ARTICLE · 1324514

Excel、纸质与电子记录共存的混合系统:GAMP 5 框架下那条最难划定的控制边界

发布时间：2026-11-07 08:27:55 最近访问：2026-11-07 08:27:55

摘要：Global Calcium警告信里，被删除的Excel躺在「个人用途」的电脑上。混合系统的控制边界不在系统里，在企业的划界里：一张驱动质量决策的表格，从影响决策的那一刻起就是GMP记录。本文从划界规则、模板治理、原始记录归属、数据流图四个层面，谈这条边界怎么划、划完怎么管。

「计算机化系统深读」第07期

2025年1月16日，FDA向印度API企业Global Calcium发出警告信（编号320-25-30）。检查期间，生产办公室多份Excel文件——清洁验证样品记录、生产明细、生产报告、计划表——被删除，且在检查期间无法恢复；企业方面承认生产负责人指示伪造生产记录，并称相关计算机为「个人用途」。FDA的回应不是采信这一解释，而是在警告信中设立「数据完整性整改」部分，要求对近3年输美API全面勾稽核对品名、批号、生产场所与记录完整性。

这件事真正刺眼的地方不是删除本身，而是「个人用途」三个字一笔抹掉的那条边界：一台电脑、一张表格，算不算GMP记录？如果界定标准存在，删除无处藏身；如果界定标准不存在，任何文件都可以在事发后被追认为「个人用途」。混合系统的控制边界，从来不在系统里，在企业的划界里。

一、现象

几个可对照的现场事实。

其一，工艺参数用Excel算。收率计算、物料平衡、清洁验证的限度判断，落地形态往往是某个部门共享盘里的一个Excel文件。公式谁都能改，改完没人知道；文件名里的「最终版」「最终版2.0」「最终版真的最终版」，构成了事实上的版本管理。这不是孤例——Excel至今仍是药企里使用最广的「未受控系统」。

其二，纸质签名加电子打印的混合放行。批记录的一部分在MES里，一部分打印出来签字；放行时以哪一份为准，不同人口径不同。问「原始记录是哪一份」，得到的答案取决于你问的是QA还是车间。纸质件与电子件并存的流程里，「谁是正本」常常是一笔糊涂账。

还有一种变形，只有检查时才会现形：电子系统出报告，打印后手工签名放行，流程一直这么跑。直到检查员指着两份时间戳问——电子记录九点生成，签字九点零五分落下，这五分钟里数据有没有可能变过？谁先谁后，现场无法还原。时间差不大，却足以让「同步」失去证据：打印件落笔的那一刻，电子世界与纸质世界之间的因果链，实际上已经断了。

其三，PDF归档后不可检索。电子记录打印成PDF存档，签字页扫描件附后，几年后需要追溯，发现扫描件不可全文检索、关键元数据（创建时间、修改时间、操作人）在转换中丢失。ALCOA+里的「可用」（Available），名存实亡。

其四，个人电脑上的生产计划表。就像Global Calcium那样，实际驱动车间动作的计划表，装在某台「办公用」电脑里，在企业系统清单上根本不存在。它当然影响质量决策——只是没有任何文件承认它影响质量决策。

其五，邮件与即时通讯里的GMP文件。生产异常通过微信群通知，验证报告通过邮件发来发去，修订版要在聊天记录里「爬楼」才能找全。文件的权威版本不在任何受控系统里，而在每个收件人的邮箱里。这种流转不留版本、不留权限、留不下完整的改动痕迹，却是不少企业真实的信息高速公路。

五种现象指向同一个缺口：混合状态不是问题，没有边界的混合状态才是问题。

二、为什么会这样

先给公道话。混合状态是制药企业数字化的真实进程，不是管理失误。业务要灵活，IT排期以月计，一线等不起；系统功能覆盖不到的地方，Excel是最顺手的补丁；先上线再治理、先用起来再规范，是多数企业的默认路径。要求一家企业在所有历史阶段都保持「纯系统、无混合」，既不现实，也无必要——GAMP 5 第二版（ISPE，2022）通篇强调的是基于风险的批判性思维，而不是形态上的纯洁。而且混合本身并不被法规禁止：纸质与电子并存，是各国监管都承认的现实，监管从来没有要求纯电子化，监管要求的是每一条记录都有清楚的原始性、归属性与可追溯性。

问题出在哪？

表层是工具理性压倒文件理性。Excel好用、随手、无审批成本，业务部门的每一个选择单独看都是理性的，合起来就是治理真空。共享盘里躺着成百上千个Excel，没人能说清哪些与GMP有关。

深层是没人划界。「这张表算不算GMP记录」——这个问题在企业里没有明确的答案，也没有裁决机制。IT说我只管我上的系统，QA说批记录在MES里我审，业务说这就是个草稿。三个部门各自正确，合起来覆盖不全。Global Calcium那句「个人用途」，本质上就是把这道划界题弃考了。还有一类更难处理的，是影子IT：业务部门自己找供应商上的小工具、自己搭的小数据库、自己买的云端表格服务。它们不在IT的资产清单里，也不在QA的审核范围内，却实实在在地影响着质量决策。看不见，是因为没有任何一个部门有动力把它看见。

根因在于：GAMP 5框架下，混合系统的风险不在单个工具，而在工具之间的交接。GAMP 5第二版要求批判性思维，而批判性思维的前提是先有边界——不知道哪些文件在管辖范围内，风险评估就无从谈起。按《药品记录与数据管理要求（试行）》（国家药监局2020年第74号公告）对数据与记录的定义，数据与记录的形态覆盖文字、数值、符号、影像、音频、图片、图谱、条码等多种形式；按这个口径，一张驱动质量决策的Excel，从它影响决策的那一刻起就是GMP记录，与它存在哪台电脑上无关。Annex 11修订草案在数据处理、文档与混合模式方向上设有专门章节（草案于2024年12月启动公众咨询，按现行时间表推进中，仍须视为草案）——方向同样明确：混合模式不是法外之地，反而会被更清晰地覆盖。

我的判断是：混合系统的治理，七分在划界，三分在控制。划界不清，控制动作就没有着力点——你连该保护什么都不知道，保护就只是表演。

三、检查员会怎么问

「这台电脑上跟GMP相关的文件，怎么识别、怎么控制？」——问的是划界能力。Global Calcium的回答「个人用途」被现实击穿：当清洁验证样品记录躺在上面时，这三个字不成立。检查员要的不是一台电脑的交代，而是机制：按什么标准认定、谁维护清单、新文件怎么进入视野。答不上来的企业，通常连共享盘上有多少Excel都不知道——相当多的质量体系里，共享盘和个人盘上的Excel处于「三不管」地带，出了事才第一次被清点。

「这个Excel模板谁有权改？改动有记录吗？」——问的是模板治理。企业通常答不上来：共享盘里的模板，权限是历史遗留，改动无日志，版本靠文件名。检查员接着会问：那么用这个模板算出来的清洁验证结论，怎么证明它出自未被人动过的公式？——这一句，往往就是沉默的开始。

「打印出来签字，原始电子数据在哪？」——问的是原始记录归属。纸质与电子并存时，「哪一个是原始记录」必须有成文规则，不能现场现编。更进一步的问法是：如果打印件和电子件不一致，以哪个为准，谁有权限判定？多数企业在这两层追问下会露出底牌——他们从来没有不一致过，只是因为他们从来没有核对过。

「『个人用途』的界定标准是什么？谁定的？」——这一问直指治理断层。企业没有任何文件定义过「个人用途」与「GMP用途」的边界，于是任何文件都可以被事后追认为「个人用途」。这个口子一旦存在，删除、丢失、否认就都有了出口。Global Calcium的案例之所以有分量，正是因为它把这个口子的后果，放大到了近3年输美API全面勾稽的规模。值得注意的是，这还不是最坏的情况——如果那次检查没有发生，这些Excel还会继续躺在原地，直到下一次检查、下一次审计，或者永远。

四问下来，检查员拼出的画像通常是：系统里的记录有人在管，系统外的记录没人认领。

四、怎么改

第一，先划界，再谈控制。以74号公告对数据与记录的定义为基准，发布一份内部划界规则：凡影响质量决策的电子文件——计算、判定、计划、报告——即为GMP记录，不论载体是个人电脑、共享盘、邮箱还是即时通讯工具。划界文件经QA批准，明确认定标准、责任部门和申诉裁决机制。这一步不需要新系统、不需要预算，需要的是一次跨部门共识和一份文件。

第二，Excel治理包。模板受控：建立模板库，模板变更走变更控制，旧版本回收。内容保护：工作表与工作簿保护，锁定公式和关键单元格，改公式需要权限和记录。权限与版本：谁能改、改留痕，版本由系统管理而非文件名。存放位置：集中到受控共享区，清理个人盘上的GMP文件。模板是根：一个模板被悄悄改过，用它生成的所有记录都带病，管住模板就管住了大多数Excel风险的源头。四件事可以并行启动，也可以按风险分批——但每一批都要有完成日期。

第三，明确原始记录归属。每个混合流程成文规定：哪一份是原始记录、打印件与电子件的关系、签名的作用对象、不一致时以哪个为准、谁有权限判定。规则统一，不留个案裁量。裁量权是混合系统里最贵的奢侈品，只有体系能付得起。

第四，画数据流图。对每个混合流程，画出数据从产生、流转、审核到归档的完整路径，标注每个节点上的形态（电子/纸质）与责任角色。经验表明：图一画出来，断点和无人区自己会说话——哪些环节没有责任人，哪些交接没有记录，一目了然。推行时最常见的反应是「太理想化」——车间哪有时间画图。而实际经验是：图不用画得漂亮，能用就行；白板拍张照片，也是起点。真正的问题从来不是画不出图，是没人问过数据到底怎么走。这也是GAMP 5基于风险的保证活动的基础素材。

补一个画图时常被漏掉的维度：时间基准。每个节点上，记录生成的时间以谁为准——系统时间、签名时间、纸质记录上的手写时间，互为参照还是各说各话，必须在图上一并标明。混合流程的许多争议，最后都落在时间上：电子记录九点生成，纸质签字九点零五分落笔，中间那五分钟，检查时往往无法还原。时间基准标不出来，数据流图只画了一半——形态和责任是断面，时间才是把断面串成流程的那条线。

第五，衔接监管方向并保持分寸。Annex 11修订草案对文档与混合模式的方向值得提前对标，但草案尚未定稿，内部文件里引用时务必保留「草案」表述，不能写成已生效要求。同时注意：GAMP 5是行业指南，不是法规；用它做方法论，用74号公告做底线，两者不要互相冒充。