MES电子批记录：审计追踪要过药监核查的8个硬要求

在药品注册核查与GMP符合性检查现场，检查员常常只做一件事：随机抽一个批次，调出电子批记录，打开审计追踪，然后问一句——「这条数据什么时候被谁改过，为什么改？」答得清楚，检查继续；答不上来，或者发现追踪可以关掉、日志可以删、账号是共用的，缺陷项基本就落定了。

审计追踪不是功能清单上的加分项，而是医药GMP追溯的准入项。下面把要求拆成可执行、可验收的条目。

一、先明确判定依据

国内核查的判断标准来自三处：GMP附录《计算机化系统》、附录《确认与验证》，以及《药品记录与数据管理要求（试行）》。三者共同指向ALCOA+原则：可归因、清晰、同步、原始、准确，再加完整、一致、持久、可获得。落到系统上，就是一句话——任何一次数据变动都必须留下「谁、何时、改了什么、从什么改成什么、为什么改」的完整证据链。

二、审计追踪的8条硬要求

• 覆盖全动作：新建、修改、删除、审核批准、打印导出，以及登录失败、权限变更、配方变更、系统时间变更，全部留痕。「只记修改」是最常见的失分点。
• 要素齐全：操作人姓名与唯一ID、精确到秒的时间、操作类型、被操作对象（记录ID、工序、字段名）、修改前值与修改后值、修改原因、终端标识，缺一不可。
• 不可关闭、不可编辑、不可删除：审计表独立存储，应用账号只有写入权限，没有修改与删除权限；系统管理员同样无权清理。这一条几乎必查。
• 账号归因到人：一人一号、密码策略、失败锁定、离岗即时停用。共用账号与管理员账号参与业务审批，都会被判定数据不可归因。
• 时间戳可信：服务器统一时间并做NTP同步；修改系统时间须触发审计并走变更控制。
• 修改原因强制填写：原因字段可为空、可填「*」的系统，在核查中等于没有追踪。
• 可查可打可审：支持按批次、时间、人员、字段检索，能导出不可编辑的PDF，并有审核结论记录。
• 电子签名与记录绑定：签名须包含签名人、签名时间、签名含义（编制/复核/批准/放行），签名后数据不得再被改动。

三、EBR特有的三个细节

第一是模板版本控制。批记录模板每次变更都要有版本号、生效日期与审批签名，历史批次永远按当时的模板呈现，不允许新模板覆盖旧记录。第二是采集方式，称量数据直接从天平取、工艺参数从DCS/SCADA取，人工录入越少，核查追问点越少。第三是设备绑定，每道工序记录都应带设备编号与清洁状态——这与设备OEE稼动率采集是同一套数据底座，MES需求调研阶段就要把采集点编码统一，否则审计追踪里「设备」字段永远是空的。

四、核查最常挑出的8类缺陷

• 审计追踪功能存在但未开启，或默认关闭；
• 只记录修改，删除与导出不留痕；
• 日志可被管理员删除，或存放在可编辑的业务库中；
• 多岗位共用账号，无法追溯到具体操作人；
• 修改原因可为空或填写无意义字符；
• 没有审计追踪定期审核制度，审核记录只写「已审核」；
• 电子签名无签名含义，或与记录未绑定；
• 备份只做不验，恢复后数据不可读、与原始不一致。

国内历次数据可靠性专项检查中，因前三类问题被要求整改乃至收回证书的案例最为集中。对中小企业MES选型来说，这三条的权重远高于功能清单的长度。

五、技术之外的另一半：文件包与SOP

检查员看系统，更看制度有没有在跑。需要常备的材料包括：系统清单与风险评估报告；验证文件包（URS、供应商评估、验证计划、IQ/OQ/PQ、追溯矩阵、验证总结）；权限矩阵与账号台账；变更控制记录；备份与恢复演练记录；审计追踪审核SOP（批放行前100%审核本批追踪，QA按月抽样并留结论）；培训记录与操作规程。这套东西准备充分，现场演示才有底气。

六、别为合规单独建一套系统

一份纸质批记录的QA复核通常需要40到60分钟，且以签字确认为主；电子批记录配合结构化审计追踪，可以把单批复核压到10到15分钟，同时把追踪审核覆盖率从抽查5%提升到批批100%。更重要的是，同一条数据链路上的设备状态、工时与产量数据，可以直接支撑OEE稼动率统计与计件工资核算，让智能制造投入产出双向兑现，而不是为应付检查单建一套孤岛系统。

若产品涉及出口，批记录中的批号与数量还需与出库单、清关单证、海外仓入库记录保持同源。此时制造端的MES与中俄跨境物流系统的字段口径要提前对齐，避免出现「厂里一套数、关务一套数」，在境外核查或客户审计时反而多出解释成本。

七、定制开发要写进合同的三个点

第一是源码交付范围，第二是数据字典与审计表结构归属，第三是日志导出格式与可迁移性。这三点不写清，日后更换供应商时连历史审计追踪都导不出来，合规资产直接变成沉没成本。工业互联网的价值建立在数据可迁移之上，医药GMP追溯尤其如此。

回到最初的问题：能不能过现场核查，不取决于系统功能有多少页，而取决于三条——审计追踪关不掉、责任归得到人、数据改不了也赖不掉。把这三条做成系统的默认行为，而不是可配置的选项，核查就只是一次演示。