海外sponsor远程审计中国CDMO：证据包该准备什么、怎么审

中国CDMO承接海外创新药项目的比例在过去三年持续上升，但一个老问题始终绕不过去：海外sponsor的GMP审计怎么做？

疫情时期积累的远程审计经验，现在已经演变为一种常态化的供应商确认手段。PIC/S在2023年发布了PI 057-1《远程评估备忘录》，EMA和FDA也在各自的监管实践中认可远程审计作为现场审计的补充或替代。Crystal Pharmatech的CDMO业务单元CFS曾通过美国客户的4天远程审计，确认其GMP体系符合FDA cGMP、NMPA和EMA的标准——这表明中国CDMO完全可以在远程审计中展示成熟的质量体系。

但远程审计的证据包和现场审计的逻辑不一样。你不可能靠摄像头看完一个厂房，也不可能在视频会议里翻阅批记录。远程审计的核心是：让文件和数据替厂房说话。

远程审计和现场审计的根本区别

现场审计的优势在于 auditor 可以用自己的眼睛看、用自己的鼻子闻、用自己的手摸。你可以随机走进一个房间，看到一个没戴手套的操作员，或者注意到一台设备的校验标签过期。这些"直觉发现"在远程审计中几乎不可能实现。

GMP Journal的分析指出了一个关键原则：远程审计中，auditor 必须主导要看的材料和区域，而不是被动接受被审计方选择展示的内容。 这意味着证据包的准备不能由CDMO单方面决定——sponsor必须在审计前明确列出需要提交的文件清单和虚拟巡视的区域。

PIC/S PI 057-1明确了远程评估的适用场景：

因旅行限制无法进行现场审计时的临时替代
作为风险分级供应商确认策略的一部分
用于常规再审计或跟踪审计

PI 057-1同时指出，远程审计的局限性必须在风险评估中记录，且这些局限性本身也是供应商确认决策的输入。

证据包的七个模块

模块一：厂房与设施虚拟巡视包

这是远程审计最难做好的部分。The FDA Group在2026年Q1的审计趋势报告中指出，在中国的生物制品/ADC CDMO审计中发现了不完整的污染控制策略——灌装区域的压差配置不寻常且缺乏基于风险的论证。这类发现在远程审计中需要通过以下方式弥补：

虚拟巡视录像要求：

提前录制的厂房视频，由auditor指定路线和重点区域，不是CDMO自己选的"最好看的"路线
视频必须覆盖从物料入口到成品出口的完整物流路径
无菌灌装区域必须展示Grade A/B背景环境、压差表的实时读数、人员更衣流程
HVAC系统的空气处理机组房必须纳入视频范围
视频中必须包含关键仪表的校验标签特写

平面图和布局图：

带房间编号的厂区平面图（标注洁净级别、压差梯度方向）
设备布局图（标注产品接触设备、公用系统接口）
人员流和物料流图示

The FDA Group的审计还发现一家细胞库制造设施的问题：液态灌装洁净室按Grade A / Grade C背景建造，不符合Annex 1对无菌工艺要求Grade A / Grade B背景的要求。这种设计缺陷在现场审计中一目了然，远程审计时只能靠平面图和视频对比来判断。

模块二：质量体系核心文件

远程审计中文件审查占的时间比例远高于现场审计。以下文件必须在审计前至少5个工作日提交给auditor预审：

质量体系层面：

质量手册（当前版本）
年度产品质量回顾（APR/PQR）最近两年
偏差和CAPA清单（最近12个月，含状态、关闭时间、有效性检查结果）
变更控制清单（最近12个月，含变更分类、影响评估）
内部审计计划和报告（最近一次完整周期）
管理评审记录和决议

药品GMP合规层面：

GMP证书/许可证副本
最近一次监管机构检查报告（含回复和CAPA）
环境监测趋势数据（最近12个月）
水系统监测趋势数据
培训体系和关键人员资质记录

模块三：数据完整性证据

数据完整性是FDA和EMA在中国审计中最常见的发现项。远程审计中对数据完整性的验证需要更系统的文件支持：

计算机化系统：

关键计算机化系统清单（LIMS、MES、ERP、色谱数据系统CDS）
每个系统的用户访问权限矩阵
审计追踪（audit trail）审查记录和程序
21 CFR Part 11 / EU GMP Annex 11合规评估
电子签名和电子记录的验证状态

色谱数据审查：

随机抽取5-10批产品的色谱原始数据
包含完整的进针序列、积分参数、重新积分记录
审计追踪导出报告（显示是否有数据被删除、修改或重新处理）

实验室笔记本和记录：

纸质记录的扫描件（随机抽取）
同步记录的证据（时间戳、签字日期）

EMA的GMP问答文件（2025年4月更新）明确指出，审计报告必须包含完整细节，包括被审计方的回复、缺陷关闭的指示和承诺。远程审计时，sponsor需要确保证据包中有足够的数据完整性证据来弥补无法现场抽查原始记录的缺陷。

模块四：特定产品文件

如果审计是围绕特定产品/项目进行的，证据包需要包含：

批生产记录（最近3批，含所有中间控制和成品检验记录）
工艺验证报告（PPQ方案和报告）
分析方法验证报告
偏差调查报告（与该项目相关的）
稳定性研究方案和数据汇总
起始物料和包材供应商确认文件
技术转移方案和报告（如果适用）

模块五：供应链和分包商管理

中国CDMO经常使用分包商（如起始物料供应商、合同灭菌、合同检验实验室等）。IntuitionLabs的分析指出，质量协议必须明确授予sponsor或其第三方审计师在现场审计期间的审计权利。

远程审计时需要额外关注：

分包商清单和确认状态
分包商的GMP合规证据（证书、审计报告摘要）
供应链变更通知程序（sponsor是否被及时通知）
物料追溯链（从起始物料到成品的完整追溯）

模块六：纠正和预防措施（CAPA）体系

远程审计中评估CAPA体系的有效性，比现场审计更需要结构化的数据：

开放CAPA清单（按年龄排序，超过6个月未关闭的要重点审查）
CAPA有效性检查记录
重复偏差/重复CAPA的分析
CAPA关闭的证据链（root cause分析、纠正措施、预防措施、有效性验证）

模块七：审计远程技术保障

这个模块容易被忽略，但对审计执行至关重要：

视频会议平台确认（安全性、稳定性、录像功能）
文件共享平台确认（权限控制、版本控制、保密协议）
CDMO端指定的联系人（确保各功能区域有SME在场）
时区安排（中国和海外的时差必须合理分配）
网络和设备测试（提前至少48小时完成技术检查）

以下表格汇总了七个证据模块在远程审计中的核心要求、常见问题和评估要点：

模块	核心提交物	常见问题	评估要点
厂房与设施	视频+平面图	视频经过剪辑、路线不全	auditor必须控制巡视路线
质量体系	质量手册+偏差/CAPA清单	只提供摘要不提供原始记录	偏差数量与质量声明匹配
数据完整性	色谱数据+审计追踪	审计追踪有大段删除	21 CFR Part 11合规性
特定产品	批记录+验证报告	批记录选页提交	完整性和可追溯性
供应链	分包商清单+确认文件	分包商遗漏	变更通知是否及时
CAPA体系	开放CAPA+有效性记录	突击关闭历史CAPA	有效性检查是否有数据支撑
技术保障	平台+设备清单	网络不稳定、时区不合理	提前48小时技术测试

中国CDMO远程审计的常见坑

坑一：文件只提供摘要不提供原始记录

一些CDMO习惯性地只提供偏差摘要表或CAPA状态汇总表，不提供完整的调查报告和原始数据。远程审计中sponsor必须明确要求原始记录，包括但不限于：偏差调查的完整时间线、root cause分析的过程记录、CAPA执行的具体证据。

坑二：虚拟巡视变成宣传片

提前录制的视频如果过于"精美"，反而是一个危险信号。Auditor应该要求看到完整的、不间断的厂房巡视视频，而不是经过剪辑的"精华版"。实时的视频巡厂也要注意：auditor必须控制路线，不允许CDMO只在"准备好了"的区域展示。

坑三：语言和翻译问题

中国CDMO的文件体系可能是中英双语的，但关键文件（偏差报告、CAPA、变更控制）可能只有中文版。审计前必须确认：哪些文件有英文翻译，翻译的准确性如何。不能因为语言问题导致auditor无法审查关键证据。

坑四：忽略监管机构的检查历史

NMPA的检查结果不一定对外公开，但FDA的Warning Letter和483是公开的。审计前必须检索CDMO及其关联公司在FDA数据库中的检查历史。如果CDMO从未接受过FDA或EU监管机构的检查，远程审计的证据要求应该更严格。

坑五：把远程审计当作一次性活动

PIC/S PI 057-1建议，当远程审计的局限性无法充分评估风险时，应安排后续的现场审计。这意味着远程审计不应被视为"免现场审计"的永久方案。对于高风险供应商（无菌制剂、生物制品、ATMP），远程审计应该是现场审计的过渡或补充，而不是替代。

远程审计的证据包检查清单

以下是一份供sponsor QA团队使用的证据包预审清单：

提交前检查（CDMO完成）：

所有文件为当前有效版本
批记录完整（不是选页）
色谱数据包含审计追踪导出
偏差调查报告包含root cause分析（不只是描述现象）
CAPA有有效性检查结果
环境监测数据覆盖12个月趋势
视频拍摄路线由auditor确认
关键文件有英文翻译（或安排翻译）

收到后检查（Sponsor QA完成）：

文件版本号和日期一致
偏差数量和严重程度与CDMO声明的质量状态匹配
CAPA关闭时效合理（不应全部在审计前突击关闭）
审计追踪没有大段数据删除的记录
人员培训记录与实际操作岗位匹配
设备校验在有效期内
分包商清单完整，没有遗漏

远程审计结束后的风险评估

审计完成后，sponsor需要形成一份书面的风险评估报告，记录：

远程审计中无法验证的项目清单
这些局限性对供应商确认决策的影响
是否需要后续现场审计及时间安排
风险降低措施（如增加远程审计频次、要求特定文件的定期提交等）

风险评分矩阵的构建

PIC/S PE 009-17的供应商确认要求（第5.27-5.29条）明确规定，对供应商的确认必须基于风险评估，监督力度应与风险相匹配。远程审计的局限性本身就是一个风险因素，必须在评估中体现。

以下风险评分矩阵可以帮助sponsor量化远程审计的风险等级：

风险维度	高风险 (3分)	中风险 (2分)	低风险 (1分)
产品类型	无菌制剂/ATMP	口服固体制剂	原料药中间体
CDMO检查历史	从未接受FDA/EMA检查	有检查但含重大发现项	最近检查无重大发现
数据完整性	发现过审计追踪异常	无历史异常但系统老旧	系统完善，审计追踪健全
分包商复杂度	超过3个关键分包商	1-3个关键分包商	无分包商
远程审计覆盖率	低于60%关键区域	60-80%关键区域	超过80%关键区域

评分超过12分的供应商应安排后续现场审计，8-12分可以通过增加远程审计频次来降低风险。

远程与现场审计的渐进式组合

就实际经验而言，远程审计做得好不好，取决于sponsor在审计前花了多少时间准备。一个结构清晰的证据包、一个auditor主导的虚拟巡厂路线、一份诚实的文件提交——这三样东西比任何视频会议技术都重要。

行业框架参考： NSF（National Science Foundation）开发了一个四步远程审计方法：风险评估→远程PQS审查→远程审计（含SME视频会议）→现场补充审计。这个渐进式框架适用于高风险供应商——先用远程方式完成大部分审查，再用缩短的现场审计弥补远程方式的局限。对于中国CDMO，如果travel budget有限，这种渐进式方法比一次性远程审计更稳健。

远程审计与现场审计的对比分析

将两种审计方式做一个系统对比，有助于sponsor在资源分配时做出合理判断。2025年FDA的GMP审计数据显示，海外检查次数恢复到约1,500次/年（接近2019年的1,627次水平），但中国区域的FDA检查仍然面临签证和行程安排的挑战。远程审计在这些场景下提供了有效的替代方案。

以下表格从多个维度对比了远程审计和现场审计的特点：

对比维度	远程审计	现场审计
准备时间	3-4周（证据包准备）	1-2周（行程安排）
执行时间	2-4天	3-5天
旅行成本	无	约$5,000-$15,000/次
厂房设施评估	受限（依赖视频和照片）	直接观察
文件审查深度	可以更系统（提前预审）	受限于现场时间
人员访谈	通过视频会议	面对面，观察更自然
环境监测验证	只能看趋势数据报告	可以现场抽查原始记录
适用场景	常规再审计、低-中风险供应商	高风险供应商、首次确认
后续跟进	需要补充现场审计	可直接形成确认报告

从我们的实践经验来看，大约70%的常规再审计可以完全通过远程方式完成。但对于首次确认的供应商，尤其是无菌制剂或生物制品CDMO，远程审计应该作为现场审计的前置步骤，而不是替代。

常见问题解答

远程审计的有效性和现场审计等同吗？

不完全等同。PIC/S PI 057-1明确指出远程审计有其局限性，主要体现在厂房设施的直观感受、人员的非正式访谈以及原始记录的现场随机抽查。但在文件审查的深度和完整性上，远程审计反而可以做得更彻底——因为auditor有更多时间预审文件，而不是在现场匆匆翻阅。从合规角度，监管机构认可远程审计作为供应商确认的一部分，但高风险供应商仍需现场审计作为补充。

远程审计前CDMO需要准备多长时间？

一般建议至少3-4周。证据包的准备涉及多个部门（质量、生产、工程、IT），收集和翻译文件需要时间。Crystal Pharmatech在2026年初通过的4天远程审计，其准备周期大约为4周。如果CDMO之前没有接受过远程审计，第一次准备时间可能更长——需要培训人员如何使用视频设备进行虚拟巡厂、如何准备电子文件包等。时区协调也需要提前安排，中国和美国的时差约12-16小时，合理分配会议时间对审计效率影响很大。

中国CDMO的文件需要翻译成英文吗？

关键文件必须有英文版本。FDA和EMA的auditor通常不具备阅读中文文件的能力。但不是所有文件都需要全文翻译——偏差汇总表、CAPA状态表、设备清单等可以用中英双语表格呈现；完整的偏差调查报告、批记录等则需要英文翻译。实务建议是：审计前与auditor确认哪些文件需要翻译，避免不必要的翻译工作量。翻译成本大约占审计准备总成本的15-25%。

远程审计如何验证数据完整性？

数据完整性的远程验证需要更结构化的方法。auditor通常要求CDMO在审计期间实时共享屏幕，展示LIMS或色谱数据系统的操作——包括登录过程、审计追踪查看、数据检索和导出。这种方式可以验证系统的访问控制是否有效、审计追踪功能是否启用。同时，auditor会要求导出审计追踪报告进行离线审查，检查是否有大段数据删除或修改的痕迹。The FDA Group 2026年Q1的审计趋势报告显示，约40%的中国CDMO审计中发现了数据完整性相关的观察项。

虚拟巡厂的视频应该怎么拍？

视频必须由auditor指定路线，而不是CDMO自行选择展示区域。具体要求包括：从物料入口到成品出口的完整物流路径、每个洁净区的压差表实时读数、关键设备的校验标签特写、HVAC机组房的空气处理设备。视频应该连续拍摄、不经过剪辑，时长通常在60-90分钟。如果CDMO提供的视频经过精心剪辑，反而是一个危险信号。部分auditor还会要求在审计期间进行实时视频巡厂，以弥补录制视频可能遗漏的细节。

远程审计发现重大缺陷后应该怎么办？

处理流程与现场审计发现缺陷后基本一致。首先，auditor在审计结束会议上提出观察项和缺陷。CDMO需要在约定的时间内（通常15-30个工作日）提交CAPA计划，包括root cause分析、纠正措施、预防措施和预计完成时间。sponsor的QA团队审核CAPA计划的可行性，并跟踪执行进度。如果缺陷涉及产品安全性（如数据完整性严重不足、无菌保证失效），sponsor应立即评估对已生产批次的影响，并考虑暂停新的生产批次放行，直到CAPA关闭且经过有效性验证。

参考资源

PIC/S. PI 057-1: Remote Evaluation Memorandum. 2023. https://www.picscheme.org/en/publications
EU GMP Annex 1 (Manufacture of Sterile Medicinal Products). https://health.ec.europa.eu/system/files/2022-08/gmp-an1_en.pdf
FDA Group. GMP Audit Trends Report Q1 2026. https://thefdagroup.com
Crystal Pharmatech CFS. Remote Audit Success Announcement. 2026. https://www.crystalpharmatech.com
GMP Journal. Remote GMP Audit Best Practices. https://www.gmp-journal.com
EMA. GMP Q&A (Updated April 2025). https://www.ema.europa.eu/en/human-regulatory-overview/post-authorisation/pharmacovigilance/good-manufacturing-practice
IntuitionLabs. Pharma Tech Transfer: R&D to CDMO Process. https://intuitionlabs.ai/articles/pharma-tech-transfer-cdmo-guide

本文仅供信息参考，不构成法规或质量体系建议。具体的远程审计策略应根据供应商风险等级和目标市场的法规要求咨询专业法规顾问。