FDA 21 CFR Part 11 电子签名：实践指南

Part 11 从记录开始，而非签名

FDA 于 1997 年 8 月 20 日发布 21 CFR Part 11，确立了这样一项框架：在满足其控制要求的前提下，电子记录和电子签名可以替代纸质记录与手写签名，并具有同等法律效力。该法规管的是“记录链”，不是“软件”：凡是在 FDA 前置法规之下以电子方式创建、修改、维护、归档、检索或提交的记录，都可能落入范围，与公司处于哪个行业无关。Part 11 并不会将生命科学公司使用的每一项电子审批都纳入监管记录。首先要判断前置规则是否要求留存或向 FDA 提交该记录，以及组织是否依赖电子版本执行受监管活动。如果是，则电子记录及其关联签名可能属于 Part 11 范围。该范围决策应在团队选择认证方式、配置签署字段或验证平台之前完成并记录。Part 11 也不会让软件本身合规：受监管组织仍需负责预期用途、流程、培训、访问治理、验证决策和持续控制。

Part 11 旨在保护什么

该法规关注电子记录和签名在其所需生命周期中是否保持可信、可靠、可追溯和可获取。

01. 范围：识别 FDA 前置规则要求的记录，判断依赖的是电子版本还是纸质版本。

02. 记录完整性：保护受监管记录免遭未授权访问、篡改、丢失或不完整重建。

03. 签名问责：将唯一且经过验证的签署者与签署记录、时间和签署行为的含义关联起来。

04. 检查就绪：在需要时留存记录并提供准确、完整、人类可读和电子格式的副本。

Part 11 在全球记录管理规则中的位置

Part 11 是美国法律，但在受监管的生命科学领域，它已成为电子记录与电子签名最广泛使用的参照系。其他主要市场各有自己的规则。

欧盟

日本

中国

为什么 Part 11 成了共同语言

实施前的实际范围测试

从适用的前置规则和实际运营实践出发。同一技术可以同时支持 Part 11 和非 Part 11 工作流。

Part 11 更可能适用的情况

前置规则要求留存该记录，且电子记录已替代纸质。
所需记录以两种格式存在，但电子版本是受监管活动所依赖的。
记录通过 FDA 认可的提交途径以电子方式提交。
电子签名作为前置规则要求的手写签名、首字母缩写、审批、审查或验证的等价形式使用。

Part 11 可能不触发的情况

电子信息在 FDA 前置规则下无需留存。
计算机仅生成纸质记录，且合规的纸质记录是实际依赖的版本。
工作流属于 21 CFR 11.1 中明确列出的排除项。
记录纯属运营性质，不涉及受监管活动、提交或必需的记录留存义务。

将 Part 11 要求转化为可审查的证据

功能清单是不够的。对于每项控制，确认其在预期工作流中的运作方式，以及在验证、审计或检查时可产生的证据。

系统验证

准确副本

留存和检索

访问和权限

审计追踪

签名呈现

签名-记录关联

身份和签名控制

普通电子签名为什么过不了 Part 11

普通电子签名回答的是“这份文件签了没有、是谁签的”。Part 11 要回答的是另一个问题：整条电子记录链，在监管审查面前是否可信、可归属、可复现。两者之间隔着四处关键控制。

审计追踪

签名与记录的绑定

身份证明

验证与证据

eSign.AI 如何支持 Part 11 签署工作流

eSign.AI 提供可作为受监管流程一部分配置的电子签名和证据能力。是否适用仍取决于客户的预期用途、适用前置规则、流程、验证方式、身份方法和留存证据。

签署含义和呈现. 工作流可以捕获签署原因以及签署者和签署事件信息，帮助团队表达审查、审批或承担责任等操作。

签署者验证和账户控制. 可配置的签署者验证和账户安全选项可支持身份和访问要求。所选方法应对照工作流和组织风险模型进行评估。

审计证据. 签署事件、完成信息和支持证据可帮助团队重建谁执行了操作、签署了什么以及事件何时发生。

工作流和系统集成. API 和工作流集成可将签署步骤与质量、临床、文档管理或业务系统连接，同时由组织定义系统边界和验证责任。

这并不意味着什么. 使用 eSign.AI 本身并不使组织或流程自动符合 Part 11。合规取决于完整的系统、配置、流程、人员、培训、记录和持续治理。

六步实施路径

将 Part 11 视为受控业务流程，而非功能开关。

盘点受监管记录

识别前置规则、记录所有者、所需签名、留存期、提交途径和实际依赖的版本。

定义预期用途和系统边界

记录电子签名平台的功能、哪些连接系统保持权威性、记录和证据的留存位置。

设置身份、访问和签署控制

配置签署者验证、认证、角色、签署含义、权限检查、凭证恢复和账户停用。

设计证据包

确认审查所需的最终记录、签署者姓名、时间、签署含义、事件历史、完整性证据和导出格式。

针对风险和预期用途进行验证

测试关键需求、异常路径、权限、签名关联、审计事件、导出、集成和故障恢复。

在受控流程下运营

维护标准操作规程、培训、定期访问审查、事件处理、变更控制、供应商监督和重新验证触发条件。

谁对什么负责

能力与责任不是一回事。软件厂商提供能力、文档和支持；预期用途、操作规程、验证、培训、权限治理和记录留存的责任，都在使用电子记录的企业身上。把厂商的合规文档直接当成自己的合规证明，是出海企业最常见的坑之一。

厂商提供什么

受监管企业负责什么

认证不等于合规

常见问题

团队常问的 Part 11 电子签名问题

不是。适用范围取决于前置规则、记录是否需要留存或提交，以及组织是否依赖电子记录执行受监管活动。请为每种记录类型记录范围决策。

Electronic Code of Federal Regulations: 21 CFR Part 11 FDA Guidance: Part 11, Electronic Records; Electronic Signatures — Scope and Application FDA Guidance: Electronic Systems, Electronic Records, and Electronic Signatures in Clinical Investigations

为你的业务探索合适的电子签名方案

与我们的团队沟通你在目标市场的电子签名要求、合规考量和文档流程。

联系我们

继续阅读

专业知识库