PharmaBuddy 解读 FDA 致 Curia New York 警告信 320-26-127 的三项数据完整性缺陷

从 Empower“Developer”角色、碎纸机里的原始记录，到账号共用——一封 API 警告信里的三大致命缺陷。

PROLOGUE

开篇：碎纸机里翻出的“掺假”

2026 年 1 月 29 日，一名 FDA 检查员走进 Curia New York 的实验室，在碎纸机（shred bin）里发现了原始 pH 计打印条、天平打印条和已签核的分析数据复核表——这些本该在记录保存期内妥善留存的 GMP 原始记录，正等着被第三方服务商定期外运销毁。

一个月后（2026 年 2 月），企业提交了 483 回复。半年后（9 月 18 日），FDA 发出警告信（Warning Letter, Reference # 320-26-127），并在 9 月 29 日挂上官网。信件的法规定性干脆利落：

FDA 原话

“Because your methods, facilities, or controls... do not conform to CGMP, your APIs areadulteratedwithin the meaning ofsection 501(a)(2)(B) of the FD&C Act, 21 U.S.C. 351(a)(2)(B).”

翻译过来只有四个字：API 掺假。

这不是一封普通的合规提醒，而是一份把全球头部 CDMO 招牌砸在地上的执法文书。

BACKGROUND

背景：这不是一家无名小厂

Curia（前身AMRI，1991 年成立，2021 年更名）是全球性 CDMO，拥有 20+ 场地、3,000+ 员工，覆盖小分子、仿制 API 与生物制品。被点名的 Rensselaer（纽约州）场地，正是其旗舰 API/复杂小分子生产基地——2021 年还刚投资 3,500 万美元扩产。

检查对象、时间线清晰可查：

受检场地

Curia New York, Inc.，FEI 1310298，33 Riverside Avenue, Rensselaer, NY

检查时间

2026 年 1 月 28 日至 2 月 5 日

受函人

CEO Philip Macnabb

发函机构

CDER（Office of Manufacturing Quality），签署人 Francis Godwin

回复期限

收到后 15 个工作日

FDA 一句“This is not intended to be an all-inclusive list”（这不代表全部缺陷），已为后续扩大战场埋下伏笔。

FINDINGS

逐条深读：三项缺陷，刀刀见血

缺陷一：30 个月“幽灵进样”——实验室记录不完整

FDA 原话

“Your laboratory analysts routinely conductedunexplained injectionsin HPLC and UPLC without adequate documentation or supervision... performedthousands of unexplained injections using Empower over the last 30 months, andover 70 trial injections using TotalChrom in October 2025 alone.”

对应21 CFR 211.194(a)（实验室控制记录须含全部检验完整数据）与ICH Q7 第 11 章。

要害不在“数量”，而在角色权限——分析员用的是 Empower 的“Developer”（开发者）角色，而非“Operator”（操作员）角色。Developer 模式可绕过将进样与样品/产品/分析理由绑定的审计追踪控制，让数据“无从归属”。

两个铁证：2026 年 1 月 14 日，HPLC 49 上四次未解释试注射，笔记本 830-7 全无记载；2026 年 2 月 1 日，UPLC 57 上两次同类进样，笔记本 823-6 同样空白。企业辩称是“擦拭棉签样品测试”，FDA 一句反驳：笔记本无据。更具杀伤力的是企业自曝——近 20% 的 Empower 试注射都在 “Developer” 模式下采集或修改。

FDA 的潜台词很清楚：这些进样可能构成对产品样品的未报告检验（unreported testing），是系统性数据完整性风险，不是“操作疏忽”。

缺陷二：碎纸机与复印件——质量部门失守

FDA 原话

“OnJanuary 29, 2026, our FDA investigator observedoriginal laboratory records inside the shred bins...”

具体物证：原始 pH 打印条、原始天平打印条、审阅者已签名的分析数据复核表。企业结论是“影响可忽略（negligible impact）”，但既说不出谁在 2025-12-19 生成 pH 打印条、也说不出为何丢弃，更无法与任何批次测试建立关联。

更严重的是：碎纸机里躺着大量实验室笔记本页复印件——人员审阅复印件而非原始数据，却在原始笔记本上签字放行，直接违反自家SOP-RLS-000456。

对应21 CFR 211.22(a)（质量部门职责）与211.180（记录保存）。FDA 的定性毫不留情：

FDA 原话

“Your quality system doesnot adequately ensure the accuracy and integrity of data...”

缺陷三：账号共用——计算机化系统访问控制不足

FDA 原话

“...involving thesharing of usernames and passwords... your laboratory analystused another analyst’s login credentialsto conduct calibrations and to perform sample testing.”

对应21 CFR 211.68(b)（计算机化系统访问控制）与21 CFR Part 11 §11.10、ICH Q7 §5.4。

账号共用直接击穿 ALCOA 原则中的A（Attributable，可归属）——数据的“主人”消失了。FDA 判定这是“对数据完整性原则的严重违反”，且质量体系未能发现和阻止该行为反复发生。企业自查仅覆盖 12 台仪器、约 1 年窗口，被 FDA 直接点破“范围过窄”。

值得注意：FDA 罕见地“代拟”了整改清单

与多数警告信只给方向不同，本信在每条缺陷后都附上“In response to this letter, provide the following”的详细清单，几乎把 CAPA 模板写好了：

跨系统评估

跨全部场地、全部 CGMP 计算机化系统（不限于 Empower 与 TotalChrom）的独立数据完整性评估。

三年回溯

覆盖三年期限、含独立设备与在美在售产品的回溯复核。

人员访谈

在职与前员工访谈（FDA 明确“建议由合格第三方执行”）以界定造假性质、范围与根因。

影响评估

说明涉事人员是否仍能影响 CGMP 数据。

合规官

聘请并赋权“数据完整性合规官”，受理匿名举报并由独立 QA 调查。

风险评估

逐项产品的患者风险与持续运营风险评估。

全球 CAPA

落地 ALCOA（attributable, legible, complete, original, accurate, contemporaneous）的全球 CAPA。

这等于 FDA 提前划好了“及格线”——企业二次回复若再“缩范围、缺证据、只培训”，将直接触发升级。

ROOT CAUSE

根因洞察：不是“人犯错”，而是“系统失效”

三个 5Why 汇聚到同一处：

CDS 数据治理体系缺失——Developer 角色可绕过绑定、审计追踪无人例行评审。

质量系统独立性/权威性不足——碎纸机无 QA 监督、复印件审阅被默许。

数据完整性文化缺失——近 20% 进样在 Developer 模式、销毁记录不写理由，反映组织对数据质量的集体轻视。

「这不是几名分析员的操作失误，而是一套 30 个月无人察觉、内部自查又主动“缩小范围”的质量体系失灵。」

INSIGHTS

行业启示：FDA 的执法风向已变

第一，CDS 审计追踪进入“零容忍”。Empower/TotalChrom 的“Developer 角色 + 试注射 + 账号共用”组合，是 FDA 近年针对色谱数据系统最警惕的三连击。角色权限不是行政设置，是执法红线。

第二，“翻垃圾桶”成常规取证。碎纸机、垃圾桶里的原始记录，是 FDA 抓“数据销毁”的铁证来源。记录销毁必须有程序、双人复核、QA 审批。

第三，CDMO 供应链合规持续加压。作为全球头部 CDMO，Curia 此次被点名，印证 FDA 对 CDMO/CRO 数据完整性的监管正从“成品”前移到“药物物质”。

第四，整改不能再用“培训”搪塞。本信罕见地在正文中逐条代拟了 CAPA 要求：独立第三方调查、覆盖全部场地全部系统的三年评估、聘请并赋权“数据完整性合规官”接收匿名举报、访谈在职与前员工……企业若“打折扣”回应，等待的将是查封与禁令（seizure and injunction）。

∞

EPILOGUE

结语

FDA 在信末写下：

「Failure to adequately address deviations may result in regulatory or legal action without further notice including, without limitation,seizure and injunction.」

没有“再给你一次机会”的客套。对 Curia 而言，真正的挑战不在写完 15 天的回复，而在重建一套能让数据“自己说真话”的体系——从 Developer 角色的权限，到碎纸机旁的每一张打印条。

当“效率”与“记录”冲突时，你选了哪一边，FDA 的碎纸机与审计追踪都知道答案。

本文基于 FDA 公开警告信（Reference #320-26-127）及行业公开报道整理；CFR 条款为依 FDA/ICH Q7 惯例的对应映射，精确条款号以 FDA 官方文件为准。

END