當我們談Excel合規時(shí)我們會談些什(shén)麽

直到九月(yuè)，長(cháng)江流域的(de)酷熱(rè)才被北(běi)來(lái)的(de)秋風所驅散。當大(dà)家都開始談論菊黃(huáng)蟹肥時(shí)，我們再來(lái)談談Excel合規。

Excel在各行各業中發揮著(zhe)不可(kě)小觑的(de)作用(yòng)，制藥行業也(yě)不例外。但是對(duì)于受到高(gāo)度監管的(de)制藥行業，Excel并不完全符合諸如21 CFR Part 11等相關法規的(de)要求。那麽，我們在討(tǎo)論Excel合規時(shí)我們會談些什(shén)麽呢(ne)？

♢ 如何确保使用(yòng)者使用(yòng)到正确版本的(de)Excel模闆？

模闆管理(lǐ)的(de)失控，是Excel電子表格合規管控失效的(de)根源。單純通(tōng)過人(rén)員(yuán)培訓解決問題并非最優解，事實也(yě)證明(míng)此法效果欠佳。傳統的(de)方式是把Excel模闆用(yòng)郵件或者其他(tā)方式發送給相關人(rén)員(yuán)使用(yòng)，或者讓用(yòng)戶去指定的(de)地址下(xià)載。當模闆更新了(le)，用(yòng)戶可(kě)能即便收到通(tōng)知，也(yě)還(hái)是使用(yòng)舊(jiù)版本的(de)模闆。那麽，是否有其他(tā)途徑解決問題呢(ne)？答(dá)案是肯定的(de)，通(tōng)過網絡化(huà)部署Excel電子表格模闆(擴展名不是xlsx,而是xltx)，在各個(gè)Excel終端關聯公共模闆目錄。在用(yòng)Excel選擇“新建”時(shí)，使用(yòng)的(de)模闆将永遠(yuǎn)是最新版本。模闆制作人(rén)員(yuán)隻需要在模闆文件夾中更新即可(kě)，不用(yòng)再考慮發送的(de)問題。如果人(rén)員(yuán)私自将電子表格拷貝到本地電腦(nǎo)上使用(yòng)，模闆自身需要進行合法路徑檢查，如果打開路徑不對(duì)，将自動禁止使用(yòng)該模闆。

圖1 模闆網絡化(huà)部署

♢ 如何确保使用(yòng)者對(duì)電子表格規範地命名和(hé)存放？

當Excel的(de)使用(yòng)用(yòng)戶數量龐大(dà)時(shí)，我們無法期待通(tōng)過SOP規定的(de)方法來(lái)解決所有的(de)使用(yòng)者按照(zhào)同樣的(de)規則命名Excel文件這(zhè)個(gè)難題。一旦使用(yòng)者按照(zhào)各自習(xí)慣命名Excel文件，就會違反SOP規定，然而檢查員(yuán)簽發的(de)衆多(duō)缺陷項中，違反SOP規定是最常見的(de)缺陷。現在，Excel合規軟件eInfotree能夠配置電子表格命名規則，使用(yòng)指定模闆生成的(de)記錄，其保存名稱隻能按照(zhào)配置規則進行，否則記錄将無法保存。

圖2 将“批号”配置爲名稱元素

圖3 按照(zhào)“批号”強制命名

和(hé)電子表格統一命名這(zhè)個(gè)問題如出一轍，使用(yòng)者可(kě)能将各自的(de)記錄随意存放在所謂的(de)“私人(rén)路徑”下(xià)，不僅不利于Excel電子記錄的(de)集中管理(lǐ)，同時(shí)也(yě)存在丢失記錄的(de)風險。同樣的(de)，eInfotree能夠配置強制的(de)保存路徑，将固定路徑與可(kě)變路徑相結合，任何非法的(de)記錄保存都将失敗。

圖4 強制存儲文件夾和(hé)路徑

♢ 如何保證Excel的(de)權限管理(lǐ)，審計追蹤和(hé)電子簽名符合法規要求？

Excel本身是不具備合規的(de)權限管理(lǐ)，審計追蹤和(hé)電子簽名功能的(de)，其中，廣泛應用(yòng)的(de)“共享工作簿”審計追蹤是不符合法規要求的(de)，此法産生的(de)所謂“審計追蹤”記錄可(kě)以被整體删除，并且可(kě)以任意篡改操作者等等。那麽，對(duì)于Excel，什(shén)麽樣的(de)管理(lǐ)方式才是符合諸如21 CFR Part 11等相關法規要求的(de)權限管理(lǐ)，審計追蹤和(hé)電子簽名呢(ne)？它們必須：

• 使用(yòng)獨立于用(yòng)戶，計算(suàn)機生成，帶時(shí)間戳的(de)審計跟蹤，并且不可(kě)删除；

• 通(tōng)過受限的(de)系統訪問實現系統和(hé)數據的(de)安全性，完整性和(hé)機密性；

• 采用(yòng)數字指紋生成的(de)電子簽名（即數字簽名），而不僅僅是輸入用(yòng)戶名和(hé)密碼這(zhè)種表象；

• 确保保留準确和(hé)完整的(de)電子記錄。

eInfotree軟件的(de)用(yòng)戶管理(lǐ)，權限管理(lǐ)功能确保電子記錄的(de)安全性，完整性和(hé)機密性，其審計追蹤記錄能夠追蹤單元格級别的(de)任何修改。審計追蹤信息獨立于用(yòng)戶，無法修改，删除和(hé)僞造。嵌入電子簽名信息無法修改和(hé)删除（基于Excel文件整體内容數字指紋的(de)邏輯關聯），且能夠配置簽名電子表格的(de)全局或者局部鎖定，确保電子記錄的(de)準确性和(hé)完整性。

圖5 訪問控制

圖6 審計追蹤

圖7 電子簽名

♢ 當我們有了(le)LIMS，QMS，DMS是不是就可(kě)以不再考慮Excel合規，跟Excel徹底說拜拜？

最近20年，随著(zhe)行業内各種專業軟件的(de)推出以及現有軟件的(de)完善，例如LIMS（實驗室信息管理(lǐ)系統），CDS（色譜數據系統），ELN（電子實驗記錄系統），MES（生産執行系統），數據的(de)存儲和(hé)處理(lǐ)方式有了(le)更多(duō)的(de)選擇。由此，爲了(le)減輕在Excel電子表格應用(yòng)合規性上的(de)壓力，許多(duō)制藥企業嘗試在關鍵業務領域中逐步“替換”電子表格。由于需要替換的(de)數量不小，加上替代系統也(yě)有很多(duō)潛在的(de)合規問題需要解決，使得(de)“替換”過程并不順利。再者，專業軟件隻能處理(lǐ)其管理(lǐ)範圍内的(de)數據，在替換上有一定的(de)局限性，即便是經曆了(le)幾十年信息化(huà)建設的(de)歐美(měi)大(dà)型藥企，想要徹底杜絕Excel的(de)使用(yòng)也(yě)幾無可(kě)能。Excel仍舊(jiù)以其易用(yòng)性和(hé)靈活性在藥物(wù)研究與開發、生産、流通(tōng)等各個(gè)環節扮演著(zhe)獨特的(de)角色。在國内的(de)制藥企業都是中小規模的(de)背景下(xià)，Excel仍不失爲最簡易廉價實用(yòng)的(de)生産力提升工具。

♢ 我們需要對(duì)Excel VBA談虎色變嗎？

除了(le)公式，讓Excel久負盛名的(de)就是VBA（Visual basic for Application）。VBA讓Excel如虎添翼。一些複雜(zá)的(de)需求，用(yòng)公式實現起來(lái)可(kě)能會非常複雜(zá)或者實現不了(le)，但使用(yòng)VBA則可(kě)以輕易解決。VBA讓Excel的(de)能力邊界無限延伸。在制藥行業，尤其是在GLP/GMP類型的(de)實驗室，按照(zhào)GAMP5，用(yòng)VBA做(zuò)的(de)程序原則上應劃分(fēn)到第5類——定制化(huà)軟件。近年來(lái)，基于行業輿論以及定制化(huà)軟件本身所帶來(lái)的(de)高(gāo)風險，一些公司的(de)質量部門對(duì)定制開發軟件談虎色變，甚至一票(piào)否決。被列入5類軟件的(de)VBA程序也(yě)成了(le)清剿的(de)對(duì)象，或者停止使用(yòng)，或者需要改變實現方式。事實上，任何官方都沒有規定不能用(yòng)定制化(huà)軟件。市面上的(de)商業化(huà)軟件溯其根源也(yě)是來(lái)源于定制化(huà)的(de)軟件項目。在做(zuò)好驗證工作，并能管理(lǐ)和(hé)應對(duì)好定制軟件所帶來(lái)的(de)風險的(de)前提下(xià)，藥企使用(yòng)完全沒有問題。從複雜(zá)度來(lái)看，定制化(huà)還(hái)有複雜(zá)定制和(hé)簡單定制之分(fēn)。對(duì)于Excel VBA來(lái)說，其屬于Excel的(de)二次開發，需求複雜(zá)度和(hé)代碼量都遠(yuǎn)小于普通(tōng)的(de)軟件開發項目。因此，在常規Excel模闆驗證的(de)基礎上，增加一些挑戰性測試，對(duì)代碼進行注釋，優化(huà)和(hé)審核，就能大(dà)大(dà)降低出現錯誤的(de)概率。

Excel的(de)合規使用(yòng)是老生常談的(de)話(huà)題，就目前來(lái)說，除了(le)現有使用(yòng)方式和(hé)管理(lǐ)方式的(de)改進之外，使用(yòng)第三方合規軟件徹底解決Excel的(de)合規問題，如eInfotree軟件，也(yě)不失爲一個(gè)好的(de)選擇。