FDA 21 CFR Part 11：医药企业出海合规到底卡在哪，普通电子签名为什么过不了关？

在医药、生物技术、医疗器械等行业出海过程中，FDA 21 CFR Part 11 几乎是绕不开的一道合规门槛。

很多企业第一次接触它时，都会有两个误解：

一是把它理解成“某个软件是否通过认证”；

二是以为只要企业本身做过 GMP，就自动满足了电子化合规要求。

事实上，Part 11 关注的不是软件名称，也不是简单的流程上线，而是：当纸质记录转为电子记录、手写签名转为电子签名后，整条证据链是否依然可信、完整、可追溯。

这，才是它的核心。

01Part 11到底是什么？

1997 年 8 月 20 日，FDA 发布 21 CFR Part 11，确立了一个框架：电子记录和电子签名可以替代纸质记录与手写签名，并具有同等法律效力，前提是满足它列出的控制要求。

它管的是“记录链”，不是“软件”。凡是受 FDA 前置法规约束且以电子方式创建、修改、维护、归档、检索或提交的记录，都在范围内。药企、生物技术、医疗器械、体外诊断、CRO，一个都跑不掉。判断标准不是“你属于哪个行业”，而是“你有没有受 FDA 法规要求维护或提交的记录”。

严格讲，Part 11 只是美国法。欧盟的电子记录要求看EU GMP Annex 11，电子签名效力看 eIDAS（分为 SES、AES、QES 三个等级）；日本看 PMDA；中国看 NMPA 和《药品记录与数据管理要求》。每个主要市场都有自己的规则。

但现实是，Part 11 事实上成了全球最通行的参照系。原因不复杂：美国是全球最大的医药市场之一，FDA 的检查权跟着市场走，它检查的不只是美国本土企业，而是所有向美国市场供货的生产基地，包括设在中国、印度、欧洲的工厂。美国客户的审计要求，会顺着供应链传导到上游每一家 CDMO、CRO 和原料药企业。

一家中国 CDMO 同时服务欧美客户时，往往要同时应对 NMPA 的数据本地化、FDA 的 Part 11、欧盟的 Annex 11。三套规则里，Part 11 出台最早、条文最具体、被引用最多，事实上成了行业的共同语言。一些不直接受 FDA 管辖的企业，也主动按 Part 11 搭建体系，把它当作一条更高的内控水位线。

02Part 11 具体要求什么？

Part 11 的条文不长，核心要求可以归纳为以下几项：

系统必须经过验证：系统要证明自己“按预期工作”，而不是“看起来能用”。

电子记录要能完整留存、可检索、可复制：监管机构检查时，企业必须能快速调出准确、完整、易读的记录副本。

必须有审计追踪：谁在什么时候做了什么、改了什么、删了什么，必须留痕，而且不能覆盖原始记录。

访问必须受控：只有被授权的人才能登录、查看、签署、修改。

电子签名要清晰地显示签名人、时间和签署含义：比如是审批、复核，还是确认执行。

签名必须与记录绑定：签名与所签署的记录永久绑定，不能被删除、复制或转移到其他记录；已签内容被改动，签名应当失效。

身份识别与密码管理必须严格：非生物识别签名至少由两种截然不同的证明成分组成，例如识别码加密码；凭证只能本人使用，有唯一性管理与定期检查。

所以，Part 11 不是一项单点技术要求，而是一整套围绕身份、权限、审计、留存、验证建立起来的合规体系。

03普通电子签名为什么满足不了Part 11？

普通电子签名解决的是“这份文件签了没有、是不是本人签的”。Part 11 要回答的是另一个问题：整条电子记录链，在监管审查面前是否可信、可归属、可复现。

两者差在几处关键控制：

审计追踪。普通工具通常只留下“签了”这个结果，没有完整、不可覆盖的事件链。Part 11 要求的是：谁、在什么时间、对哪份记录、做了什么操作、结果如何，全程自动留痕，管理员也不能静默改历史。大多数通用签约产品做不到。

签名与记录的绑定。普通签名可以是一张图片、一个印章、一行确认文字，能被复制到任何一份文档上。Part 11 要求签名是记录不可分割的一部分，内容被改、签名随之失效——这需要密码学级的绑定，而不是把图片贴上去。

身份证明。Part 11 要求每个签名对应唯一个体、至少双组件认证、凭证只能本人使用。很多普通电子签名是“验证码一下就算签了”，甚至存在代签、共用账号，这在 Part 11 场景下直接出局。

验证与证据。Part 11 从根上要求“系统经过验证”，企业要拿得出需求—测试追溯矩阵、验证报告、偏差处理记录。这需要供应商提供完整的软件生命周期文档，并配合企业验证。普通签名工具厂商拿不出这类文档包，企业也就无从验证。

普通电子签名解决的是“签得方便”，Part 11 要求的是“签得可信、可查、可追责”。方便与可信之间，隔着一整套技术控制和程序控制。

还有一层责任边界必须说清：软件厂商提供能力、文档和支持，但预期用途、操作规程、验证、培训、权限治理、记录留存的责任，都在使用电子记录的企业身上。把厂商的合规文档直接当成自己的合规证明，是出海企业最常见的坑。

04eSign.AI 凭什么能支撑 Part 11？

e签宝面向全球客户的电子签名平台eSign.AI，对 21 CFR Part 11 做了逐条合规对照，关键能力包括：

系统验证。开发公司建立质量管理体系并取得 CMMI 认证，对软件全生命周期实施设计、开发、测试与放行控制，能提供书面文档支持客户的验证活动。

记录与审计。业务活动记录（签署的 GMP 记录、合同）与支持活动记录（登录、查看、分享）均完整留存；审计追踪记录日期、时间、操作描述、新旧值、操作人，新记录不覆盖旧记录，可电子查阅或打印副本。

访问与权限。用户唯一 ID，权限管理控制登录与操作，支持密码、Singpass 及第三方认证登录。

数据安全。全流程加密：传输走 SSL/TLS，存储对文件原文加密；配套 ISO 27001、ISO 27018、ISO 27701 管理体系认证。

签名控制。支持自定义签署流程并核验执行顺序；签署显示姓名、时间与含义；支持双身份组件与生物识别（动态活体检测+多模态认证）。

目前，eSign.AI已具备支撑 Part 11 的技术控制和文档能力，被监管企业配合必要的管理规程，即可满足合规要求。

值得关注的是，2025年，eSign.AI就已成功通过 SOC 2 Type II 认证，在安全性、可用性与保密性相关的控制设计及运行有效性上，完成了以国际通行标准为依据、覆盖完整周期的独立鉴证。

SOC 2 是由美国注册会计师协会（AICPA）制定，是全球企业级 SaaS 采购中最常被要求的安全审计标准之一，评估服务组织在安全性、可用性、处理完整性、保密性和隐私性五项信任服务原则下，管理和保护客户数据的能力。

要知道，对企业而言，电子签名平台承载的不是普通业务数据，而是合同文本、签署主体身份、印章权限、操作轨迹、存证出证材料，身份是否可信、权限是否可控、数据是否受保护、系统是否稳定、责任是否可追溯，任何一环出问题，都可能影响合同效力。

eSign.AI获得 SOC 2 Type II 独立鉴证，不是给安全能力加一个展示标签，而是把平台背后的安全治理、服务连续性与数据保护能力，放进国际客户熟悉的审计语言里：可阅读、可验证、可纳入客户的内控流程。

对于医药、生物技术、医疗器械企业来说，出海合规从来不是“选一款电子签名工具”这么简单，而是要把记录、签名、权限、审计、验证和责任边界一起纳入体系化治理。

21 CFR Part 11 看似是在管“签名”，本质上管的是电子记录在监管面前是否可信、完整、可追溯。真正能通过考验的，也从来不是一个按钮、一个验证码，而是一整套经得起审查的合规能力。

在全球监管要求日益趋严的今天，企业要想真正走出去，就必须从“能签”走向“合规地签”，从“流程电子化”走向“证据链电子化”。

eSign.AI 希望帮助更多出海企业，把复杂的合规要求，转化为可落地、可验证、可持续的数字化能力，让每一次签署都经得起业务、客户与监管的共同检验。

如果你也正在推进医药出海、跨境供应链协作或全球化合规建设，欢迎关注 e签宝，获取更多电子签名与国际合规实践内容。