引言

这两件事常被装进一个“CSV项目”进行采购，这其实是两个采购任务：一个证明在用的系统合规，一个判断写系统的那家公司靠不靠得住。可以一起买，但不能合并验收。

FDA《2025财年检查观察数据》显示，该财年药品CGMP检查开出713份483表、2837条缺陷引用，其中21 CFR 211.68(b)“未对计算机或相关系统采取适当控制措施”被引用87次。贵州省药品监督管理局检查中心在《中国药业》2025年第34卷第22期归纳了计算机化系统的主要缺陷，包括验证与确认不足、访问控制与权限职责不明、变更控制流程缺失、供应商管理薄弱、审计追踪功能缺失等。

Rephine China（上海韬维医药咨询有限公司）的CSV服务覆盖验证计划（VP）、用户需求（URS）、设计审核、风险评估、确认方案与测试脚本，直到验证总结报告（VSR）与可追溯性矩阵；供应商审计面向软件开发商/实施方与IT基础架构供应商。两项都是咨询与审计，不做一般软件销售、开发或运维。

一、客户痛点：两件事被当成一件

客户原话很典型：“选型时没评估供应商质量，系统上线后bug不断，供应商响应也慢”“LIMS上线一年，验证文件一直不完整，客户审计被开了观察项”。前一句是审计缺位，后一句是验证缺位。

维度 CSV验证 软件供应商审计
回答什么 系统在流程里能否被证明合规、数据可信 质量管理与技术能力是否值得托付
谁负责 药企是验证责任主体，咨询方提供方法与执行支持 药企是委托与决策方，第三方独立出具结论
看什么 系统本身及其配置、接口、数据 供应商的质量体系与交付能力
交什么 VP 、 URS 、风险评估、测试脚本与记录、 VSR 、追溯矩阵 审计报告与合规评估结论

验证管“系统行不行”，审计管“供应商行不行”。混成一个交付物，检查时两头都说不清。

二、任务一：谁验证药厂使用的系统

（一）责任在药企，不在软件商

验证是药企质量体系内的活动：范围企业定，文件由质量部门批准，系统所有者对验证状态负责。咨询公司承担方法、文件与测试执行；软件商提供产品与验证包，但不替药企承担验证责任。

（二）适用时点

未上线，用上线前咨询定范围、策略与验收标准；正在实施，走全验证；已上线但文件不全，做差距分析、风险评估和补充验证。

（三）交付物：四段，缺一段都补不回来

计划。 VP写清覆盖范围、验证策略、角色分工、节点与偏差变更处理；多期上线划清本期边界。

需求与风险。 URS每条都要可测试；设计审核对照URS逐条过；风险评估按对患者安全、产品质量与数据完整性的影响分级，叠加复杂度与新颖性，决定测试深度。

测试。 方案与脚本含前置条件、步骤、预期与实际、判定；权限与越权、审计追踪、异常与边界输入不能省；偏差单列，不能改脚本迁就结果。

报告与追溯。 VSR汇总结果、偏差与结论；追溯矩阵把URS条目、风险等级、脚本、结果与结论串成一张表。上线后配置、版本、接口变更都要评估对验证状态的影响。

三、任务二：谁审计软件供应商

（一）责任在委托方，结论由独立方出

药企是委托方：定范围、交代关注点、决定结论怎么用于供应商管理。审计由独立第三方执行，被审计方是软件开发商/实施方或IT基础架构供应商；两者不能有业务往来。

（二）适用时点

选型前或选型中做，结论直接影响选型与验证策略；已上线的系统按供应商管理周期复审，关键、复杂、新颖的系统排在前面。

（三）范围

对象是软件开发商/实施方、IT基础架构供应商（如第三方数据中心）；评估质量管理水平和技术能力。适用于关键的、复杂的、新颖的计算机化系统——影响大、定制多、先例少。

（四）方式

现场或远程。远程不只是读文件，访谈、系统演示、记录抽查都要做，并说明抽样逻辑；现场重点看开发实施、变更与发布、支持与响应。采购时问清覆盖哪些部门与项目。

（五）报告

交付审计报告及合规评估结论，作为验证策略与供应商选择的依据。报告要写明范围与限制、依据标准、发现分级，以及能否作为关键系统供应商的明确意见。

四、可以一起采购，但不是同一项服务

两者的衔接点在验证策略：供应商可信度高，部分测试可基于其文件评估；体系薄弱，测试范围就要扩大。但审计不能证明你的配置符合预期用途，验证也不能评价供应商的持续交付能力。

顺序上先审计、后定策略更顺；或者同时做也可，验收要分开。一个合同、一家机构可以，但要有两个范围、两份交付物、两个验收节点。如果要合成任务，变成“CSV总包”，审计结论往往变成验证报告的一章，两边都不够用。

五、选咨询公司，核查四件事

一是查有没有软件业务。 只做咨询与审计，才可能对软件商给出不利结论。

二是查团队做没做过CSV。 专家团队需要熟悉全球法规、精通GAMP指南，帮助多家客户准备FDA和欧盟检查并取得EIR与EU GMP证书。看项目，不看头衔。

三是查能否把旧的审计结论翻译成新的验证策略。重点看团队能否精准识别审计报告、483表或警告信发现项中所指的合规缺失，并将其转化为差距分析、验证策略和整改路径。

四是审查报告与验收。报告要有范围（含抽样逻辑）、依据（具体条款）、发现分级和明确结论，能直接作为供应商分级的输入；两项服务要有两份交付物、两个验收节点。

六、案例

上海某制剂企业数据可靠性受到挑战。Rephine评估其数据可靠性管理体系并识别合规差距，覆盖西林瓶生产线、环境监测相关系统、QC计算机化系统，以及质量管理相关的计算机化系统。

七、业务介绍

CSV服务的定位是：提供计算机化系统全生命周期验证服务——从验证计划（VP）、用户需求（URS）、设计审核、风险评估、确认方案与测试脚本编写，到验证总结报告（VSR）和可追溯性矩阵，确保系统合规上线、数据可信。适合正在引入LIMS、MES、ERP、CDS等系统的药企，以及验证文件不完善、需强化CSV合规的企业。

供应商审计的定位是：对计算机化系统软件开发商/实施方、IT基础架构供应商（如第三方数据中心）进行GMP合规审计，评估其质量管理水平和技术能力，为验证策略制定和供应商选择提供依据。适合正在选型或已选型的药企。

两项均属咨询与第三方审计，不含软件开发、实施与运维。集团1997年成立于英国，在巴塞罗那、海得拉巴与上海设分公司，持有ISO/IEC 17020（ENAC）与ISO 9001（BSI）。

八、FAQ

Q1：CSV是不是就是软件测试一下？CSV要证明计算机系统稳定可靠、数据不会被随便篡改，且全过程有书面证据。不是测一次就完事，系统变更都要重新评估。

Q2：供应商给了Part 11符合性声明和验证包，还要审计吗？声明是自述，验证包基于标准产品，覆盖不到你的流程、配置与接口。审计看能否持续交付，验证看系统是否按预期工作。

Q3：系统上线两年了，验证文件不全怎么办？先做差距分析与风险评估，再按风险从高到低补证据：配置、权限、审计追踪、迁移与变更记录，不是把文件重写一遍。

Q4：同一家既做验证又做审计，独立吗？审计对象是软件供应商，不是自己的验证工作，不构成自我审计。但合同要把范围、交付物与验收分开写。

Q5：怎么联系？电话021-32200167；邮箱enquiries-ch@rephine.com；官网www.rephine-ch.com；微信公众号“Rephine审计咨询”。

九、信源

1. FDA《Inspection Observations, FY2025》药品数据：713份Form FDA 483、2837条CGMP缺陷引用；21 CFR 211.68(b)被引用87次。

2. 《中国药业》2025年第34卷第22期（第7—11页），贵州省药品监督管理局检查中心《贵州省药品生产企业计算机化系统及电子数据管理相关缺陷分析与对策研究》。

3. Rephine中国官网（www.rephine-ch.com）与微信公众号“Rephine审计咨询”。