ALCOA+不是九条口号，而是九种系统设计约束。真正卡住机构的，往往是第三、四项。

一个被反复误判的问题

“我们已经在做数字化了，纸质记录都扫描存档了。”

这是评审现场最常听到、也最容易被开不符合项的一句话。

原因很简单：扫描件不是原始电子记录。 扫描件丢失了元数据——谁创建的、什么时候创建的、有没有被改过、改前是什么。它只是纸质记录的图片，既不具备可归因性，也不具备原始性。

这一点在近年的评审细则里被反复强调：推行无纸化的实验室，原始数据应尽量从检测仪器、业务系统源头直接生成电子记录，而不是先把纸质单据填好、再拍照留存。

这不是技术洁癖。一条记录的“可信”，取决于它能不能回答四个问题：谁做的、什么时候做的、原始的是什么、有没有被动过。扫描件一个都答不上来。

九个属性，九种设计约束

ALCOA+常被当成检查表来背。更实用的读法是：每一条都对应一个系统能力。

| 属性 | 含义 | 对应的系统能力 |

|---|---|---|

| 可归因 Attributable | 每条记录能追到人和时间 | 一人一号、实名登录，禁止共用账号 |

| 清晰可读 Legible | 记录永久、可辨识 | 不可覆盖的填报与更正机制 |

| 同步 Contemporaneous | 在活动发生时记录 | 现场录入、仪器直采，而非事后补录 |

| 原始 Original | 保留首次采集或经认证的真实副本 | 仪器原始文件集中归档，不落单机 |

| 准确 Accurate | 无错误、忠实于实际发生 | 校准状态校验、计算过程可复核 |

| 完整 Complete | 含重复、失败、异常数据 | 异常与复测数据同链留存，不得剔除 |

| 一致 Consistent | 时间顺序与格式统一 | 时间同步、编号规则统一 |

| 持久 Enduring | 在保存期内可读 | 备份与归档介质验证，定期恢复演练 |

| 可获得 Available | 检查时可及时调阅 | 索引化检索，导出留痕 |

九条里，前五条（ALCOA）是数据本身的品质，后四条（+）是系统与治理的品质。多数机构卡在前五条没问题、后四条做不实——因为后四条要靠架构，不靠自觉。

卡点一：审计追踪“开了，但没人看”

现行评审文件对审计追踪的要求很硬：业务管控类信息系统的审计追踪不得手动关闭，必须自动记录登录、新增、修改、删除、报告审核驳回等全部操作，完整留存操作人员、操作时间、修改前后内容与登录终端，普通账号无权删除篡改。

于是很多机构做了一件事：把开关打开，然后就没有然后了。

国际检查里最常见的一类发现，恰恰是这句——“审计追踪已启用，但从未被审阅”。开了不看，等于给系统装了一个没人读的黑匣子。数据被动过，日志里写着，但没有人发现，这个控制点就是形式上的。

正确的做法是把“审计追踪审阅”变成一个周期性动作：谁审、多久审一次、审什么（异常时段、异常账号、异常修改）、发现问题怎么闭环。这属于流程设计，不是软件功能。

顺带一个容易被忽略的细节：审计追踪要能被审阅，前提是时间可信。多台仪器、多个系统的时间不同步，日志的时间线就会自相矛盾，审阅也就失去了基础。

卡点二：一人一号，说起来简单

分级权限与账号管控是硬要求：一人一号，严禁共用；检测、复核、批准三类权限相互隔离，原则上不允许同一人走完全流程；权限变更要留记录；人员离职及时回收。

现实里的阻力往往来自排班。夜班人少、临时顶岗、老员工嫌麻烦——共用账号的理由永远充分。但共用账号一旦发生，可归因性就直接归零：日志里写着“zhangsan 修改了数据”，可当时坐在电脑前的是谁，没人能证明。

有一类做法比较务实：把账号与岗位绑定，临时顶岗走“授权代理”而不是“借用账号”，代理关系有起止时间、有审批、有日志。这样既解决了排班的现实问题，也不破坏可归因性。

卡点三：电子签名之后，记录必须锁住

无纸化实验室的电子签名，要满足两个条件：身份唯一、不可抵赖。技术上靠的是账号唯一性与签名与记录的绑定。

但更关键的是签名之后的动作：记录应当自动锁定，不能再随意改动。

如果签名只是往页面上贴一个名字，记录还能继续编辑，那这个签名在评审里几乎没有证明力。同样不被认可的还有图片格式的电子印章——它证明的是“图案出现过”，不是“某人批准过”。

一个国际参照，说明这不是中国独有口径

欧洲药典第5.38章“数据质量”于2026年7月1日生效，把ALCOA+原则对分析数据的要求正式化，配套的计算机化系统参照是EU GMP附录11与美国21 CFR Part 11。

这条信息对国内机构的意义不在于“要照做”，而在于判断趋势：数据完整性的要求正在全球范围内从“指南”走向“规范”。国内CMA、CNAS与GMP体系对ALCOA+的采纳，与这个方向是一致的。

反过来说，那些在系统架构上已经满足ALCOA+的机构，未来面对任何一套新口径，改造成本都很低——因为它们满足的不是某一条文，而是数据本身的品质要求。

从清单到习惯，三步走

第一步：把九条翻译成本机构的十二条。 通用原则落不到岗位。比如“同步记录”在一个做环境采样的机构里，意味着现场必须用移动端录入，而不是回办公室补；“完整”意味着超标复测数据必须与首次结果同链，而不是另存一份。 第二步：找出“开了但没用”的控制点。 审计追踪、权限隔离、备份恢复、签名锁定——这四项是最容易形式化的。逐项问一句：上一次它真正发挥作用，是什么时候？ 第三步：把审阅写进岗位职责。 数据完整性不是IT的事。质量负责人定期审阅审计追踪，技术负责人复核异常修改，这是职责，不是额外工作。

ALCOA+的终点不是通过评审，是让“记录可信”变成不需要提醒的默认状态。