如何正确选择临床试验数据管理供应商？
2016/4/7 弗锐达医疗器械资讯
中国临床药理学杂志
第31卷 第13期 2015年7月(总第195期)
临床研究计算机系统的国际稽查主要关注临床研究中的计算机系统是否符合药物临床试验质量管理规范(GCP)的标准，遵循国家食品药品监督管理总局的法规和稽查轨迹，从管理控制、软件及硬件认证、数据的完整性与安全性及各种文件记录等方面进行检查。木文结合国际法规及文献，列出国际稽查要求，为业界对临床研究计算机系统稽查或接受稽查提供参考。
计算机化系统已经以迅猛之势不断介人临床研究的各个方面，深人理解计算机化系统在临床研究中应用的各个方面，建立高标准质量保证的临床研究管理和文档体系，以满足监管所要求的临床研究的规范和质量十分必要的。我单位从事电子化临床研究计算机系统研发及运用历时10余年，目前系统已顺利完成及在研项目多达300余项，使用单位覆盖全国30个省市，并多次接受并通过国际知名药企的稽查。笔者根据在电子数据采集系统研发及运用过程中的经验，参考药物信息协会(the drug information association , DIA)发布的《临床研究中的计算机化系统》，对临床研究计算机系统的国际稽查要求进行总结分析。临床研究计算机系统稽查主要关注临床研究中的计算机系统是否符合药物临床试验质量管理规范(good clinicalpractice , GCP)的标准，遵循国家食品药品监督管理总局的法规和稽查轨迹是否保留且不能被编辑。
1计算机系统概念与内涵
当代临床研究的各个阶段(从启动到注册申报)都需要运用计算机系统。这个系统不仅指计算机本身，其代表着与临床研究过程有关的各个功能性软件和硬件配置环境，包括涉及的人员、政策、设备和程序等。临床研究中计算机系统是用电子表格形式对临床研究数据进行生成、修改、维护、归档、恢复或传送，或作为递交给药政当局的申报数据。2007年，美国食品药品监督管理局发布《临床研究中应用计算机系统的技术指导原则》，这份文件主要从临床研究方案、标准操作规程(SOPs )、内部安全维护、外部安全维护、其他计算机系统特征(数据录人、数据恢复、系统控制及变更控制等)及人员培训等6个方面进行了阐述。
2稽查要求
临床研究电子化计算机系统的稽查主要从以下方面进行:标准操作规程、组织结构、系统开发生命周期、系统验证、访问控制、电子记录和电子签名、记录审查、稽查轨迹、培训、文件管理、计算机操作和维护及系统安全，下面列出代表问题，为业界稽查或接受稽查提供参考。
2.1 标准操作规程
标准操作规程的稽查内容：
(1)供应商有完善的质量管理体系吗?如果有，遵循什么标准？
(2)供应商遵循能力成熟度模型吗?遵循的具体模型？及其评定级别？
(3)供应商是否有经过批准的正式标准操作规程？
(4)供应商是否有关于标准操作规程的培训和实施记录?
(5)供应商的标准操作规程遵循当地标准还是国际标准?
(6)供应商是否提供了标准操作规程清单?
(7)是否有关于标准操作规程的版本控制、批准、版本号管理等标准操作规程?
(8)标准操作规程是否定期更新?
(9)标准操作规程在生效之前是否被批准?
(10)各项操作是否根据标准操作规程执行?
(11)供应商是否有模板文件，如验证文件、培训手册、标准操作规程等?
2.2 组织结构
组织结构的稽查内容：
(1)供应商是否有最新的组织结构图(如有，请提供复印件)?
(2)供应商是否有关于员工培训规范的流程(文件、培训记录、员工培
训手册)?
(3)供应商是否有对所有员工的岗位职责进行培训?
(4)雇员的培训和经验是否和他的岗位匹配?
(5)雇员是否签署保密协议?
(6)供应商是否有公司级别的保密版权声明及协议?
(7)供应商是否有独立的质量保证部门?
2.3 系统开发生命周期
系统开发生命周期的稽查内容：
(1)供应商是否拥有良好的系统开发生命周期?
(2)供应商是否有关于系统开发生命周期的标准操作规程?
(3)供应商的系统验证流程是否规范?
(4)供应商是否有用户/功能需求表模板?用户管理人员和质量保证人员是否
批准此文件?
(5)供应商是否有技术/设计规范?设计规范是否被IT管理人员和质量保证人员批准?
(6)对开发需求与设计规范进行追踪，直至需求开发与设计规范一致?
(7)设计规范与输人输出界面是否一致?
(8)供应商的系统开发是否遵循规范的程序/编码标准吗?
(9)供应商是否有规范的测试标准吗?
(10)是否进行了规范的结构测试?测试报告是否被管理人员批准?
(11)设计规范被结构测试通过吗?
(12)在软件开发过程中供应商是否有规范流程对代码进行审核(包括冗余代码)?
(13)供应商是否发展正式计划为执行功能或用户测试(包括界面和用户接
受的测试)?
(14)功能测试是否可以溯源到功能设计及用户需求?
(15)功能测试是否囊括如下项目:压力测试、稳定性测试、无效输入、空值输入、破坏或清空数据文件、意外的设备问题、错误信息测试、多用户测试。
(16)功能测试可以重复吗?
(17)功能测试报告的总结结果是否完整记录，并经过上级管理人员审核批准吗?
(18)供应商怎样追踪、记录和解决测试中出现的问题?
(19)供应商如何通知用户bug和可以临时解决办法?
(20)供应商发布新版本的标准是什么?
(21)新版软件的发布是否伴随相关说明及文件?
(22)供应商是否有版本变更控制流程?
(23)供应商是否有紧急状态处置流程?
(24)供应商在系统更新后，是否有正式的测试过程，确保其对未更新的部分
无不良后果?
(25)测试过程是否可以重复?并经过负责人审核、批准?
2.4 系统验证
系统验证的稽查内容：
(1)系统是否经过验证和验证文件如何保存?
(2)验证文件是否符合21 CFR Part 11规定且功能正确?
(3)系统功能是否能够检测出错误记录(如不正确的录人、必须填写的字段空缺、超限数据)?
(4)验证显示编辑核查是否有效?
2.5 记录审查
记录审查的稽查内容：
(1)全部数据是否可见?
(2)是否可以打印全部数据?
(3)是否可以将所有数据生成某种格式的电子记录，存储到合适的媒介(如硬盘或CD)或电子传输?
2.6 访问控制
访问控制的稽查内容：
(1)是否仅授权的人员才可以登陆系统?
(2)用户权限分角色管理(如访客、管理员)吗?如果合适，是否有文件记录和控制?
(3)用户是否需要被管理员或系统开发商授权才可登陆?
(4)是否有管理程序，如授权新的使用者，改变已有账户的权限或删去一个账户的记录?
(5)如果系统有操作过程，是否确保所有的操作根据正确的流程?
(6)是否数据输人或传输仅来自专用输人设备(仪器或终端)?系统检查正确装置吗?
(7)所有修改或删除是否有记录?
(8)数据是否可以导出系统存档?如果是，原数据存档是否完好?在系统升级后，所有存档数据是否能正确地提取?
(9)是否有数据备份或恢复过程的标准操作规程?且经质量控制部门批准?
(10)是否有数据存档和检索功能的标准操作规程?并经质量控制部门批准?
(11)是否有恢复存储媒介的标准操作规程?
2.7 稽查轨迹
稽查轨迹的稽查内容：
(1)是否具有稽查轨迹的功能?
(2)稽查轨迹完全独立于用户的控制和接触吗(稽查轨迹文件仅可读)?
(3)稽查轨迹功能不能被激活?
(4)操作人的名字、日期、时间和文件生成、更改或删除均被记录在稽查轨迹中吗?
(5)监管要求是可以改变稽查轨迹的理由吗?
(6)未经授权，系统日期和时间可以改变吗?
(7)当数据改变或删除时，既往值仍然可以在电子系统上获取吗?
(8)试验稽查数据不能被修改或删除吗(只读)?
(9)电子稽查轨迹存储至少和其相应的电子记录时间一样长吗?
(10)稽查员是否可以稽查试验的稽查轨迹?
(11)是否可以选择部分稽查轨迹供稽查员审核或阅读?
(12)是否可提取部分稽查轨迹存储为电子格式，以便被药政当局审阅?
2.8 培训
人员培训的稽查内容：
(1)系统的研发人员是否有合适的教育和培训经历，足以胜任其工作。
(2)系统维护人员是否有合适的教育和培训经历，足以胜任其工作。
(3)系统操作人员是否有合适的教育和培训经历，足以胜任其工作。
(4)以上人员均包括临时工和合同工?
2.9 文件
文件的稽查内容：
(1)是否有发布、访问、系统使用操作维护相关文件及版本控制?
(2)重要的系统文件是否限制接触，如网络安全文件、系统访问文件?
(3)是否有修改系统文件变更控制的标准操作规程?
2.10 电子签名
电子签名的稽查内容：
(1)如果是手写签名被执行电子记录，是否有电子签名运用声明文件?
(2)供应商是否有电子签名?如果有，是否满足21 CFR Part 11法规要求：
①签名至少由两部份组成，如识别码和密码，密码需要定期修改；
②每一个用户应当有自己个人使用的登陆账号；
③授权后方能使用；
④密码丢失管理过程；
⑤操作保障，检查系统完整性；
⑥初次和定期测试设备；
⑦登录后长时间不操作的账户自动下线。
2.11 计算机操作和维护
计算机操作和维护的稽查内容：
(1)如果数据通过网络传输，该网络是否经过验证?
(2)对于新增或升级的硬件、软件操作系统或软件配置，供应商是否有正式的流程来验证确认，包括安装确认(IQ )、运行确认(OQ)和性能确认(PQ)?
(3)是否有文件显示执行了这些流程，并证明软件/硬件达到合格确认?
(4)硬件/软件合格确认是否在可控的方式下进行?
(5)供应商是否有正式的流程和文件记录对硬件的预防性和必要的维护措施(如维护日志)?
(6)配备异常情况报警器的机房是否记录环境监控日志?
(7)是否定期备份并做记录?是否有专人负责?
(8)供应商是否有正式的流程确保代码、文件或数据在执行失败后可以得到正确的恢复，并在恢复过程中不会引人任何错误?
(9)是否有异地备份?异地备份点是否经过稽查以确保其合格(如防水和防火)?
(10)供应商对备份介质是否有系统性索引和测试的流程?
(11)是否对存档代码及文件进行定期稽查以确保所有代码及文件存在并可用?(12)是否有正式的灾难恢复计划，以确保在失去数据能力时，仍有持续的可用资源?
(13)是否对灾难恢复计划进行过正式演习，并记录相关结果?
(14)供应商是否在相关硬件上进行杀毒软件的例行安装和升级?
(15)不同地区用户对同一系统操作时，供应商怎样保证没有连接问题，且加密安全?
(16)供应商如何确保传递给申办方数据的保密性和完整性?
(17)供应商使用何种加密软件?
2.12 系统安全
系统安全的稽查内容：
(1)是否有系统安全的标准操作规程，包括物理环境、保安措施?如果有，是否被质量保证部门批准?
(2)为避免非法人侵，是否有对服务器、数据库和系统的物理和保安措施?是否对其定期检查?
(3)对机房设施的查访是否只限于员工以及获批的来访人员?
(4)是否有密码管理规定，如数字和字母组合的密码，密码的有效期?
(5)是否有对机房设施和系统代码的访问日志?是否有第三方定期审核访问日志?
(6)是否留存了所有系统的访问及权限记录，以备查看何人、何时、及其在系统的操作内容?这些记录是否正确留存?
(7)所有电子版本的代码和文件是否保存完好，以确保版本控制的正确性?并且这些均经过测试?
稽查是临床研究中重要的环节，虽然环境、文化、公司的要求不同，但都需要遵循当地法规。任何稽查在开始前必须有周密的稽查计划，准备稽查相关文
件，在稽查的结束会议上对相关问题进行答辩和总结，对稽查发现的问题、采取的预防和纠正措施等需要详细记录存档。
临床研究计算机系统常见违反GCP事件如下：
①计算机系统未经验证或验证文件不完整；
②权限管理及控制不明确；
③登录密码相互借用或写在明显的位置；
④系统操作维护记录没有或不规范；
⑤无用户培训及测试记录或不规范；
⑥无稽查轨迹或稽查轨迹可以编辑；
⑦系统操作手册不完整、标准操作规程不具体或不完善；
⑧离职或置换人员的系统登录权限未及时注销或更改；
⑨缺乏系统应急及备份程序和管理；
⑩系统数据库安全性措施和管理不规范等。
在临床研究的计算机系统管理中，需要做到但不仅限于以下内容：
①首先要符合GCP原则，需有明确的操作规程和质量控制。
②组织结构合理，雇员的培训和经验需与其所从事的岗位匹配。
③原始文件需根据法规要求保存。
④只有通过授权、密码保护才能接触计算机系统。
⑤稽查轨迹完整且不能编辑。
⑥内部及外部安全保护措施需到位。
⑦对于临床研究，须有文件清楚阐明计算机化系统软件及硬件是如何用于生成、识别、维护、归档、恢复、以及试验数据的传输。
⑧记录应定期备份以避免数据发生灾难性的丢失，并能保证数据的质量和完整性，通常备份文件应异地存放或与原始记录分别保存在一个建筑物中的不同地点。
⑨计算机化系统的开发和验证流程规范可查的。当发生变更时，如软件升级(包括安全和显示补丁)、设施或元件替换、更换新仪器，均需对临床研究方案和数据的可靠性进行验证。任一变更对系统的影响都应做好评估，甚至是风险确认。任何超出原设计建立的操作条件或设计标准，均须进行验证。最后，所有系统的变更均须记录在案。
⑩系统的开发、维护及使用的所有人员(无论是申请人，或合同研究组织者)均须接受教育和培训，具备必要的经验以确保其能完成所指定的任务;基于系统使用者的职责，对相关人员进行针对性的操作培训，需由有资质的培训师对其进行持续性的培训，以满足在整个临床研究过程中人员熟悉计算机系统及任何变更。所有计算机教育、培训及其经验需记录在案，以备接受各种形式稽查。
来源：中国临床药理学杂志
本文为转载，版权属原作者所有。
01 收藏!国家局器械审评中心老师联系方式
02 医疗器械注册核查常见问题汇总
03 这46款产品不再是医疗器械了!
04 11省医疗器械重点监管目录已出，有你家的产品吗？
05 又有490个医疗器械产品“阵亡”了!
06ISO 13485:2016标准于3月1日正式生效
07医械注册批件频频被退，到底为哪般？
08豁免临床、同品种医械产品的临床评价该如何做
09 医疗器械产品注册收费标准
10创新医疗器械特别审批审查结果汇总(持续更新)
医械注册与临床研究技术服务商
1、医疗器械注册与临床试验咨询请拨：400 609 1580
2、合作或投稿，请发邮件至：freda@fredamd.com
(回复“投稿”，查看稿酬标准)
3、您还可以与我们在QQ上互动：2206460483，注册与临床交流群：377876554
4、对此文如有疑问或建议，欢迎给我们留言，您的声音是我们前进的动力!“请关注公众号：fredamd2，医疗器械最新资讯，每晚10:00与您分享!”
http://www.duyihua.cn
返回 弗锐达医疗器械资讯 返回首页 返回百拇医药