藥品優良製造規範-數據管理及完整性作業指引

要旨

內文

藥品優良製造規範-數據管理及完整性作業指引108 年 8 月序數據完整性(Data Integrity)為當今世界各國對於 GMP 管理最為關注的議題之一，因應管理趨勢建立並維護優良的數據管理系統以證實數據的可靠性為我國醫藥產業朝國際化發展必然面對的挑戰，食品藥物管理署整合各國相關指引及技術文件的重點，並調整修訂為符合國內製藥業者及運銷業者現況需求的內容，提供業者在制定或精進數據管理政策及程序時的參考依據，本指引的內容包括概觀的數據完整性原則到對於各類數據管理作業的細部期望，期許業者能充分運用品質風險管理的概念建置有效的數據管理系統，以保障民眾用藥之品質與安全。

第1頁目錄

一、 前言 ........................................................................................................... 3

二、 介紹 ........................................................................................................... 3

三、 關鍵名詞定義及說明 ............................................................................... 4

四、 ALCOA+ ................................................................................................... 7

五、 數據管理系統 ........................................................................................... 9

六、 品質文化 ................................................................................................. 12

七、 道德及政策準則 ..................................................................................... 13

八、 資源分配 ................................................................................................. 14

九、 數據的品質風險管理 ............................................................................. 15

十、 數據管理系統的審核 ............................................................................. 17

十一、處理內部發現的數據完整性問題 ........................................................ 18

十二、現代化製藥品質管理系統 .................................................................... 19

十三、紙本系統的數據完整性考量 ................................................................ 20

十四、電子系統的數據完整性考量 ................................................................ 27

十五、參考資料 ................................................................................................ 40第2頁

一、 前言

(一) 隨著科技的日新月異，資訊技術及電腦化系統在製藥產業的應用程度愈來愈高，各類產生數據的方式快速發展，亦產生更大量的數據來支持藥品之開發、製造及運銷。但相對的，對於數據的管理亦較過往繁瑣複雜，愈加複雜的電腦化系統亦可能提高存在潛在弱點的風險，依據當前國際及國內之稽查統計資料顯示，許多嚴重違反藥品優良製造規範(Good Manufacturing Practice, GMP)的案例皆肇因於數據管理及完整性相關缺失，使得各國主管機關對於數據完整性的要求愈加嚴格，並加強在數據管理層面的稽查強度，數據完整性已成為全球製藥產業管理及稽查之趨勢，各單位必須審慎面對的重要課題。

(二) 製藥品質仰賴對應的數據支持佐證，對於藥品製造業者及運銷業者而言，確保與藥品品質相關的所有形式之數據皆可於其生命週期內維持完整性、一致性及準確性等數據完整性原則至關重要，亦為其應盡的責任；而對於主管機關而言，則須充分確認由藥品製造業者或運銷業者所提報的數據為完整且可信賴的，才能有效審核其作業是否持續符合藥品優良製造/運銷規範(Good Manufacturing/Distribution Practice,GMP/GDP)。

(三) 不良的企業品質文化、不當的數據管理制度及各類危害數據完整性的行為都可能降低數據及紀錄的可信度，進而造成藥品品質被破壞，嚴重影響患者的用藥安全，也可能造成公司商譽的損害，影響深遠。製造業者及運銷業者應審慎設計及建置優良的數據管理系統，並將其納入製藥品質系統(Pharmaceutical Quality System, PQS)中確實執行，以確保數據完整性持續被維護。

二、 介紹

(一) 本指引主要參考國際醫藥品稽查協約組織(Pharmaceutical InspectionConvention and Co-operation Scheme, PIC/S)公布之 GMP/GDP 相關數據管理與完整性優良規範（Good Practices for Data Management andIntegrity in Regulated GMP/GDP Environments），以及參酌各國衛生主第3頁管機關與醫藥相關組織所發布之數據管理相關指引或技術文件所制定。

(二) 本指引之目的是整合維持優良數據管理應依循的原則及關鍵要素，以提供國內藥品製造業者或運銷業者制定及執行數據管理相關政策及程序之參考，適用範圍包含藥品申請上市許可的數據管理至許可後藥品的生產、檢驗、儲存、運銷等產品生命週期中所有作業的數據管理。

(三) 本指引所載之原則及建議主要針對 GMP/GDP 各項作業之優良數據管理要求為考量所制定，然而部分內容亦可更廣泛的應用於其他 GxP領域，如優良實驗室操作規範(Good Laboratory Practice, GLP)、藥品優良臨床試驗規範(Good Clinical Practice, GCP)等，可自行斟酌參考。

但必須注意的是，當本指引之內容與法規要求有所差異時，但依GMP/GDP 規定為主。

(四) 本指引闡述之數據完整性原則應藉由正式的教育訓練傳達給所有與藥品品質相關的人員知悉，並確認其已充分瞭解，可於日常作業中貫徹這些概念。

(五) 本指引提及的數據管理及完整性原則同等適用於由紙本系統、電子系統及混合系統所產生的數據，且不應使公司在發展或採用新觀念或技術上設限，依據 ICH Q10 的原則，本指引應藉由持續的改進促進創新技術的採用。

(六) 本指引提及的數據完整性原則適用於委託者(公司)及受託者(如受託製造廠、受託檢驗實驗室等)。

(七) 在本指引中主要使用"製藥品質系統(Pharmaceutical Quality System,PQS)"來表示管理及達成品質目標的品質管理系統，雖然"製藥品質系統"一詞主要由受 GMP 管理的機構所使用，但就本指引的目的而言，其可與 GDP 所使用的"品質系統(Quality System) "一詞相對應。

三、 關鍵名詞定義及說明

(一) 數據(Data)：為了參考或分析所收集的事實、數字及統計資料。

第4頁

1. GMP/GDP 數據：所有執行 GMP/GDP 作業時產生或記錄的原始紀錄及原始紀錄的真實副本，包括原始數據(Raw Data)、詮釋數據(Metadata)及所有後續數據的轉換與報告，可用來全面且完整的重建及評估 GMP/GDP 作業。

2. 原始數據(Raw Data)：原始數據定義為最初獲取的數據或紀錄，無論是以紙本方式或電子方式記錄，原來以動態獲取之數據應能維持或可回復至該狀態。

3. 詮釋數據(Metadata)：描述其它數據的屬性，以及提供背景與意義的數據，通常說明數據之結構、數據元件(Data Elements)、數據的內部相互關係及其他特性。舉例而言，數據" 25 "並無意義，但若加上「碳酸氫鈉，批號 TFDA0001，25 mg，其他詮釋數據(斜體字)，如：

王小明，2019/06/07 12:00」，即賦予了數據的意義及背景。詮釋數據可供追溯數據至個別人員(如為自動產生之數據，可追溯至原始數據來源)，例如追蹤稽核(Audit Trails)即為數據管理系統中必須審慎確認的一種詮釋數據。

4. 真實副本(True Copy)：已通過查證(例如附日期的簽章或由經確效之程序所產生)的原始紀錄之副本(無論使用的媒體類型)，其資訊與原始紀錄完全相同，包括說明內容、結構及背景的資訊(即詮釋數據)在內。

(二) 數據生命週期(Data Life Cycle)：從數據產生、記錄到處理(包括分析、轉換或遷移)、使用、數據保存、歸檔/檢索及銷毀之數據生命中的所有階段。

(三) 數據流程圖(Data Flow Map)：以圖形化的方式描述數據在資訊系統中的"流向"。

(四) 數據完整性(Data Integrity)：所有數據在其生命週期中維持可追溯性、清晰性、同步性、原始性、準確性、完整性、一致性、耐久性及可取得性(ALCOA+)的程度。

(五) ALCOA(延伸為 ALCOA+)：數據維持其完整性(Integrity)應具備的品質屬性之統稱，ALCOA 代表可追溯性(Attributable)、清晰性(Legible)第5頁、同步性(Contemporaneous)、原始性(Original)、準確性(Accurate)；

+ 則為完整性(Complete)、一致性(Consistent)、耐久性(Enduring)及可取得性(Available)。

(六) 靜態紀錄格式(A Static Record Format)：使用者無法或是僅能極小程度與紀錄內容互動的紀錄格式，如紙本紀錄或 PDF 檔。

(七) 動態紀錄格式(A Dynamic Record Format)：允許使用者與紀錄內容互動的紀錄格式，大部分的電子紀錄屬於此格式，例如資料庫格式之電子紀錄可讓使用者追蹤、查詢數據，或分析數據趨勢；以電子紀錄保存之層析紀錄可讓使用者或審核者再處理數據，或將基線放大，更清楚地觀察積分情況。

(八) 電腦化系統(Computerised System)：可輸入數據、電子化處理、輸出的系統，可用於報告或自動化控制。(例如 HPLC 電腦化系統即包含HPLC 機台、數據處理之電腦及軟體，以及儲存數據的伺服器等)。

(九) 追蹤稽核(Audit Trails)：追蹤稽核為內建於系統中，提供能完整重現GMP/GDP 作業的關鍵資訊紀錄，屬於詮釋數據的一種。

(十) 例外報表(Exception Report)：一種經確效的搜尋工具，能識別及文件化該些被預設為數據審核者應特別關注及調查的"不正常"數據或行動。

(例如運用層析數據軟體對於追蹤稽核的篩選(filter)功能，篩選出手動積分、測試注射、中斷注射序列等數據審核者所定義應特別關注的行動，並產製成報表以利有效率地審核)。

(十一) 備份(Back-up)：保留數據、相關詮釋數據及系統參數設定等資料之副本，主要目的為當數據遺失或是毀損時，可用來還原數據。

(十二) 歸檔(Archiving)：一般而言指的是將已無頻繁存取需求的數據及相關詮釋數據，從原始儲存位置移出至其他適合長期儲存的位置，並釋出原有的儲存空間。主要目的為長期且永久的保存數據，以供日後參考。

第6頁

(十三) 混合系統(Hybrid System)：一般而言，混合系統指的是以電子系統為主，輔以手寫的紙本系統來達成管理及控制數據的系統。為達成正確的操作，其所包含的次系統(電子系統及紙本系統)皆須有效的管理。

(十四) 系統管理員(System Administrator)：管理電腦系統運作或特定通訊服務的人員(通常具備刪除數據、修改資料庫或變更系統設定等功能權限)。

(十五) 高層管理者(Senior Management)：領導及管控公司的最高層級人員，具有調度公司資源的權力及責任。

四、 ALCOA+數據品質屬性要求考量舉例能識別執行作業的個別人 (1) 關鍵數據指派覆核者核可追溯性(Attributable)員。應有紀錄佐證該作業對作業人員之紀錄及簽是由誰執行，以證明其為名，並簽核負責。

通過訓練及資格檢定的人(2) 禁止共用帳號，共用帳號員，此亦適用於對紀錄的變更(更正、修改、刪除等)。

會導致無法追溯至執行作業的個別人員。

所有紀錄必須清晰可讀(易 設計表格時考量欄位空間清晰性讀)，原始數據及其他後續 是否足夠填寫資訊，空間不(Legible)的修改不應模糊不清或被 足易導致紀錄不清楚，難以掩蓋。

同步性(Contemporaneous)識別。

執 行 或 完 成 作 業 (包 含 行 確認作業人員確實即時填動、事件或決策)的當下， 寫數據，不預填或事後補填相關數據即被記錄。

數據。

數據應能維持或回復至最 (1) 分析天平連接印表機，降原始性(Original)初被記錄的狀態，即原始低人員誤判或刻意填寫數據或其真實副本，無論不真實數據之風險，確保數據是以紙本或是電子形秤量結果之原始性。

式被記錄。

第7頁數據品質屬性要求考量舉例(2) 正確定義原始數據，如以電子或混合的電腦化系統產生數據，則不應將紙本數據定義為原始數據。

(3) 保留原始電子數據，並具備適當管制措施防止其被修改、刪除。

應確保數據、紀錄或其衍 (1) 確認電腦化系統經過適伸結果之準確性，須透過當確效，符合作業需求。

製藥品質系統的許多元素(2) 確認作業執行人員已通來支持，其中可能包含：

(1) 驗證、校正、維護，以過數據完整性相關教育訓練及資格審核。

及電腦化系統確效等與設備相關的元素。

(2) 數據管理政策及程序，準確性(Accurate)包含數據審核程序，應由權責人員確認紀錄未有錯誤或未經授權的變更。

(3) 偏差管理，包括根本原因分析、影響評估及矯正預防措施。

(4) 經訓練及資格檢定的人員，了解並遵守標準作業程序，以及數據完整性的重要性。

完整性完整的數據包含所有數據 檢驗報告完整呈現，如以第8頁數據品質屬性(Complete)要求考量舉例及相關的詮釋數據，亦包 HPLC 執行檢驗的報告中檢括任何重複或重新分析的 附因故中止之注射圖譜。

數據。

所有作業之記錄皆依循優 確認分析檢驗報告相關的一致性(Consistent)良文件作業規範執行；記 各 項 作 業 之 時 序 是 合 理錄的時序與實際事件的時 的，例如樣品接收、秤量、序相符，且不會相互矛盾。 檢品配製、上機等各項紀錄之時間不互相衝突。

紀錄必須被保存於經核可 (1) 規範以熱感紙列印的紀的媒介，且為於保留期間錄，需另以一般紙質複印耐久性皆能存在的形式，代表它保存。

(Enduring)們必須在保留期間維持完好無損，並且以不可抹除/耐久的紀錄形式被取用。

(2) 定期測試保留的數據可被取得及正確讀取。

紀錄必須在保留期間內隨 設計具備邏輯性、易於搜尋時可供審閱，並以可閱讀 及取得紀錄的方式保存數可取得性(Available)的格式提供給所有負責審 據。

核的授權人員，無論目的是為了放行、調查、趨勢分析、撰寫年度報告或是稽查。

五、 數據管理系統

(一) 什麼是數據管理？

數據管理為確保數據品質的所有安排。這些安排確認各種格式的數據，其產生、記錄、處理、保存、提取及使用在整個數據生命週期內都符合 ALCOA+原則。

第9頁

(二) 數據在生命週期中可能會跨越不同的分界，例如在紙本或電腦化系統間轉移或是在不同組織架構間轉移。不同組織可能是內部的，如生產部門、QC 部門及 QA 部門；或是外部的，如服務提供者、委託者及受託者，都應納入數據管理的範疇。

(三) 數據管理應有公司的品質文化及組織架構支持，並由高層管理者帶領且以身作則。高層管理者應藉由了解既存的作業程序、方法、環境、人員、技術之功能及限制，逐步確認公司已分配必要的資源以解決任何經識別的限制及維護數據管理的有效性。

(四) 公司應設計一套立基於數據完整性風險的數據管理系統，並將其納入GMP/GDP 的製藥品質系統中。該系統應敘明數據於其生命週期中的權責歸屬，並考量程序及系統的設計、操作及管制以符合數據完整性要求，包括對蓄意及非蓄意的修改，以及資料刪除之管控，並應確認各項管制措施符合品質風險管理原則。

(五) 有效的數據管理系統顯示高層管理者對於數據管理作業的理解及承諾，包括結合適當的組織文化及行為之必要性，以及了解數據的關鍵性、數據風險與數據的生命週期，並應有相關證據佐證公司內各級人員之間的溝通方式能允許透明且公開的提報偏差、錯誤或遺漏，並有改進的機會，這將減少偽造、修改或刪除數據的動機。

(六) 具體而言，公司可由數據管理系統的「行為面(Behavioral)」、「技術性(Technical)」、「程序性(Procedural)」三種面向的管理措施來考量以達成數據完整性的要求，並依品質風險管理原則評估及改進既存與數據管理相關的系統或流程。

1. 行為面管理：對於人的管理旨在建立及維持能支持數據完整性的良好品質文化。良好的品質文化為數據管理的基石，反映高層管理者對病人安全及產品品質的認知、責任及其領導能力，以及是否透過有效的教育訓練及公司各層級間的溝通將數據完整性與產品品質的關聯性及重要性傳達給員工，使其在例行的作業中注重數據完整性，貫徹符合數據完整性的作第 10 頁業方式，並具備針對數據完整性問題的覺察力，行為面管理的重點步驟包括(不限於下列項目)：

(1) 闡明數據於生命週期中的權責；

(2) 訂定道德行為準則；

(3) 執行使人員了解數據完整性重要性的教育訓練；

(4) 創造一個良好的工作環境，使：

 錯誤、疏忽及非典型(異常)的結果皆為公開可見；

 鼓勵員工可自由溝通失敗的情況及所犯的錯誤；

 鼓勵透明的調查及分析。

(5) 適當分配資源及工作。

2. 技術性管理：對於科技技術的管理主要目的為維護 GMP/GDP 電子數據及紀錄的完整性，運用技術性的管制及自動化流程降低數據完整性風險，其基礎為處理 GMP/GDP電子數據及紀錄的電腦化系統必須是可信賴的，亦即應依預期的用途執行電腦化系統包含其資訊基礎設施(IT Infrastructure)之確效及驗證，以及於必要時執行設備驗證及校正。公司的技術人員應妥善設置電腦化系統的技術性管制措施，如使用者權限管控、系統操作歷程紀錄(如追蹤稽核)、數據備份及歸檔等，以防止未經授權的修改、刪除數據或變更系統關鍵資訊等可能危害數據完整性的行為，並考量配合使用自動化流程降低人為疏忽造成的數據完整性風險，關於技術性管理的重點歸納如下(不限於下列項目)：

(1) 執行電腦化系統的驗證及確效；

(2) 執行電腦化系統的技術性管制；

(3) 應用自動化流程。

3. 程序性管理：對於作業流程的管理第 11 頁實施整體的政策及程序以有效降低所有 GMP/GDP 作業的數據完整性潛在風險，其基礎為對於紙本數據、電子數據的優良文件作業規範(Good Documentation Practice)，例如手填或手動輸入的關鍵數據安排第二位人員確認，或是交叉比對相關的數據來源以確認數據的可靠性等管制措施，特別是應注意以技術性管制無法滿足數據完整性要求的數據，應導入適當的程序性管制以解決殘餘風險，關於程序性管理的重點歸納如下(不限於下列項目)：

(1) 針對各類與數據相關的作業制定適當的 SOP；

(2) 執行上述 SOP 的人員教育訓練；

(3) 人員遵循 SOP 執行作業；

(4) 以監督或稽核的方式確認人員確實遵循 SOP。

六、 品質文化

(一) 什麼是品質文化？

一個所有人都了解並承擔保護產品品質及病人安全責任的環境。於此環境中，員工不僅遵守品質準則，並且持續看見他人進行以品質為重的行動，聽見他人談論品質，以及感受周遭注重品質的氛圍。

(二) 管理階層、團隊領導者、品質人員及所有員工都表現出一致的價值觀、思維及行為才能創造能確保數據品質及完整性的品質文化。

(三) 管理階層應讓員工明白其職責對於確保數據品質的重要性，並說明其作業對於確保產品品質及病人安全的意義。

(四) 管理階層應致力於建立透明及開放的品質文化及工作環境，鼓勵員工自由地溝通失敗的情況及錯誤，包括潛在的數據可靠性問題，使其能夠採取矯正與預防措施，組織的報告結構(Reporting Structure)應允許所有層級之間的資訊流通。

(五) 管理階層可經由下列各要點來培養品質文化：

第 12 頁

1. 確保人員對期望(Expectations)的認識和理解（例如道德規範及行為準則）；

2. 以身作則，管理階層應展現出與其對員工之期望一致的行為；

3. 對行動和決策負責，特別是被委任的活動；

4. 保持持續並積極地參與各項業務的運作；

5. 考量施加在員工身上的壓力，設定切合實際的期望；

6. 分配資源以達成期望；

7. 實施公平公正的獎懲制度，以促進確保數據完整性的優良文化態度；

8. 注意當前監管趨勢(如嚴重違反 GMP 規範之案例)，並將從中汲取的經驗教訓運用在組織的管理上。

七、 道德及政策準則

(一) 道德及政策準則(Code of Ethics and Policies)應反映管理階層的品質理念，透過與品質文化相符的政策（如行為準則）來達成。價值觀及道德準則(Code of Values & Ethics)的撰寫旨在建立一個信任的環境，其中所有員工皆應承擔確保病人安全及產品品質的責任。

(二) 行為準則（Code of Conduct）之政策應明確定義道德行為的期望，例如誠實；應與所有員工溝通並使其充分理解，溝通應不僅限於讓員工知道這些要求，更要讓他們了解這些要求的意義，以及若未能達成要求可能造成的後果。

(三) 公司應提供所有員工關於數據完整性原則之教育訓練，其包含執行GMP/GDP 作業時的行為表現。每位員工都應該接受數據完整性相關行為準則的年度再訓練。

(四) 符合規範或準則的行為應被適當的認可，例如可經由獎勵制度表揚優秀員工或是給予提出可促進公司進步或改善流程方案的員工獎勵。相對地，不當行為，如蓄意偽造數據、未經授權的修改、摧毀數據及其第 13 頁他損害數據品質的行為，應由負責的管理階層、人力資源部門及法規部門對照可適用的公司政策、標準、程序、行為準則及可適用的法律進行審查，針對經確認的不符合書面要求或法律的行為，應採取適當的行動（如處分），所採取的行動應該文件化，並確保不會妨礙任何後續的調查。

(五) 設有由公司政策及程序所支持的保密提升計畫，鼓勵員工將可能違反行為準則的情況提報給管理階層注意，且不因此承擔後果(報復)。管理階層違反行為準則的可能性也應該被識別，並為這些案件提供適當的提報機制。

(六) 公司可建立確認員工遵守數據完整性相關行為準則或促使其自我審查的機制，例如要求員工每年提供一份簽署的認證聲明，確認過去一年其遵守數據完整性行為準則，包含證明已向公司管理階層提報所知會引起數據完整性問題的不當行為。

八、 資源分配

(一) 管理階層應分配適當的資源來支持和維持優良數據完整性管理，使得負責產生數據及保存紀錄的人員不會因為工作量及壓力增加出錯的可能性或是增加破壞數據完整性的機會，並且應配置的足夠人力執行品質及管理監督、資訊科技支援、執行調查及訓練計畫管理。

(二) 應依據其涉及數據的關鍵性，購買符合需求的設備、軟體及硬體。公司應該執行技術性的解決方案，以提高 ALCOA+原則的符合性及減少與數據品質及完整性相關的弱點。

(三) 員工必須依其職責進行訓練及考核，並且有適當的分工。應有證據證明在關鍵程序上其訓練之有效性，例如電子數據審核，優良數據管理的概念應該被應用到所有與 GMP/GDP 有關的部門，包括 IT 部門及工程部門。

(四) 雖然所有人都應該了解數據品質及完整性，但是可以集合各個層級的數 據 品 質 專 家 ( 如 主 題 內 容 專 家 (Subject Matter Expert, SME) 、第 14 頁Supervisor、Team Leader)來共同執行/支援調查、辨識系統弱點及推動改進措施的執行。

(五) 可以考慮在組織中導入與數據優良管理相關的新職位或與相關職責作結合。

九、 數據的品質風險管理

(一) 品 質 風 險 管 理 是 一 種 評 估 (Assessment) 、 管 制 (Control) 、 溝 通(Communication)及檢討(Review)風險的系統性程序。必須被應用在電腦化系統從開始的設計構思到淘汰的完整生命週期中，以及在數據由創建到銷毀的生命週期中。應採用基於對各項程序之理解所制定的風險管理方法來鑑別及管理數據完整性風險，以及其延伸的品質或安全性風險。

(二) 管理階層應負責運用 ICH Q9 的原則來執行風險管理方法以降低數據完整性的潛在風險，並且鑑別殘餘風險。委託者應在供應商評估程序中審核受託者的數據管理政策及管制策略。

(三) 數據品質風險的評估應基於科學性的知識，並且最終連結至對病人的保護。對於數據品質風險管理付出之努力及其正式性與文件化的程度，應與數據風險等級相符。

(四) 經評估對產品品質、病人安全或作業環境等因素影響較小的數據，若其產生過程除非以高階系統權限或專家軟體/知識，否則並無被修改的機會，則可衡量採用較簡化的管制措施及頻率。

(五) 若確定將以長期的措施來達成理想的管制狀態，則應執行臨時的管制措施來降低風險，並且監測其有效性。在需執行臨時的管制措施或依風險建立改善行動之優先順序的情況下，則應將殘餘的數據完整性風險傳達給高層管理者，並且持續地檢討風險。捨棄自動化及電腦化的系統回歸到紙本系統並不能移除對數據管理的需求，此類退步的方法可能會增加行政負擔及數據風險，並阻礙 ICH Q10 強調的持續改進概念。

第 15 頁

(六) 不同的數據對於產品品質及安全性的重要性各不相同，應利用風險管理工具來決定數據的重要性，應考慮數據關鍵性(Data Criticality)及數據的風險(Data Risk)，具備前述兩項資訊，才能實施適當的風險管制措施。

1. 數據關鍵性數據關鍵性取決於數據帶來的影響或衝擊，考慮因素應包含：

(1) 該數據影響什麼決策?舉例而言，當決定批次是否放行時，決定關鍵品質屬性的數據通常比倉庫清潔紀錄來得更加重要。

(2) 該數據對產品品質及安全性的影響例如對於口服錠劑而言，主成分含量的數據相較於錠劑脆度的數據，對產品品質及安全性有更大的影響。

2. 數據的風險(1) 數據的風險可藉由評估數據被未經授權的修改、刪除、遺失、重新創建或蓄意偽造的可能性，以及這類行為或事件的可偵測性來決定(參考 ICH Q9)，亦要考慮災害發生時數據可否完整回復，並以可防止未授權的活動，以及增加可偵測性的管制措施來降低這類行為所造成的風險。

(2) 複雜、不一致的流程可能產出開放式(Open-ended)及主觀的結果，增加產生失敗數據的風險，而相對地，一致性高、有明確定義且目標清楚的簡單作業流程能降低數據完整性風險。

(3) 數據完整性風險評估應著重於作業流程(Business Process)，如製造過程及品質管制，評估數據流程(Data Flow)，以及產生及處理數據的方法，並非僅考慮電腦化系統的功能性或複雜度。應考慮的因素包含：

 流程的複雜程度(例如多階段的作業流程、程序或系統間數據的轉移、複雜的數據處理)；

第 16 頁 產生、處理、儲存及銷毀數據的方法；以及確保數據品質及完整性的能力；

 流程的一致性(例如生物製劑的製造過程或分析檢驗可能表現出比小分子藥物更高的變異性)；

 自動化/人為操作的互動程度；

 結果判定的主觀性(可表示其流程為開放性流程或定義明確的流程)；

 核對電子系統數據與手動紀錄事件的結果可能對不當行為有其指標性(如分析報告的時間與原始數據的獲取時間明顯不一致)。

(4) 數據完整性風險評估應考量電腦化系統的手動輸入介面所產生的風險，一般而言電腦化系統確效可能無法降低此類風險，特別是在使用者可以影響經確效系統所產生的報告，或是其系統確效未能符合基本要求的情況下。最好的作法是使用設定為不允許人為介入或將人為介入最小化的完全自動化系統來降低數據完整性風險。但如因技術上的限制而無法避免人為介入控制的情況下，則應經由被核可的適當管制程序來降低人為介入控制的風險。

(5) 執行數據完整性風險評估的適當作法是針對各類產生、處理或轉移數據的流程畫出其架構，再分析架構內的元素，評估數據關鍵性及潛在風險，以及其管制程序是否能有效將風險最小化，再將完整的評估流程文件化記錄。

十、 數據管理系統的審核

(一) 數據完整性管制措施應作為自我查核（內部稽核）或其他定期審核程序的一部分定期評估其有效性，確認所有的管制程序依預期的效果運作。

(二) 除了例行的數據審核確認，自我查核應延伸到管制措施的審核，包括：

第 17 頁

1. 確認人員持續地理解優良數據管理作業的重要性，內容包含對病人的保護，以及確保維持注重品質的工作環境及公開回報問題，例如審核是否持續進行對於優良數據管理原則與要求的教育訓練；

2. 審核提報的數據/結果與原始數據的一致性；

3. 若系統具備經確效的"例外報表(Exception Report)"並以其審核例行電腦化系統數據的情況下，應至少抽樣檢視電腦化系統日誌(Computerised System Logs)/追蹤稽核以確保與 GMP 有關的資訊能被準確提報。

(三) 數據管理系統的審核結果應與高層管理者溝通，並用於評估數據完整性的殘餘風險。

十一、 處理內部發現的數據完整性問題

(一) 當發現數據完整性失效的情形，應依照製藥品質系統的規範，以偏差處理程序處理。重要的是要確定問題的嚴重程度及根本原因，然後全面的矯正問題並執行預防措施。這可能包含尋求第三方提供對於鑑別系統弱點之差距評估(Gap Assessment)的專業知識及觀點。

(二) 調查引起數據完整性問題的行為應確認所有涉及的人員，並且詳細描述其與此行為有關的行動或活動，該調查必須確定有疑慮的行為之範圍，例如相同或相似的行為或作法是否在其他情況下可能已發生，或可能影響到其他數據。若是如此，則調查需延伸到這些情況，以及所有相關的數據。

(三) 公司的程序應包含對於將此類調查文件化的特定要求，包括對於藥品上市許可的申請及已出貨產品的潛在影響。亦應包含向高層管理者回報及定期確認回報系統有效性的相關規範。

(四) 調查期間，員工應提供事實的資訊，因為其可能具備對於事件的第一手訊息。員工應基於其所具備的最佳知識，提供準確、真實及完整的資訊及細節。

第 18 頁

(五) 當考量數據完整性問題對於產品的影響時，任何結論都應該有合理的科學證據支持。

(六) 矯正措施可能包含產品回收、通知客戶及通報主管機關。矯正措施、矯正計畫及其執行內容都應該被記錄及追蹤。

十二、 現代化製藥品質管理系統

(一) 將當今的品質風險管理原則和優良數據管理規範應用於製藥品質系統有助於系統的現代化，以因應益趨複雜的數據所帶來的挑戰。

(二) 公司的製藥品質系統應能防止、偵測、矯正可能導致數據完整性缺失的系統性弱點或程序上的弱點。公司應該要了解他們的數據生命週期並整合適當的管制程序使其產出的數據是有效、完整且可信賴的。具體而言，以下各層面之程序可能因應數據完整性管理趨勢而更新：

1. 品質風險管理；

2. 調查程序；

3. 數據審核作業；

4. 電腦系統確效；

5. 資訊安全；

6. 供應商/承包商管理；

7. 公司的數據管理政策及相關 SOP 的教育訓練計畫；

8. 完整紀錄的儲存及回復，包含委外的數據儲存活動；

9. 適當的監督 GMP/GDP 關鍵設備的採購，確認設備的設計能符合數據 完 整 性 的 要 求 ， 例 如 使 用 者 需 求 規 格 (User RequirementSpecifications, URS)；

10. 數據品質及完整性的自我查核計畫；

11. 績效指標(品質衡量指標(Quality Metrics))與提交給高層管理者的報告。

第 19 頁

十三、 紙本系統的數據完整性考量

(一) 製藥品質系統的架構及空白表單/範本/紀錄的管制

1. 紙本文件的有效管理是 GMP/GDP 的關鍵要素。因此，文件系統的設計應符合 GMP / GDP 要求，並確保文件及紀錄被有效管制以保持其完整性。

2. 紙本紀錄必須受到管制，且必須在數據生命週期內維持 ALCOA+原則。

3. 概述優良文件作業及安排的程序應可於製藥品質系統中取得，該些程序應具體說明數據完整性如何在數據生命週期中被維持，包含：

(1) 正本文件及程序如何建立、審核及批准使用；

(2) 用以記錄數據的空白範本之產生、分發及管制；

(3) 與紀錄有關的檢索及災害復原流程；

(4) 例行使用的文件其工作副本的產生流程，特別是確認副本的程序，舉例而言，SOP 及空白表單的副本應有發行程序及核對，使其在被管控且可追溯的狀態下被使用；

(5) 紙本文件填寫的指導文件，具體說明如何識別各操作人員、數據填寫的格式及文件紀錄的修改方式；說明各類已完成填寫的文件之審核頻率，如何確認其準確性、可靠性及完整性；

(6) 紀錄的填寫、復原、保存、歸檔及處置(銷毀)流程。

(二) 管制紀錄的重要性

1. 紀錄對於 GMP/GDP 作業至關重要，因此應執行管制措施以確保：

(1) 活動執行的證據；

(2) 符合 GMP 要求和公司政策、程序及工作指令的證據 ；

(3) 製藥品質系統的有效性；

第 20 頁(4) 可追溯性；

(5) 過程的真實性與一致性；

(6) 所製造的藥品其品質優良的證據；

(7) 如有申訴，紀錄可以用於調查；

(8) 如有偏差或試驗失敗，紀錄對於完成有效的調查是關鍵的。

(三) 紀錄表單的制定、發行及管制之期望

1. 對於紀錄表單之正本的管理及管制是必要的，為確保人員以不適當的方式使用紀錄及/或以"一般方法"(即無須使用專家級的造假技術)偽造紀錄的風險降至可接受的程度。

2. 紀錄表單的制定(1) 所有文件應有唯一的識別號碼(包含版本號碼)，並經過確認、核准、簽名及標註日期。

(2) 應藉由廠內程序禁止使用未受管制的文件。臨時記錄作法的使用應被禁止，如使用廢紙記錄。

(3) 文件設計應提供足夠的空間填寫數據。

(4) 文件設計應清楚說明欄位內要填寫什麼數據。

(5) 文件應以確保適當版本管制的方式保存。

(6) 副本應包含特別的標示與正本區別以防止誤用。

(7) 由電子正本列印的副本應防止未經授權或不經意的更改，例如對於以電子方式儲存的紀錄表單範本，應採取下列預防措施：

 範本主檔的存取權限應被管控；

 建立及更新版本的流程管制應清楚並確實地被應用/確認；

 正本文件應以防止未經授權變更的方式儲存。

3. 紀錄表單的發行及管制第 21 頁(1) 更新後的版本應及時分發。

(2) 作廢的正本文件及檔案應被歸檔，並有存取限制。

(3) 任何已發行但未使用的實體文件應被依程序回收及銷毀。

(4) 若經品質部門授權，回收的副本可能可以被銷毀。但授權文件的正本應該被保留。

(5) 文件發行應有書面程序控管，包含下列管制方式：

 副本發行者及發行時間、數量等細節；

 使用受管制的發行章或無法在工作區域取得的紙張顏色，或其他適合的系統；

 確保僅有現行核准的版本可供使用：

–分配一個唯一的識別碼給已發行的每份空白文件，並記錄每份文件的發行；

–為每份分發的副本編號，以及在成冊的發行頁面上編列序號(頁碼)；

–在有需要重新發行空白範本的額外副本的情況下，必須遵守有關重新發行的管制程序。所有已分發的副本應被維護，且需要額外副本的理由及核准應被記錄，如：原始空白表單已損毀；

–所有已發行的紀錄應在使用後進行核對，以確保紀錄的準確性及完整性。

4. 所有授權正本文件的索引清單(SOP、表格、範本及紀錄表單)應於製藥品質系統中被維護。這份索引清單應至少提到以下資訊：標題、文件編號、版次、位置(例如文件資料庫)、生效日期、下次審核日期等。

(四) 紀錄表單於作業現場之使用及管制第 22 頁

1. 紀錄表單應能在作業現場被操作者取得。應有管制措施以減少紀錄受損或遺失的風險，並確保數據完整性。必要時，應採取措施保護紀錄不被汙損(例如，弄濕或被原物料弄髒等)。

2. 紀錄應在這些區域由符合程序的指定人員或流程適當管制。

(五) 紀錄表單的填寫

1. 手寫紀錄必須是執行任務的人填寫。

2. 文件中未使用的空白區域應劃掉、簽名及標註日期。

3. 手寫紀錄應清楚可辨識。

4. 日期應以廠內要求的格式填寫，例如以民國年表示(年/月/日)或以西元年(dd/mm/yyyy 或 mm/dd/yyyy)表示。

5. 有關操作的紀錄應同步填寫。

6. 紀錄應耐久(不可抹除)。

7. 紀錄應使用唯一識別的簽名及日期以追溯到填寫人。

(六) 紀錄的更正

1. 紀錄的更正必須以可完全追溯的方式執行。

2. 以一橫線劃掉要修改的地方。

3. 合適時，應清楚記錄修改的理由，如果是關鍵紀錄修改應被確認。

4. 更正的部分簽名及標註日期。

(七) 紀錄的確認(覆核)

1. 應於何時由何人確認紀錄？

(1) 各區域的 SOP 必須適當的描述文件審核流程。

(2) 關鍵流程的紀錄，例如批次製造紀錄內的關鍵步驟，應：

 在操作執行時由指定的人員覆核；

第 23 頁 在移交給品保單位前由生產部門的被授權人員覆核。

(3) 批次製造紀錄的非關鍵步驟通常由生產部門人員依核准的程序覆核。

(4) 檢驗流程的實驗室紀錄應該在檢驗完成後由指定的人員（如第二分析員）審核，審核者應確認所有輸入的數據、關鍵的計算，並且適當評估檢驗結果的真實性，以符合數據完整性原則。

(5) 以上這些確認應於執行生產相關作業後執行，並由合適的人員簽名及標註日期。

(6) 批次製造紀錄放行前由品保單位(品質被授權人(Authorized Person,AP))覆核及核准。

2. 如何確認紀錄?確認所有的欄位已被正確填寫完成、使用的是現行被核准的版本，並且數據被嚴格地與合格標準比對。

(八) 由電子系統直接列印出的紙本

1. 一些簡單的電子系統，如天平、pH 計或不儲存數據的簡單製程設備等，會產生直接列印的紙本紀錄，這些類型的系統及紀錄經由(重新)處理、改變電子日期/時間戳記來影響數據呈現的機會較為有限。在這類情況下，原始紀錄應由產生紀錄及資訊的人員簽名及標註日期以確保其可追溯性，例如 sample ID、批號等應被記錄於紀錄上。這些原始紀錄應被附在批次或檢驗紀錄中。

2. 應有相關考量確保此類紀錄的耐久性。

(九) 真實副本

1. 原始紙本紀錄的副本(例如分析總結報告、確效報告)通常在溝通上非常實用(如位於不同地點的公司)，這些紀錄必須在它們的生命週期中被管制，以確保數據由另一個廠接收時仍然是適當的"真實副本"，或者當無法達成真實副本要求時使用總結報告(如複雜分析數據的總結報告)。

第 24 頁

2. 可預見以紙本或 PDF 格式保留電子原始數據之作法，雖然這類的作法可能可被證明其靜態紀錄仍可保留原始數據的完整性，然而數據的保留過程必須記錄各層面所有直接或間接影響產品品質的數據(包含詮釋數據)，舉例而言，分析檢驗紀錄可能要包含原始數據、詮釋數據(如相關的追蹤稽核)及結果檔案、執行分析時分析軟體/系統的參數設定、重建原始數據所需的所有數據處理過程(如積分方法參數及處理過程的追蹤稽核)，也需要管制措施去核對列印出來的紀錄為準確呈現，故使用前述作法產生之紀錄若要符合 GMP/GDP 要求，其管理程序可能非常繁瑣。

3. 對於許多電子紀錄而言，保持允許與數據互動的動態格式十分重要，因為動態格式對於數據的完整性及後續的確認是關鍵的，風險管理原則必須被用來支持及證明數據是否需要以動態格式儲存，以及應以動態格式儲存多長時間。

4. 紀錄(真實副本)於接收的地點可能是以紙本格式或是電子格式(如PDF 檔)管理，其應依據核准的 QA 程序進行管制。

5. 無論是透過手寫或電子的簽名，應格外小心確保文件被適當的授權其為真實副本。

6. 真實副本如何被發行及管制？

(1) 在發行真實副本的公司 建立紙本文件的真實副本：

–取得要複製的原始文件；

–列印原始文件並確保無任何資訊遺失；

–確認副本的可靠性並簽名及標註日期以作為真實副本。

 建立電子文件的真實副本：

電子紀錄的真實副本應以電子方法建立(複製電子檔案)，應包含所有要求的詮釋數據，不鼓勵建立電子數據的 PDF 版本，這等同於由電子系統列印，有詮釋數據遺失的風險。

第 25 頁 應維護所有已發行真實副本(紙本/電子)的清單。

(2) 在接收真實副本的公司 紙本副本、掃描副本或電子檔案應依據優良文件管理流程審核及建檔；

 文件應可清楚指明其為真實副本而非原始紀錄。

(3) 品質協議應闡明真實副本的建立與轉移，以及數據完整性的相關責任。發行和管控真實副本的系統應由委託者及受託者進行稽核，以確保流程穩定並符合數據完整性原則。

(十) 文件的保存

1. 每類紀錄的保存期限應(至少)符合 GMP / GDP 要求所規定的期限，並應考慮其他地區或國家的法規可能要求更長的保存期限。

2. 紀錄可由公司內部保存，或是使用具備品質協議的外部儲存服務。

在使用外部儲存服務的情況下，應確認數據中心的所在位置，提供服務的公司應能提供風險評估，以證明其保存系統/設施/服務是符合需求的，並且佐證已了解殘餘風險。

(1) 紀錄應於何處及如何歸檔？

 文件管理系統應適當描述紀錄歸檔的不同步驟(確認歸檔裝箱、各箱紀錄清單、保存期限、歸檔位置等)；

 應具備與紀錄的儲存、存取、回復之管制措施相關的指導文件；

 文件管理系統應確保所有 GMP/GDP 相關的紀錄在 GMP/GDP 要求的期間內被儲存。

(2) 所有紙本紀錄應歸檔於：

 安全的位置以防止損壞或遺失；

 歸檔方式易於追溯及檢索；

 確保紀錄於歸檔期間是耐久的。

第 26 頁(3) 所有紀錄應防止由下列項目造成的損害或破壞：

 火災、液體(如水、溶劑或緩衝液)、潮濕、齧齒類動物(如老鼠)、昆蟲等；

 未授權人員的存取，因其可能修改、破壞或置換紀錄。

(4) 災害復原策略。

十四、 電腦化系統的數據完整性考量

(一) 製藥品質系統的架構及電腦化系統的管制

1. 醫藥產業的公司常運用各類型的電腦化系統來協助大量的作業活動，從簡單獨立的系統到整合的複雜系統，其中很多都會對產品品質造成影響，應充分確認及管控以符合 GMP/GDP 要求。

2. 公司應充分了解所使用的電腦化系統其性質及應用範圍，並應具備描述各個系統的預期用途與功能，以及任何數據完整性風險及弱點的評估報告，特別是確定電腦化系統及其相關數據在影響產品品質方面的關鍵性評估。

3. 電腦化系統的設計、評估及挑選流程應包含對系統的數據管理及完整性方面的適當考量，使用者應確認新系統具備適當的控制措施，以確保有效的數據管理。舊有的系統也應符合相同的基本要求，然而其為了完全符合規範，可能需要額外的管制措施，例如支持性的管理程序或輔助的安全性硬體/軟體。

4. 當決定數據的弱點及風險時，其要點為考量電腦化系統在作業流程中使用的範疇。舉例而言，由利用整合電腦介面的分析方法所產生的結果，其完整性受到樣品配置、秤量結果輸入系統、系統產生數據、對數據進行處理以得出最終結果等情況之影響。數據流程圖的建立及評估有助於了解電腦化系統的風險及弱點，特別是介面化的系統。

(二) 電腦化系統的驗證及確效第 27 頁

1. 電腦化系統的驗證及確效應依據相關的 GMP/GDP 指導文件執行。

2. 使用者應了解僅依賴電腦化系統確效並不足以保證紀錄已受到充分保護。已被確效的系統亦可能容易被意外或惡意的手段損毀或竄改數據。因此應輔以適當的管理措施、實體管制及使用者教育訓練，以達成數據完整性要求。

(三) 電腦化系統確效及維護

1. 公司應建立適當的機制以確保數據管理及完整性的要求在系統採購的初始階段，以及整個系統和數據的生命週期中被考量。對於受 GMP管理的使用者，PIC/S GMP 附則 15 的要求，如功能規格(FunctionalSpecification, FS)及/或使用者需求規格應足以符合數據管理和完整性要求。

2. 應特別注意 GMP/GDP 關鍵設備的採購，以確保系統在採購前已被適當評估可符合數據完整性管制需求。

3. 應評估使用中的舊系統，以確定現行的系統配置及功能可允許符合優良數據管理及完整性作業的適當管制。如果這些系統的功能或設計無法提供適當層級的管控，則應考量並實施其他的管制措施。

4. 應具備所有現行使用的電腦化系統清單。該清單應包括：

(1) 各電腦化系統的名稱、位置及主要功能；

(2) 對於系統及其相關數據的功能及關鍵性評估(如對 GMP/GDP 有直接影響、間接影響或無影響)；

(3) 各系統最新的確效狀態及其確效文件之參考連結。

5. 應對各系統進行風險評估，特別是評估確保數據完整性的必要管制措施。應依據系統及程序的關鍵性，以及對於產品品質的潛在風險決定數據完整性管制措施的程度及確效的範圍，舉例而言，對於產生或控管批次放行數據的流程或系統，相較於管理非關鍵數據或流程的系統應有更嚴謹的管制措施。

第 28 頁

6. 風險評估亦應考量該些有較高的可能性受到災害、故障或其他情況影響的系統。

7. 評估亦應審查系統是否存在弱點使其關鍵組態設定或數據處理可被無意或未授權的更改。所有管控措施應文件化並確認其有效性。

8. 各電腦化系統的確效摘要報告(撰寫及核准應符合 PIC/S GMP 附則15 要求)應至少具備及說明(或提供參考文件連結)以下項目：

(1) 關鍵性系統設定的細節，以及限制存取系統設定及任何變更的管制措施(變更管制)；

(2) 使用者清單(包括所有現階段被核准的一般及管理階層使用者)，並註明使用者名稱及角色；

(3) 追蹤稽核及系統日誌(System Logs)的審核頻率；

(4) 各項程序：

 如何建立新使用者；

 對於既存使用者的修改(更改權限)流程；

 定義各系統的密碼組成及格式；

 審核及刪除使用者的流程；

 備份流程及頻率；

 災害復原程序；

 數據歸檔流程及權責(包含存取及閱讀已歸檔數據的程序)；

 數據儲存的核准位置。

(5) 確效摘要報告應說明原始數據與相關詮釋數據如何連結及保存，以重現製造流程或檢驗流程。

9. 公司應具備電腦化系統的確效主計畫書(Validation Master Plan)，其包含系統本身及其相關數據之完整性的具體政策及確效要求。

第 29 頁

10. 電腦化系統確效的執行程度應依據風險而定。可參考 PIC/S GMP 指導文件「Good Practices for Computerised Systems in Regulated GXPEnvironments(PI 011-3)」。

11. 在投入例行使用之前，應以經定義的測試程序挑戰系統，以確認其符合驗收標準。

12. 執行電腦化系統的先期性確效，已在使用的系統必須能提供適當的確效數據。

13. 電腦系統確效應依據 PIC/S GMP 附則 15，以及使用者需求規格、設計 驗 證 (Design Qualification, DQ) 、 工 廠 驗 收 測 試 (FactoryAcceptance Test, FAT)、現場驗收測試(Site Acceptance Test, SAT)、安裝 驗 證 (Installation Qualification, IQ) 、 操 作 驗 證 (OperationalQualification, OQ)、性能驗證(Performance Qualification, PQ)來設計。

14. 驗證測試包含設計驗證、安裝驗證、操作驗證及性能驗證。特別應設計特定的測試以挑戰該些有數據品質及完整性風險的區域。

15. 公司應確保電腦化系統已依其預定用途執行驗證，因此公司不應僅依賴供應商提供的驗證方案，確效作業應包括特定的測試以確保反映一般用途及預定用途的操作能維持數據完整性。

16. 測試次數及範圍應依循風險評估，但是關鍵的功能應至少被識別及測試。對於關鍵或複雜的系統，在安裝驗證、操作驗證、性能驗證的階段應要求詳細的確認。

17. 定期性系統評估(1) 電腦化系統應定期評估以確保持續地符合數據完整性相關的管制要求。評估項目應包含偏差、變更(包含變更所導致的任何累加影響)、升級歷史、效能及維護保養，以及評估這些更動是否對數據管理及完整性的管制有任何不利的影響。

第 30 頁(2) 電腦化系統再評估的頻率應基於風險評估，其取決於電腦化系統的關鍵性，以及考量前次審核以來，變更對系統的累加影響。已執行的評估應文件化記錄。

18. 作業系統(Operating System)及網路元件應依據供應商的建議及時更新。將應用程式由舊平台移轉到新平台應有計畫，並提前於舊平台達到可能影響數據管理及完整性的不支援狀態前執行。

19. 作業系統及網路元件的安全性更新應依據供應商的建議於受管控且即時的方式執行以維護數據的安全性。

20. 若不被支援的作業系統仍被保留(如供應商已終止支援的系統或已無安全性更新的版本)，該系統(伺服器)應盡可能與其他網路隔離。

仍留存的介面，以及數據由其他設備轉入/轉出的程序應被審慎的設計、設定及驗證，以防不被支援的作業系統其弱點被不當利用。

21. 因為其固有的弱點，不被支援的系統不應被遠端存取。

(四) 電腦化系統間的數據轉移

1. 操作介面在確效時應被評估及處理以確保數據轉移的正確性及完整性。

2. 操作介面應包含為了正確與安全輸入及處理數據的適當內建檢查功能，以降低數據完整性的風險。確保的方法可參考使用：

(1) 安全傳輸(Secure Transfer)；

(2) 加密(Encryption)；

(3) 核對總和(Check Sums)。

3. 可行時，系統間的操作介面應被設計及驗證以包含 GMP/GDP 數據的自動化傳輸。

4. 當系統軟體被安裝或更新後，使用者應確認歸檔的數據能被新軟體讀取，這可能需要將現存已歸檔的數據轉換成新的格式；當無法將其轉換為新軟體的數據格式時，舊軟體必須維持安裝於一台電腦或第 31 頁虛擬環境中並可作為備份媒介，以供為了調查須閱讀已歸檔的數據。

(五) 電腦化系統的系統安全性

1. 應設定使用者存取的管制措施，並且強制禁止未授權的登入、修改及刪除數據。安全性管制措施的程度依據電腦化系統的關鍵性而定，例如：

(1) 所有員工須存取及使用的特定電子系統皆應設定個人的登入帳號及密碼，禁止分享登入憑證，因此為了節省支出而共享密碼應被禁止。

(2) 僅被授權人員可輸入數據和變更電腦紀錄。公司應維護電子系統之授權人員及其存取層級的清單。

(3) 密碼的格式及使用應有適當的管制措施，以確保系統受到有效的保護。

(4) 在初次被授予系統登入權限後，系統應能允許使用者依據一般密碼規則建立新密碼。

(5) 系統應支援不同的使用者存取角色(層級)，角色的分配應依循最小權限原則，即依工作職責分配最低需求權限層級。簡單的系統至少應有一般使用者和管理者，而複雜系統通常需要更多使用者層級來有效支持存取的管制措施。

(6) 電腦系統及 GMP/GDP 關鍵設備的系統管理員權限之發行應嚴格控管。系統管理員權限不應授予系統的一般使用者(即職責區分(Segregation of Duties, SoD))。

(7) 一般使用者不得有變更電腦系統關鍵資訊的權限，如系統時間、檔案刪除功能等。

(8) 系統應能產生實際登入系統的使用者清單，包含使用者名稱及角色。該清單可用於定期的使用者審核。

第 32 頁(9) 系統應該能夠產生對於試圖登入(包含成功和不成功)的清單，其包括：

 使用者名稱；

 使用者角色；

 試圖登入的時間及日期；

 成功登入的使用者之使用時間。

(10) 使用者存取權限的管控應確保嚴格的職責區分，於系統上執行一般作業的所有使用者應僅具備一般存取權限。通常具備高階存取權限的使用者(例如系統管理員)不應執行系統上的一般作業。

(11) 系統管理員通常應獨立於執行作業的使用者，並且不參與或關注電子系統中產生或可用數據之成果，舉例而言，QC 主管不應該被指定為其實驗室電子系統(如 HPLC、GC、UV-Vis)的系統管理員。

一般而言，應由品質及製造單位以外的人員(如 IT 人員)擔任系統管理員並具備較高的權限級別。

(12) 對於較小的公司，可能可以由品質部門或生產部門的指定人員持有系統管理員的權限，然而在這些情況下，系統管理員權限不應被用於執行例行的操作，該人員應具備第二個受限制的權限來執行例行的操作。

(13) 與新增使用者或更新使用者權限相關之任何要求應由適當人員(如直屬主管及系統所有者)授權，並按照標準程序以可追溯的方式提交給系統管理員。

(14) 允許存取 GMP/GDP 關鍵數據或操作的電腦系統應具備閒置自動登出的功能，當使用者閒置時間超出定義時間，在應用程式或作業系統皆應被自動登出。設定的時間應該夠短，以防止未經授權的存取。自動登出後，系統應要求使用者透過正常的登入認證程序再次登入。

第 33 頁

2. 應保護電腦化系統以防受到意外的變更或蓄意的不當操作，應考量：

(1) 電腦化系統硬體設備的實體安全性：

 伺服器的位置及存取；

 限制 PLC 組件(PLC module)的存取(如將存取面板上鎖)；

 對於電腦、伺服器及備份媒介的實體存取應限制於被授權人員。

系統的使用者一般不應可存取伺服器及備份媒介。

(2) 可能受到內部或外部攻擊的網路系統弱點。

(3) 遠端網路更新，如供應商設置的網路系統自動化更新。

(4) 系統設定、組態及關鍵數據的安全性。對於系統的關鍵數據/操作參數的存取必須適當的限制；對於設定/組態的任何變更應由授權人員透過變更管制程序來管控。

(5) 系統時間應與已連接的系統時間同步(若系統支援時間伺服器，可與時間伺服器同步)，若為獨立的系統則應定期確認時間之正確性，對於系統時間的異動應僅限授權人員可執行。

(6) 防火牆通訊埠開放應基於最小權限原則，使其規則能盡可能嚴密，僅允許被核准的通信。

(7) 建議將存有 GMP/GDP 數據的電腦化系統使用的網絡與其他公司業務使用的一般網路區隔，並依據風險建立不同層級的技術管制，以防止經由一般網路對於 GMP/GDP 電腦化系統進行攻擊或未授權的存取。

3. 電子簽章(1) 若使用電子簽章替代手寫簽名應有適當管制措施，以確保其真實性及能追溯到以電子方式簽核紀錄的特定人員。

(2) 電子簽章必須永久連結至其對應的紀錄，若已簽核的紀錄後續有更改，則紀錄必須標示已被修訂並且顯示為未簽核。

第 34 頁(3) 電子簽章的功能必須能自動記錄簽核的時間及日期。

(4) 先進形式的電子簽章之使用已愈來愈普遍，例如許多公司使用生物辨識技術。應鼓勵先進形式的電子簽章之使用。

4. 使用 USB 設備的限制(1) 基於系統安全考量，存有 GMP/GDP 關鍵數據的電腦及伺服器應盡量避免使用 USB 端口。如有必要，僅能於經核准及管控的情況下使用，並且應於使用前妥善掃描所有 USB 設備。

(2) 建議限制私人 USB 設備（隨身碟、相機、手機等）避免於公司存有 GMP/GDP 數據的電腦及伺服器上使用，或是在私人電腦上使用公司的 USB 設備。

(六) 電腦化系統的追蹤稽核

1. 當購買及執行電腦化系統時，考量數據管理及完整性的要求，公司應挑選包含適當追蹤稽核功能的軟體。

2. 公司應盡量添購新設備或升級舊系統，使用具備追蹤稽核功能的軟體。

3. 已知部分簡單的系統不具備追蹤稽核功能，須執行替代的安排來確認數據的真實性，例如管理程序、覆核及管制措施。

4. 執行系統確效時應確認追蹤稽核功能，以確保所有與關鍵數據有關的更改及刪除皆被記錄，並符合 ALCOA+原則。

5. 追蹤稽核功能必須始終被啟用並鎖定，且無法被停用。如果系統管理員可以取消追蹤稽核的功能，則追蹤稽核應自動記錄其已被停用。

6. 公司應依據風險管理原則實施包括追蹤稽核審核政策及流程的管制程序。完整作業審核完成之前，與每項作業相關的關鍵追蹤稽核應與其他紀錄一同進行獨立審核，舉例而言，產品批次放行之前應確認關鍵數據及其更改是可接受的。追蹤稽核審核應由原部門執行，第 35 頁並在必要時由品質部門確認，例如於自我查核或調查活動時進行確認。

7. 可行時，電子系統的追蹤稽核功能應被評估及設定，以擷取任何稽查所需與數據的獲取、刪除、覆蓋及更改相關的關鍵活動資訊。追蹤稽核應被設定為可記錄所有與關鍵數據相關的手動啟動流程。

8. 系統應提供安全、電腦產生的時間戳記之追蹤稽核紀錄，以獨立記錄輸入、建立、修改或刪除電子紀錄之日期及時間。

9. 追蹤稽核應包括下列參數：

(1) 誰做了修改；

(2) 什麼被修改，包括新舊數值；

(3) 何時進行修改，包括日期和時間；

(4) 為什麼要做修改(原因)。

10. 追蹤稽核應允許重建與建立、修改或刪除電子紀錄有關的事件過程。

11. 系統必須能夠列印並提供追蹤稽核的電子副本，無論是在系統中或是在副本中檢視，追蹤稽核都應能顯示為有意義的格式。

12. 在可能的情況下，追蹤稽核應保留電腦系統中的動態功能，例如搜索功能及輸出(如輸出為 Excel 檔)。

(七) 電腦化系統的數據擷取/輸入

1. 系統應設計為可正確擷取數據，無論是以手動或是自動化的方法擷取。

2. 手動輸入：

(1) 關鍵數據的輸入應僅能由被授權人員執行，且系統應記錄輸入的細節、人員及時間。

第 36 頁(2) 數據應以軟體管制的特定格式輸入，確效時應確認無效的數據格式不被系統所接受。

(3) 所有手動輸入的關鍵數據應被確認，由第二位操作者覆核或經由已確效的電腦化方法。

(4) 輸入的變更應被記錄於追蹤稽核中，並由適當的經授權及獨立的人員審核。

3. 自動化數據擷取：

(1) 作業系統、數據獲取及記錄的系統之間的介面應被確效，以確保數據的正確性。

(2) 系統擷取的數據應以不易被操控、遺失或更改的格式儲存於記憶體中。

(3) 系統軟體應該包含經驗證的檢查功能，以確保獲得的數據及相關詮釋數據的完整性。

4. 應依據核准的程序授權及管制任何對於數據的必要變更，舉例而言，手動積分及實驗室檢驗結果的重新處理應以核准及受管制的方式執行。工廠的品質單位必須執行管理措施以確保對於數據的修改僅限於必要的情況，且由指定的人員執行。原始(未經修改)的數據應以其原始的格式被保存。

5. 任何對原始數據的修改必須完全的文件化，並且由至少一位經適當訓練及資格認可的人員審核及核准。

(八) 電腦化系統的數據審核

1. 使用者應執行風險評估以識別所有與 GMP/GDP 相關由電腦化系統產生的電子數據，以及評估數據的關鍵性，關鍵數據應由使用者審核並確認作業是否正確執行，以及是否對電子紀錄中的原始資訊進行了任何更改（修改、刪除或覆蓋）。所有更改必須得到正式授權。

第 37 頁

2. SOP 應描述數據由第二操作者確認的流程，這些 SOP 應概述被審核的關鍵原始數據、數據總結的審核、任何相關的紀錄本及紙本紀錄的審核，以及說明數據審核如何執行，記錄及授權。

3. 追蹤稽核的審核應納入核准流程中例行數據審核的一部分。

4. 追蹤稽核審核的頻率、作用及責任應基於電腦化系統中 GMP/GDP相關數據的風險評估。舉例而言，對於可能直接影響產品品質的電子數據，應在以此數據做出關鍵決定前審核其追蹤稽核，例如於批次放行之前。

5. 應建立追蹤稽核審核 SOP，詳細描述審核項目、如何執行搜尋功能及如何審核追蹤稽核等，該程序應確立負責審核追蹤稽核的人員應遵循之流程細節。對於追蹤稽核的審核應文件化記錄。

6. 任何於審核追蹤稽核時所發現與預期不同的重大差異皆應充分調查及記錄。應有程序描述若於審查追蹤稽核時發現可能對產品品質或數據完整性造成嚴重影響的問題時，須採取的行動。

7. 公司的品質部門應基於追蹤稽核的關鍵程度與系統的複雜性制定持續審查追蹤稽核的計畫及排程。這些審核應納入公司的內部稽核計畫。

8. 應制定程序來處理及調查任何追蹤稽核的偏差，包括必要時通知高層管理者及衛生主管機關的進一步流程。

(九) 電子數據的儲存、歸檔與銷毀

1. 數據的儲存必須包含完整原始數據及詮釋數據(包括追蹤稽核)，並且以安全且經確效的程序執行。

2. 備份的數據及副本必須具備與原始數據相同的適當管控級別，以防止未經授權的存取、修改、刪除數據或與其相關的變更。舉例而言，若公司將數據備份至行動硬碟，則必須禁止可刪除行動硬碟內的數據。儲存及備份數據的其他考量包含：

第 38 頁(1) 可製作動態電子紀錄的真實副本，預期保留完整內容(即包括所有數據及詮釋數據)及原始紀錄的含義；

(2) 儲存的數據應能以完全可讀的格式存取。公司可能需要維護適當的軟體及硬體以便於數據保留期間內存取備份數據的檔案或副本；

(3) 例行備份副本應被儲存於遠程位置(實體性的分隔)，以防災害的發生；

(4) 備份的數據應在規範的保留期間內可被讀取，即使新版本的軟體已更新或替換為性能更好的軟體；

(5) 系統應允許備份及恢復所有數據，包括詮釋數據(含追蹤稽核)。

3. 紀錄的保留程序應包含保存詮釋數據的相關規範，可使將來有疑問或執行調查時能重現與批次相關的活動。

4. 紀錄應依據書面程序定期歸檔，歸檔的副本應實體上安全地保存於與備份及原始數據區隔的遠程位置。

5. 數據於歸檔期間應可被存取、可讀及維持其完整性。

6. 為因應調查所需，應有復原已歸檔數據的程序，且該程序應被定期測試。

7. 如有設備為歸檔流程所需，則應實施特定的環境管制措施，以及僅有被授權人員可存取，確保紀錄受到保護，防止有意或無意的更改或遺失。當系統因數據的長期存取的問題而必須淘汰時，應有程序確保已歸檔的數據持續可讀。例如將數據傳輸至另一個系統。

8. 應可以列印出電腦化系統產生的所有數據(包括詮釋數據)之清晰且有意義的紀錄。若紀錄有所更改，則亦應可以列印出對於紀錄的更改，指出原始數據何時及如何被更改。

9. 應制定程序描述電子儲存的數據之銷毀流程。這些程序應提供評估數據及其保留期間配置的指引，並描述當數據不再被需要時的銷毀方式。

第 39 頁

(十) 混合系統的管理

1. 混合系統因其複雜性及易被操控數據的潛在弱點，故需要其他特定的管制措施。

2. 混合系統的各項元件皆應依據前述紙本系統及電腦系統的相關規範執行驗證及管制。

3. 當評估、定義及證明混合系統的管制措施之有效性時，應依循適當的品質風險管理原則。

4. 應提供完整系統的詳細描述，概述系統的所有主要元件、各元件的功能、數據管理及完整性的管制措施，以及系統元件間的互動方式。

5. 應有程序及紀錄來適當管理及管制手動及自動系統之間的介面(Interface)，特別是與下列各項相關的步驟：

(1) 手動輸入手動生成的數據至電腦化系統；

(2) 將自動化系統生成的數據轉錄(包括手寫)到紙本紀錄；

(3) 自動偵測及轉錄已被列印出的數據至電腦化系統。

6. 對於實驗室混合系統的數據管理，其中與數據完整性相關的主要風險應由品質人員定期監控，例如確保實驗室具備充分的覆核程序以確認列印出的數據及報告為電子原始數據的真實副本或基於原始數據所得出的結論，包括詮釋數據及檢驗結果。

十五、 參考資料

1. PIC/S Draft Guidance: PI 041-1 (Draft 3) Good Practices for DataManagement and Integrity in Regulated GMP/GDP Environments,Pharmaceutical Inspection Co-operation Scheme (PIC/S), November

2018.(https://www.picscheme.org/).

2. ‘GXP’ Data Integrity Guidance and Definitions, Medicines andHealthcare Products Regulatory Agency (MHRA), March 2018.第 40 頁(https://www.gov.uk/government/publications/guidance-on-gxp-data-integrity).

3. GAMP Guide: Records & Data Integrity, International Society forPharmaceutical Engineering (ISPE), March 2017.(https://ispe.org/publications/guidance-documents/gamp-records-pharmaceutical-data-integrity).

4. ECA Guidance Document: Data Governance and Data Integrity for GMPRegulated Facilities (Version 2), January 2018.(https://www.eca-foundation.org/guides-documents.html).

5. WHO Technical Report Series, No. 996, Annex 5: Guidance on GoodData and Record Management Practices, World Health Organization(WHO), 2016.(http://apps.who.int/medicinedocs/en/m/abstract/Js22402en/).

6. PDA Technical Report 80 (TR 80): Data Integrity in Laboratory Systems,Parenteral Drug Association (PDA), 2018.(https://www.pda.org/bookstore/product-detail/4544-tr-80-data-integritymanagement).

7. Elements of a Code of Conduct for Data Integrity in the PharmaceuticalIndustry, Parenteral Drug Association (PDA), 2016.(https://www.pda.org/scientific-and-regulatory-affairs/regulatory-resources/code-of-conduct/elements-of-a-code-of-conduct-for-data-integrity-in-the-pharmaceutical-industry).

8. Guidance for Industry: Data Integrity and Compliance With Drug CGMPQuestions and Answers, US Food and Drug Administration (FDA),December 2018.(https://www.fda.gov/regulatory-information/search-fda-guidance-documents/data-integrity-and-compliance-drug-cgmp-questions-and-answersguidance-industry).第 41 頁

9. Q9 Quality Risk Management, International Council for Harmonisation(ICH), November 2005.(https://www.ich.org/).

10. Q10 Pharmaceutical Quality System, International Council forHarmonisation (ICH), June 2008.(https://www.ich.org/).

11. Ashwin Srinivasan and Bryan Kurey, Creating a Culture of Quality,Harvard Business Review, April 2014.(https://hbr.org/2014/04/creating-a-culture-of-quality).第 42 頁