许可签了以后，安全信息交换协议的报告起点怎样对齐

中国创新药企业把管线对外授权（License-Out）给跨国药企或海外区域伙伴时，主许可协议签字往往只是开始。药物警戒（Pharmacovigilance, PV）团队马上要面对一个具体问题：主协议已签，安全信息交换协议（Safety Data Exchange Agreement, SDEA，也常称药物警戒协议PVA）还在谈。对方提出“15天个例安全性报告（ICSR）时限从我们收到病例起算”，那么中国团队先收到的病例，算不算已经启动了对方的法定时钟？签约到许可生效日之间的存量安全数据什么时候交、带哪些字段交？之后的对账多久做一次，才经得起监管检查？

先回答：报告起点看“谁先获知”，不看签约日

直接回答：法定报告时钟由各法域法规中的“首次获知（Day 0）”规则决定，与主协议签字日、许可生效日或对方数据库录入日都无关。在欧盟、美国和中国，起算点都由法规或官方指南定义。合作双方可以约定公司间转递多快，但不能用合同把法定起算日往后推。

美国的写法不同。21 CFR 314.80(c)(1)(i)要求申请人对严重且非预期的药品不良体验，在申请人initial receipt后不迟于15个日历日提交15天警报报告。如果中国企业以生产商、包装商或分销商身份出现在美国获批药品的标签上、但不是申请人（non-applicant），314.80(c)(1)(iii)给了两条路：自己承担15天警报报告义务，或者把严重不良体验报告转交申请人——选择转交的，须在自身initial receipt后5个日历日内送达申请人。中国境内，国家药监局2021年第65号公告发布的《药物警戒质量管理规范》（以下称中国GVP）第49条规定：严重不良反应不迟于获知信息后15日、非严重不迟于30日报告，时限起始日期为持有人“首次获知该个例药品不良反应且符合最低报告要求的日期”。

因此，签约后谈SDEA时，有三件事必须写清楚：

1. 时钟归因与转递时限倒推：协议应写明哪一方的获知会启动哪个法域的法定时钟，再按最早到期的那个时限倒推公司间转递日。TransCelerate成员公司的基准调查显示，在协议层面，临床试验中相关致死/危及生命SAE的ICSR，两个交换方向都有79%的协议把交换日定在第4或第5天。这是行业实践坐标，不是法规要求。

2. 法定责任底线与申报分工：ICH E2D(R1)第6.5节（合同协议）要求许可或合同协议写明ICSR的管理与报告，包括安全信息交换流程、时限和监管申报责任，并建立避免向监管机构重复申报的流程；同时明确：无论协议性质如何，MAH对按时报告负最终责任，因此合同伙伴应尽量压缩数据交换期。E2D(R1)于2025年9月在ICH达成Step 4，欧盟自2026年3月18日起正式生效，FDA于2026年3月以行业指南形式发布。

3. 数据库交接与对账：数据库控制权不必在签约当天切换。一种可公开核对的写法是按“执行日（Execution Date）”和“许可生效日（License Effective Date）”两个节点推进：许可生效日移交存量安全数据时，带上每份ICSR的报告到期日（report due date）和已递交日期；日常运行中按GVP Module VI的要求建立接收确认和/或对账流程。

逐法域法定时钟对照表：EU 15/90天、FDA 15天+5天转递、CTR 7/15天、中国15/30天

跨境许可交易里，同一个病例可能同时落在上市后和试验期两套规则下，报告主体也可能是持有人、申办者或标签上具名的非申请人。下表按法域和角色列出现行时限与起算点：

计日方式也要写进协议。GVP Module VI明确Day 0不因周末或公共假期顺延，时限按日历日计算；21 CFR 314.80和312.32的条文同样写明calendar days。中国GVP条文只写“日”，没有出现“工作日”字样，内部倒排按自然日计算更稳妥。Day 0落在周五或长假前夕时，公司间可用的工作时间会明显缩短，这也是转递时限需要留余量的原因。

“首次获知”算到谁头上：人员、代表、承包商与境外商业伙伴

谈判中常见的分歧是“谁获知才算获知”。部分海外伙伴倾向把Day 0定在其总部PV团队收到并完成分拣（triage）的时间，这与下面几条官方规则并不一致。

GVP Module VI把“获知主体”定得很宽：

• MAH的任何人员：GVP VI.B.7写明，含最低标准的信息到达MAH任何人员——包括医药代表——之时即为Day 0，不限于专职PV人员。医药代表拜访医生时听到一份符合四项要素的严重不良反应，当天就开始计时。

• 承包商：同一条款把承包商（contractors）也列入获知主体；E2D(R1)第5.2节写明，代表MAH行事的第三方（如服务商和其他合同伙伴）获知，也算MAH获知。

• 欧盟境外的集团公司与商业协议伙伴：GVP VI.C.2.2把归因延伸到与欧盟持有人订有商业协议的欧盟境外公司，时钟自其中任何一家首次收到有效ICSR起算。对中国授权方来说，这意味着自己团队的收件时间会直接进入欧盟伙伴的合规记录。

E2D(R1)第5.2节（报告时限）的表述与此一致：时钟自MAH任何人员（包括代表MAH行事的服务商和其他合同伙伴）获得足以判定病例符合最低报告标准的信息之日起算。该节同时保留了“除非地区或当地要求另有规定”的余地，这也是日本等法域可以有不同起算口径的原因（见下文对账一节）。文献场景另有细则：GVP Module VI附录VI.App.2.7和VI.App.2.9规定，组织或其合同方任何一方先知悉含最低标准的出版物，即为Day 0；采用每周检索时，如果摘要已含最低标准，检索执行日就是Day 0，而不是服务商把结果交给公司的日子。

SDEA必须写清的条款清单（含2026年新增的分包硬要求）

SDEA不宜由法务直接套用通用商业合同模板，需要PV人员逐项确认技术细节。可依据的官方文本有三份：ICH E2D(R1)第6.5节、GVP Module VI第VI.B.7节，以及自2026年2月12日起适用的欧盟委员会实施条例(EU) 2025/1466（该条例在第520/2012号实施条例第6条中新增了第3、4款）。清单如下：

1. 交换范围与病例类别：除临床试验和上市后严重病例外，还应列明特殊情形报告。GVP Module VI第VI.B.6节单列了妊娠和哺乳期用药、儿童或老年人群用药、药物过量、滥用、误用、用药错误、职业暴露，以及缺乏疗效等情形。百济神州–诺华协议在存量数据移交清单中也单列了“特殊场景报告（special scenario reports）”。

2. 公司间转递时限：以各法域法定时限为上限倒推。可参考的行业坐标来自TransCelerate基准调查（下文对账一节详述）：相关致死/危及生命试验ICSR多为第4–5天，其他相关严重试验ICSR多为第8–10天，上市后病例的交换日分布明显更散。具体天数应按双方覆盖的法域中最早到期的时限确定，并给接收方留出医学评估和递交的时间。

3. 申报分工与防止重复申报：按许可区域（Territory）写明每个法域由哪一方向监管机构递交，并约定识别重复病例的方法，例如使用统一的全球病例编号。E2D(R1)第6.5节和GVP VI.B.7都要求协议流程避免重复递交；2025/1466也把“避免重复递交的流程”写进了MAH质量体系要求（修订后的第11(1)(d)条）。

4. PV任务分包的四项合同要素（2025/1466新增第6(3)款）：MAH把药物警戒活动分包给第三方时，分包合同须载明：(a) 第三方的角色和职责；(b) 第三方与MAH交换安全数据的义务及方式（如相关）；(c) 对第三方的检查与审计安排；(d) 第三方同意接受MAH或其代表的审计，以及主管当局的检查。第三方再分包时同样适用。如果SDEA实际让中国一方替欧盟持有人承担病例收集、录入或文献检索等PV任务，这四项要素应当在协议里找得到对应条款。

5. 再分包须经书面同意（2025/1466新增第6(4)款）：第三方未经MAH书面同意，不得再分包MAH交给它的任何药物警戒任务。若中国一方承担了上述任务，又打算交给本土CRO或PV服务商执行，应先取得欧盟持有人的书面同意。2025/1466同时新增第13(1a)款：受托第三方须接受MAH或其代表基于风险的审计，并可能被主管当局检查，即使分包合同尚未写入第6(3)款的要求。

6. 个人数据交换的前置协议：百济神州–诺华协议第6.3条要求双方在交换任何个人数据之前另签数据处理协议（Data Processing Agreement），存量安全数据移交也写明须遵守适用的数据安全与隐私法律；GVP VI.B.4同样要求按当地数据保护法律在各方之间传递病例信息。中国个人信息出境与欧盟数据保护的具体合规路径，需要数据合规顾问单独评估，本文不展开。

交接结构：执行日、许可生效日与全球安全数据库控制权

很多团队默认“签约当天就交接全球安全数据库”。实际上，执行日与许可生效日之间可能隔着交割条件。以下面这份SEC备案协议为例，许可生效日被定义为三个日期中最晚的一个：诺华行使期权之日、百济神州收到期权行权费之日，以及美国HSR反垄断等待期结束之日。过渡期里病例照常发生，数据库归谁管必须提前写清。

美国证券交易委员会（SEC）EDGAR系统中可公开查阅的百济神州瑞士（BeiGene Switzerland GmbH）与诺华制药（Novartis Pharma AG）2021年12月19日合作与许可协议（Exhibit 10.7.2）第6条，给出了一种两节点写法。该交易本身是“期权+许可”结构，两种结构的承诺差异可参考先给选择权还是直接授权：两种交易的承诺差在哪？。

把这种两节点安排和日常对账放在一起，可以画成下面的流程（交接记录与对账节奏是建议做法，不是法规要求）：

graph TD
  subgraph 阶段一[阶段一：执行日至许可生效日]
    A[主协议签署 执行日] --> B[谈判并签署SDEA或临时交换规程]
    B --> C[一方维护全球安全数据库]
    B --> D[另一方维护区域子库]
    C -.双向转递新病例.-> D
  end

  subgraph 阶段二[阶段二：许可生效日]
    E[交割条件满足 许可生效日] --> F[一次性移交存量安全数据]
    F --> G[逐例核对报告到期日与已递交日期]
    F --> H[移交全球安全数据库控制权]
    G & H --> I[首轮对账并签署交接记录]
  end

  subgraph 阶段三[阶段三：日常运行]
    I --> J[按SDEA时限双向转递新病例]
    J --> K[逐例接收确认]
    K --> L[定期清单对账]
    L --> M[差异关闭并留存记录]
  end

对账：官方要的是“确认/对账流程”，频率是实践问题

海外审计中常被问到：“SDEA里约定的对账做了没有？频率依据是什么？”这里要先分清：官方要求的是建立接收确认和/或对账流程；对账频率没有统一的法定数值，属于基于风险的实践选择。

GVP Module VI第VI.B.4节（数据管理）写明：药物警戒数据在组织内部或在订有合同安排的组织之间传递时，机制应能确保所有通报都已收到，为此应进行确认和/或对账。目的很直接：防止病例在邮件、文件传输或电子网关之间丢失。中国GVP第107条也要求，关键药物警戒活动的相关记录和数据应当进行确认与复核。

交换天数怎么定，可以参考2023年发表在《Therapeutic Innovation & Regulatory Science》第57卷第5期的一项基准调查（Manko Singer等，作者来自TransCelerate成员公司）。调查向20家成员公司发放问卷，18家回复，覆盖378份药物警戒协议，其中267份提供了临床试验时限、326份提供了上市后时限。主要结果如下：

• 相关致死/危及生命SAE的临床试验ICSR：协议层面最常见的交换日是第4天和第5天，成员公司到伙伴、伙伴到成员公司两个方向都有79%的协议落在这两天。

• 相关非致死/非危及生命SAE的临床试验ICSR：最常见的交换日是第8、9、10天，两个方向分别有72%和69%的协议落在这三天。按15天法定时限计算，接收方大约还剩5至7天完成评估和递交。

• 上市后病例：严重病例最常见的交换日从第1–2天一直分布到第30天，非严重病例从第1天到第60天。作者认为，试验期时限更集中，可能反映了临床试验报告要求更统一。

对账执行层面，可以设计两层机制（以下为建议框架，具体天数由双方按风险约定）：

1. 逐例接收确认：发送方每发出一份ICSR，接收方在约定时限内回传带接收时间和本方病例编号的确认；超时没有收到确认的，发送方按预设路径升级追问。

2. 定期清单对账：双方按约定周期（例如临床试验活跃期更密、平稳期适当放宽）导出期间病例清单，逐项比对全球病例编号、首次获知日期、严重性判断和各法域递交状态，对差异项记录原因并限期关闭。对账记录和差异关闭记录应能在检查时调取。

在途病例、随访与最低报告标准的对齐细节

在SDEA执行和数据库交接中，最容易出问题的往往不是新病例，而是处在交接边界上的在途病例（in-flight cases）和随访信息。

先统一“有效ICSR”的判定基线。2025/1466修订后的第520/2012号实施条例第28(1)条、ICH E2D(R1)第2.2节以及中国GVP第46条，对最低报告要素的表述基本一致：

• 至少一名可识别的报告者（identifiable reporter）；

• 至少一名可识别的患者（identifiable patient）；

• 至少一个疑似不良反应（suspected adverse reaction）；

• 至少一种所涉药品（suspected medicinal product）。

四项要素一旦齐备，即使诊断尚未最终确认、检验结果还没出来，时钟也已经开始走，不能以“等医生补全病历再计时”为由推迟。欧盟CTR第42(2)条明确允许：为及时报告，申办者可先提交不完整的初始报告，再以完整报告跟进；E2D(R1)也要求对缺失的信息尽职收集。

再看随访信息。GVP VI.B.7和E2D(R1)第5.2节都规定：收到既有病例的重要新信息（例如可能影响病例评估、或改变严重性判断的新医学信息）时，随访报告的时钟从收到新信息之日重新起算；只做内部质量修正、没有收到新信息的，不重新设定Day 0。SDEA需要写明：交接日前由一方提交过初始报告的在途病例，交接日后收到的随访信息由谁向报告者追问、由谁向哪个监管机构递交。没有这一条，很容易出现双方都以为对方在跟进的情况。

错过时钟的后果与常见失败模式

时限违规不是单纯的手续问题。各法域的法定锚点如下：

• 美国：21 CFR 314.80(k)规定，申请人未按该条建立和保存记录、提交报告的，FDA可以撤销该申请的批准，从而禁止该药品继续上市；314.80(j)要求申请人把已知的不良药品体验记录保存10年。

• 欧盟：15天/90天时限出自Directive 2001/83/EC第107(3)条和第107a(4)条，不是合同可以协商的数字。2025/1466新增的第13(1a)款规定，受托承担药物警戒任务的第三方须接受MAH基于风险的审计，并可能被主管当局检查——承担PV任务的合作方，其流程同样可能进入检查范围。具体处罚依适用的欧盟和成员国法规而定，本文不展开。

• 中国：中国GVP第15、16条规定，持有人是药物警戒责任主体，委托开展相关工作的应签订委托协议，相应法律责任由持有人承担；第122条对试验期申办者作了同样规定。药物警戒体系主文件还须列明委托的内容、时限和受托单位，并附委托协议清单（第106条）。对中国持有人来说，境外伙伴收到的严重不良反应也要按第51条以个例报告提交，SDEA需要保证这些病例及时回流。

从上述规则倒推，许可合作中最容易出问题的环节有四类：

1. 各算各的时钟：海外伙伴只把送达其PV收件箱的时间当作Day 0，没有把欧盟境外商业伙伴先收到的时间算进去，向EudraVigilance递交时可能已经逾期。

2. 转递余量不足：法定15天，协议却约定“获知后12天内转交”，再遇上周末、时差或翻译，接收方只剩两三天完成医学评估和E2B(R3)格式质检。电子递交的操作细节可参考EudraVigilance ICSR E2B(R3)药物警戒个案报告实操指南。

3. 过渡期空档：主协议签署后，双方把精力放在交割条件上，没有在执行日同步启用临时安全信息交换规程，导致过渡期内两边各自收到的病例没有互通。

4. 未经同意的再分包：承担PV任务的一方把工作转给本地CRO或PV服务商，却没有取得MAH书面同意，与2025/1466新增的第6(4)款不符。临床试验期CRO与PV供应商之间的交接断点，另见CRO和PV供应商之间的安全性报告交接。

落地顺序：签约前后的动作清单

建议PV团队与BD、法务按下面的顺序推进：

1. Term sheet与主协议谈判期：让PV人员在条款谈判阶段就参与。主协议里写入药物警戒协议优先条款、全球安全数据库的归属和交接节点，以及签署详细SDEA的期限（天数由双方商定）。E2D(R1)第6.5节要求合同伙伴尽量压缩数据交换期，这一原则最好在主协议阶段就定下来。

2. 执行日至许可生效日：启用过渡期安全信息交换规程，设立双方专用的安全信息联络邮箱或传输通道，明确在研临床试验SUSAR的转递时限；涉及欧盟持有人PV任务分包的，按2025/1466第6(3)、6(4)款复核合同条款。

3. 许可生效日：移交存量安全数据，逐例核对已递交ICSR清单、报告到期日和递交日期，以及仍在随访中的在途病例；完成全球安全数据库的权限移交，双方签署交接记录。

4. 生效后的日常运行：执行逐例接收确认和定期清单对账，并留存记录；ICH指南实施进展、EudraVigilance或FDA递交系统发生变化时，复核SDEA并更新版本。

边界与常见误区

最后说明三条边界：

第一，公开备案协议只是结构示例，不是标准条款。SEC备案的百济神州–诺华协议展示的是特定交易中的一种安排。不同产品、不同开发阶段的风险差别很大，不能照搬措辞，也不能根据涂改部分推测商业或合规数值。授权终止时的数据回转是另一类问题，见海外药品授权终止后，数据与开发权怎样交回？。

第二，“全球统一按最严标准”不是所有法域的法定要求，但最严的那个时限往往决定交换日。欧盟按第一收到方起算，日本允许本地伙伴收到时重设起点，美国对非申请人规定了5日转递通道。合理的SDEA应逐法域列出起算口径、交换时限和申报责任；同一病例需要在多个法域报告时，按其中最早的到期日倒推。

第三，本文是监管规则与公开资料的梳理，不替代具体交易的法律意见。正式签署SDEA前，应由熟悉跨境生命科学交易的律师和药物警戒合规人员，对照所涉法域的现行规定复核。