制药企业计算机化系统的权限管理
访问权限管理是计算机化系统管理的一个基本管理要求。其必要性，就跟房间需要加锁（指纹锁），禁区出入需要通行证一样。它的基本目的就是为了保护某些东西（数据权限管理，比如信息的保密）或者限制某些东西（功能权限管理，比如限制某些系统操作）。
中国GMP：附录计算机化系统：
“第五条 计算机化系统生命周期中所涉及的各种活动，如验证、使用、维护、管理等，需要各相关的职能部门人员之间的紧密合作。应当明确所有使用和管理计算机化系统人员的职责和权限，并接受相应的使用和管理培训。”
欧盟GMP：附录11计算机化系统
“There
should be close cooperation between allrelevant personnel
such as Process Owner, System Owner, Qualified Persons andIT.
All personnel should have appropriate qualifications, level of
accessand defined responsibilities to carry out their assigned
duties.
相关人员如业务负责人，系统负责人，质量授权人和IT应该紧密合作。所有人员应该有合适的资质，适当的权限和适当的确定好的职责以行使他们各自的责任。”
法规的要求往往很概括，让人不明就里。看得懂，却不知怎么做。原因就在于做GMP的人往往以“药学”知识为主，反而忽视了其它领域的专业。
从GMP法规的要求看权限管理有三个基本要素：
1. 恰当的职责（与岗位职责匹配）
2. 具有资质（具有操作资格）
3. 合适的权限（跟职责匹配的访问权限水平）
围绕这三个要素，企业需要做很多基础工作，来保证这三个要素的实现。
好的权限管理，公司需要有相应的管理系统来支持。
1. 职责
一个专业IT审计师解读GMP附录: 计算机化系统
NNIT 生命科学行业总监路璐（NNIT版权所有，如有转载请注明出处）
2015年五月，CFDA发布了GMP附录一：计算机化系统，从2015年12月1日开始执行。从食品药品审核查验中心（CFDI）的资料显示，该附录起草背景如下：
1． 科技发展，自动化越来越高
2． 专业属性强，风险识别困难
3． 数据完整性越来越被重视
4． 多个国家/组织已将其作为单独附录发布
该附录共分为六章，分别从范围、原则、人员、验证、系统、术语几个角度，对GMP范围内的计算机化系统提出了合规的要求。笔者在医药行业有六年的经验，在与医药行业相关的IT公司从事IT审计工作八年的时间，取得了IT审计师资格证书。下面，就从IT审计的角度来解读一下这个附录的内容，希望对于大家做自查或审计供应商有所帮助。
第一章范围
第一条本附录适用于在药品生产质量管理过程中应用的计算机化系统。计算机化系统由一系列硬件和软件组成，以满足特定的功能。
第一章是最简单的一个章节，但是信息量非常大。如何界定范围一向是审计的关键。我们一定要把和GMP相关的系统界定出来，也就是要在GMP生产的整个环节去梳理，形成计算机化系统的清单。这个清单可以统一管理，也可以在部门或车间为单位管理，甚至这些信息可以存在于系统中，随时可以导出。很多系统其实在资产管理的台帐里都有体现，只是没有区分哪些是GMP相关的，哪些是GMP不相关的，那就需要在这些现有的台帐里加上一列，去识别GMP相关性。在我们做审计的时候，一个GMP相关系统的完整清单通常是审计师最先要求的一个文档，因为这样便于我们规划审计。这个清单通常在审计之前就会要求提供。有些药厂会故意隐瞒一些系统，这种做法是非常错误的。因为在审计的过程中，我们通常会关注数据的出处，这样就很容易发现一些不在清单上的系统，这样就会导致一个发现项：清单没有及时更新，严重的时候，审计师会质疑被审方的诚信，会扩大审计范围或导致数据完整性的发现项。
GMP认证计算机化系统验证管理规程完整
GMP (Good Manufacturing Practice) 认证是一种对制药、食品、化妆品等行业的生产和质量管理标准的认可。GMP 认证计算机化系统验证管理规程是指为确保认证过程的技术完整性、合规性和安全性，对计算机化系统在GMP 认证过程中的验证进行管理的一系列规章制度。
首先，规程应明确计算机化系统验证相关的定义和范围，包括计算机化系统的定义、验证的意义和目的等。同时，规程还要明确计算机化系统验证的适用范围和流程，以确保验证的合规性。
其次，规程应明确计算机化系统验证的组织和职责。验证团队应包括质量管理部门、信息技术部门、生产部门和质量控制部门等相关部门的代表。每个部门应明确其在验证过程中的职责和权限，确保验证过程的顺利进行。
第三，规程应明确计算机化系统验证的具体步骤和要求。这包括验证计划的编制、验证策略的确定、验证文档的制定、验证测试的执行和验证结果的分析等。规程还应指导相关人员如何进行验证记录和部署验证结果。
第四，规程应确保验证过程的文件化和记录。所有与验证相关的文件和记录都应精心保存和管理，以便在需要时进行查阅和审查。验证文件和记录应包括验证计划、验证策略、验证测试方案、验证报告等。
第五，规程应明确计算机化系统验证的标准和指南。验证过程中应参考相关的法规、标准和指南，确保验证结果符合GMP认证的要求。规程还应明确验证过程中如何处理不符合项和变更请求。 最后，规程应包含对验证过程的监督和评估。监督和评估应由独立的第三方或内部审核团队进行，以确保验证过程的有效性和合规性。监督和评估的结果应及时反馈给相关部门，并及时采取纠正措施。
在总结GMP认证计算机化系统验证管理规程时，应强调规程的完整性、可操作性和可验证性。规程应从制定到实施，细致入微，确保认证过程的可靠性和有效性。同时，规程的持续改进也是确保验证过程的持续改进和符合最新要求的重要环节。
1 计算机化系统
第一章 范 围
第一条 本附录适用于在药品生产质量管理过程中应用的计算机化系统。计算机化系统由一系列硬件和软件组成，以满足特定的功能。
第二章 原 则
第二条 计算机化系统代替人工操作时，应当确保不对产品的质量、过程控制和其质量保证水平造成负面影响，不增加总体风险。
第三条 风险管理应当贯穿计算机化系统的生命周期全过程，应当考虑患者安全、数据完整性和产品质量。作为质量风险管理的一部分，应当根据书面的风险评估结果确定验证和数据完整性控制的程度。
第四条 企业应当针对计算机化系统供应商的管理制定操作规程。供应商提供产品或服务时（如安装、配置、集成、验证、维护、数据处理等），企业应当与供应商签订正式协议，明确双方责任。
企业应当基于风险评估的结果提供与供应商质量体系和审计信息相关的文件。
2 第三章 人 员
第五条 计算机化系统生命周期中所涉及的各种活动，如验证、使用、维护、管理等，需要各相关的职能部门人员之间的紧密合作。应当明确所有使用和管理计算机化系统人员的职责和权限，并接受相应的使用和管理培训。
应当确保有适当的专业人员，对计算机化系统的设计、验证、安装和运行等方面进行培训和指导。
第四章 验 证
第六条 计算机化系统验证包括应用程序的验证和基础架构的确认，其范围与程度应当基于科学的风险评估。风险评估应当充分考虑计算机化系统的使用范围和用途。
应当在计算机化系统生命周期中保持其验证状态。
第七条 企业应当建立包含药品生产质量管理过程中涉及的所有计算机化系统清单，标明与药品生产质量管理相关的功能。清单应当及时更新。
第八条 企业应当指定专人对通用的商业化计算机软件进行审核，确认其满足用户需求。
在对定制的计算机化系统进行验证时，企业应当建立相应的操作规程，确保在生命周期内评估系统的质量和性能。
第九条 数据转换格式或迁移时，应当确认数据的数值及含义没有改变。
