emmmm,大部分朋友已经收到了第二版《CSDG百问百答》，如果还有……可以下滑到最后
以下摘录了权责相关的一些问答，仅为群友23年之思考，供参考（O(∩_∩)O，绝对不是今天睡到七点，没心思看书……）
运维：权责划分及权限
问题1: 问问同行朋友们，IT部门属于集团信息中心，但是服务于个药厂，IT部门怎么参与各药厂的GMP系统的管理？ITQA是放在IT部门还是质量部门好，为什么？还有关于CSV活动和CSQA质量体系文件，各公司是怎么组织的，是IT还是使用部门还是质量部门牵头？
答1：说下我看到的药厂IT,第一是基础运维，这块就包括了常规的为质量部门的基础服务工作，网络，计算机，服务器的安装，维护，管理等，还有质量系统GMP相关的账户管理，计算机系统权限管理，服务器安全管理，数据的备份与还原；第二是IT在药企的应用方面工作，我这边公司还会开发一些程序和服务于IT,研发，质量的系统，实现企业的数字化管理。
第三是在当前数据完整性要求的大环境下，IT必须和生产质量系统保持独立的工作状态，也就是ITQA(中文是啥)，还是要在IT部门，法规的目的是独立的IT,不受质量受权人管理，那如果有些不合规的行为，会从职责上规避掉。
答2：因地制宜，因人而异，因法而动。我这边看法没有太固化的模式，因为前提太多。
答3：看人的能力吧，IT有能力IT做，IT没能力QA做，QA没能力可以外包建立体系，反正事情就这么多，分派下去就好。
答4：ITQA就是负责管理IT活动质量体系的人员，包括IT日常运维管理，IT系统开发等。
问题2: 在IT基础架构的管理过程中，有没有什么好的办法能够管理系统管理员啊，现在管理员拥有最高的权限，各种系统的数据，比如DMS，所有的工艺，管理员都是有权限获取的，除了文件限制要求，群里的各位老师有没有什么好的技术手段可以推荐的啊？
答1：如果通过系统来管理，谁来管理这个系统的管理员呢，这个一般通过操作员、管理员、审计员，来进行审计检查，审计员不涉及管理员权限，仅具备对日志、审计追踪等审计的权限。
答2：但没讨论过IT基础架构的管理软件的审计追踪功能及验证必要性。在it角度考虑，别太麻烦，所有操作都记录，那最好只有开关机功能。在质量角度，通过我，就要能严格就严格，要不别和我沾边。在老板角度，花最少的钱，把事儿办明白，技术，质量，法规都别出乱子，还要有钱赚。
问题3: 计算机化系统软件的管理权限可以赋予IT吗？
答1：GLP用途的仪器设备配套的软件和纯软件系统的管理员权限。
答2：仪器配套的软件权限给工程部吧，一般都是这么搞的，纯软件系统如MES，ERP之类的给IT。
答3：客观上就是IT人员忙不过来，这些仪器也可以理解为设备，给工程部也是没错的。
答4：你得看IT人员够不够，不够只能给工程部。
问题4: 一个管理员的权限可以是选择操作系统管理员加应用软件管理员，假如有两个层面设计的权限组的话，可以这样都选择两个权限组吗？这样合规吗？（两个组：一个负责操作系统，一个负责应用软件层面，可能有重合权限）
答1：权限要和岗位匹配，不能为权限而权限啊。
答2：就是一个大系统，一个系统组，一个应用组，分开，有需要的就一个人负责管理，看权限怎么需求；你的系统管理人员足够多，怎么弄都行，人手不足就别那么多讲究了。
问题5: IT作为系统管理员，使用ID为admin的管理员账户，这种情况会不会落缺陷，还是说必须要单独创建一个个人员工号或姓名为ID的账号来进行日常使用。
答1：已经不允许无法追踪的账号，应该要建个人姓名账号，账号清单里面将admin的使用人定义为IT管理员这样可以追踪到的。
答2：admin最初安装调试或验证可以用，后期要考虑锁定或下线的，各企业要有自己的账号命名原则，一般建议以个人姓名为账号，要有账号清单。
答3：如果可以不用，备注此账号只限工程师维护使用，后期操作不要使用也还好，要是还需要登录使用可能要有挑战了。
问题6: 如果企业里的计算机化系统admin账号不是IT部门负责，那么由什么部门管理既合规又精益？
答1：原则是利益不相干，一般是IT，QA愿意接也行不过要经过一些基本的培训，车间生产类设备给工程也可以，但是工程负责的BMS、制水这些系统不能由工程的来管。
答2：如果是这样需要安排有夜班值班的利益不想干部门。生产现场的自控系统和设备给工程部比较适合。
答3：现在都在提极限思维，在外部恶劣的背景下，合规且精益是最优解。
问题7: CSV中有Expert user的概念的？区别于普通用户，类似SME的形象。
答1：DI的相关指南中各种概念基本就是用来唬人的，不用特别理会，知道基本哪些角色及职责就行。
答2：就是每个业务线的资深，仅此而已。
答3：针对大型系统可能有资深的人员更有利于系统的日常维护及管理，所以提出了一些SME等概念，但这类角色不一定能够匹配到具体的人，所以没有也没有关系，但相应该做的内容是需要想办法做起来的，不然对于系统管理容易出乱子。
答4：这些人的系统中账户应该没有特殊的角色吧，和普通用户账户是一样的。
答5：根据职责设定其系统中的权限，是否需要有特殊的角色看情况。
问题8: GMP体系下基于DI考虑计算机化系统的账户不能共用，对于传统的三级账户都是这么干的，现在又衍生出来一种qa审核账户，只有查看权限，对于这种账户是否可以共用？
答1：基于设备实际情况、管理要求、人员配置以及部门间商讨结果。
答2：设备好功能全当然没问题，如果功能一般管理要求还高，还不舍得投入。
答3：如果是固定角色的单账号设备可以考虑，比如定死了就只有一个visit账号。
答4：例如QA可以要求具有合适权限的人打开待审核的数据，然后完成审核呢。
答5：应该是记录上信息缺失，不能把QA的审核记录跟仪器的登陆操作信息关联起来才收到这条。
答6：虽然没有数据删除的权限，但不代表搜不到删除的信息，这时候需要确认这些信息是如何产生的，有没有合乎逻辑的解释。它反映的是企业管理的深度。
答7：深度是除了结果以外有没有认真管理设备的运行状态，可能的异常有没有被识别和处理，如果有这个流程并认真执行，那么如果有不合规的操作也会被识别到记录到，这样才能自证清白。
问题9: 研发的分析员可以有手动积分权限吗？
答1：分析员角色可以有手动积分权限。
答2：QC分析员我们不能有修改方法和手动积分权限；但是分析方法建立，调整是可以有的。
答3：看角色分级吧，一般CDS可能有检验员，分析员，化学家，经理，管理员角色；检验员不能有手动积分权限。
答4：看各企业对角色的一个定义了，我只是在问研发的实验人员，进行分析方法开发，验证的普通人员能不能有手动积分权限。
答5：其实还是定义的担任岗位的人，我们这边分析员角色由检验人员担任；化学家由具备研发能力的实验人员担任。
答6：这个问题也可以换个角度想，这个系统是否支持可以有效回溯人员的手动积分行为，以及能够识别原始谱图和积分后结果之间的差异。如果都支持，剩下的就是管理问题了。
答7：千万不要想靠审计追踪能发现有用户调整了，数据处理参数，重新执行了数据处理。如果这样做，那需要花很大精力去查阅审计追踪，再说了查看审计追踪也需要知识的。
答8：与其这样，还不如把数据处理权限控制好，尽量减少可以手动处理数据的场景发生。这样做，风险更小；做审计追踪审核的时候，也能节约时间。
问题10: 像车间使用的一些小型仪器，连接有打印机，输出打印条，人员签字复核，比如ICS系列梅特勒电子称量台秤，卤素水份仪，电子天平等等，使用公用的低级权限是否可以，不必要建立单人单账户吧。
答1：尽量不要使用通用账户，因为这本来就违反Attributable的要求；如果有其他方式可以起到等同的作用时，需要有流程控制。例如你们的SOP要求操作人员及时打印，之后操作人员在打印条上签署，表明操作人的身份。
答2：因为计算机化系统本身它是有定义的，但是并不意味着你所有的计算机化系统都要按一种方式去管理，所以你这种工艺设备你完全可以给他建立另外一个管控策略。
问题11: 对于不满足账号权限管理的系统，有哪些比较好的替代措施来满足追溯至人的要求？有些系统没有审计追踪功能，但能够产生日志，记录账号登录、退出、分析方法创建、数据修改等，这些日志功能是否需要在验证的时候考虑？数据审查时是否也需要对这些日志进行检查？Windows日志是否有保留时间的要求？
答1：1.哪类系统产生的数据需要追溯到人？实验室设备|系统，IT信息系统我觉得追溯到人是必要的，生产设备，如果能追溯到人最好，如果不能，加上批记录的辅助，我并不觉得不可以仅追溯到设备，尤其是对于一个工序较长的设备，有可能用基于角色的账号去登陆，并由几个人进行操作，你的批记录，检验记录，设备使用日志都是支持性的证明。你第二个问题里提到的，自动化的设备，如果有日志功能，也是一种支持。但纸质的设备使用日志有可能会让人觉得信服力不够，如果你说要更好的管控，那就是将使用日志电子化，降低纸质日志造假的风险和提高造假的成本。
2.我觉得不应该单纯考虑系统，这个在APIC的指南里已经很清晰了，需要系统结合数据去考虑，日志的审核，建立相应的审核方法和频率。
3.Windows的日志是不是GMP要求的记录？答案我觉得是否，所以我个人认为可以不用长期保留，但你自己内部的质量体系怎么定义Windows日志，有没有要求IT定期去检查，检查完了有异常开Incident，没有异常这些记录留着的价值是什么？
答2：Windows日志，也有药监老师提过，要让我们设置成不能自动覆盖，但是没有提需要检查日志内容。
问题12: 对于做不到职责分离的系统，遇到最多的就是生产中一些设备，很多都是主管级权限能够进行生产操作产生数据，能更改配方参数，大家有什么好的实践经验？
答1：主管或技术员负责新建和编辑配方，操作员调用配方进行生产操作。
答2：其实对于GXP来说，并未要求主管、或者操作员谁能建配方、谁只能调用原配方，GXP关系的是：1.最终使用的当前配方，其所有工艺参数尤其CPP & CQA都在已经官方获批和公司验证过的工艺范围（比如现行批记录）内，也就是说大部分某个工段的某个设备，针对特定产品，其参数可以在批记录允许的范围内按本批产品的特性做出调整，第二人当场复核就行；也是因为多数设备PLC/HMI or PC机内原配方往往是个定值不是个范围。不像 QC Lab的HPLC (可以直接使用原有方法配方及其配方定值)。2. 有条件的应该为该设备PLC/HMI or PC机购置GMP选件（包括Audit trail/Alarming Log）, 用于记录是否修改了原配方的某个参数（批放行前主管经理们管理Check）。3. 若确需对原配方参数本次调整到超出已验证过的工艺参数范围，但仍然在官方获批的参数范围内的，则要事先发起正式变更审批程序了。
答3：配方一般都是生产设备中多组参数、流程的集合，基于对设备和工艺的理解，主管或工艺员具备创建/修改/禁用等权限，操作员只负责执行，备份恢复还是给非利益相关方。如果一些系统只能是管理员创建/修改配方，那应该有主管复核。
问题13: 目前国内，管理规程里面，关于什么样的设备/仪器需要具有权限管理功能，什么样的设备/仪器必须使用个人独立账号进行操作，是如何定义的？
答1：从功能角度来讲。如果仪器设备功能带权限管理，独立账号功能。就必须使用个人独立账号操作。如果不带，那么就按风险最小化措施去实施。
答2：存在被挑战的情况。如果仪器设备本身功能完善带权限和个人独立账号管理功能，但是不去用。审计官挑战时候想办法解释。如果判定A设备是纳入GXP管理的，那么A设备就算不带权限管理，个人独立账号管理功能，也是要有措施去降低风险的。更别提如果A设备带这样的功能，又是GXP设备。要不然你设备验证怎么做的。
问题14: 1.有关手动积分的权限是给定某类用户（A）（固定的），需要进行手动积分时，在获得批准后实施；还是当需要进行手动积分时，经申请，将手动积分的权限临时给某一用户（经审批后），待完成本次手动积分之后立即撤销B的手动积分权限2.公司规模较小，某人担负双重职责或角色（如分析员和主管（非部门负责人）），这种情况下，如何分配权限，确保合规？
答1：不要分成两个职责（角色）。角色设置永远是根据你的现状（资源）以及风险来设计的。你拿到的（分析员职责和主管职责分开）这种角色模式就是别的有资源（足够人）的公司的模式，不适合你。如果你分析下来你也的确需要这种模式（采集和积分分开），那你的现状又不去分开，岂不是不行。审批流的时间是否足够审批流里的人去做这个积分，如果够，为啥不让这个人去做，需要审批的核心也是角色设置问题。（申请的人不足以处理这件事以及事里的风险，需要审批流里的人判断"他（应）有这个能力"）。
答2：临时调整跟手动积分的含义是一样，都是一种“临时”的措施，那就不会把这次临时的调整固化下来形成某个“版本”，可以另存为一个方法名，或者手动积分来解决这次“临时”的情况。
答3：举个更实际的例子，在安捷伦的OPENLAB中，目前能够提前查看图谱的有2个功能，一个是快照，在进样未完成的时候就可以看图谱。另外一个是“查看已完成进样”，对该序列中已完成的进针进行查看，这两个只要不保存数据，都不会有记录形成，这两个功能都不允许使用么？另外，如果不允许提前看的话，SST的结果如何判定呢？等所有序列都完成后再看。
答4：调整需要分不同的场景！
场景1:规定好的检测方法，做不出规定的结果，不能任意调整！
场景2:规定好的检测方法，做不出规定的结果，进行OOS调查，可以试验授权下进行调整！
场景3:进行方法学摸索，进行参数对比研究，可以进行调整。
任何调整，都需要依照原始记录管理原则，进行如实记录与试验结果复核！电子数据需要元数据备份与记载！
答5：不同实验室，不同的使用场景，QC能用的工作流到研发就不适用，脱离用户需求和实际场景谈理论意义并不大。事情的合理性，在法规允许的范围内，适用用户的就是最好的。
问题15: 如果一个软件即支持账户禁用，也支持账户删除，但是考虑指南的建议和实际的管理要求，仅使用禁用功能，不使用删除功能，这种情况下账户删除功能还需要在验证的时候确认一遍吗？
答1：这不属于预期用途，应该不用验证。但是应该要评估这个功能的影响，看怎么避免这个功能带来的风险。
答2：功能的确认只受你对功能确认的管理方式影响和你用不用没有直接关系。常见的方式有全功能验证、基于使用的功能验证、基于使用和风险的功能验证，核心的问题就会是检察官看到你在用系统里的某个功能问你要验证你如何应对。
如果您不是CSDG群友（一二群友未收到的已经重新收集信息，请勿填写），这波还需要这本册子（非群友的成本自理，赞助有限已经涵盖不住了哈哈哈……周日统一处理，七日内收到），可以扫描填写下，下面链接 ，按需……
