快速答案
Quick Answer
21 CFR 第11部分要求在FDA监管制造中使用的电子记录（包括物料测试证书）必须满足真实性、完整性和机密性的特定标准。对于物料证书，这意味着兼容的电子签名、每条记录修改的审计跟踪、访问控制和经过验证的系统。不合规会在FDA检查期间造成监管风险。
如果你的组织为制药或生物技术制造制造设备——压力容器、生物反应器、管道系统、工艺设备——你的客户在FDA监管下运营。这种监管扩展到设备供应商的文件实践，特别是当物料记录被纳入批次记录或设备鉴定包中时。
理解21 CFR 第11部分在何处适用于你的物料证书管理系统不是可选的。它影响你如何捕获、存储、批准和传输进入FDA监管供应链的每个质量文件。
什么是21 CFR 第11部分？
《联邦法规第21编第11部分》是FDA法规，规定了电子记录和电子签名被视为等同于纸质记录和手写签名的条件。
它于1997年引入，以促进从纸质质量体系向电子系统的过渡——但它施加了严格的要求，以确保电子记录不能被篡改、伪造或错误地归属。
21 CFR 第11部分适用于以下情况：
- 记录由其他FDA法规要求（例如，21 CFR 第210/211部分下的cGMP）
- 组织选择使用电子记录而不是纸质记录
对于制药设备制造中的物料证书管理，当证书以监管制造商文件系统的一部分身份电子保存和签署时，该法规就变得相关。
哪些物料证书记录受21 CFR 第11部分影响？
并非你系统中的每一份证书都受第11部分的限制——只有以下记录：
-
其他FDA法规要求的记录 ——例如，用于在21 CFR 第211部分（制药的现行良好制造规范）下运营的设施中使用的设备的物料可追溯性记录
-
纳入客户质量体系的记录 ——如果你的MTC或CoC将成为设备历史记录（DHR）、批次制造记录（BMR）或设备鉴定（IQ/OQ/PQ）包的一部分
-
在监管背景下的电子签名记录 ——如果质量经理或授权批准人电子签署证书，该签名是文件记录
制药设施中用于标准结构或非工艺接触应用的物料证书可能不会触发第11部分。但对于保留压力的组件、产品接触表面和在经过验证的工艺中使用的设备，必须明确解决该问题。
证书管理系统的21 CFR 第11部分核心要求
电子记录 (§11.10)
访问控制 (§11.10(d)): 系统必须将访问限制于授权用户。对于证书管理，这意味着基于角色的权限——谁可以创建、修改、批准和查看哪些证书记录——在应用程序级别强制执行，而不是依赖共享凭证。
审计跟踪 (§11.10(e)): 系统必须生成计算机生成的、带有日期/时间戳的审计跟踪，记录何时创建、修改或删除条目。必须保留原始条目。这个要求意味着不能追溯编辑已批准的证书——例如更改化学值——而不创建可追踪的更改记录。
整个记录生命周期内的记录完整性和易读性 (§11.10(b)): 记录必须在整个要求的保留期内以人类可读的格式可检索。对于产品生命周期20+年的制药设备，这意味着你的系统和存储格式必须在整个期间保持可访问性。
操作系统检查 (§11.10(f)): 系统必须强制执行排序——批准不能先于接收，第二级批准人不能在第一级审查完成前签署。
权限检查 (§11.10(g)): 只有授权人员可以使用其角色可用的系统功能。初级检查员不应该具有执行质量经理批准的能力。
电子签名 (§11.50, §11.100, §11.200)
如果证书以电子方式签署：
- 每个电子签名必须对一个个人唯一，不能被重新使用或重新分配
- 签署的记录必须显示签署人的全名、日期和时间以及签名的含义（例如，"由质量经理批准"）
- 签署必须需要至少两个不同的识别组件（通常是用户名/密码），或使用单个生物识别组件
- 电子签名必须链接到各自的记录——它们不能被复制、提取并错误地应用于其他记录
非生物识别电子签名 (§11.200(a)): 必须使用至少两个不同的识别组件。常见的实现：批准人每个会话登录一次（身份验证），在签署时重新输入密码（作为第二个组件的重新身份验证）。
系统验证要求
21 CFR 第11部分通常与FDA关于计算机系统验证（CSV）的指导相配对，遵循GAMP框架。你的证书管理软件必须经过验证以证明它一贯执行其预期功能。
对于证书管理系统，验证通常包括：
- 安装鉴定 (IQ) ——系统安装正确且处于已知配置中
- 操作鉴定 (OQ) ——系统正确执行所有必需的功能（批准工作流、审计跟踪、访问控制）
- 性能鉴定 (PQ) ——系统在真实运营条件下一致地执行
供应商提供的验证包不能消除你的组织的验证责任，但它会大大减少工作量。在为受监管的环境评估证书管理软件时，明确要求验证文档包（IQ/OQ/PQ模板、风险评估、测试脚本）。
对你的证书批准工作流的实际影响
对于向制药制造供应的制造商，第11部分的合规性以几种具体方式改变证书批准工作流：
| 标准实践 | 第11部分要求 |
|---|---|
| 电子邮件签字（"看起来不错"） | 不符合——没有唯一ID，没有记录时间戳 |
| 共享批准登录 | 不符合——签名必须对一个个人唯一 |
| 覆盖被拒绝的证书 | 不符合——必须保留原始记录 |
| 共享驱动器上的PDF | 如果访问控制和审计跟踪已记录，可能符合 |
| 带扫描的纸质签名 | 符合纸质记录；如果扫描，扫描必须符合电子记录完整性要求 |
向你的证书管理软件供应商提出的问题
- 系统是否为每条记录的创建、修改和删除生成计算机生成的审计跟踪？
- 审计跟踪记录是否受到保护，不被用户（包括管理员）修改？
- 电子签名机制是否需要两个不同的识别组件？
- 系统是否经过验证，验证包是否可用？
- 系统是否支持具有可配置权限级别的基于角色的访问？
- 系统如何处理需要20+年可访问性的记录的保留？
TestCert 的设计考虑到这些要求——提供符合要求的电子签名、不可变的审计跟踪、基于角色的访问控制以及支持受监管环境中验证活动的文档。
21 CFR 第11部分是否适用于所有向制药公司销售的制造商？
不是自动的。第11部分适用于FDA法规要求的记录。如果你的证书成为受监管记录的一部分——纳入设备鉴定、批次记录或设备历史记录——适用的要求就会流向你的系统。你的制药客户的质量协议通常会指定供应商期望的合规性。仔细审查这些要求并保持记录证明你的系统合规状况。
用Adobe Acrobat签署的PDF证书是否足以符合21 CFR 第11部分？
带有基于Adobe证书的数字签名的PDF可能符合，如果签名基础设施符合第11部分对唯一性、不可否认性和与记录链接的要求。但是，更广泛的系统要求——整个证书生命周期的审计跟踪、访问控制、保留——也必须由周围的工作流满足。仅有PDF签名，没有兼容的记录管理系统，通常是不够的。
FDA法规下物料证书的保留期是多少？
FDA没有规定物料证书的单一保留期。保留要求来自要求记录的具体法规。根据21 CFR 第211部分，批次记录必须在药品批次过期之日起至少一年后保留，或在FDA批准批次后一年后保留。对于设备鉴定记录，许多组织采用设备的生命周期加上监管期。为了你的具体情况，请咨询你的质量团队和法律顾问。
第11部分要求是否适用于从供应商收到的证书，还是仅适用于我们自己的记录？
第11部分适用于你的组织记录系统。当你从供应商收到证书并将其纳入你的记录——扫描、上传或在批准工作流中引用——你的系统中的记录如果该记录受FDA监管，必须符合第11部分。供应商的原始发行系统是供应商的合规问题；你的摄入和存储系统是你的。
21 CFR 第11部分和EU GMP附件11之间的区别是什么？
两者都规范制药制造中的电子记录和签名，但它们适用于不同的司法管辖区。21 CFR 第11部分是美国FDA法规；EU GMP附件11涵盖欧盟GMP监管制造中使用的计算机系统。它们共享许多原则——审计跟踪、访问控制、验证——但在具体技术要求和执法方法上有所不同。向两个市场供应的组织需要解决两个框架。
Ready to automate your certificate workflow?
Try TestCert free