分析方法验证原始数据室准备：迎接FDA/EMA合作方深度审查的实操指南

一家中国创新药企正在和欧洲大药企谈License-Out。对方的CMC尽调团队在第三周提了一个看似简单的问题：能否提供你们方法验证报告中表3-7的原始HPLC chromatogram？要求带审计轨迹、积分参数、analyst身份和操作时间戳。

中国药企的CMC团队回去翻了三天。validation report里的图是从Empower软件导出的PDF，但项目当时是2022年做的，分析实验室已经搬过一次家，原来的Empower数据库还在但已经断电封存。要重新启动系统、找回当时的audit trail、导出符合21 CFR Part 11要求的电子记录——预计需要两到三周。

合作方的反馈非常直接：如果连这一项原始数据都需要两周才能提供，我们对你们整体data integrity的评估会下调一档。这种评估降级直接影响交易里的某些质量保证条款（reps and warranties）和后续付款的条件。

ICH Q2(R2)在2024年6月在欧盟、2024年3月在美国正式生效，是分析方法验证的全球统一标准。Q2(R2)和ICH Q14（方法开发）一起，构成了从方法开发到方法验证的lifecycle approach。但Q2(R2)规定的是"什么要做"，没有规定原始数据如何组织、如何在尽调中提供。原始数据室的设计是中国药企在Q2(R2)合规之外，需要单独考虑的问题——而它直接决定了海外合作方对你data integrity成熟度的判断。

海外合作方究竟在审查什么

Validation report ≠ 原始数据

很多中国药企的QC团队认为：把方法验证报告（method validation report）整理好放进data room就够了。这是对海外尽调标准的误解。

FDA在2014-2024年发出的data integrity warning letters中，有一个非常清晰的模式：仅有report是不够的。FDA要求看到的是supporting raw data——chromatograms（含integration parameters）、audit trails（含who/what/when/why）、reference standard COA、calibration records、analyst training records。

2023年7月发给Intas Pharmaceuticals的warning letter中明确指出："Laboratory raw data was missing and could not be provided during the inspection. For example, analysts did not consistently include printout raw data in laboratory records...Because the instrument lacked audit trail capabilities, unreported raw data could not be detected during the QA review process."

2025年2月发给一家南非企业的warning letter里，FDA进一步强调：QA必须review电子原始数据和audit trails，而不仅仅是QC team自己print出来的pass结果。在过滤器完整性测试的案例中，operators只print并保留了passing test的结果，而failing test没有被记录——这种pattern只能通过audit trail review才能发现。

海外合作方的CMC团队会用这个标准来审查你。如果他们要求看raw chromatogram却只能拿到PDF report、要求看audit trail却被告知"那个系统的audit trail功能没启用"、要求看analyst的training record却找不到对应文件——任何一项都会触发对data integrity的红色警报。

三个层次的原始数据

原始数据室至少要按三个层次组织：

第一层：方法验证dossier。每个方法一个独立dossier，包含validation protocol、validation report、validation summary、acceptance criteria justification。这一层是合作方做general review用的，每个方法预计10-30份文件。

第二层：研究记录。每个validation experiment的原始记录，包括analyst的lab notebook扫描件、原始仪器输出（chromatogram的电子文件，不是PDF）、统计计算的spreadsheet、参考标准的COA、试剂的lot number和COA。这一层是合作方的analytical SME做技术审查用的，每个方法可能50-200份文件。

第三层：电子记录和审计轨迹。每个分析的audit trail extract（who, when, what action, why）、integration method、calibration curve、instrument qualification status。这一层平时不上传data room，但合作方提questions时需要在24-48小时内提供。

Altabris的data integrity文章指出："auditors often cite documentation deficiencies even when the actual work was technically sound"——意思是：哪怕工作做得没问题，文件不齐也会被列deficiency。这条规则在海外合作方尽调中同样适用。

方法验证原始数据室的核心文件清单

1. ICH Q2(R2)对应的每项performance characteristic的数据

ICH Q2(R2)修订后，validation characteristics整合为：specificity/selectivity、accuracy/precision、range（含linearity）。Robustness从validation必做项调整为method development阶段demonstrate。每个characteristic都需要在validation report和raw data中支撑：

Specificity/Selectivity：blank、placebo、main peak、each impurity、forced degradation samples的chromatograms。每个chromatogram需要有完整的peak table（retention time、area、area%）、integration method、system suitability结果。

Accuracy：spike recovery实验的原始数据，至少三个浓度水平、每个浓度至少三个replicates。包括spiked solution的preparation记录、theoretical concentration、measured concentration、% recovery、mean、%RSD。

Precision：repeatability（同一analyst、同一天、同一仪器的6次测定）和intermediate precision（不同day、不同analyst、不同equipment）的数据。每次测定的原始chromatogram、calculation、统计汇总。

Range/Linearity：至少5个浓度水平的calibration curve，每个浓度的原始measurement、regression analysis（slope、intercept、r²、residuals plot）。

LOD/LOQ（如适用）：实验数据或calculation的documentation（基于signal-to-noise、standard deviation of response/slope、或visual evaluation）。

ProPharma Group的分析强调，ICH Q2(R2)的一个重要更新是：方法转移（method transfer）现在要求"partial or full revalidation at receiving site"——这意味着如果你的方法在原厂区validated但需要在CDMO执行，CDMO需要做method transfer，且transfer的原始数据也必须在data room里。

2. 系统适用性测试（System Suitability Test）数据

USP<621>、ICH Q2(R2)和EMA scientific guideline都要求每次method execution前要做SST。Data room需要包含：

SST的acceptance criteria（resolution、theoretical plates、tailing factor、precision of replicate injections）的justification
每次method execution时SST的实际结果
SST不通过时的处理流程和记录

合作方的SME会抽样审查：某次实际样品测试时SST是否通过？如果有failed SST但后续重新analysis并放行的情况，是否有完整的调查记录？

3. 仪器qualification和maintenance记录

每一台用于validation和样品测试的仪器，data room应当能提供：

IQ/OQ/PQ的protocols和reports
最近一次的calibration记录
preventive maintenance记录
任何unscheduled repair的记录

这部分文件可能在公司的工程或计量部门，不在QC实验室。中国药企在准备data room时常常漏掉这一类——合作方的SME要求时才发现需要跨部门调取，耽误时间。

4. 参考标准品的资质和管理

每一个用于validation和routine testing的reference standard：

COA和资质证书（USP/EP/JP/NMPA reference standard, primary reference, secondary reference）
接收记录、储存条件、有效期
标定（如果是secondary reference）的traceability文件
重新认证（recertification）的记录（如果使用周期较长）

合作方会问：你们用的参考标准是primary还是secondary？如果是secondary，traceability到哪个primary reference？什么时候做的标定？BBC Group的FDA warning letter中明确指出：reference standards的identity和suitability如果没有documented evidence，方法本身就被视为non-compliant。

5. 电子记录和Part 11/Annex 11合规证据

这是中国药企在海外合作方尽调中最容易出问题的一类。Data room应当能提供：

每个分析系统（HPLC、GC、UV、qPCR等）的Part 11/Annex 11 compliance assessment
系统的validation status（CSV documentation）
用户access control的list和review记录
audit trail的review SOP和review记录
electronic signature的validation

2022年8月的Green Wave Analytical warning letter（FDA）是一个典型反面案例：HPLC系统没有启用audit trail，operator有administrative权限可以删除数据和修改方法参数，electronic signature没有validated。FDA直接质疑了所有用这套系统出的data的integrity。

如果你的分析实验室使用的是Empower、Chromeleon、OpenLab等mainstream CDS，这些系统本身支持Part 11，但需要正确configuration。data room里要有：

系统的configuration documentation（明确哪些Part 11功能被启用）
system administrator的训练记录
系统的periodic review记录（建议每年一次）

6. Analyst training和competency记录

合作方会随机选某个validation report，问：执行这个实验的analyst是谁？他/她当时的training status是什么？competency assessment什么时候完成的？

data room里应当能提供：

每个analyst的training file
method-specific的training和competency assessment记录
持续教育和re-qualification记录

不同方法类型的validation parameters要求

ICH Q2(R2)对不同category的analytical procedures要求的validation characteristics有差异，data room里需要按方法category组织：

方法类型	Specificity	Range/Linearity	Accuracy	Precision (Repeatability)	Intermediate Precision	LOD/LOQ
Identification	Required	N/A	N/A	N/A	N/A	N/A
Quantitative impurity	Required	Required	Required	Required	Required	Required (LOQ)
Limit test impurity	Required	N/A	N/A	N/A	N/A	Required (LOD)
Assay (content/potency)	Required	Required	Required	Required	Required	N/A
Dissolution (release)	Required	Required	Required	Required	Required	N/A

每个方法的validation report里要清楚标注该方法属于哪个category，以及为什么某些characteristics没有评估的rationale。

跨境审查中三类常见踩雷

雷点一：PDF report里的图找不到对应的电子原始文件

合作方的SME在validation report的Figure 5里看到一张HPLC chromatogram，要求看对应的原始电子文件（.dat或.raw）。中国药企的回应是："那个项目两年前做的，原始数据在退役的工作站上。"

这在合作方眼里是一个严重信号。21 CFR Part 11和EU GMP Annex 11都要求电子记录的retention period至少和paper records一样长（通常是产品life cycle加若干年，对于已上市产品可能是15-20年）。如果声称数据存在但不能在合理时间内提供，等同于数据不存在。

实际操作建议。所有validation的原始电子数据需要有systematic backup和retrieval机制。如果实验室搬迁、系统升级、人员变动，需要在变动前做数据迁移和验证，并保留迁移记录。在合作方尽调开始前，做一次retrieval drill：随机抽5-10份历史validation的原始电子文件，确认能在24小时内提供。

FDA data integrity warning letters中常见的audit trail/raw data问题patterns（2020-2025年统计）：

问题类型	出现频率	典型表现	后果
Audit trail功能disabled	高（30%+）	HPLC、GC的audit trail off，无法追溯changes	全部该系统出的data integrity questioned
Shared admin password	高（25%+）	多人共用admin账号，无法identify operator	electronic signature视为invalid
Raw data deletion permission	中（20%）	analyst有权delete chromatogram files	怀疑selective data reporting
Audit trail review缺失	高（35%+）	系统启用audit trail但QA从不review	QA oversight inadequate
Re-integration without justification	中（15%）	chromatogram被re-integrated但无reason record	怀疑data manipulation
Backup data unreadable	低（5%）	backup disk损坏或格式不兼容	data effectively lost
原始data only in shared folder可删除	中（10%）	数据存"Test" folder，analyst可删	data integrity完全无保障

中国药企在准备data room前，应当对每个分析系统做这类问题的self-check，发现gap立即remediate。

雷点二：audit trail功能未启用或review流程缺失

合作方的QA审查者会问：你们的HPLC系统启用audit trail了吗？谁review audit trail？多久review一次？有没有review的documentation？

很多中国药企的实际状态是：audit trail功能可能启用了，但QA从来没有system-level的review流程——只在出问题时才查audit trail。

FDA 2017年发的Data Integrity guidance明确要求："you should perform meaningful and effective review of audit trails to identify and document any data alteration, deletion, or other manipulation events."

实际操作建议。建立分层的audit trail review SOP：每批样品测试时，QC reviewer要review该批次相关的audit trail（事件级review）；每月或每季度，QA要做system-level review（趋势级review）。所有review都要有签字记录。在data room里准备至少最近12个月的audit trail review记录样本。

雷点三：method的integration parameters没有控制

chromatographic peak integration是data integrity的高发区。FDA和PIC/S的指南都明确要求：integration parameters（baseline、peak detection threshold、peak rejection rules）必须在method里定义并控制，不能由analyst在每次分析时主观判断和修改。

Rx-360的data integrity白皮书提到："Processing methods. Integration parameters are not controlled and there is no procedure to define integration. Regulators are concerned over re-integration of chromatograms."

合作方的SME会抽查：某个valid的chromatogram是否有re-integration？如果有，re-integration的reason和approval记录在哪里？re-integrated chromatogram和original chromatogram是否都保留？

实际操作建议。每个chromatographic method的SOP中明确integration parameters，作为method的一部分。如果某次分析需要re-integration（比如baseline drift导致初始integration不合理），需要按SOP启动deviation流程，QA pre-approve后才能执行，并保留两套数据。

数据室的物理组织建议

一个能通过FDA-style或EMA-style深度审查的data room结构：

01_Validation_Master_List
  └── 全公司方法validation的master list（含状态、validation date、re-validation due date）

02_Methods
  ├── M001_Assay_HPLC_API
  │   ├── 01_Method_SOP（含所有版本）
  │   ├── 02_Validation_Protocol
  │   ├── 03_Validation_Report
  │   ├── 04_Raw_Data
  │   │   ├── Specificity
  │   │   ├── Accuracy
  │   │   ├── Precision
  │   │   ├── Linearity
  │   │   └── LOQ_LOD
  │   ├── 05_System_Suitability_Records
  │   ├── 06_Reference_Standard_COA
  │   └── 07_Method_Transfer（如适用）
  ├── M002_Related_Substances_HPLC
  └── ...

03_Instruments
  ├── HPLC_001
  │   ├── IQ_OQ_PQ
  │   ├── Calibration_Records
  │   ├── Maintenance_Logs
  │   ├── CSV_Documentation
  │   └── Audit_Trail_Review_Records
  └── ...

04_Reference_Standards
  ├── Primary_Standards
  └── Secondary_Standards（含standardization records）

05_Analyst_Training
  └── （每个analyst一个文件夹）

06_Part11_Annex11_Compliance
  ├── System_Assessments
  ├── User_Access_Reviews
  ├── Audit_Trail_Review_SOPs_and_Records
  └── Periodic_Reviews

07_Deviations_OOS_CAPA
  └── （按时间和系统组织）

每一层文件夹的根目录放一份索引（README），列出该文件夹内容、最后更新时间、负责人。

准备时间和准入步骤

一个新合作方的CMC尽调，从announce到完成深度审查，typical timeline是4-8周。Data room的准备应当在announce前至少8-12周开始：

T-12周：内部self-assessment，identify gaps
T-10周：开始填补缺口（补method transfer、补audit trail review records、补training records）
T-6周：data room的technical setup和access control
T-4周：内部dry run，模拟合作方提问，测试响应时间
T-2周：上传顶层和中层文件，准备底层文件的retrieval流程
T-0：给合作方访问权限

如果在T-10周的self-assessment发现重大gap（比如某个关键method的validation report丢失、某个仪器没有qualification记录），需要立即escalate到管理层，决定是补做还是延迟尽调时间。强行进入尽调而被发现gap，比主动延期沟通的损害大得多。

一个被低估的细节：QA的review trail

合作方有时会问一个看似简单的问题：你们QA对方法验证报告的review过程是怎样的？

预期的答案不是"QA reviewer签字approved"。预期的答案是：QA reviewer的checklist是什么、review时发现的issues和resolution、review meeting的minutes、最终approval的依据。

很多中国药企的QA review是"signature only"——签个字就approved，没有详细的review documentation。海外合作方的QA对此非常敏感，会认为QA oversight不足。

实际操作建议。建立QA method validation review checklist（覆盖ICH Q2(R2)的每个performance characteristic、SOP的合规性、calculation的正确性、conclusion的可辩护性）。每次review保留checklist的签字版和comments。在data room里准备至少3-5份近期validation report的QA review记录，作为QA system maturity的evidence。

ICH Q2(R2)的key updates and impact on data room

ICH Q2(R2)相对于2005年的Q2(R1)有几个对data room影响显著的更新。ProPharma Group的分析归纳：

变化项	Q2(R1)	Q2(R2)	Data Room含义
Validation characteristics	Specificity, Linearity, Accuracy, Precision, Range, LOQ, LOD, Robustness	Specificity/Selectivity, Range (含linearity), Accuracy/Precision	简化但不降低要求；data room需要documentation新分类
Robustness	Validation必做	Method development阶段demonstrate	data room需要包含method development报告或robustness studies as supportive
Method transfer	可以co-validation	Requires partial or full revalidation at receiving site	data room需要包含receiving site的revalidation数据
Multivariate methods	未覆盖	新增详细要求	如使用multivariate methods (NIR, Raman) 需要model validation documentation
Reportable range	通常等于validation range	必须涵盖specification limits的上下界	data room里reportable range的justification需要清楚

中国药企的QC实验室如果还在用Q2(R1) framework做documentation，需要尽快update到Q2(R2)。EMA在2024年6月14日起Q2(R2) come into effect；FDA在2024年3月正式采纳。所有新的method validation应当follow Q2(R2)；已经validated的methods不需要重做，但下一次periodic review或significant change时需要按Q2(R2) refresh documentation。

中国药企典型成熟度分级

中国药企的analytical data room成熟度可以分为四级：

Level 1：基础合规

validation report存在，符合NMPA要求
原始数据保留但organization scattered
部分仪器audit trail未启用或review流程缺失
Part 11/Annex 11 compliance assessment尚未systematic

可以pass NMPA inspection，但很难pass FDA/EMA inspection或海外合作方深度尽调。

Level 2：海外申报ready

validation按ICH Q2(R1)或Q2(R2)执行
主要仪器Part 11 compliant
audit trail启用并有review流程
training records完整
raw data backup有systematic process

可以pass FDA/EMA inspection for clinical-stage products，但data room的organization可能still scattered，需要significant ad hoc effort to support partner diligence。

Level 3：合作方尽调ready

上述所有要求
三层data room的systematic organization
raw data retrieval流程test过，24-48小时响应
QA有systematic method validation review checklist
internal mock audit每年至少一次

可以smoothly支持License-Out partner diligence或CDMO的cross-audit。

Level 4：global benchmark

上述所有要求
electronic data system集成（LIMS/CDS/ELN connected）
AI-driven data integrity monitoring
proactive trending和gap identification
多个global partners同时尽调时仍能smooth support

中国药企里达到Level 4的还非常少。多数大型创新药企在Level 2-3之间。

跨境合作中的cultural差异

中国药企的analytical team和欧美合作方的analytical team在documentation文化上有显著差异，这些差异会在尽调中translated into trust或mistrust：

"Why"的documentation

欧美的analytical scientists被训练成在每个decision处document "why"——为什么用这个method而不是另一个、为什么这个acceptance criteria是合理的、为什么这次re-integration是justified。中国的analytical team有时把"做了什么"document得很好，但"为什么这么做"的rationale较弱。

合作方的SME会通过反复问"why"来test你的method understanding。如果对方反复问"why this acceptance criteria is set at X%"而你只能回答"because that's our SOP"——对方会判断你的scientific understanding不足。

Deviation的处理文化

中国实验室的文化倾向于avoid deviation，因为deviation被视为negative event。欧美文化更接受"deviation is part of normal lab operations"——只要investigation、impact assessment、CAPA都做得好，deviation本身不是问题。

如果你的某个method的validation report里没有任何deviation，欧美合作方反而会怀疑：要么你skip了一些testing，要么你didn't honestly document deviations。建议：把deviation和resolution都清晰document在validation report或supporting records里。

常见问题（FAQ）

历史validation的data如果不符合Q2(R2)，需要重做吗？

不需要立即重做。Q2(R2)是2024年生效的，已经validated的methods如果按Q2(R1)做的并被监管接受，可以继续使用。但建议：在method的下一次periodic review或significant change时update到Q2(R2)；新method的validation必须按Q2(R2)。Data room里需要说明每个method的validation是按哪个版本，以及update plan。

如果方法是CDMO执行的，原始数据应该在CDMO还是sponsor那里？

通常原始数据stay at CDMO（generation point），sponsor有access权。但sponsor的quality agreement需要明确：

CDMO must retain raw data for at least X years（建议至少produce life cycle + 10 years）
sponsor有right to access raw data within 24-48 hours upon request
如果CDMO关闭或sponsor terminate合作，CDMO must transfer所有relevant raw data to sponsor

如果sponsor在准备data room时发现某些raw data only at CDMO，需要provision arrange CDMO-side support during partner diligence。

海外合作方要求的audit trail review SOP，是QA的SOP还是QC的SOP？

通常QA owns the audit trail review SOP, but QC执行daily/batch-level review，QA执行periodic system-level review。建议两个层级都有SOP：QC的batch-level review SOP（每批样品测试后reviewer要review相关audit trail）和QA的system-level review SOP（每月或每季度对每个分析系统的audit trail做summary review）。Data room里两个SOP都要包括。

data room里要不要包括FDA或EMA inspection的历史findings？

通常需要包括最近5年的所有regulatory inspection history（不限于FDA/EMA，包括NMPA、MHRA、PMDA等）：

inspection date
inspecting agency
483 observations或类似findings
公司的response和corrective actions
agency的final判定（warning letter? voluntary action indicated? no action indicated?）

如果sponsor曾经收到warning letter或significant 483，需要主动在data room的executive summary里说明，附完整的remediation evidence。试图隐瞒会被合作方identified为severe red flag.

中国药企的QC实验室通常用Empower、Chromeleon、OpenLab等系统，这些都Part 11 compliant吗？

这些mainstream CDS（Empower、Chromeleon、OpenLab）的latest versions都support Part 11 functionality，但compliance不是out-of-box——needs proper configuration：

audit trail启用（特别是integration事件级别）
electronic signature启用并validated
user access control按职责分级
backup和archive流程validated

很多中国实验室买了compliant system但没正确configure。建议每年请external consultant做一次Part 11/Annex 11 compliance assessment，gap识别后逐项remediate。Data room里包括最近一次assessment的report。

一次海外合作方的analytical data room尽调，sponsor应该投入多少人力？

典型的6-8周intensive diligence period，sponsor side至少需要：

1名full-time CMC director协调
2-3名QC SMEs（每个key method的owner）
1-2名QA representatives
1名regulatory affairs liaison
必要时external consultants（特别是Part 11 compliance方向）

如果是首次接受major partner diligence，建议提前4-8周start preparation，包括internal mock audit。这段时间和资源投入是必要的business cost，不应当spare。

参考资源

ICH Q2(R2) Validation of Analytical Procedures（https://database.ich.org/sites/default/files/ICH_Q2%28R2%29_Guideline_2023_1130.pdf）
ICH Q14 Analytical Procedure Development（https://database.ich.org）
FDA Q2(R2) Validation of Analytical Procedures（https://www.fda.gov/regulatory-information/search-fda-guidance-documents/q2r2-validation-analytical-procedures）
EMA Scientific Guideline ICH Q2(R2)（https://www.ema.europa.eu/en/ich-q2r2-validation-analytical-procedures-scientific-guideline）
FDA Data Integrity and Compliance with Drug CGMP Guidance（https://www.fda.gov）
EU GMP Annex 11 Computerised Systems（https://health.ec.europa.eu）
21 CFR Part 11 Electronic Records; Electronic Signatures（https://www.ecfr.gov）

从我们的实际经验来看，原始数据室的质量很大程度上反映的不是单个方法的validation质量，而是公司整体data integrity culture的成熟度。一次准备充分的data room，给合作方传递的信号是："这家sponsor的CMC体系经得起FDA或EMA的inspection。"这一点直接转化为License-Out交易里更好的commercial terms、更短的diligence周期、更顺畅的后续合作。