解讀 FDA 21 CFR Part 11 合規性與電子簽名最佳實踐

在生命科學領域——製藥、醫療器械、生物技術、體外診斷——資料完整性是每一項受監管決策的基礎。隨著紙質記錄與手寫簽名逐步被電子記錄與**電子簽名**取代，問題不再只是「這份文件簽了沒有」，而是整條證據鏈在監管審查面前是否仍然可信。21 CFR Part 11 正是美國定義這一標準的法規。

什麼是 FDA 21 CFR Part 11？

FDA 於 1997 年 8 月 20 日發布 21 CFR Part 11。它確立了這樣一項框架：在滿足其控制要求的前提下，電子記錄與電子簽名可以替代紙質記錄與手寫簽名，並具有同等法律效力。它不是一個產品認證，也不是為某個行業單獨制定的。

Part 11 管的是記錄鏈，不是軟體。它適用於 FDA 前置法規要求企業留存或提交的記錄——當這些記錄以電子方式建立、修改、維護、歸檔、檢索或提交時。判斷標準不是「你屬於哪個行業」，而是「你有沒有受 FDA 法規要求留存或提交的記錄」。製藥、生物技術、醫療器械、體外診斷企業，以及 CRO、CDMO，都可能落入範圍。

Part 11 回答的三個問題

1. 何時適用？ 當前置規則要求該記錄，且企業依賴電子版本、或以電子方式向 FDA 提交時。
2. 何為有效的電子簽名？ 必須具有手寫簽名的法律效力，能歸屬於唯一個體，並與記錄繫結——不能只是一張圖片或一個輸入的名字。
3. 如何保持有效性？ 透過技術與程序控制，使記錄和簽名保持可信、完整、可復現。

核心控制要求

Part 11 條文不長，但其要求合起來構成一套圍繞身份、許可權、審計與留存的體系：系統經過驗證、可提供完整可檢索的副本、留存受保護、訪問與許可權受控、安全且帶時間戳的審計追蹤、清晰的簽名呈現（姓名、日期時間、含義）、簽名與記錄繫結，以及非生物識別簽名至少具備兩個截然不同的身份識別元件。

Part 11 在全球記錄管理規則中的位置

Part 11 是美國法律，但在受監管的生命科學領域，它已成為最廣泛使用的參照系。其他主要市場各有自己的規則：

• 歐盟——GMP 環境中的電腦化系統由 EU GMP Annex 11 規範；電子簽名的法律效力則由 eIDAS（歐盟第 910/2014 號條例）規定，區分簡單（SES）、高級（AES）和合格（QES）電子簽名三個等級。
• 日本——透過 PMDA 及相關指南提出電子記錄要求。
• 中國——以 NMPA 的規定，結合《藥品記錄與資料管理要求》，管理藥品相關活動中使用的記錄與資料。

Part 11 之所以成為共同語言，是因為美國是全球最大的醫藥市場之一，而 FDA 的檢查權跟著市場走，而非跟著企業總部走。FDA 檢查的是所有向美國市場供貨的生產基地——包括設在中國、印度和歐洲的工廠——美國客戶的審計要求會順著供應鏈傳導到每一家 CDMO、CRO 和原料藥企業。在幾套主要規則中，Part 11 出臺最早、條文最具體、被引用最多；一些並不直接受 FDA 管轄的企業，也主動按 Part 11 搭建體系，把它當作一條更高的內控水位線。

普通電子簽名為什麼過不了 Part 11？

普通電子簽名回答的是「這份文件簽了沒有、是誰籤的」。Part 11 要回答的是整條記錄鏈是否可信、可歸屬、可復現。兩者之間通常隔著四處關鍵控制：

1. 審計追蹤。 通用簽約工具通常只留下「已簽署」這個結果。Part 11 要求的是一條完整、不可覆蓋的事件鏈：誰、在什麼時間、對哪份記錄、做了什麼、結果如何，包括管理操作。
2. 簽名與記錄的繫結。 通用簽名——一張圖片、一個印章或一行文字——能被複製到另一份文件上。Part 11 要求簽名與記錄不可分割，內容被改動則簽名失效。這需要密碼學級的繫結，而不是貼圖。
3. 身份證明。 Part 11 要求每個簽名對應唯一個體，非生物識別簽名至少有兩個截然不同的身份識別元件，且憑證只能由本人使用。共用賬號、代簽等做法不在這一模型之內。
4. 驗證與證據。 Part 11 從根上要求系統經過驗證。企業要能拿出需求—測試追溯矩陣、驗證報告和偏差記錄，這取決於供應商提供的軟體生命週期文件。

需要留意的近期 FDA 指南

Part 11 本身自 1997 年以來基本未變，但 FDA 持續發布指南來界定其應用方式。2024 年 10 月，FDA 定稿了《臨床試驗中的 Part 11 電子系統、電子記錄與電子簽名》指南，明確了 Part 11 何時適用於臨床研究中的系統與記錄。受監管企業應以 Part 11 為基線，並追蹤其具體產品領域相關的 FDA 指南更新。

責任邊界在哪裡

能力與責任不是一回事。供應商提供能力、文件和支援；預期用途、操作規程、驗證、培訓、許可權治理和記錄留存的責任，都在使用電子記錄的企業身上。把供應商的合規文件直接當成自己的合規證明，是出海企業最常見的坑之一——任何供應商認證都不會把 Part 11 合規責任轉移給客戶。

eSign.AI 如何支援 Part 11 簽署工作流

eSign.AI 提供可作為受監管流程一部分配置的電子簽名與證據能力：

• 簽署含義與呈現——工作流可以捕獲簽署原因以及簽署者和簽署事件資訊，幫助團隊表達審查、審批或承擔責任等操作。
• 簽署者驗證與賬戶控制——可配置的身份與賬戶安全選項支援身份和訪問要求，需對照工作流和組織風險模型評估。
• 審計證據——簽署事件、完成資訊和支援證據可幫助團隊重建誰執行了操作、簽署了什麼以及事件何時發生。
• 工作流與系統整合——API 和工作流整合可將簽署步驟與質量、臨床、文件管理或業務系統連線，同時由組織定義系統邊界和驗證責任。

使用 eSign.AI 本身並不使組織或流程自動符合 Part 11。合規取決於完整的系統、配置、流程、人員、培訓、記錄和持續治理。eSign.AI 已於 2025 年完成 SOC 2 Type II 鑑證——這是一份描述控制設計與完整週期運行有效性的獨立報告，可用於供應商盡調，但不能替代客戶自身的驗證。

適用於哪些企業

Part 11 的預期最適用於製藥、生物技術、醫療器械和體外診斷企業、CRO 與 CDMO，以及任何處理 FDA 要求留存或提交的記錄的上游供應商——包括向美國與歐洲市場供貨的海外工廠。

延伸閱讀： FDA 21 CFR Part 11 電子簽名：實踐指南 · 什麼是 FDA 21 CFR Part 11？