医药召回通知怎么做到全程可追溯：产品通知的分发、签署与审计

医药通知的特殊之处：不只是送达，还要留证

药品召回通知和产品质量通知这类文件，和普通商务合同不一样。它们的核心要求不是达成合意，而是证明「已经真实、及时地通知到了对应的人」。

这个差别决定了设计方案的重点。合同签署关注的是双方达成一致，通知类文件关注的是送达和回执。通知没送到、回执拿不到，流程就没走完——即便通知本身已经发出去了。

纸质模式的瓶颈就在这里。通知通过快递或派工送到，回执再寄回，一个来回数天；中途丢失、代收、无人在岗都会发生；回执回收之后还要人工归档，后续审计时能不能找到对应记录，取决于归档做得规不规范。

把这段流程搬到线上，要解决四件事：谁签、怎么认、回执怎么留、审计怎么做。

谁签和怎么认：两类通知对应两种任务

医药场景里，通知分两类，签署要求不同。

第一类是产品召回通知，需要签署人实名认证并留下手绘签字。这类通知的法律责任重，签署人身份必须真实可信，签署动作本人完成。

第二类是质量通知，只需要承知确认回执，不需要签名。签署人打开通知、查看内容、勾选确认即完成。

对应到系统设计上，这是两种任务类型。召回通知走签署任务，包含实名认证、意愿认证、手绘签字三个环节；质量通知走采集任务，包含查看和确认两个环节。两类任务并存，但都生成可追溯的记录。

认证方式上，推荐的做法是实名认证加意愿认证叠加。实名认证确认签署人身份，可采用人脸识别加手机号加证件信息的多重校验，对接权威数据库核验；意愿认证确认签署当下的意思表示，在人脸认证环节一并完成。这两步做完，签署主体和签署意愿都有据可查。

回执怎么留：三条通知渠道加一份状态记录

通知要送达，渠道不能单一。

可行的做法是短信、邮件、App 推送三条并行。通知任务发起后，通过签署人预留的手机号发短信、通过邮箱发邮件、通过业务 App 的消息中心推送，三条渠道各自到达。签署人点开任意一条链接即可进入签署页面。

渠道之外，还要记录送达状态。系统要能回答「这位医生收到了吗、什么时候收到的、签了没有」这三个问题。做法是持续监控签署状态，对未完成的人员按预设规则提醒，后台报表展示签署率和区域分布。

对药企的管理者来说，这份状态记录比通知本身更有意义——它能在召回过程中实时反映哪些环节还没闭环。

审计怎么做：把操作日志变成可用的证据

审计场景要求的是完整的操作链条，而不只是最终结果。

需要留存的记录包括：通知是谁发起的、通过哪些渠道送达、签署人在什么时间完成实名认证、认证方式是什么、签署动作发生在什么时间、签署文件的哈希值是多少。

这些记录要能对应到具体的人员和文件。当审计或监管要求核查时，能一键导出而不是靠人工整理。技术上，签署文件采用国密算法加密存储，操作日志留存至具体时间点，满足药监部门对召回流程的审计要求。

这里还有一个常被忽略的点：医疗数据属于敏感信息，医生的姓名、证件号、联系方式在系统和日志里都需要有访问权限控制和脱敏机制。审计能查到，不代表所有人都能查到。

案例：罗氏制药的通知签署链路

上海罗氏制药有限公司成立于 1994 年，致力于肿瘤学、病毒学、移植学等领域，2009 年起成为罗氏制药亚太地区总部所在地。

罗氏制药需要一套系统来分发 RDSL 相关产品质量通知。原有模式下，QN（质量通知）和 SBN（安全通告）通过快递和派工方式通知到对应客户，而通知要求真实送达到客户老师，SBN 还要送达到对应产品实验室负责的老师，并且需要取得客户的签名回执。

2024 年 5 月，罗氏制药采购 e签宝服务，8 月完成上线，交付天印 V6.0.9，对接其 DSP 系统，年签署量约 6000 份，场景是医疗产品质量安全确认书。

这套系统的设计把两类通知分开处理。

SNB 产品召回通知的线上电子实名签名回执，走的是签署任务：罗氏 MA 部门用户在天印业务平台维护文件模板，模板名称填写 SNB 编号、医院名称等信息；业务用户在 DSP 系统中选择 SNB 模板发起电子签；实验室医生通过手机短信、邮箱、App 收到签署通知，打开签署链接完成实名认证并做普通手绘签字；天印把签署状态推送给 DSP 系统进行本地状态更新。

QN 产品质量通知的线上承知回执，走的是采集任务：MA 部门用户维护采集任务模板；业务用户在 DSP 系统选择 QN 模板发起采集任务；实验室医生收到采集任务通知后，打开链接完成质量通知确认；DSP 系统每天定时查询天印采集任务状态并同步到本地。

两条链路之外，还有两点设计值得关注。一是医生签署 SNB 单时采用人脸认证方式完成实名与意愿认证，再通过普通手绘完成签字，身份真实性由生物特征核验保证。二是系统支持按编号查询匹配模板，SNB 和 QN 各自按编号规则匹配，业务人员不需要在多个模板里手工挑选。

落地后的效果可以对照着看。签署时间从传统纸质通知的 3 至 5 天缩短到 3 分钟，医生通过手机或电脑完成认证及签署，签署效率提升 90%。跨区域协同方面，支持全球实验室医生实时在线签署，避免因地域或邮寄延误导致的召回滞后。合规方面，医生身份通过人脸识别、手机号、证件信息三重验证，签署文件采用国密算法加密存储，签署记录可追溯至秒级操作日志，满足药监部门对召回流程的审计需求。

这个案例里最值得医药企业参照的，是两类通知用两类任务处理这件事。把召回通知和质量通知分开，不是增加复杂度，而是让每一类通知走它该走的流程——需要签名的拿到签名，只需要确认的拿到确认，两类记录都能用于追溯。

落地时的推进顺序

医药类通知系统的建设顺序，先跑通一类通知的完整链路，再扩展到第二类。

第一步是模板定义，按通知类型把模板和编号规则定清楚；第二步是认证方式配置，确定这类通知需要到实名认证的哪一档；第三步是通知渠道和状态记录；第四步是审计报表和权限控制。

e签宝在医药场景里把模板管理、多渠道通知、实名人脸核验、签署与承知两类任务、以及加密存储与操作日志做在同一套体系里，企业需要设计的是通知类型与认证强度的对应关系，而不是为每类通知单独建一套系统。