审计追踪的定义：
审计追踪（Audit Trail）指一个安全的、电脑自动生成的、带有时间戳*的电子记录功能，用以来重新构建与追溯GMP电子记录的产生、修改与删除过程【GMP/GDP audit trails are metadata that are a record of GMP/GDP critical information (for example the change or deletion of GMP/GDP relevant data), which p*时间戳：像邮戳一样，附属于记录，证明其产生时间的一种证明手段；一般其时间来源于可信赖的网络服务器或者加密保护、定期校准的电脑时钟。ermit the reconstruction of GMP/GDP activities.】。
审计追踪功能回顾的要求：
中国 GMP 计算机化系统
第十六条 计算机化系统应当记录输入或确认关键数据人员的身份。只有经授权人员，方可修改已输入的数据。每次修改已输入的关键数据均应当经过批准，并应当记录更改数据的理由。应当根据风险评估的结果，考虑在计算机化系统中建立数据审计跟踪系统，用于记录数据的输入和修改以及系统的使用和变更。
EU GMP Annex 11 9 Audit Trail
应以风险评估为基础，应考虑到系统创建的所有GMP相关的变更和删除（由系统生成的”审计追踪“）的记录，对于变更或删除的GMP相关的数据的原因应该被记录。审计追踪须是可用并可转化为普遍理解的形式且定期审核。
FDA Data Integrity and Compliance With Drug CGMP Questions and Answers FDA药品CGMP数据可靠性和合规要求Q&A
Q&A 7. Who should review audit trails? 谁应该回顾检查审计追踪记录
Q&A 8. How often should audit trails be reviewed? 审计追踪回顾的频率怎么评估
WHO TRS 996 Annex 5 Guidance on good data and record management practices良好数据及记录管理指南则提出了“Paper Audit Trail”纸质审计追踪这一特殊概念：
1. 审计追踪功能是用来记录 GMP 业务与记录的 “who, what, when and why” of the action（什么人，做了什么，什么时间与什么原因）；（2.5.1）
2. 审计追踪功能不仅是电子记录才有，纸质记录同样有审计追踪，比如 GMP 修改时候要求的 – 在原有错误信息上画一个斜线，标注修改人、修改后信息、修改时间、修改原因（2.5.2）
FDA药品CGMP数据可靠性和合规要求Q&A- 8. How often should audit trails be reviewed? 审计追踪回顾的频率怎么评估？【法规原文翻译如下】
如果CGMP法规中具体规定了数据的审核频次，那么审计追踪的审核应遵循该频次：
例如，211.188(b)规定生产、加工、包装或贮存的每个重要步骤之后要进行审核，211.22规定在批放行之前要进行数据审核。在这些情况下，审计追踪适用相同的审核频次。
如果CGMP法规没有具体规定数据的审核频次：
则应利用对过程的了解和风险评估工具来确定审计追踪的审核频次。风险评估应包括对数据关键性、控制机制以及产品质量影响的评估。审计追踪的审核方法以及频次应确保符合CGMP要求，实施了适当的控制措施，并证明了审核的可靠性。
图1 FDA 数据可靠性Q&A中对于“审计追踪回顾方式与频次”的定义
基于法规指南的要求，在GxP药企中可实施如下“审计追踪回顾频率”评估：
图2 审计追踪频率评估步骤
步骤1：评估（审计追踪记录）对关键GxP决策的影响
首先可以评估其业务过程【Business Process】 - 参考美国GMP FDA CFR 211- Sec. 211.188 批生产与控制记录，Sec. 211.192 生产记录审核，Sec. 211.194 实验室记录等章节中对于“数据审核”的要求，判断系统的审计追踪记录是否可以直接证明或者间接论证批生产和检验记录的数据可靠性 – 若答案为“是”，该系统的审计追踪回顾频率应该为“每批” ，即系统审计追踪回顾需要在该产品的批生产和检验记录审核完成前！
图3 流程风险评估【Business Process】- cGMP业务流程合规所对应的生产流程执行单元示例
然后可以评估其系统影响【System Impact】 -评估 GxP 决策对产品质量或患者安全的影响。如上图所示，执行单元可分为原材料接收、原材料测试、称量与分配、生产等，应与工厂实际情况相匹配。与产品或患者的亲密度取决于该决定对 CMA 或 CQA 的影响程度——如下面的过滤器完整性测试FIT 示例所示。
图4 系统影响性【System Impact】评估-过滤器完整性测试（FIT）示例
评估其对cGMP质量决策的影响 -对关键 GxP 决策的影响： 取决于数据的“预期用途”， 因此该影响程度通常不会随时间而变化。其评估方法是通过确定 GxP 决策与产品、 患者之间的关系来确定 - 决策点与产品、患者越靠近影响越大。
对于FDA这个“基于对过程的了解和风险评估工具来确定审计追踪的审核频次”风险评估思路-可以参考首先PIC/S 2021年发布的PIC/S Guidance PI 041-1 《受监管GMP/GDP环境下的数据管理和完整性良好实践》：
如何理解并非所有数据或者流程步骤对于产品质量和患者安全具有同等重要性？
PIC/S指南给出建议是：GxP企业进行良好数据风险管理，就不能搞大水漫灌，不能片面地对所有GMP业务的DI要求一致；企业和检查员应该客观地承认：不是所有的数据或流程步骤对产品质量和患者安全都有一样的重要性：
业务流程或者记录数据本身的关键程度
图5 《CSV QRM风险评估》 – 如何理解FMEA中“Critical”重要性
未完待续-《如何有效评估审计追踪回顾频率2.0》
Step2 评估（审计追踪如何反映）数据与记录受人工干扰程度
Step3 确认审计追踪回顾策略（回顾内容，方法及频率）
Step4 形成日常审计追踪回顾记录或者报告
