作者解读欧盟GMP第7章7.3条关于MAH委托CMO后仍负最终质量责任的规定

"我们没有生产场地，生产、检验、偏差、放行全在CMO，质量体系这一块就交给他们了。"

这种说法在无场地MAH里很常见——厂房不是你的，人不是你的，体系又能是谁的？

但欧盟GMP有一句话，专门堵这个口子。

EU GMP Vol 4第7章7.3条写的是：合同授予方的药品质量体系，包括其管理职责，延伸至对外包活动的控制和回顾，并由其"最终负责"确保外包受控。EMA的反思文件说得更直白：MAH的某些活动可以委托，但MAH的责任本身不得委托。

活动可以委托，责任不能委托。两句话之间的那道缝，就是无场地MAH全部的合规空间。

责任不会因为你没有厂房就消失，只会换个问法

检查员不会问"你们有几条生产线"，会问三件事：

你知不知道？ 变更、偏差、OOS、召回、监管检查，能不能在时限内到达你这里，而不是到CMO就停了。

你能不能拿到？ 批记录、原始数据、审计追踪、稳定性趋势，是"对方给什么你看什么"，还是你有权随时调阅。

你说了算不算？ 你能不能拒绝一个变更、暂停一批放行、启动一次召回。这三个动作里只要有一个你做不了，所谓的"最终负责"就只是一句写在质量手册里的话。

欧盟和美国，问的是同一件事，走的是两条路

欧盟走的是"延伸"逻辑。 MAH是法定责任主体，Chapter 7把你的质量体系义务直接延伸到CMO那里。所以你需要：供应商和受托方的选择与评价、书面合同与质量协议、变更与偏差的沟通接口、批放行文件的获取、PQR的评价、投诉召回的决策链、审计计划、管理回顾。文件可以托管在CMO，调查可以由CMO 执行，但监督、批准、否决和升级的机制必须在你自己手里。

美国走的是"分层"逻辑。 美国没有MAH这个法定身份，cGMP义务首先落在制造主体身上。但 21 CFR 211.22(a) 明确要求质量部门批准或拒收"由另一家公司按合同制造的药品"。所以owner不是被要求去建一整套厂房级cGMP，而是你实际做了哪些质量活动，那些活动就受cGMP约束。

两地问法不同，指向同一件事：只审COA不审批记录和原始数据，欧盟QP的放行依据站不住，美国QU的批准权也是空的。

QP不是可以外购的签字

这是欧盟无场地MAH最容易踩的坑。

QP 是制造/进口许可体系内的法定人员，Directive 2001/83/EC 第48条要求的是制造许可持有人持续备用至少一名QP。你要采购的不是"一个自然人签字"，而是一套能被MIA体系承载、QP具备产品与工艺知识、能访问放行所需全部记录的认证服务。

反过来也不必自己雇。正确做法是和有资质的MIA持有人签可验证的协议，确保信息链与放行职责不被切断。远程QP认证须在EU内进行，有属地条件，放行前逐成员国确认。

三条能自己验算的线

① 责任线：质量协议里写"CMO承担全部质量责任"的，欧盟Chapter 7和EMA反思文件都不认。合同能分的是执行，分不掉的是法定责任。

② 放行线：QP需能访问批记录、偏差、检验结果、供应链与稳定性信息；美国QU需能批准或拒收。只给总结性COA的，两边都不成立。

③ 决策线：拒绝变更、暂停放行、启动召回——三个动作里缺一个，"最终负责"就是空话。

五问自查

1. 把质量协议翻到"责任"那一章，有没有一句话写着责任全部或部分转移给CMO？有就改。

2. 抽最近一批已放行产品，你能不能在三天内拿到完整批记录和原始数据？拿不到就是信息链断了。

3. 你们有没有拒绝过一个CMO提出的变更？从来没拒过，说明这个权力可能只是写在纸上的。

4. QP或QU能不能说出这款产品最近一次OOS的调查结论？说不出，说明他没在做实质判断。

5. 启动召回这件事，是你们决定还是CMO通知你们？如果是后者，决策链不在你手里。