Peter Baker先生 | 我们做好准备，迎接FDA对「数据治理」的审查了吗？

张连山博士诚邀朋友们出席大会，共同探讨「从引进到出海，中国新药如何做好国际化布局？」这一重要课题！

正文共：5959字 18图

预计阅读时间：15分钟

前言

数据治理是提供数据可靠性保证的措施总和。这些措施涵盖数据的生成、记录、处理、保留、回收与使用的过程、格式或技术，确保数据在整个数据生命周期里有一个全面的、一致的与准确的记录。虽然目前没有法规强制要求建立一套“Data Governance System”，但是这套体系可以为药企的数据可靠性提供质量保障，进而带来更大的价值。未来监管机构对“数据治理”的要求是怎样的？企业为什么需要建立“数据治理”体系以及如何建立呢？

Peter Baker先生 | 我们做好准备，迎接FDA对「数据治理」的审查了吗？

在2022年11月3日、4日隆重举办的2022第三届中国新药CMC高峰论坛上，拥有11年FDA工作经验、曾负责中国、印度等国家的现场核查而荣获FDA Investigator of the Year荣誉的Peter Baker先生应邀演讲，《Data Governance——Are we inspection ready?》，分享了他的行业洞见和丰富的实战经验。

以下为Peter Baker先生英文演讲内容翻译后的文字整理。因为是中文，所以未经Baker先生逐字逐句校对。药时代团队的水平和时间有限，疏漏错误难免，还请广大朋友们批评指正。衷心感谢！

Peter Baker 先生

前FDA检查官

Live Oak Quality Assurance创始人兼总裁

President, Live Oak Quality Assurance LLC, has been consulting nationally and internationally since 2019. Prior to consulting, Peter spent 11 years as a U.S. FDA Drug Investigator, with 7 of those years spent working in FDA’s overseas offices located in India, China and Chile. Peter was named FDA Investigator of the Year in 2013 for his work uncovering serious breaches in data integrity and has special interest in big data management and compliance with 21 CFR Part 11. Live Oak focuses on training and employee empowerment in critical thinking, with the goal of improving the quality of medicines through good data management.

现在及未来的数据要求

首先来看一个FDA近期的监管行动，这是一封警告信。我们将对这封警告信进行分析，看看其是否暗示了监管机构未来的政策走向。对这个案例的分析，可以为其它公司带来启发，也能为正在准备下一次检查的公司带来思考，并帮助我们对以下问题做出判断：

如何处理每天收集的数据？包括那些具有重要决定作用的数据。是否要在提交申请时囊括这些数据？
是否应当放行某一批次的药物？
我们是否有这种临床产品被批准用于人体?

所有这些重要的决策都要有数据的支持才能实行。我们今天要做的就是以一个统一的视角，搞清楚监管机构现在有怎样的要求，以及在2023年会有怎样的要求。

现在全球的监管机构正在努力统一对制药行业的监管标准，这意味着美国FDA、加拿大卫生部（Health Canada）和中国NMPA的要求都趋向一致，他们对数据管理的要求没什么大的差异。

若你正在接受以上监管机构的管理，那这些机构的管理内容正是我们今天要讨论的。

我最近与一家跨国公司聊到了他们的数据部门，他说他们公司在2022年Q3通过全球网络收集到的数据总量，比公司成立以来到今年Q3以前收集到的所有数据还多。这非常令人难以置信，但这是真的。

近年来，制药行业每天产生的数据量呈爆炸式增长，每天收集如此海量的数据也给我们带来了困扰：我们应该如何审查和管理这些新的数据？每个批次还是每半年一次？

我们必须为监管检查做好准备。当检查官到来时，无论来自FDA或任何监管机构，这位检查官都会问的一个问题就是：您是如何在任何给定的系统中管理数据的？

为了回答好这个问题，您现在必须想好如何审查和评估数据，这是一种风险管理。

回到这封警告信。我们可以在信中看到，这家公司因没有妥善管理数据而陷入困境。警告信中提到“提供一个由数据驱动的、科学合理的计划，以确定工艺可变性源自何处。它包括但不限于评估设备、软件、SOP及所有预计使用到的东西的适用性”。

需要明确的是，其中有对患者存在较高安全隐患的部分，也有较低的部分，我们可以对这两个部分进行不同的系统治理，这应该算是我们十年前没有使用过的新概念。

大概十年前，GMP、GCP或GLP设施中的所有数据都是一样的，即意味着我们必须一致性处理所有数据，必须对数据进行审查、批准和签署。但现在监管机构表示从2022年或明年开始，旧的方法不再适用。若采用旧的方法，可能由于我们在审查非关键数据时会迷失方向而丢失对患者真正重要的部分。我们把所有的时间都花在价值较低的事件上，而实际上我们可以做得更高效。

因此，这将涉及到我们在最后一点中看到的“对数据来源、呈现方式和产品质量的持续监查保持警惕”，这意味着我们在评估大量数据中的工艺可变性方面要更灵活高效。我们会不断地在源头上审查一小部分数据，以证明工艺可控。在这期间，我们可能会迷失方向。但如果我们遵循这种数据治理，就会朝着正确的方向前进，不会迷失。

刚才提到，我将引用PIC/S指南的内容，我摘录了其中非常有趣的一段内容，解释了从监管者的视角来看，数据治理的本质是什么——它像所有不同规划的集合，比如培训计划、SOP的设计、运营、监管、验证以及所有其它部分,一起形成了数据治理程序。

数据治理主要由三个主要部分组成：设计阶段、执行阶段和监查阶段。

监管机构会详细审查这三个阶段的内容，来确认你是否充分做到警惕性地监查工艺。因为在过去，我们所做的是通过控制偏差，改进纠正和预防措施（CAPAs）对偏差做出反馈，但旧有的保证临床试验质量的方法正在过时。虽然无论怎样还是会存在偏差，但我们希望减少偏差的发生，至少不用再像以前那样频繁地回顾和评估工艺。我们可以努力尝试将数据的可靠性设计到流程中，这一点贯穿在数据可靠性的监管指南中，所以我们要牢记这一点。

1、设计阶段

内容包括：

数据和工艺绘制
风险评估
确认/确证

第一个阶段是设计阶段。监管机构希望能看到数据和工艺统筹图。监管机构认为，只有这样的资料和工作到位，您才能理解您的工艺，最终编写SOP并进行管理审核。为完成这个阶段，您必须首先“看到”它，因为我们大约75%的认知能力和脑力专注于视觉图像的处理。

通过这种方式，我见证了公司内部的转变。过去没有数据和工艺统筹图，他们会围坐在桌子旁，为特定的工艺编写风险评估，但这些都是基于头脑风暴，把“我想、我认为等”结合在一起，产生一个风险评估，然后编写SOP，再继续下一步。但不幸的是，这种设计不太精确。我们必须回过去应对偏差、召回和药品短缺等问题。因此，我们现在要做的是围绕数据工艺筹划图这一领域设计质量文件，来帮助您完成这一过程。

2、执行阶段

内容包括：

SOPs培训
常规数据审查
常规元数据审核

关键数据
非关键数据

一旦完成设计阶段的工作，就可以开始运营阶段：编写SOP，执行培训，进行常规数据审查和常规稽查流程审查。

3、监查阶段

内容包括：

QA/外部稽查
质量系统反馈
警惕运营管理失察

当然，你会想收集正确的数据，但其中一些数据看起来与以前不同，我们进行质量保证稽查（QA auditing）的方式也完全不同。在过去，QA auditing更像是随机的，他们遵循一个清单，但这只是泛化的。QA auditing的意义在于评估我们在设计阶段就已经明确存在的风险。未来它们都将非常有针对性地评估已明确的风险，即FDA所说的知识管理。它获取关于你的药品、流程和人员的信息，并确保你可以通过自己的QA内部审核并对其进行适当监查，使审核更加智能化。

进入2023年后，我们期望其将在质量体系中发挥作用。

Peter Baker先生 | 我们做好准备，迎接FDA对「数据治理」的审查了吗？

反馈机制与生命周期

监管机构在谈论数据的生命周期时提到过“反馈机制”或“生命周期”的概念——我们在执行的过程中会碰到此前没有预料到的情况，在制药生产的过程中也会获得新的知识，那么是否应该为此重新设计流程或进行风险再评估？

所有这一切都是通过ICH Q9指导原则或质量风险管理（目前正在修订中）为我们管理的，这些修订非常有价值。如果看看ICH Q9的四个修订版，你会发现文件中有很大的变化，我认为这会增加很多价值。

我一直在谈论的数据治理在哪里？它在法规中的什么位置？我们会在国际药品检查组织（PIC/S）中看到这一点，在PIC/S指导意见中提到：数据治理将不在参与PIC/s的任何成员国的法律规定中。

但如果你不遵循指导，他们说你只是谨慎行事。因为缺乏数据治理系统，可能意味着数据可靠性存在系统不一致，可能存在GAPs和安全隐患。我们努力的方向不一致，与此前谈道的未来基于风险方法的理念背道而驰。

企业开启数据治理的最大障碍之一

追求完美

我认为阻碍公司真正接受这项新技术的最大障碍之一是追求完美，追求完美意味着停滞不前。

他们担心，如果开始了 “数据治理之旅”，但最终它并不完美，那么就是失败的。但这不对，在与世界各地的许多公司一起经历了这一过程之后，会发现你永远不会做到完美。你必须了解你的关键数据在哪里，以及你如何处理这些数据。

你可能会有很多其他的数据，可能没有一个非常严格的监查，没有一个非常规范的数据管理策略。但这没关系，真正的目标是，你管理的数据是对你的患者和你的临床试验药品真正重要的数据，而并不是要求完美。

Q9在风险接受部分提到了这一点：即使是最好的临床试验质量风险管理规范（QR M），也并不能完全消除风险。在过程中总是会有风险，人们很难控制，人为错误总是会存在，这没关系。关键是尽你所能做好，这就像为今年和未来的检查做准备一样。

数据治理三步走

第一步：高级管理层支持

想在行业里取得任何形式的成功都必须获得管理层的支持。所有人都必须遵循这个流程来管理这个新的数据治理项目。我们在PIC/S指南中看到了这一点：高级管理层很负责，基本上负责提供资源和所有不同的培训，尤其是ICH Q9。因此，你的组织中首先需要的是框架和项目管理支持，高级管理层支持是第一步。这里并没有提到QA，但很多时候这就像是推给QA要QA负责一样，但这不是QA的责任。他们只是故事的一部分，每个人都参与其中，但最重要的是高级管理层。

因为每个人都要参与其中，你们的组织框架可能看起来像这样（如下图）。

能为已经收集的数据制定处理策略很重要，你的组织中需要这样的人，这些数据很值钱。如果管理得当且有相应的策略，你将如何处理这些数据？在你不得不拒绝这批数据之前，你提前做了怎样的预案？这是该计划的主要目标之一：提前做好预案，而不是以召回的方法，我们希望通过适当的策略真正避免召回的发生

第二步：方法

第二步是方法，因为你不仅要有框架，还要有方法，比如如何使用数据流程筹划的SOP。你必须培训你的员工，教他们使用风险数据流程筹划，这需要方法。

所以你需要SOP和培训课程，以确保你的员工具备完成这项工作所需的知识。在这里可以看到，GMP法规和指南已经允许灵活和基于风险的策略以预防和检测数据可靠性导致的问题。因此，公司应该实施有意义、有效的战略，根据流程了解其知识管理、技术和业务模式控制其数据可靠性的风险，而这些知识只能来自你和你的试验中心。

如何让你的员工能真正拥抱未来？这是很重要的一点，我们可以看到在指导原则中，它是开放、灵活的。只要是你觉得最舒服的方式是什么，监管机构都完全可以接受。无论是定性的还是定量的，都不重要，这取决于你拥有多少基于你将要使用的工具的知识。

例如，你拥有的知识越多，你管理产品制造的时间越长，你就可以使用更多的定量风险评估工具，如FMEA。但是如果你根本没有太多的知识，也许产品还在开发中，或者你打算在未来推出产品，那么你不太可能成功地使用FMEA这样的定量工具，它可能会让你得出错误的结论。

因此，在这些场景中，使用定性工具，如简单的流程筹划，可能会更有效。它是完全灵活的，确保你的方法和SOP也同样灵活。但我们需要根据FDA的指导，从硬件、软件、人员和程序四个方面来可视化这个过程。

第三步：执行

最后一步是执行，通常公司应该采取分段式的工作方法，不要尝试一次完成所有事情，不要试图同时控制所有的数据，因为项目太大，需要分阶段进行。