医疗器械企业数智升级必看|新版GMP软件合规要点与实操指南

当下，中、美、欧多国相继完成医疗器械GMP及相关法规的修订与更新，全球医疗器械生产领域的监管标准迎来新一轮升级，计算机化系统被全面纳入GMP管理体系，成为企业合规生产的核心抓手。各类新规对GMP相关软件提出的系统性要求，也成为医疗器械企业软件选型、实施与落地的关键考量因素。本文结合国内外最新法规要求，深度解读医疗器械GMP框架下计算机软件的合规核心要点，梳理软件建设必备要求，分析行业典型不合规场景，为企业实现全流程合规提供实操参考。

国内外新版法规均围绕数据完整性、全流程追溯、风险可控三大核心，对医疗器械生产与质量相关的计算机软件提出明确监管要求，其中国内以2025版《医疗器械生产质量管理规范》为核心，国际则以FDA的QMSR、CSA为主要遵循标准，形成了“国内标准与国际规则接轨”的合规体系。

2025版规范将于2026年11月1日正式施行，相较于2014版，首次凸显信息化系统对医疗器械全生命周期合规的支撑作用，明确系统建设需满足追溯、风险管控、验证三大核心需求，并全面引入数据完整性（ALCOA+）概念，标志着我国医疗器械行业信息化系统合规建设进入高质量发展阶段。

（1）软件验证：绑定产品质量，实施全生命周期确认

条款来源为第七十七条【软件确认】，要求对直接影响产品质量的软件实施强制确认与再确认：软件首次投入使用前需完成功能全维度验证；发生重大升级、改造或功能变更时，需先开展产品质量影响性评估，再执行系统性再验证。同时，验证全流程文档（方案、报告、测试记录等）需与产品技术要求、生产工艺深度绑定，形成可追溯的验证闭环，证明系统持续满足质量控制需求。

（2）电子记录与数据管理：全链条追溯，确保真实防篡改

依据第四十五条【记录控制程序】、第四十六条【信息化管理方式的电子记录要求】，电子记录需严格遵循“真实、准确、完整、及时、可追溯”原则：建立分级化用户权限体系，实现操作员录入、质量人员审核等权限的严格分离；数据修改需全程留痕，保留原数据、修改人、修改时间及修改理由，同时执行定期全量备份；电子签名需符合国家相关法律法规要求；系统需支持原材料批次、生产记录、检验结果、销售信息的联动关联，实现从原材料入库到患者使用的全链条追溯，保障数据完整性。

（3）信息化系统安全：全维度防护，保障业务连续与数据安全

基于第三十三条【信息化系统】要求，企业需配置与业务规模、业务复杂性相匹配的硬件设备（服务器、网络设备等）和基础软件（操作系统、数据库等），确保硬件性能、存储容量、系统架构满足长期稳定运行需求。同时，建立持续有效的全维度防护体系，通过网络安全策略制定、精细化访问控制、数据加密与异地备份等技术+管理手段，有效防御病毒入侵、黑客攻击、突发断电等外部干扰，保障生产业务连续性与数据全生命周期安全。

QMSR是FDA对医疗器械质量体系法规（21 CFR Part 820）的重大修订，将于2026年正式生效并替代1997年旧版QSR，其核心变化是将ISO 13485:2016全面纳入监管框架，要求企业信息化系统实现“国际标准+FDA特殊要求”的双重合规，深刻影响全球医疗器械供应链的合规布局。

(1)接轨ISO 13485:2016，覆盖全流程质量管理

系统需全面覆盖ISO 13485中文件控制（4.2）、生产控制（7.5）、记录控制（4.2.5）等核心条款：电子记录需支持版本追溯、审批全流程留痕；生产系统需实时采集并记录注塑压力、灭菌时间等关键工艺参数，且与质量记录自动联动。同时，系统需额外对接FDA专项法规要求：关联21 CFR 803（不良事件），实现投诉系统对需上报事件的自动识别与处理轨迹留存；对接21 CFR 830（UDI），具备UDI编码生成、赋码及数据同步上传功能，确保每批次产品UDI编码可查、可追溯。

(2)强化记录控制，实现全数据可及与可追溯

依据§820.35(a,b)、ISO 13485-2016相关条款要求，系统需记录生产质量全链条数据，包括投诉记录（投诉人信息、处理过程及结果）、服务记录（设备维修数据、售后跟进信息）等，确保数据具备“易识别、易检索、可获取”特性。同时，新规取消“管理评审/审计报告豁免”条款，企业需留存所有内部审计、管理评审的完整数据，FDA现场检查时可直接调取，不得隐瞒、删减。

(3)规范系统变更，适配跨境审计需求

基于§820.10(a,b)等条款要求，软件升级、功能变更前，需全面评估对ISO 13485及FDA专项要求（如821设备追踪）的影响，变更记录需包含风险评估报告、系统验证结果等核心文档。同时，系统需支持MDSAP审计要求，数据格式、追溯逻辑需适配跨境审计的调取与核查需求。

CSA（计算机软件保证）是FDA针对医疗器械生产与质量系统软件发布的专项指南，2025年9月23日正式发布，替代《软件验证一般原则》第6节，核心围绕**“风险导向”** 建立监管框架，自2026年2月2日起与ISO 13485:2016全面整合，成为企业软件合规建设的重要依据。

（1）风险分级管控：按预期用途划分，实施差异化管理

依据V-A“Computer Software Assurance Risk Framework”，按软件“预期用途”分为直接用于生产/质量系统（如生产MES系统、质量管控系统）和支持性系统（如培训管理系统TMS），前者直接影响产品质量与患者安全，需实施高强度合规保证；后者可简化管控（如仅完成供应商评估+安装配置确认）。同时，按风险影响程度分为高过程风险（软件故障导致产品质量问题，并危害患者安全）和非高过程风险（软件故障仅影响流程效率或记录完整性，不涉及患者安全），不同风险等级匹配不同的管控力度。

（2）电子记录合规：遵循21 CFR Part 11，全程留痕不可篡改

基于V-B相关条款要求，电子记录需严格符合21 CFR Part 11规范，确保可追溯、不可篡改，操作人、操作时间、修改内容等信息需全程记录，审计日志实现长期留存。同时明确：21 CFR Part 11的裁决权豁免，不影响QMSR要求下对计算机化系统的验证义务，无论系统是否启用电子签名，均需完成全维度合规验证。

（3）供应商与系统全生命周期管理：穿透式审核，持续验证

依据V.A.(5)条款要求，企业对软件供应商需实施穿透式审核，审核范围覆盖软件开发生命周期（SDLC），重点核查供应商ISO 13485等QMS认证、SBOM清单、威胁建模等网络安全文档，合作协议中需明确数据所有权、软件变更提前通知等核心义务。系统需维持“持续验证状态”，软件升级、功能新增等变更前需先开展风险评估，高风险变更需重新执行脚本化测试。针对SaaS类供应商，需额外审查其基础设施的可用性、可靠性，服务协议中明确数据安全、数据完整性等硬性条款。

（4）测试方法与证据留存：按风险适配，实现全链路追溯

基于V-A相关框架要求，企业需按软件风险等级选择适配的测试方法：高风险功能实施强化测试，支持脚本化测试（预设用例、可追溯、可重复）与非脚本化测试（场景测试、探索性测试）结合。测试证据需形成可追溯闭环，包含测试目标、执行人员、执行日期、问题整改过程及结果等核心信息，且与软件版本、生产批次精准关联，便于监管部门审计核查。

CSV是GMP软件合规的基础，国内外法规均对其提出明确强制要求：

实操建议：企业选型时优先选择配置化核心的软件产品，此类产品验证流程更简洁、实操性更强，能有效降低合规成本与实施难度；

依据NMPA《医疗器械生产质量管理规范检查指南》第五章文件管理要求，软件生成的记录文件需满足：

基于NMPA《医疗器械生产质量管理规范检查指南》第五章文件管理要求，电子批记录管理需满足：

结合行业实践与监管检查重点，医疗器械企业在GMP计算机软件应用过程中，存在8类典型的不合规场景，均为监管检查中的高风险项，企业需重点规避：

合规要求：根据FDA CSA指南，21 CFR Part 11的裁决权豁免，不能免除QMSR要求下对计算机化系统的验证义务，无论软件是否替代纸质记录，只要涉及生产质量相关数据处理，均需完成基于风险评估的计算机软件合规验证。

不合规解析：企业存在“仅辅助记录、不替代纸质即可豁免合规”的认知误区，此类软件若参与生产工艺参数采集、质量数据统计等工作，直接关联产品质量，未合规验证将导致数据管控缺失。

合规要求：在QMSR及CSA的数据完整性框架下，对医疗器械生产和质量有影响的计算机软件，其CSV验证需全面覆盖审计追踪、权限控制、数据安全性等基础合规要求，纳入企业GMP验证管理体系的计算机化系统，需实现全维度合规。

不合规解析：企业忽视非替代型软件的CSV要求，将直接导致数据完整性与系统安全性失控，突破GMP合规底线，成为监管检查的重点整改项。

合规要求：《中华人民共和国电子签名法》、FDA 21 CFR Part 11、EU GMP Annex 11等国内外法规明确要求，医疗器械GMP相关计算机化系统，需采用可靠的电子签名技术，确保电子签名与手写签名具备同等法律效力。

不合规后果：电子签名功能的设计、开发或应用不符合法规要求，属于严重不合规项，直接导致软件系统无法满足GMP合规标准，监管部门可要求企业暂停使用该系统。

合规要求：软件需采用基于角色的权限设计（RBAC），实现角色与权限的严格分离，按管理员、操作员、审计员等预定义角色，分配“最小必要权限”；权限管控粒度需细化至功能模块、数据字段及操作类型（增、删、改、查），实现功能级、数据级、操作级的全维度权限控制，防范未授权访问与数据篡改。

不合规后果：权限控制缺失、管控粒度粗放，将直接导致数据泄露、误操作、越权篡改等风险，无法保障数据完整性，不符合GMP核心要求。

合规要求：软件的审计追踪功能需全面覆盖七大核心场景：数据修改（检测结果、处方调整等）、系统访问（登录/登出、权限变更等）、审批流程（电子签名、复核记录等）、配置变更（参数设置、系统升级等）、数据删除（需记录删除原因及审批流程）、报警事件（系统异常、数据超限等）、系统集成（接口连接、外部系统数据交互等）。

不合规后果：审计追踪功能缺失或覆盖场景不全，无法实现数据全生命周期的追溯与管控，不符合数据完整性（ALCOA+）原则，监管检查中需限期整改。