二系统已经自动抓取了登录人 ID、修改时间和修改前后值，就可以不填写“修改理由（Why）”。

本文梳理了 US FDA 21 CFR Part 11、EU GMP Annex 11、MHRA、PIC/S 及 ISPE GAMP 5 相关条款，来看看计算机化系统修改数据的要求及监管逻辑。

误区一：常规修改数据，每次都必须重新输入密码“电子签名”？

1.区分：“身份识别”与“电子签名”

身份识别（Attributability / Identification）：指系统能够将某项操作明确归属（Attributable）至特定登录用户。在用户完成系统登录（或用户登录激活）期间，其进行的常规数据录入、修改操作，系统通过底层会话管理和审计追踪自动绑定该用户的 ID 与时间戳，即已满足“可归属性”要求，无需每次重新输入密码。

电子签名（Electronic Signature）：指用于替代手写签名、具有法定法律效力的签署行为。它主要应用于关键业务节点，如“批生产记录签署、质量报告审核、放行批准、SOP 发布、偏差/OOS 结论确认”等。

2. 指南与法规

出处一：ISPE GAMP® Records and Data Integrity Guide (Appendix D3)

"Electronic signatures should be distinguished from identification events:

电子签名应当与“身份识别事件”相区分：

- An electronic signature can be regarded as a specific event in the life cycle of a record. A record can be verified, reviewed, or approved, and the status of the record changed (e.g., from draft to final, or unapproved to approved) by the application of an electronic signature.
- 电子签名可被视为记录生命周期中的一个特定事件。通过应用电子签名，可以对记录进行验证、审核或批准，并改变记录的状态（例如：从草稿变为终稿，或从未批准变为已批准）。

- Identification events (that may also be required by regulations) are those events where the requirement is only for the identification of an individual performing a particular activity. For example, this may be achieved by the logging of an event by a validated computerized system."
- 身份识别事件（法规可能同样有要求）是指仅需要识别执行特定活动的人员身份的事件。例如，这可以通过经验证的计算机化系统记录事件日志来实现。

出处二：ISPE GAMP® RDI Good Practice Guide: Data Integrity by Design (Section 6.3.2.4)

"Some software applications apply signatures as proof of use authentication at steps in the process where no predicate rule requirement for a signature exists... The predicate rule requirement is for attribution of the analysis start to an individual operator but no signature. The signature is only required on the final result, as an accountability for having generated that result. Such excessive application of electronic signatures brings no additional compliance or patient safety benefits and should be avoided."

某些软件应用在基础法规（Predicate Rules）未要求签名的工艺步骤中，强制施加签名作为使用鉴权……基础法规的要求仅是将分析启动操作归属至特定操作人员，而非要求签名。签名仅在最终结果产生时被要求，作为对生成该结果承担责任的凭证。这种过度施加电子签名的做法，不会带来额外的合规或患者安全收益，应当予以避免。

出处三：US FDA 21 CFR Part 11 (§ 11.200)

"§ 11.200(a)(1)(i): When an individual executes a series of signings during a single, continuous period of controlled system access, the first signing shall be executed using all electronic signature components; subsequent signings shall be executed using at least one electronic signature component..."

§ 11.200(a)(1)(i)：当个人在受控系统访问的单一、连续期间内执行一系列签署时，首次签署应使用所有电子签名要素（如用户名+密码）；后续签署可仅使用至少一个专由该个人执行的电子签名要素（如仅输入密码）。

结论 1：

修改数据不需要每次都执行重新敲密码的电子签名。常规修改只需在受控登录内，由系统自动将修改行为归属至当前用户，并记录入审计追踪（Audit Trail）即可。

⚠️ 唯一例外：如果被修改的数据属于已经完成电子签名审批的受控记录，则任何后续修改必须使原电子签名失效，并在修改完成后重新触发电子签名流程。

那么我们可以思考：操作员在修改一个普通文本框或输入参数时，系统强制弹出账号密码框要求重新输入账号密码，是否有必要。

误区二：系统抓了登录账号和前后值，可以不填写“修改理由（Why）”？

1.审计追踪的要求： “Who, What, When, and Why”

审计追踪的核心使命是 “能够重现事件全貌”。如果没有“修改理由（Why）”，QA 复核人员或监管检查员无法判定该修改是合理的科学纠正（例如：纠正打字输入错误、重新调整天平漂移），还是无依据的数据篡改、掩盖 OOS（超标）结果或挑选合格数据。

2. 指南与法规

出处一：US FDA 21 CFR Part 11 (§ 11.10)

"§ 11.10(e): Use of secure, computer-generated, time-stamped audit trails to independently record the date and time of operator entries and actions that create, modify, or delete electronic records. Record changes shall not obscure previously recorded information."

§ 11.10(e)：使用安全、计算机生成的、附带时间戳的审计追踪，以独立记录创建、修改或删除电子记录的操作人员条目与行为。记录的变更不得掩盖先前的记录信息。

出处二：US FDA Guidance for Industry: Data Integrity and Compliance With CGMP (Question 1c)

"For purposes of this guidance, audit trail means a secure, computer-generated, time-stamped electronic record that allows for reconstruction of the course of events relating to the creation, modification, or deletion of an electronic record. For example, the audit trail for a high performance liquid chromatography (HPLC) run should include the user name, date/time of the run, the integration parameters used, and details of a reprocessing, if any. Documentation should include change justification for the reprocessing."

就本指导原则而言，审计追踪是指安全、计算机生成、附带时间戳的电子记录，允许重建与电子记录的创建、修改或删除相关的事件全过程。例如，高效液相色谱（HPLC）运行的审计追踪应包括用户名、运行日期/时间、所使用的积分参数以及重积分的详细信息（如有）。文件资料应包含重积分的变更理由（Change Justification）。

出处三：EU GMP Annex 11 (Clause 9 & Revised Draft Clause 12.2)

"EU GMP Annex 11 Clause 9: Consideration should be given, based on a risk assessment, to building into the system the creation of a record of all GMP-relevant changes and deletions (a system generated “audit trail”). For change or deletion of GMP-relevant data the reason should be documented." "Revised Annex 11 Draft Clause 12.2: Where data is changed from an old value to a new value, systems should automatically prompt the user for, and register the reason, why the change was made."

EU GMP Annex 11 条款 9：基于风险评估，应考虑在系统中建立对所有 GMP 相关变更和删除进行记录的功能（系统生成的“审计追踪”）。对于 GMP 相关数据的修改或删除，应当记录其原因。修订版 Annex 11 草案条款 12.2：当数据从旧值修改为新值时，系统应当自动提示用户输入、并记录修改该原因（Why）。

出处四：UK MHRA GXP Data Integrity Guidance and Definitions (Section 6.13)

"The audit trail is a form of metadata containing information associated with actions that relate to the creation, modification or deletion of GXP records... An audit trail facilitates the reconstruction of the history of such events relating to the record regardless of its medium, including the “who, what, when and why” of the action... It should be possible to associate all data and changes to data with the persons making those changes, and changes should be dated and time stamped... The reason for any change, should also be recorded."

审计追踪是一种元数据形式，包含与 GXP 记录的创建、修改或删除行为相关的信息……审计追踪有助于重建与记录相关的事件历史，无论其介质如何，包括行为的“谁、什么、何时以及为什么（Who, What, When, and Why）”……所有数据及其变更必须能够与执行变更的人员相关联，且变更应附带日期和时间戳……任何变更的原因也应当予以记录。

出处五：PIC/S PI 041-1 Guidance on Data Integrity (Section 9.4 Item 2)

"The audit trail should include the following parameters: - details of the user that undertook the action; - what action occurred, was changed, incl. old and new values; - when the action was taken, incl. date and time; - why the action was taken (reason); and - in the case of changes or modifications to data, the name of any person authorising the change."

审计追踪应包含以下参数：
- 执行该行为的用户详细信息；
- 发生了何种行为/变更，包括旧值和新值；
- 何时执行该行为，包括日期和时间；
- 为什么执行该行为（修改理由）；以及
- 在数据变更或修改的情况下，批准该变更的任何人员姓名。

结论 2：

修改 GxP 数据不能省去“修改理由（Why）”。系统设计应具备“变更数据时强制提示并录入修改理由”的功能。

总结

“归属不等于签名”：常规修改数据只需要通过会话自动归属操作人，不要用繁琐的电子签名流程。
“修改须留理由”：没有修改理由的审计追踪是“无源之水”，系统捕获了账号和时间，也绝不能省去“修改理由”。
“签后修改即失效”：已签署的数据一旦修改，原签名失效，必须重新走电子签名审批流程。