供应商审计（四）：如何审核确认与验证

不管是内部审核（自检），还是外部审核（监督检查、认证审核、供应商审核），确认与验证时，需要被审核方提供《验证总计划》。如果有了验证总计划，就可简单明了的知道组织策划了哪些验证项目。《药品生产质量管理规范（2010年修订）》第一百四十五条，明确要求“企业应当制定验证总计划，以文件形式说明确认与验证工作的关键信息”。所以，对于确认与验证的审核，首先就要查看《验证总计划》。

(资料图)

《药品生产质量管理规范（2010年修订）第一百三十九条，明确要求“企业的厂房、设施、设备和检验仪器应当经过确认”,即要对厂房、设施、设备和检验仪器等进行确认。同时，《药品生产质量管理规范（2010年修订）第一百三十九条，明确要求“应当采用经过验证的生产工艺、操作规程和检验方法进行生产、操作和检验，并保持持续的验证状态”。第一百四十条，明确要求“工艺验证应当证明一个生产工艺按照规定的工艺参数能够持续生产出符合预定用途和注册要求的产品”。第一百四十一条，明确要求“采用新的生产处方或生产工艺前，应当验证其常规生产的适用性”。第一百四十三条，明确要求“清洁方法应当经过验证，证实其清洁的效果，以有效防止污染和交叉污染”。即要对生产工艺、操作规程、检验方法、工艺、生产处方、清洁方法等进行验证。

常见的验证有：计算机系统的验证、检验方法的验证、清洁方法的验证、工艺验证……

对于确认和验证相关的术语，这里简单作一介绍，这是不同的文件，术语不同。比如《药品生产质量管理规范（2010年修订）》中的确认是“证明厂房、设施、设备能正确运行并可达到预期结果的一系列活动”。这里的确认的英语单词是“Qualification”，即具备某种资格。验证是“证明任何操作规程（或方法）、生产工艺或系统能够达到预期结果的一系列活动”。这里的验证的英语单词是“Validation”。《食品安全管理体系 供应链中各类组织的要求 GB/T 22000-2006 /ISO 22000:2005》中的确认是“获取证据以证实由HACCP计划和操作性前提方案安排的控制措施有效”，这里的确认的英语单词是“Validation”。验证是“通过提供客观证据对规定要求已得到满足的认定”。这里的验证的英语单词是“Verification”。故，审核“确认和验证”部分时，一定要区分被审核方是按照什么标准建立的验证管理体系。

对于计算机系统或者计算机化系统的验证，很多企业还是不够完 美。这与国内大部分企业IT团队能力过弱有关。大家都知道，IT能力强的话，要么去与计算机有关的行业，要么去大公司了。相对其他行业来说，即使专门的软件提供方，计算机确认和验证都比较弱。

检验方法的验证，因为专业性比较强，很多企业也做得不好。即使简单的化验室灭菌器灭菌效果确认，曾经待过的两家制药相关企业，都是我提供的方案。至于其他的确认与验证，就不用说了。比如微生物检验培养基适用性试验，很多化验室就不会做或者没有做。比如原子吸收确认，我曾经代管化验室时，建立了相关的方案，并组织实施……还有很多需要确认和验证的内容，这里不一一列出了。

工艺验证，看起来过程很复杂，实际操作起来还是比较简单。特别是通过连续性工艺确认所开展的验证。工艺验证的内容很多，这里只简单分享一下工艺验证的起点和终点。不同的组织，其工艺复杂程度不同，工艺验证不同。最简单的工艺，就是购买物料后，只是进行一次简单的混合，这样的工艺验证，只需要验证混合过程。复杂的工艺，可能需要按照工序进行分段标识，也许物料投料工序是A工序，成品包装就属于Z工序了，这样的工艺验证就很复杂了。特别是，对于简单的工艺，物料衡算都非常接近，也就是批次之间，精密度很高。对于复杂的工艺，物料衡算就相差很大，也就是批次之间，精密度稍高。

清洁方法的验证，与工艺验证正好相反。看起来简单，但实施起来却有点难。特别是制药企业开始开展精益生产后，总是延长生产周期，缩短清洁周期，这个清洁验证带来很大的难度。

总结

对于确认和验证：

第一、《药品生产质量管理规范（2010年修订）》要求“企业应当确定需要进行的确认或验证工作。确认或验证的范围和程度应当经过风险评估来确定”，也就是说，不同的企业确认或验证不同。不同的企业，管理水平不同，即使同一种产品，可能经过风险评估后，风险分级不同，最后的确认或验证的范围和程度不同。

第二、“应当根据确认或验证的对象制定确认或验证方案，并经审核、批准。确认或验证方案应当明确职责”，也就是说，不管是确认还是验证，都需要制定相关的方案。方案需要经过审核、批准。方案都需要明确相关人员的职责。

第三、“确认或验证应当按照预先确定和批准的方案实施，并有记录。确认或验证工作完成后，应当写出报告，并经审核、批准。确认或验证的结果和结论（包括评价和建议）应当有记录并存档”，也就是说确认或验证需要按照批准的方案实施，并且要有相关的实施记录。确认或验证之后，要形成报告，并且经过审核和批准，并且要存档。这里注意，确认和验证记录的保存期限，一般是长期保存。

第四、“确认和验证不是一次性的行为。首次确认或验证后，应当根据产品质量回顾分析情况进行再确认或再验证。关键的生产工艺和操作规程应当定期进行再验证，确保其能够达到预期结果”。每个企业要根据风险评估的结果，确定确认或验证的范围和程度以及再确认或再验证的频率。通常，再确认或再验证，至少每年进行一次。

第五、“应当根据验证的结果确认工艺规程和操作规程”，确认和验证的结果，是被用来确认工艺规程和操作规程的。

相关阅读：

《供应商审计（一）：如何审核变更》

《供应商审计（二）: 如何审核偏差》

《供应商审计（三）：如何审核仓库》

作者简介：老陈，质量管理专家，从事食品与制药行业质量管理和质量控制相关工作近二十年，历任QA主管、质量部长、质量经理和生产厂长等职。在国内著名的跨国明胶企业负责质量和食品安全管理体系管理工作。