良好文档管理规范(GDP):守护药品安全的＂隐形卫士＂-夜雨聆风

良好文档管理规范(GDP):守护药品安全的＂隐形卫士＂

当你从药房买回一瓶止咳糖浆，你是否想过：这瓶药里的成分真的和标签上写的一样吗？它的生产日期、批次编号、储存条件都经过了严格记录吗？在你看不到的地方，有一套被称为GDP（Good Documentation Practices，良好文档管理规范）的体系，正默默守护着每一位患者的用药安全。

一、什么是GDP？——远不止”写文档”那么简单

GDP（Good Documentation Practices，良好文档管理规范） 是FDA（美国食品药品监督管理局）对高度监管行业提出的一种特定文档管理方式，涵盖制药、药品、生物制品和医疗器械等领域。GDP不仅仅是对纸质和电子文档的记录——它要求每一条记录都能追溯到谁（Who）执行了任务、什么（What）操作被启动或完成、何时（When）任务被执行、以及在哪里（Where）任务被执行。

换句话说，GDP就像是给每一份数据装上了”GPS定位系统”，让它从诞生到归档的每一步都清晰可查。

许多人以为GDP就是”把文件整理好”，但实际上GDP远比普通的档案管理更加全面。图书馆管理、律师事务所的案卷归档虽然也涉及大量文件，但GDP的要求远超于此——它要求培训所有参与者，让每个人都清楚如何记录、审核和批准数据，确保数据的来源、时间、地点和操作人员始终清晰明确。

GDP的基础要求

GDP对文档记录有一系列严格的基础要求，主要包括：

只允许使用蓝色或黑色墨水

：纸质文件的手写记录不得使用彩色墨水。这条规则源于早期复印机无法良好复制彩色墨迹。
只能使用不可擦除的墨水

：不允许使用铅笔或任何可擦除的书写工具。
禁止使用凝胶笔和水溶性墨水

：虽然凝胶笔书写美观，但水可以轻松擦除其墨迹。此外，市面上甚至存在完全可擦除的墨水，这对文档安全构成威胁。
所有记录必须清晰可辨

：无论纸质还是电子记录，字迹必须清晰可读。
所有记录必须明确无歧义

：记录不仅要对记录者本人清晰，更要对所有人都能清楚理解。
空白处必须划线

：留白可能被他人后续添加内容，破坏文档原始性。
绝对禁止使用涂改液（白色修正液）

：涂改液会遮盖原始记录，而GDP的核心原则之一就是原始记录必须保持可读。

扩展知识：为什么电子记录也有”清晰度”问题？

许多人以为清晰度问题只存在于手写记录中，但电子记录同样面临清晰度挑战。错误的字体选择可能导致打印后难以辨认；不同操作系统之间的字体渲染差异，也可能让一份在Windows上清晰的文档在Mac上变得模糊。此外，电子记录还需考虑长期可读性——随着软件版本更新，旧格式文件可能在新系统中无法正常打开。这就是为什么FDA的21 CFR Part 11（电子记录与电子签名法规）专门对电子记录的可信性、可靠性和等效性做出了详细规定，要求电子系统具备审计追踪（Audit Trail）、访问控制和电子签名等功能。

GDP的目标

根据FDA指南文件，GDP的核心目标是“确保药品的安全性、有效性和质量，并保障FDA保护公众健康的能力”。

这并非空洞的口号。每一份符合GDP的记录，都在为患者的安全构建一道防线——从原材料的称量记录，到生产过程中的温度和压力参数，再到最终产品的包装标签，每一步都需要被完整、准确地记录。

二、GDP不仅仅是审核员的事——工程师同样需要

很多人以为GDP只是质量审核员的工作，但事实上，GDP对科学研究和工程实践同样至关重要。想想你是否曾在工程图纸上看到过这样的修正痕迹，然后疑惑：

这个修正是谁做的？
什么时候修改的？
这是最新版本吗？
这个批注意思是什么？

许多工程事故的发生，恰恰源于不良的文档管理实践。一个经典案例是1981年堪萨斯城凯悦酒店天桥坍塌事故——超过100人遇难、200多人受伤。事故的根本原因被认定为：“结构工程师提交的图纸是初步版本，但制造商将其视为最终版本进行了施工。” 这就是一个典型的文档管理失败案例。

很多类似工程灾难的调查报告上，根本原因常被标注为”沟通错误”或”信息传达不畅”。但这些术语具有误导性——它们暗示问题出在口头交流上，而真正的”沟通失败”其实发生在文档上。如果工程文档管理得当，这些悲剧本可以避免。

扩展知识：GDP在工程行业的推广趋势

近年来，越来越多的非制药行业开始采纳GDP原则。特别是在航空航天、核能和汽车制造等高安全要求领域，文档管理的重要性正被重新认识。AS9100（航空航天质量管理体系）和IATF 16949（汽车行业质量管理体系）等标准中都包含了严格的文档控制要求。工程文件是工程活动的核心输出，文档管理直接关系到公众安全——这一点与GDP保护患者安全的核心理念高度一致。

三、谁必须遵守GDP？

所有FDA监管行业都必须对直接或间接影响患者的文档（包括纸质和电子文档）遵守GDP。主要涉及的行业包括：

制药

：生产、运输和储存全过程
药品

：包括处方药和非处方药（OTC）的生产
医疗器械

：生产、运输和储存
生物技术

：生产、运输和储存

这对普通人意味着什么？你家楼下药房里的阿司匹林、去疣液、哮喘吸入器、早孕试纸……这些产品之所以安全可靠，GDP功不可没。

此外，其他行业和专业——尤其是工程领域——也应当采纳GDP原则。文件是工程工作的关键输出，文档管理对公众安全至关重要。

四、GDP与普通文档管理有何不同？

在图书馆、律师事务所和医院病案室从事文档管理的人，初次接触GDP时往往会感到惊讶。传统的大量记录管理主要聚焦于组织、归档、检索和销毁，而GDP涵盖的范围要广得多。

GDP的一个核心目标是：文档（无论是电子还是纸质）应当完全独立可理解，无需与任何人交谈即可理解全部内容。这在全球其他文档管理系统中极为罕见——通常你总需要找到当事人来确认某些信息。但在GDP的世界里，如果有人需要提问才能理解文档内容，那就意味着GDP执行失败了。

一个形象的比喻是：想象法律文件的正式程度和严谨度——再乘以100，就是GDP级别的文档管理。在GDP中，像抵押文件上出现错误姓名这种在其他行业司空见惯的失误，是完全不可接受的，很可能会招致FDA的正式法律行动。

GDP不是为你自己写的——是为别人看的

GDP有一个反直觉的特点：它不是为内部使用而设，而是为外部人员（如审核员）评估患者安全而服务的。

我们每个人都有自己习惯的缩写和”个人 shorthand”，但GDP不允许任何模糊性。文档的受众是一个受过良好教育、但不了解你所在工厂的产品、设备或数据管理细节的人。

五、ALCOA——GDP的核心要素

ALCOA 是描述GDP和数据完整性所需属性的最佳框架，由英国MHRA（药品和医疗产品监管局）定义，是一个便于记忆的首字母缩略词。

ALCOA核心五要素

要素	英文	含义
可追溯性	Attributable	能够确定数据生成者是谁
清晰性	Legible	可读且永久
同步性	Contemporaneous	在事件发生时即时收集或记录
原始性	Original	保留原始记录或经认证的真实副本
准确性	Accurate	数据准确无误

ALCOA+扩展四要素

要素	英文	含义
完整性	Complete	完整的数据集，不得遗漏任何数据
一致性	Consistent	数据前后一致，逻辑自洽
持久性	Enduring	持久耐用，贯穿整个数据生命周期
可获取性	Available	随时可供审核查阅

ALCOA是每一条纸质或电子记录都可以快速核验的清单。业界常将ALCOA与数据完整性（Data Integrity）互换使用，但严格来说，GDP只是数据完整性的一个组成部分，ALCOA和ALCOA+则涵盖了GDP以及更广泛的数据完整性要求。

扩展知识：ALCOA在全球法规中的地位

ALCOA概念已被全球主要监管机构广泛采纳。除了最初提出它的MHRA之外，WHO（世界卫生组织）在其《数据完整性指南》（2021年3月版，TRS Annex 4）中也明确采用了ALCOA+框架，并进一步强调了数据治理（Data Governance）和质量风险管理的重要性。PIC/S（国际药品检查合作计划）在其文件PI 041-1《GMP/GDP监管环境中数据管理和可靠性的良好实践》中，同样以ALCOA为基础构建了完整的数据管理框架。印度制药联盟（IPA）也在2018年发布了专门的《良好文档实践指南》，将ALCOA作为GDP培训的核心内容。可以说，ALCOA已经成为全球制药行业的”通用语言”。

六、数据完整性——比GDP更宏大的图景

数据完整性（Data Integrity） 是一个比GDP更广泛的概念。FDA在2018年12月发布的《数据完整性与药品CGMP合规性指南》中定义了数据完整性的范畴。

GDP是数据完整性的一个组成部分，但数据完整性涵盖的内容远不止GDP的文档记录规则——它包括系统设计、错误检测、遗漏识别、异常结果辨识、禁止孤立数据（Orphan Data）等数据全生命周期的每一个环节。

孤立数据（Orphan Data）——数据完整性的隐形杀手

“孤立数据”这个术语对很多人来说可能是第一次听到。它指的是未被正确关联、缺少适当引用/元数据的信息。

孤立数据的典型例子包括：

实验室数据生成后未被”处理”以得出测试结果

：所有数据必须在产品放行前经过评估。如果数据只存储在电子文件夹中却未纳入数据审查或处置流程，这就违反了ALCOA中”完整性（Complete）”的要求。
数据被有意或无意地存储在隐藏/秘密的电子文件夹中

。
任何未经报告或未接受数据审核的数据

。
重复测试但只选择性报告部分数据

：通常被选择报告的数据支持产品安全，而未报告的数据则显示失败。这种做法也被称为”挑樱桃（Cherry Picking）”。

所有上述孤立数据的例子都违反了ALCOA的”完整性”要求。所有数据必须被评估，所有数据集必须被纳入，才能满足”完整性”要求。

原始记录与副本

保持原始记录的未更改状态是ALCOA的核心原则之一。对于纸质记录，受控的限制访问区域（如物理档案库）可以用来存储原件并防止其被篡改、损坏或销毁。但物理档案库很快就会被填满且难以快速检索，这又与ALCOA+中”可获取性——随时可供查阅”的要求相矛盾。

电子副本在某些情况下是可接受的甚至是优先选择的，但GDP对生成和访问副本的要求远比非FDA监管行业严格。按下复印机上的”扫描”按钮远远不够——GDP副本必须是FDA定义的“真实副本（True Copy）”。

真实副本的最低要求包括：

副本必须完整保留原始记录的所有信息
副本必须经过验证，确保与原件一致
副本必须存储在受控的限制访问位置/文件夹中（防止删除、更改、销毁等）
副本必须由第二人（理想情况下是QA部门成员）进行验证

倒签日期（Backdating）——绝对不可接受

倒签日期是指数据并非同步记录，但使用了过去的日期以使其看起来是同步记录的行为。

举一个典型的例子：

时间	事件
第1天	遗漏或跳过了某条记录
第2天	数据审核时发现遗漏，通知QA
第3天	联系当事人进行澄清，从经验证的来源获取缺失信息
第4天	填写缺失记录，但使用第1天的日期而非实际的第4天

在第4天填写时使用第1天的日期就是倒签日期，在任何文档上都完全不可接受，在GDP文档上更是严重违规。倒签日期违反了ALCOA中的”同步性（Contemporaneous）”要求。

FDA已将倒签日期列为最常见的数据完整性违规之一。在某些情况下，如果被跳过步骤的时间对产品质量或患者安全至关重要（例如漏加了某种原料），仅仅在不同日期补做可能远远不够——这很可能导致批次失败。

扩展知识：MHRA对数据完整性的系统性方法

根据MHRA 2018年3月版《GXP数据完整性指南与定义》，组织需要从系统层面建立数据完整性保障。MHRA强调几个关键原则：组织文化应确保数据在所有形式下（纸质和电子）都是完整、一致和准确的；组织应实施基于风险的数据管理方法，进行数据完整性风险评估（DIRA），识别对产品质量和患者安全影响最大的数据，并实施相应的控制措施。值得注意的是，MHRA特别指出”从自动化或计算机系统退回到纸质手动系统，或反之，本身并不会消除对适当数据完整性控制的需求”——这意味着无论采用何种记录方式，数据完整性控制都不可或缺。

七、GDP常见错误

GDP的规则和要素很明确，但实践中错误仍然普遍。以下是一些常见的GDP错误及其对应的违规类型：

错误	GDP违规类型
使用公司内部非标准的缩略语	不可独立理解；需要提问才能理解
使用行话/术语	不可独立理解；需要提问才能理解
页码不正确	不准确
缺少页码	不完整（无法确认数据集是否完整）
包含个人意见	不准确（非基于事实）
使用”总是””从不”等绝对性表述	不准确（绝对性表述极少成立）

这些看似微小的错误，实际上可能对整个数据链的可靠性产生重大影响。特别是”使用公司内部缩略语”和”使用行话”，这两个错误违反了GDP”独立可理解”的核心要求——如果一个外部审核员需要打电话来问”这个缩写是什么意思”，那这份文档就已经不符合GDP标准了。

八、GDP修正规范

当记录出现错误时，GDP对修正有明确且严格的要求。每一次修正必须包括：

单线划除原始记录

：保持原始内容可辨认
在旁边写上正确/新的记录
签名缩写（Initials）和日期

：标明谁进行了修正以及修正时间
（理想情况下）提供修正原因

不同类型错误的处理方式

错误类型	处理方式
非数据类错误（忘记记录）	作为延迟记录补录
数据类遗漏	联系QA（质量保证部门）
步骤失败/跳过	联系QA，启动偏差（Deviation）流程
明显的手写错误（Typo）	直接手工修正
不明显的手写错误	手工修正并解释原因

“明显”这个词常被用来判断修正是否需要提供原因。问题在于”明显”的主观性——对一个人明显的事情，对另一个人可能并不明显。因此，最佳实践是始终为每一次修正提供原因。

对于手写修正空间狭小的情况，有一些替代方案：

在文档其他位置（如注释区域或其他页面）注明原因
使用标准化的错误代码来减少书写并提供清晰度

常用的错误代码包括：

错误类型	代码
记录错误（写错了内容）	EE（Entry Error）
方案生成错误（方案中的笔误）	PGE（Protocol Generation Error）
打字错误	T（Typo）

好修正与坏修正的实例分析

不良修正示例一： 一份批次编号的手写修正，原始记录保持了可辨认性（单线划除），新记录字迹清晰，也有签名缩写和日期。但问题是：未提供修正原因。看起来是批次编号的换位错误，但如果两个数字都是有效的批次编号，就可能造成混淆。像批次编号这样的关键信息通常不被视为”明显错误”，应当提供修正原因，且没有证据说明为什么新记录是正确的。

这份文档的ALCOA评估：可追溯性——是（如果原始记录者可以从文档其他部分确定）；清晰性——是；同步性——是；原始性——是；准确性——否（无法确认批次编号是否正确）。

不良修正示例二： 一份存在多处GDP错误的记录。最明显的错误是涂划（Obliteration）——将原始记录彻底涂黑使其无法辨认，这严重违反GDP。另一处错误是未提供将某项更改为”适用（Applicable）”的原因——为什么之前”不适用”，现在又变成”适用”了？如果现在确实”适用”，则除了标记外还应填写相应的记录内容。

不良修正示例三： 存在覆盖书写（Writeover）——在原始记录上直接叠加书写，这不仅完全抹去了原始记录（违反GDP），还使记录变得无法辨认。无法判断数字到底是2135还是2136，是6212还是6211。此外也没有签名缩写、日期，也没有任何修正原因。覆盖书写在任何情况下都是不可接受的。

九、不遵守GDP的后果

不遵守GDP的后果可能是严重的，涉及法律、安全和财务多个层面：

法律后果

：FDA可采取正式行动
患者伤害

：不安全的产品可能流入市场
产品召回

：产品需要从货架上撤下并退回制造商销毁

最常见的后果是FDA的正式行动，主要形式为483表和警告信（Warning Letter）。

483表（FDA Form 483）

“483”是FDA Form 483的简称，是FDA在检查中发现观察项（Observations，也称引用项、不符合项）时使用的标准表格。483表上的观察项意味着存在问题、需要快速修复、并需要建立系统来防止再次发生。修复和预防措施的证明必须提交并获得FDA批准。

483表的核心关注点是“保护公众健康”——针对的不是小错误，而是可能影响患者安全的系统性问题。

以下是一些2020年FDA 483观察项的真实案例：

日期	领域	法规条款	简述	详细描述
2020.10.13	药品	21CFR 211.68(b)	主配方记录的计算机控制	未对计算机或相关系统实施适当控制，以确保主生产和控制记录或其他记录的变更仅由授权人员执行
2020.10.13	药品	21CFR 211.100(b)	SOP未被遵循/记录	书面生产和过程控制程序未在生产过程控制功能的执行中被遵循
2020.10.13	药品	21CFR 211.142(b)	储存条件不当	药品未在适当的湿度条件下储存，可能影响其鉴别、强度、质量和纯度
2020.10.13	药品	21CFR 211.192	差异调查不彻底	未能彻底审查任何无法解释的差异，无论该批次是否已经放行
2020.03.19	医疗器械	21 CFR 820.75(a)	过程验证不足	未充分建立确保符合规格所需的过程控制程序
2020.03.19	医疗器械	21 CFR 820.80(a)	过程验证不足	其结果无法通过后续检验和测试充分验证的过程，未按既定程序进行充分验证
2020.03.19	医疗器械	21 CFR 820.100(a)	程序不充分	未充分建立验收活动程序
2020.03.19	医疗器械	21 CFR 820.198(a)	投诉程序不充分	未充分建立纠正和预防措施程序

警告信（Warning Letter）

FDA警告信比483表更为严重。如果警告信中的问题未被迅速解决并及时整改，在存在严重公共安全危险的情况下，FDA有权关闭企业。

更广泛的后果

除了法律层面，不遵守GDP还可能带来：

批次失败

：整批产品需要报废
重复测试

：需要重新进行昂贵的测试
产品召回

：已从市场售出的产品需要追回
企业声誉损失

：FDA警告信是公开发布的，对企业声誉造成严重影响
患者伤害

：最严重的后果——不安全的产品可能对患者造成直接伤害

扩展知识：FDA检查数据与趋势

FDA在其官方网站上提供了检查数据仪表盘（Data Dashboard），公众可以查阅FDA检查、483表发布和警告信的统计数据。近年来，数据完整性相关的483观察项和警告信呈显著上升趋势，这反映出FDA对数据完整性问题的日益重视。根据FDA公开数据，涉及计算机化系统控制、记录管理和数据完整性的观察项已成为最常见的检查发现类别之一。

十、如何启动GDP项目

第一步：制定GDP程序

任何GDP项目的第一步都是制定一个正式的GDP程序。一份正式、清晰的程序文件是定义GDP规则的必备基础。程序中应包含适用于具体场所的实例，这对实际操作非常有帮助。

制定GDP程序时需要考虑的关键决策包括：

允许使用蓝色、黑色还是两者皆可？
修正时是否始终要求提供原因？
是否允许并建立标准化的错误代码？
某些关键项目（如关键工艺参数）是否不允许手工修正？

职责分配

任何系统、程序和项目的成功都离不开清晰的职责分配。GDP程序应明确各部门对GDP项目各部分的责任。典型的职责分配如下：

GDP项目要素	责任部门
起草和维护程序	质量保证部（QA）或文件控制部
程序审批（原始版和修订版）	生产/运营部、主题专家（SME）、质量保证部（QA）
培训	培训部门

初始培训

培训是GDP项目的关键环节。每个人都必须接受GDP规则和要求的培训。初始培训在两个时间点进行：新员工入职时以及GDP程序首次实施时。

仅仅阅读程序文件（即所谓的”阅读并理解”式培训）通常不足以进行GDP培训。课堂培训或计算机辅助培训（CBT） 是更好地传达GDP规则的方式。

GDP之所以比其他概念需要更多的培训，原因在于：

GDP在FDA监管行业之外很少使用，因此大多数人对这些概念是陌生的
很多人以为自己已经了解文档管理要求，却不了解GDP的要求有多么严格
GDP的具体操作细节因公司而异，甚至同一公司的不同工厂之间也有差异

持续培训（Refresher Training）

持续培训也称为在职培训，按计划和周期性频率执行，具有以下重要作用：

提醒

每个人记住基本的GDP规则
展示

组织对GDP的承诺
强化

遵守GDP的原因
回顾

GDP程序所做的任何变更

随着企业的成长和发展，GDP要求也会随之变化。GDP程序通常每年至少修订一次，以应对发现的错误和持续改进的需要。每次程序修订后都应进行相应的培训。

扩展知识：GDP培训在全球法规中的要求

FDA在其数据完整性指南中明确指出，培训是受监管行业的关键原则。WHO的《数据完整性指南》（2021版）同样强调了培训的重要性，并将其纳入数据治理框架的核心组成部分。PIC/S在其GMP/GDP数据管理良好实践中进一步提出，培训应当覆盖组织内所有层级的人员，从高层管理者到一线操作人员，并应当包含定期的能力评估和培训效果验证。

结语：GDP——守护安全的文档”铁律”

回到文章开头的那个场景：当你拿起一瓶止咳糖浆时，你可以更加安心——因为在它到达你手中之前，已经经过了严格的GDP文档管理：从原材料的批次追踪，到生产工艺参数的完整记录，从包装标签的逐条核对，到运输储存条件的全程监控。

GDP不仅仅是一套文档管理规则——它是患者安全的基石。无论是制药企业的实验室记录、工程师的设计图纸，还是临床研究的试验数据，GDP都在默默发挥着作用。ALCOA框架的九个要素——可追溯、清晰、同步、原始、准确、完整、一致、持久、可获取——构成了一套完整的数据质量保障体系。

值得欣慰的是，GDP的理念正从制药行业向更广泛的领域扩展。工程、科研、甚至一般制造业都在逐步认识到良好文档管理的价值。毕竟，好的文档不仅记录了过去，更守护着未来。

参考资料：

MHRA, “‘GXP’ Data Integrity Guidance and Definitions”, Revision 1, March 2018
FDA, “Data Integrity and Compliance With Current Good Manufacturing Practice Guidance for Industry”, December 2018
WHO, “Guideline on Data Integrity”, WHO Technical Report Series Annex 4, March 2021
PIC/S, “Good Practices for Data Management and Integrity in Regulated GMP/GDP Environments”, PI 041-1
Indian Pharmaceutical Alliance (IPA), “Good Documentation Practice (GDP) Guideline”, February 2018
FDA, “21 CFR Part 11: Electronic Records; Electronic Signatures”
EU GMP, “Chapter 4: Documentation”
FDA, “Inspectional Observations and Citations (Form 483)”
FDA Data Dashboard: https://datadashboard.fda.gov/ora/cd/inspections.htm

感谢阅读，本篇使用AI进行配图和内容整理

如果觉得文章有帮助，欢迎点赞、分享和关注

长按识别二维码关注我们