CRO再分包：申办方需要看到哪些供应商与职责记录？

开头回答：再分包时申办者要能出示的记录链

在一项正在推进的多中心临床试验中，申办方的质控团队在抽查现场监查报告或供应商台账时，常会遇到这类突发情形：某些主要试验中心入驻了此前未报备的现场管理组织（SMO），中心实验室将部分特殊生物标志物样本转运给第三方检测所，或者受托的临床试验合同研究组织（CRO）将数据录入与影像独立评估任务外包给了区域协作团队。当主CRO轻描淡写地表示“这是我们的内部常规协作资源”时，一旦遭遇国家药监局（NMPA）核查中心（CFDI）、美国FDA或欧盟EMA的注册现场核查，核查员往往会直击要害：“这家分包单位的法律实体是谁？申办方何时签署的知情同意与事先批准？合同中的GCP责任如何下穿？持续监督的证据保存在试验主文件（TMF）的哪一章节？”

CRO将已经受托的临床试验任务向下再分包时，申办者必须清醒认识到：监管机关现场要求查验的是一条连续、真实、可闭环倒查的供应商准入与职责履职记录链，而不是任何一部法规里编好号的固定清单。面对多法域的跨国临床开发，申办方必须首先明确四项核心法规与指南的硬性边界：

• 中国2026版GCP第36条：由国家药监局等四部门发布的2026年第50号公告明确规定，申办者可以将其临床试验的部分或者全部工作任务委托给合格的服务供应商，但应当对服务供应商及其进一步分包的活动进行监督和管理，并承担最终责任。受委托方如存在任务转包，应当事先获得申办者的书面同意。

• ICH E6(R3)准则第3.6节与附录C：2025年1月发布的E6(R3) Step 4文件明确，申办者可按适用法规转移工作任务，但受试者保护与数据可靠性的总体责任不可转移；申办者必须对包括进一步分包在内的重要试验活动保持适当监督，并将协议文本、供应商选择与评估记录、持续监督记录列为必备记录（Essential Records）。但E6(R3)国际指南本身并未将‘事先同意’写成全球统一的硬性前置审批词条。

• 美国FDA 21 CFR 312.52法规：该条款仅规范申办者向CRO的书面义务转移（Transfer of Obligations）；未在书面协议中明确罗列转移的法定义务，法律上一律推定由申办者保留。条文本身并未直接设定CRO继续向下分包的具体审批程序，申办者对分包商的穿透监督要求源于FDA的监查指南与审评检查实践。

• 欧盟临床试验条例（CTR 536/2014）第71条：申办者可通过书面合同将任务委托给任何第三方，但委托绝不影响申办者的法定义务与最终责任。欧盟官方问答明确委托任务必须在书面合同中逐一详列，且不可借此减免申办方合规责任。

结合上述法域规则，申办者在面对CRO再分包时，后台档案必须随时能够指向并出示以下一组按已核对条文归组的记录：

1. 下游分包商真实身份与职责分工表（Vendor Identification & Delegation Matrix）：清晰列明每个下游实体的法定名称、企业代码、服务范围、承担方案的具体章节及现场对接人，严禁以‘CRO内部团队’为名隐匿第三方主体。

2. 逐项出具的事先书面同意凭证（Prior Written Consent）：中国境内试验必须具备申办者授权代表签署的事先审批单、同意函或合同附件，载明同意分包的具体任务与准入前提。

3. 活动开始前签署的穿透式服务协议（Back-to-Back Agreement）：主CRO与分包商之间订立的书面合同，必须明确下穿GCP合规承诺、质量标准、申办者及监管机构的直接稽查权与检查权。

4. 供应商准入资质与适宜性评估记录（Vendor Qualification & Assessment）：覆盖分包商法人资质、实验室认证（如ISO 15189/CMA/CAP）、计算机化系统验证文件、人员GCP与方案培训记录等准入评估档案。

5. 穿透式日常监督与指标审查证据（Active Oversight Artifacts）：申办者实际调阅分包商SOP的记录、定期审阅的关键质量指标（KRI/KPI）、联合监查记录、稽查报告及偏差纠正与预防措施（CAPA）跟进闭环记录。

6. 协议重大变更的同步更新备忘录（Contract Amendment & Scope Updates）：试验进程中若分包任务、检测方法、服务期限或关键人员发生重大变化，必须具备对应的补充协议与重新书面确认文件。

7. 必备记录保存书面告知与源数据查阅授权（Records Retention & Direct Access）：书面告知分包商必备记录法定保存期限的文件，以及在分包协议中明确保障监管员与稽查员直接查阅原始数据与审计追踪的授权条款。

flowchart TD
    A["主CRO拟将已受托任务再分包"] --> B["评估分包商适宜性并留下记录"]
    B --> C["中国境内试验：活动开始前取得申办者书面同意"]
    C --> D["协议写明方案与GCP承诺、查阅权和检查权"]
    D --> E["按风险调阅SOP、绩效指标和沟通记录"]
    E --> F["同意、协议、评估和监督记录归入试验主文件"]
    F --> G{"样本或数据是否进入人类遗传资源路径"}
    G -- "国际科学研究合作行政许可" --> H["按第46条判断许可变更，按第47条判断书面说明"]
    G -- "上市许可试验备案且材料不出境" --> I["按第53条判断备案变更或书面说明；探索性研究部分看第32条"]
    G -- "不接触人类遗传资源材料或信息" --> J["不因分包本身自动向科技部申请变更"]

先分清监管要求、合同条款和商业假设

在临床研发实际外包管理中，许多申办方项目团队之所以在检查中陷入被动，往往是因为混淆了三个截然不同层面的规则：监管法规要求的法定底线、民商事合同中的约定条款，以及未经实证检验的商业假设。只有将这三者严格切分，才能建立牢固的质量防御体系。

第一层：监管法规要求的法定底线（Regulatory Mandates）。这是药品监督管理部门对申办者设定的刚性法定义务。中国2026版GCP第32条明确确立：‘申办者作为临床试验相关活动的最终责任人，应当把保护试验参与者的权益和安全以及数据的可靠性作为临床试验的基本考虑。’无论申办者在主服务协议（MSA）或工作任务书（SOW）中如何将日常监查、数据管理、中心实验室检测等具体职责转委托给CRO，在药监局和伦理委员会眼里，申办者永远是承担试验终极法律责任的主体。对试验参与者权益、安全和数据可靠性的最终责任留在申办者。合同把这些监管责任全部转给CRO或分包商，不能用来对抗药品监督管理部门的检查结论和注册决定。

第二层：民商事合同中的约定条款（Contractual Provisions）。这是申办者与CRO、以及CRO与分包商之间依据合同法订立的民事权利义务。例如合同中约定的单方解除权、分包审批时限、背对背违约赔偿、第三人侵权追偿机制、知识产权归属等。部分法律界解读常引用《中华人民共和国民法典》第923条关于转委托的规定（受托人经委托人同意可以转委托；转委托未经同意或者追认的，受托人应当对转委托的第三人的行为承担责任）以及第929条关于有偿委托受托人过错赔偿责任的规则。需要特别强调的是：民法典下的民事违约追偿与连带责任属于私法救济手段，它解决的是企业之间的内部经济损失分摊问题，绝不能用来对抗药监机构的行政处罚或注册否决。如果某分包实验室因严重弄虚作假导致注册申报数据被认定为不可靠，申办者即便在民事诉讼中赢得对CRO的全额赔偿，该药品的注册申请依然会被依法拒绝，相关违法记录亦无法撤销。

第三层：未经核实的商业假设（Unverified Commercial Assumptions）。这是申办方在项目运作中最容易滋生惰性的盲区。典型的商业假设包括：“这家主CRO是跨国知名大牌，他们筛选的分包商肯定经过了严苛的内部审计”、“分包商是CRO的长期战略伙伴，我们不需要重复索要人员培训和验证档案”、“我们在每月项目协调例会上听取了分包进展汇报，就等于申办者已经同意并监督过了”。检查时要看能够出示的记录。在监管稽查员面前，品牌背书和口头共识无法替代真实的评估报告、盖章的同意文书和归档的SOP审阅痕迹。

中国条文：第36条的书面同意，以及核查要点里的同意

2026年5月21日，国家药监局、国家卫生健康委、国家中医药局、国家疾控局联合签署2026年第50号公告，正式发布《药物临床试验质量管理规范（2026年修订）》，网页于2026年6月8日公开发布，并于2026年9月1日起全面施行，原2020年第57号公告同时废止。深入剖析2026版GCP，其在受托服务管理上的修订力度十分显著。

将2026版GCP第36条与2020版第33条逐字对照，可以看到三个关键质控升级：

• 适用主体全面扩容：2020版第33条条文限定为“合同研究组织”，而2026版第36条第（一）项全面调整为“合格的服务供应商（Service Providers）”。这意味着无论是全功能CRO、专业SMO、第三方数据管理中心、中心实验室、患者招募机构、智能随访软件提供商还是冷链物流公司，只要承担申办者的试验任务，全部纳入受托管理范畴。

• 转包审批程序升级为事先书面同意：2020版第33条第（二）项规定“合同研究组织如存在任务转包，应当获得申办者的书面批准”；2026版第36条明确升级为：“受委托方如存在任务转包，应当事先获得申办者的书面同意。”这一改动彻底堵死了“先转包干活、后补签备案”的违规操作空间，必须在分包行为实际发生前完成书面授权。

• 监督范围明确延展至下游分包：2026版第36条第（一）项不仅要求监督服务供应商本身，更在条文中白纸黑字写明：“应当对服务供应商及其进一步分包的活动进行监督和管理，并承担最终责任。”这一规定确立了法定的‘穿透式监督’要求，申办方不能以‘分包商由CRO全权管理’为由切断监管责任视线。

此外，2026版GCP第36条第（二）项要求，在临床试验活动开始前，申办者必须与主要研究者、机构及其委托的服务供应商等所有相关方签订临床试验合同，明确各方角色、责任、权利和义务，并防范潜在利益冲突；第（三）项更是确立了“穿透适用原则”——本规范中对申办者的要求，适用于承担申办者相关工作任务的服务供应商。第37条对承担生物样品检测分析的第三方实验室设定了全流程质量控制底线（样品运送、储存、检测分析至销毁），严禁检测与伦理方案无关的指标；第48条第（五）项与第49条则要求申办方必须书面告知供应商记录保存年限，并在协议中锁定源数据与计算机系统的直接查阅权。

与规范正文相呼应，四部门发布的官方问答从执法法理层面进行了权威释疑：官方问答把2026版GCP定为规范性文件：它指导监管部门、申办者、药物临床试验机构及其他接受委托的机构开展工作，并作为监管执法依据。同一份问答写明，药监局参与E6(R3)协调，并于2026年3月31日后全面实施。问答强调，本次修订与E6(R3)基本原则保持一致；为了保持中国GCP条文作为监管红线的凝练性，E6(R3)中的操作细则、建议性做法和理念性描述未直接抄入正文，相关执行细则参照E6(R3)中文版执行。问答明确澄清，规范正文删去原有的试验方案、研究者手册和必备文件管理三章，绝不意味着监管机构不再核查这些内容，而是统一参照E6(R3)中文版的相关要求开展核查，业界切不可产生“取消章节即取消监管要求”的严重误判。

值得临床合规专业人员高度关注的是，国家药监局核查中心（CFDI）于2026年8月31日发布了《药品注册核查要点与判定原则（药物临床试验）（2026年修订）》。该通告明确，对自2026年9月1日起开展的新药物临床试验（以临床试验机构首例受试者签署知情同意书为界），注册核查全面执行2026版新要点。在核查要点正文的合同核查项中，关于供应商转包的文字表述为：“受委托的服务供应商如有必要进行任务转包，事先获得申办者同意。”同一核查项还写明：主要研究者和临床试验机构如确需委托机构以外的单位承担职责和功能，事先获得申办者同意。这两句都用“同意”，但它们对应的GCP条文不同。

这里出现了一个值得推敲的文书用词细节：服务供应商转包这一句，核查要点用的是“事先获得申办者同意”，GCP第36条用的是“事先获得申办者的书面同意”。机构和研究者委托机构外单位这一句，对应的是GCP第20条，第20条本身写的就是“事先获得申办者同意”，没有写“书面”。不能用核查要点里的“同意”把第36条的书面要求读掉，也不能把第36条的书面要求套到第20条的机构外委托上。公开文本没有定义盖章函、逐项批准和可追溯的电子邮件是否都算第36条的书面同意；口头同意不能满足“书面”。

E6(R3)：协议、监督记录和附录2的生效边界

在多区域临床试验（MRCT）与创新药出海开发中，申办方必须同步对标国际协调标准。2025年1月6日，ICH大会正式发布E6(R3)第4阶段（Step 4）指导原则。E6(R3)对试验任务委托与服务供应商治理提出了更加系统化、生命周期化的监管预期。

E6(R3)原则10，以及附录1第3.6节。该节标题是Agreements（协议），不是Service Providers。选择、监督和进一步分包都写在这一节里，第3.9节则把选择和监督服务供应商列为申办者监督的基本内容。和再分包直接相关的要求可以分成三组：

• 协议前置与承诺绑定（Section 3.6.1 - 3.6.4）：第3.6.1条和第3.6.2条使用的是应当：协议在活动开始前形成书面文件，活动有重大变化时更新。第3.6.3条要求申办者取得研究者、机构以及适用时服务供应商的承诺，包括按批准方案和GCP实施、遵守数据记录与报告程序、按适用监管要求或直至申办者告知不再需要时为止保存必备记录（以较长者为准），并允许申办者监查、稽查和国内外监管机构检查，包括直接查阅源记录。第3.6.4条规定，转移到服务供应商并由其承担的活动应写入协议；没有明确转移并承担的活动仍由申办者保留。

• 能力准入与穿透监督（Section 3.6.6 - 3.6.10）：申办者负责对服务供应商进行审慎的选择与适宜性评估，并应当能够获取服务供应商的SOP和绩效指标，供选择和监督使用。第3.6.9条特别强调：“The sponsor should ensure appropriate oversight of important trial-related activities that are transferred to service providers, including activities further subcontracted by the service provider.”中文可概括为：申办者应当对转移出去的重要试验活动保持适当监督，包括服务供应商进一步分包的活动。这表明国际监管界同样确立了穿透至再分包层的监督理念。

• 全过程留痕与必备记录归档（Appendix C）：附录C的必备记录表说明：这些试验记录如果产生，就属于必备记录并应保存。其中一行是相关方签署的协议，例子包括申办者与服务供应商、研究者或机构与服务供应商。下一行是“Documentation of selection, assessment and oversight of service providers conducting important trial-related activities”（对承担重要试验活动的服务供应商的选择、评估和监督记录）。评估（assessment）一项带有星号，通常应在试验开始前就位。指南没有把遴选打分表、每日绩效或稽查报告规定成唯一格式。完全没有选择、评估和监督记录，才构成这一行必备记录的缺口。

值得客观澄清的是，ICH E6(R3)并没有像中国GCP第36条那样将再分包‘必须事先书面同意’设立为全球统一的刚性词条。E6(R3)更强调以风险为导向（Risk-Based Approach）的‘适当监督（Appropriate Oversight）’。但在跨国监管互认与双轨合规背景下，中国申办者在出海项目中若将中国数据向全球递交，或在中国境内运行全球试验的中国分支，遵守中国规范的“事先书面同意”不仅能满足国内NMPA检查，可以落成附录C所列举的协议和监督记录。指南没有写明FDA或EMA必须把中国的事先书面同意当成已经足够的监督证据。

在E6(R3)的落地时间表上，业界必须严格区分原则（Principles）、附录1（Annex 1）与附录2（Annex 2）在不同法域的生效状态，避免时间线错位：

• 附录2（Annex 2）最新进展：附录2关注纳入去中心化要素、实用型要素（pragmatic elements）和/或真实世界数据的试验，已于2026年6月3日正式到达ICH Step 4阶段。附录2再次强调申办者对服务供应商的监督义务及必备记录的完整性，并指向附录1第3.9节、第3.10节、第3.11节和附录C。

• 欧盟生效时间线：欧盟委员会ACT EU页面确认，E6(R3)原则与附录1已于2025年7月23日起在欧盟全面适用；而新发布的附录2则设定了过渡期，将于2027年1月15日在欧盟正式生效。

• 美国FDA实施边界：FDA于2025年9月9日在联邦公报（90 FR 43460）发布行业指南可用通告（Docket No. FDA-2023-D-1955）。需要特别澄清：该通告宣布生效的最终指南仅涵盖原则文件与附录1，且其法律效力为非强制约束性建议（Non-binding Recommendations）；通告中明确注明附录2当时仍处于草案阶段。截至2026年9月，该通告不能作为FDA已将附录2正式落地为最终指南的证据。

美国和欧盟：未写入的义务留在申办者

对于开展中美双报或欧洲临床试验的出海药企而言，厘清欧美法律体系对分包和委托的具体规制，有助于在海外合同谈判中掌握主动权。

美国FDA：21 CFR 312.52与风险监查指南。美国联邦法规21 CFR 312.52是监管申办者与CRO关系的基石条款。该条第(a)款规定，申办者可将21 CFR第312部分规定的任何或全部义务转移给CRO，但转移必须以书面形式明确描述。若进行部分转移，必须逐条详尽列明CRO承担的具体职责；若进行全部转移，可作出总括性陈述。该条文最核心的法理在于：“任何未在书面描述中明确覆盖的法定义务，法律上一律视为未发生转移，继续由申办者全部承担。”第(b)款则明确，承担了转移义务的CRO在法律上须遵守相应的联邦法规，并因未履行所承担义务承受与申办者相同的监管措施。条文没有逐一列举Form FDA 483或警告信。

需要审慎辨析的是：21 CFR 312.52规范的法域关系仅存在于‘申办者向主CRO’的单向法定转移，该条文本身并没有直接规制主CRO再向下游分包的民商事行为。那么，申办者对再分包的监督责任来自何处？这源于FDA发布的行业指南《临床试验监督——以风险为基础的监查方法》（Risk-Based Monitoring Guidance）第III.C节。该指南作为权威监管建议指出：即使申办者依据312.52将现场监查等具体任务委托给了CRO，申办者依然保留对CRO履职质量的终极监督责任。指南举例说明，申办者应通过定期审阅监查报告、考核供应商绩效和质量指标、以及保存双方就监查发现所做的书面沟通记录，来持续评估CRO的合规表现。指南没有把主CRO再使用监查分包团队写成一个独立的违法构成，也没有规定检查员必须使用某一句缺陷标题。它能支持的是：监查责任可以书面转移，对CRO已完成工作的监督责任仍在申办者。

欧盟：CTR 536/2014条例第71条与欧盟委员会问答。在欧盟法域，自2022年1月31日起适用的《欧盟临床试验条例》（Regulation (EU) No 536/2014）第71条构成了委托管理的法律依据。该条规定，临床试验可以设有一个或多个申办者；申办者可以通过书面合同将任何或全部任务委托给个人、公司、机构或组织；但条例斩钉截铁地明确：“任务的委托绝不影响申办者的法定义务与法律责任，尤其是保障受试者安全以及试验数据可靠性与稳健性的责任。”

欧盟委员会《临床试验条例问答》7.2版于2026年3月27日公布，由临床试验协调咨询小组（Clinical Trials Coordination and Advisory Group）以书面程序认可。问答5.4在第59页，下一问5.5才从第60页开始。问答说明条例不限制委托范围，甚至可以覆盖全部申办者任务；存在委托时，申办者仍对试验实施和最终数据符合536/2014号条例承担最终责任，上市申请时还涉及2001/83/EC指令。委托给第三方的任务应写入申办者与该第三方的书面合同，并在相关时向研究者说明。

记录对照表：文件、依据、存放位置和检查时怎么用

为了让申办方的临床运营、质量保证（QA）及法规事务团队在日常执行与检查准备中有据可依，下表对CRO再分包全生命周期必须形成并留存的核心记录进行了系统化梳理。该表整合了中国2026版GCP、CFDI注册核查要点、ICH E6(R3)附录C、美国21 CFR 312.52及欧盟CTR第71条的对应要求。存放位置是按记录功能做的编辑归组，不是DIA TMF Reference Model的分区编号；各公司应映射到自己的主文件索引。供应商记录通常归入第三方管理，中心实验室归入检测，而不是试验用药品或研究中心分区：

除了药监与法规要求，临床试验机构在实践中对转包的审核也日益严苛。以北京协和医院临床药理研究中心于2026年9月1日发布的《主合同审核要点》为例，该机构直接将2026版GCP第36条关于服务供应商监督、进一步分包和事先书面同意的要求，列入了申办者或CRO职责的重点核对清单。协和要点特别载明：试验过程中申办者转让或分包合同项下内容时，研究机构有权不再入组新的试验参与者，并有权退出该项目；试验结束后转让或分包的，应书面告知主要研究者和临床试验机构，并配合完成交接。课件这一句的主语是申办者，没有把CRO单方分包写成同一句。需要客观指出，北京协和医院的审核要点属于单家顶尖研究机构的内部培训课件与审核惯例（其部分内页页脚仍印有2021年4月1日版本信息），不能将其视为行业法定规范或通用合同模板；但这一实践充分警示申办方：未报备的分包不仅面临药监局核查风险，更可能直接引发核心临床中心的伦理危机与合同违约风险。

样本和数据：先分许可变更还是备案变更

如果CRO的再分包涉及生物样本转运、中心实验室检测、生物信息学分析或临床数据出境，问题便立刻穿透GCP范畴，直接触及中国人类遗传资源监管红线。实践中许多企业常犯的错误，就是不加区分地把所有外包变动统统套用“必须报科技部审批”，或者反过来误以为只要CRO签了字就无需变更。合规的第一步，是严格区隔《人类遗传资源管理条例实施细则》（2023年科技部令第2号发布）下的两条独立路径：

路径一：国际科学研究合作行政许可项目（Administrative Licensing）。适用于涉及外方单位（外资企业或外资控股研发机构）参与的探索性、基础性国际合作科研，或非境内注册上市目的的临床研究。

• 《实施细则》第46条的硬性重大变更范围：已经取得国际科学研究合作行政许可的项目，若发生以下重大事项变更，被许可人必须主动向科技部提出行政许可变更申请：“研究目的、研究内容发生变更，研究方案涉及的人类遗传资源种类、数量、用途发生变更，或者申办方、组长单位、合同研究组织、第三方实验室等其他重大事项发生变更的，被许可人应当向科技部提出变更申请。”在此路径下，变更合同研究组织或第三方实验室属于第46条点名的事项，应提出变更申请。变更获批前，不应按新的单位移交人类遗传资源材料或开展相应检测。第46条点名的是申办方、组长单位、合同研究组织和第三方实验室等其他重大事项，没有单列“中方承担单位”。研究目的、研究内容使用的词是“变更”。

• 《实施细则》第47条的免于申请但须书面说明情形：免于变更申请、但被许可人应向科技部提交书面说明及相应材料的情形包括：研究内容或研究方案不变、仅涉及总量累计不超过获批数量10%的变更；第46条所列合作单位以外的参与单位变更；合作方法人单位名称变更；以及研究内容或研究方案变更，但不涉及人类遗传资源种类、数量、用途变化，或变更后不超出已批准范围。核心CRO和第三方实验室的变更不在这份免申请清单里。

路径二：国际合作临床试验备案项目（Clinical Trial Notification/Filing）。适用于为取得药品或医疗器械在我国上市许可，在临床医疗卫生机构利用我国人类遗传资源，且不涉及人类遗传资源材料出境的国际合作临床试验。第32条还规定，这类试验中的探索性研究部分应当申请国际科学研究合作行政许可，不能因为主试验已经备案，就把新增的探索性检测一并视为备案事项。

• 《实施细则》第51条与第53条的备案变更尺度：第51条规定，申请国际合作临床试验备案，应当事先取得药品监督管理部门的临床试验批件、通知书或者备案登记材料。第53条规范备案后的变更：“国际合作临床试验完成备案后，涉及的人类遗传资源种类、数量、用途发生变更，或者合作方、研究方案、研究内容、研究目的等重大事项发生变更的，备案人应当及时办理备案变更。”研究方案或研究内容的变更若不涉及种类、数量、用途变化，不需要办理备案变更，但应在变更活动开始前提交书面说明及相应材料。

• 避免机械套用第46条清单：关键法律边界在于：绝不能把第46条针对行政许可的‘合同研究组织、第三方实验室’名单，机械照搬到每一项备案类临床试验中；也绝不能将医院层面更换一家提供现场支持的SMO，武断定性为必须向科技部申请行政许可变更。在备案路径下，需要审视该分包商是否构成‘国际合作协议所界定的合作主体’。如果分包商仅受托提供受试者交通协助或纯内部IT运维，且不接触人类遗传资源实物样本与核心基因表型数据，通常不属于科技部层面的人遗重大事项变更；但如果分包商承担了未报备的血样基因检测、样本制备或数据出境托管，则必须严格在活动开展前完成人遗备案变更。

关于超出审批范围违规流转样本的严重法律后果，科技部公布的国科罚〔2018〕1号行政处罚决定书提供了深刻的历史镜鉴。在该案中，阿斯利康投资（中国）有限公司未经许可，将已经获批国际合作项目的剩余生物样本转运至厦门艾德生物医药科技股份有限公司和昆皓睿诚医药研发（北京）有限公司，开展了超出原审批范围的科研活动。科技部依法作出顶格严惩：处罚为警告、没收并销毁违规利用的人类遗传资源材料、撤销国科遗办审字〔2015〕83号和〔2016〕837号两项行政许可，并自决定书送达之日起停止受理其涉及中国人类遗传资源国际合作活动的申请，整改验收合格后再受理。

发现未报分包之后：补正顺序和不能靠文书修复的情形

在临床试验中途，若申办方稽查或日常监查发现主CRO存在未经报备的下游再分包事实，项目团队切不可慌乱隐瞒，亦不可盲目补盖假日期公章进行伪造欺瞒。必须依据风险矩阵，采取有条不紊的合规补正步骤，并准确切分文书可修复与不可逆质量缺陷的边界。

第一步：事实查证与影响边界闭环界定（Fact-Finding & Scoping）。立即启动内部专项调查，由申办方QA牵头调阅涉事分包商的全部工单。重点排查：该分包商何时进场？具体承接了方案哪一章节的任务？涉及哪些研究中心和具体受试者编号？是否接触过受试者原始隐私数据或生物样本实物？是否生成或修改过临床试验终点数据？

第二步：补签书面同意与合同穿透重构（Contractual Remediation）。若经评估该分包商在技术、伦理和法务上具备继续履职资格，申办者应本着实事求是的原则，出具正式的《申办方书面确认与转包同意书》，在文中如实记录同意生效的时点及前期履职情况；同时，要求主CRO与分包商重新签订或补充签署背对背服务协议与质量保证协议，必须白纸黑字将方案合规、直接查阅原始记录权、国内外药监接受检查承诺等关键条款逐一补全，形成合法的合同链条。

第三步：补充适宜性评估与方案偏离记录（Qualification & Protocol Deviation）。补齐对该分包商的全面准入档案审核，包括分包团队核心人员简历、GCP培训证书、软硬件系统验证包（CSV）、质量管理SOP目录等；若必要，申办方QA应立即实施突击现场稽查。同时，将“主CRO未经事先同意分包”作为质量体系偏差（Quality Deviation）或重大方案偏离客观记录入档，启动CAPA纠正预防措施，向CRO发出正式违约警示函。

第四步：试验主文件归档与审计轨迹固化（TMF Archiving & Audit Trail）。将调查报告、补签的书面同意凭证、下穿合同、资质评估报告、CAPA追踪表完整归档至TMF对应章节。坚决杜绝任何篡改原始签署日期的造假行为，所有补救记录必须以当前实际签署时间落款，并附带详细的情况说明备忘录（Note to File, NTF），确保审计轨迹真实可信。

第五步：人类遗传资源合规评估与路径定性（HGR Pathway Assessment）。对照前述人类遗传资源规则，评估是否涉及样本或敏感数据转移。若属于行政许可项目且变更了核心第三方实验室，必须立即向科技部申请许可变更；若属于备案项目且构成重大合作方调整，必须办理备案变更；未完成变更前，涉及样本处理的动作必须坚决暂停。

然而，申办方必须清醒地认识到：文书补正是有限度的，以下四种严重损害受试者权益、生物安全或数据真实性的不可逆情形，绝不可能仅凭补签一份同意书或写几页NTF就能化解：

1. 不可逆情形一：生物样本非法外流或出境。若分包实验室在未取得科技部行政许可或备案变更的前提下，已经实际接收并处置了受试者血液、组织等实体样本，甚至已经将样本测序数据向境外未报备服务器传输。这种违法行为直接触犯国家生物安全法律红线，属于实质性违法，后续补签任何内部GCP同意书均无法阻断行政处罚。

2. 不可逆情形二：数据在无审计追踪的未验证系统中被修改或生成。若分包商使用未经验证、没有完整稽查轨迹或权限管理混乱的计算机化系统，录入、清洗或分析核心疗效与安全性终点数据，例如中心实验室指标或独立盲态影像评分。将用于美国申报的电子记录要满足21 CFR Part 11；Part 11是电子记录和电子签名的法规要求，不是可以购买的认证，也不能替代中国GCP对稽查轨迹和数据可靠性的要求。系统底层原始数据的缺失与篡改风险属于致命的数据可靠性危机（Data Integrity Issue），事后签署纸质合同根本无法自证数据的真实性与原始性，极大概率导致该批数据在注册核查中被整体剔除。

3. 不可逆情形三：严重利益冲突导致试验盲态破坏或中立性丧失。若分包商的股权结构、管理层利益与申办方竞品、试验用药品销售提成、或受试者入组提成挂钩，且参与了盲态维持、随机化分配或独立疗效裁定。CFDI 2026版核查要点明确规定“委托合同中不得有可能影响研究中立性的条款”，中立性的丧失将使试验科学结论被彻底推翻。

4. 不可逆情形四：受试者知情同意权与隐私权益遭受重大侵犯。若分包商直接开展涉及受试者的现场随访、给药支持或家庭访视，但伦理委员会批准的知情同意书（ICF）中从未向受试者告知该第三方的介入，或者分包商擅自收集了超出授权范围的受试者个人敏感健康隐私。这种伦理缺陷直接动摇临床试验合规根基，无法通过申办者与CRO补签商务合同来掩盖。