如何满足FDA电子签名要求？这些Q&A必看

如何满足FDA电子签名要求？这些Q&A必看

一、前言：出海企业的“隐形门槛”

随着国内医疗器械企业纷纷扬洋出海，进军美国FDA市场，“电子记录（Electronic Records）”与“电子签名（Electronic Signatures）”成为了绕不开的话题。

很多企业在准备FDA申报资料或迎接FDA现场检查（飞检）时，往往把精力集中在产品的技术指标上，却忽略了21 CFR Part 11这一基础法规的合规性。特别是在电子签名环节，一旦出现“多人共用账号”、“密码长期不更换”或“身份核验缺失”等问题，轻则收到警告信（Warning Letter），重则直接影响产品获批。

二、正文：FDA电子签名核心要求

为了让大家最准确地理解法规要求，今天我们不做“二次加工”，直接为大家带来FDA《Title 21, Code of Federal Regulations, Part 11》中关于电子签名要求的原文核心内容。请各位质量负责人、IT负责人逐字研读，并对照自查。

在FDA《Title 21, Code of Federal Regulations, Part 11- Electronic Records; Electronic Signatures》法规里明确规定了电子签名的要求，电子签名指由个人执行、采用或授权使用的任意符号或符号组合形式的计算机数据集合，其法律效力等同于该个人的手写签名。

FDA《Title 21, Code of Federal Regulations, Part 11-Electronic Records; Electronic Signatures》对电子签名的要求如下:

(a) 每份电子签名仅限单人使用，不得交由他人复用，亦不得重新分配给其他人员。

(b) 机构在创建、分配、认证或以其他方式核准个人电子签名及相关组成要素前，必须核验该人员身份。

(c) 使用电子签名的人员，应在使用前或使用时向监管机构作出声明:其系统中1997年8月20日及之后使用的电子签名，具备与传统手写签名同等的法律效力:

(1) 该声明文件须以传统手写签名签署，并以电子或纸质形式提交。提交渠道相关信息可在美国食品药品监督管理局(FDA)的不可否认协议函件专题网页查询。

(2) 应监管机构要求，电子签名使用人需另行提供证明材料或证词，证实特定电子签名与签名人手写签名具备同等法律效力。

使用识别码+密码组合式电子签名的人员，必须采取管控措施，保障电子签名的安全性与完整性。相关管控要求包括:

(a) 确保每套识别码与密码组合具备唯一性，不得出现两人使用相同组合的情况。

(b) 对识别码和密码的发放进行定期核查、回收或更新(例如执行密码有效期管控)。

(c) 遵照遗失处置流程，对丢失、被盗、遗失或存在泄密风险的令牌、卡片及其他存储/生成识别码、密码的设备,执行电子权限注销;并在严格管控下发放临时或永久替代设备。

(d) 落实交易安全防护机制，防范识别码、密码被非授权使用;一旦发现非授权使用尝试，须立即向系统安全部门上报，并视情况告知机构管理层。

(e) 对存储或生成识别码、密码的令牌、卡片等设备开展启用检测与定期检测，确保设备运行正常，且未遭到非授权篡改。

三、拓展阅读：常见误区Q&A

看完上述严谨的法规条文，不少小伙伴可能会有具体的操作疑问。医美达整理了企业在应对Part 11审计时最常见的几个“坑”，为大家答疑解惑：

Q1：我们公司用的是简单的“账号+密码”登录系统进行电子批记录签名，这符合FDA要求吗？

A： 单纯的用户名和密码组合是可以的，但必须满足文中提到的管控措施。特别是唯一性（一人一号）、定期更新（密码有效期）以及防非授权使用（如多次输错密码锁定）。如果仅仅是大家共用一个Admin账号，那是绝对不允许的。

Q2：法规要求提交手写签署的声明文件，这个具体怎么操作？

A： 这通常被称为“Attestation”（宣誓书）。企业通常需要在第一次向FDA提交电子记录前，由相关责任人签署一份书面声明（纸质签名），表明该系统内的电子签名具有法律效力。这份文件需要归档保存，以备FDA查阅。

Q3：我们用了电子签名，是不是就可以销毁所有的纸质记录（ hybrid system 混合系统问题）？

A： 不一定。Part 11允许使用电子记录代替纸质记录，但对系统的验证、审计追踪（Audit Trail）和备份有极高的要求。在系统未经验证完全合规前，不建议贸然销毁纸质原件。

Q4：员工的岗位变动了，他的电子签名权限怎么处理？

A： 根据法规(a)条，电子签名仅限单人使用。员工离职或转岗，其原有的电子签名（识别码/密码）必须立即注销（见遗失处置流程），新岗位需要分配全新的电子签名组合，严禁“继承”前任的账号。