一次 IT 事件，何时升级？何时报告监管？- 大数跨境

小易说合规

2026-11-09

导读：在 GxP（GMP、GLP、GCP 等）合规监管体系下，并非所有 IT 基础架构的日常故障或事故都需要上报监管，但需要建立三级治理框架

在 GxP（GMP、GLP、GCP 等）合规监管体系下，并非所有 IT 事件都需要升级管理，上报监管机构。但如果故障导致GxP电子记录丢失、审计追踪损坏、关键数据无法追溯，甚至影响药品质量、临床试验数据可靠性或患者安全，那么它就不再只是IT部门需要解决的技术问题，而可能演变为需要质量体系介入的合规事件。

GxP IT 基础架构事件监管报告要求

情形1：临床试验GCP-申办者

触发条件：临床试验 EDC 数据库、IT 基础架构遭黑客攻击、盲态泄露或发生重大数据篡改/泄露。
上报时限要求：7 天以内 (7 日历日)上报监管
法规依据与要求：EMA《临床试验计算机化系统指南》Annex 1 & EU CTR No 536/2014 Art. 52

"The sponsor has a legal responsibility under Regulation (EU) No 536/2014 to report serious breaches, including important data and security breaches, to authorities within seven days."

根据法规 (EU) No 536/2014，申办方有法律责任在 7 天以内向监管机构上报严重违规事件，包括重要的数据与安全泄露事件。

情形2：临床试验GCP-试验机构

触发条件：电子数据或系统已经/可能遭到破坏/泄露
上报时限要求：及时升级呈报相关方
法规依据与要求：EMA《临床试验计算机化系统与电子数据指南》Annex 4 § A4.11

"Organisations managing clinical trial data should have and work according to a procedure that defines and documents security incidents, rates the criticality of incidents, and where applicable, implements effective corrective and preventive actions to prevent recurrence. In cases where data have been, or may have been, compromised, the procedures should include ways to report incidents to relevant parties where applicable. When using a service provider, the agreement should ensure that incidents are escalated to the sponsor in a timely manner for the sponsor to be able to report serious breaches as applicable, in accordance with Regulation (EU) No 536/2014."

“管理临床试验数据的组织应当具备并按照规定程序执行安全事故的管理，对安全事故进行界定、记录、评定紧急程度，并在适用时实施有效的纠正和预防措施（CAPA）以防止再次发生。在数据已经或可能遭到破坏/泄露的情况下，程序应包含在适用时向相关方呈报事故的途径。当使用服务提供商时，协议应确保事故及时升级呈报给申办方，以便申办方能够根据法规 (EU) No 536/2014 的要求在适用时呈报严重违规（Serious Breaches）。”

情形3：非临床GLP-试验机构

触发条件：电子数据或系统已经/可能遭到破坏/泄露
上报时限要求：及时升级呈报相关方
法规依据与要求：OECD GLP Position Paper No. 25 § 13

"Test facilities should work according to a procedure that defines and documents security incidents. Such incidents could be addressed in terms of criticality, and where applicable, implements effective corrective and preventive actions to prevent recurrence. In cases where data have been, or may have been, compromised, the procedures should include requirements to report security incidents to relevant parties where applicable. When using a service provider, the service level agreement should ensure that incidents are escalated to the Test Facility Management in a timely manner in order for the Test facility Management to be able to report serious breaches to all relevant parties (study directors, sponsors, archivist …)."

试验机构应当按照定义并记录安全事故的规程（SOP）开展工作。此类事故应当根据其严重程度（关键性）进行处置，并在适用时实施有效的纠正和预防措施（CAPA）以防止再次发生。在数据已经或可能遭到破坏/泄露的情况下，规程应包含在适用时向相关方报告安全事故的要求。当使用服务提供商时，服务级别协议（SLA）应确保事故及时升级呈报给试验机构管理层（Test Facility Management），以便试验机构管理层能够向所有相关方（研究负责人/Study Director、申办方/Sponsor、档案管理员/Archivist 等）报告严重违规（Serious Breaches）。

情形4：所有GxP领域

触发条件：系统故障或人为操作导致 GxP 电子记录、审计追踪发生不可逆丢失或删除
上报时限要求：识别/调查确认后及时/适时通报监管
法规依据与要求：UK MHRA《GxP 数据完整性指南》§ 3.9

"Appropriate notification to regulatory authorities should be made where significant data integrity incidents have been identified."

当识别出重大数据完整性事件时，应当向监管机构进行适当的通报。

建立IT事件三级分级治理框架

Level 1（普通 IT 事件）：非 GxP 系统或不影响数据完整性的故障（如密码重置、同等硬件更换），由 IT 部门内部处理与关闭，记录于 IT事件日志，按 IT 运维 SOP 独立闭环，无需发起质量偏差单。
Level 2（GxP 联动/质量影响事件）：涉及 GxP 系统数据库崩溃、备份恢复、未受控变更，由 QA 主导发起 QMS 偏差单与回归验证，IT 提供技术调查。
Level 3（重大/Serious Breach 事件）：勒索攻击、临床 Serious Breach、数据伪造或系统瘫痪致召回，由 TFM/最高管理层 + QA/QP 主导启动危机响应与外部通报，IT 主导技术止损。