EU GMP Annex 11 versus 21 CFR Part 11 compares the two major computerized-system standards for GMP electronic records and signatures.
- Part 11 emphasizes electronic records, signatures, access limits, audit trails and record retention for FDA-regulated operations.
- Annex 11 emphasizes computerized-system lifecycle, supplier management, data integrity, business continuity and periodic evaluation.
- The article helps Vietnamese pharma teams build one control framework that can satisfy both FDA and EU inspection expectations.
So sánh annex 11 vs 21 CFR Part 11 là câu hỏi kiến trúc compliance, không phải bài đối chiếu thuật ngữ. Một nhà máy Việt Nam nhắm cả EU và Mỹ phải quyết định ngay từ URS: hệ thống cần signature thế nào, audit trail review ra sao, cloud vendor chịu điều khoản gì và validation evidence đủ đến đâu.
Sai lầm nguy hiểm nhất là gom tất cả thành một câu “phần mềm phải compliant Part 11 và Annex 11” — câu đó không giúp IT cấu hình, không giúp QA review và không giúp Validation viết test case. Part 11 là regulation của FDA cho electronic records và e-signatures, còn Annex 11 là EU GMP guidance cho computerized systems với scope rộng hơn về lifecycle, supplier và cloud.
Bài này chuyển hai khung thành bảy điểm khác biệt có tác động triển khai cụ thể và hướng dẫn xây dựng chiến lược dual compliance thực dụng cho nhà máy xuất cả EU lẫn FDA market.
So sánh Annex 11 và 21 CFR Part 11 thực chất là đối chiếu hai khung kiểm soát electronic records, electronic signatures và computerised systems trong GMP.
Điểm quyết định nằm ở cách nhà máy thiết kế audit trail, access, e-signature, validation và vendor/cloud control.
Bài này giúp anh/chị:
- Phân biệt regulation hiện hành và draft expectation.
- So sánh 7 điểm khác nhau có tác động triển khai.
- Không áp dụng FDA CSA sai scope cho nhà máy thuốc.
- Dùng GAMP 5 như ngôn ngữ chung cho dual compliance.
- Chuyển gap analysis thành action cho QA, IT/OT và Validation.
Regulatory baseline cần đọc đúng
Phần này tóm tắt chuẩn tham chiếu để QA biết khung kiểm tra chi phối nội dung phía dưới.
Regulatory baseline: Các nhận định GMP trong bài được đối chiếu trực tiếp theo 21 CFR 211.192.
GMP dược phẩm hệ thống: nhìn GMP như kiến trúc dữ liệu, con người và quyết định chất lượng
Đọc tiếp để nối chủ đề này với kiến trúc và bằng chứng GMP liên quan.
GMP dược phẩm hệ thống: nhìn GMP như kiến trúc dữ liệu, c… →
21 CFR Part 11 là regulation của FDA về electronic records và electronic signatures. Part 11 có hiệu lực pháp lý. Nó áp dụng khi electronic record hoặc electronic signature được dùng để đáp ứng yêu cầu record/signature trong FDA regulations. )
EU GMP Annex 11 revision January 2011 là phiên bản hiện hành của EU GMP về computerised systems tính đến ngày 9 tháng 5 năm 2026. Annex 11 2011 có phạm vi rộng hơn Part 11. Nó bao trùm vòng đời hệ thống máy tính trong GMP: validation, data, printouts, audit trail, security, incident management, business continuity và archiving. )
EU GMP Annex 11 Draft 2025 là consultation draft, chưa phải luật hiện hành. Draft này mở rộng đáng kể các kỳ vọng về identity and access management, audit trail, periodic review, cybersecurity, cloud, AI và supplier management. Vì vậy, Draft 2025 nên được dùng như benchmark gap analysis, không được viết như yêu cầu pháp lý đã có hiệu lực. )
FDA CSA không thay thế Part 11
FDA Computer Software Assurance Guidance February 2026 là final guidance cho production và quality management system software trong phạm vi medical devices. Với drug CGMP factories, CSA nên được xem là benchmark cho critical thinking và risk-based testing, không phải yêu cầu trực tiếp thay thế 21 CFR Part 11 hoặc 21 CFR Part 211. theo FDA, Computer Software Assurance Guidance, February 2026.)
Hai khung này khác nhau ở đâu
Phần này giúp người đọc chuyển từ khái niệm sang checklist evidence có thể kiểm tra ngay.
Part 11 giống một bộ điều kiện cho electronic records và electronic signatures. Annex 11 giống một khung quản trị computerised systems trong GMP. Khi so sánh, không nên hỏi văn bản nào “khó hơn”. Câu đúng hơn là: văn bản nào tạo yêu cầu thêm cho hệ thống, quy trình hoặc hợp đồng vendor của nhà máy?
Bảng so sánh 7 điểm triển khai
| Chủ đề | 21 CFR Part 11 | EU GMP Annex 11 hiện hành / Draft 2025 | Quyết định triển khai |
|---|---|---|---|
| Scope | Electronic records và electronic signatures | Computerised systems trong GMP | URS phải cover cả record/signature và system lifecycle |
| Audit trail | §11.10(e) yêu cầu secure, computer-generated, time-stamped audit trail | Annex 11 2011 Clause 9; Draft 2025 Section 12 chi tiết hơn | Test Who/When/What, và đưa Why vào URS cho hệ thống mới |
| E-signature | §11.50, §11.70, §11.100, §11.200 rất cụ thể | Annex 11 2011 Clause 14 principle-based | Part 11 thường chi tiết hơn về signature manifestation/components |
| Access control | §11.10(d), §11.10(g) | Clause 12; Draft 2025 Section 11 mạnh hơn về IAM | SoD, least privilege, access review cần thành SOP riêng |
| Validation | §11.10(a) và CGMP predicate rules | Annex 11 validation lifecycle rộng hơn | GAMP 5 giúp thống nhất risk-based CSV |
| Supplier/cloud | Part 11 không có section cloud riêng | Draft 2025 bổ sung cloud/vendor/exit strategy | Contract phải có audit right, data ownership, exit plan |
| Cybersecurity | Không nằm trực tiếp trong Part 11 | Draft 2025 có Section 15 riêng | Cần cybersecurity gap analysis cho hệ thống critical |
Đây là lý do một vendor claim “Part 11 compliant” chưa đủ cho EU GMP. Phần mềm có thể hỗ trợ e-signature tốt, nhưng vẫn thiếu exit strategy cloud, periodic review, hoặc cybersecurity control theo kỳ vọng Annex 11 Draft 2025.
Năm điểm Draft 2025 đẩy cao hơn
Phần này giúp người đọc chuyển từ khái niệm sang checklist evidence có thể kiểm tra ngay.
Audit Trail trong GMP: Cấu hình đúng 21 CFR Part 11 và EU GMP Annex 11 để không bao giờ nhận FDA Warning Letter
Đọc tiếp để nối chủ đề này với kiến trúc và bằng chứng GMP liên quan.
Audit Trail trong GMP: Cấu hình đúng 21 CFR Part 11 và EU… →
Annex 11 Draft 2025 không nên được gọi là luật hiện hành. Nhưng nếu nhà máy đang mua LIMS, MES, eQMS hoặc cloud service mới, bỏ qua draft này là rủi ro đầu tư. Một hệ thống go-live năm 2026 có thể còn vận hành đến 2036.
Identity and Access Management
Draft 2025 Section 11 tách Identity and Access Management thành nhóm yêu cầu riêng. Nó nói rõ về unique user, shared account, MFA cho remote access critical system, least privilege, SoD và recurrent access review. Đây là vùng mà Annex 11 2011 chỉ nói ngắn hơn ở Clause 12.
Với nhà máy, action thực tế là cập nhật User Access Matrix và OQ challenge test. Access Control và Segregation of Duties trong GMP: Phân quyền đúng để bảo vệ Data Integrity
Audit trail review
Part 11 §11.10(e) yêu cầu audit trail bảo mật, timestamp và không che khuất record cũ. Annex 11 2011 Clause 9 yêu cầu audit trail theo risk. Draft 2025 Section 12 đi xa hơn với reason for change, independent review và review trước batch release cho hệ thống critical.
Action thực tế là viết SOP audit trail review, không chỉ tick box “audit trail enabled”. Audit Trail trong GMP: Cấu hình đúng 21 CFR Part 11 và EU GMP Annex 11 để không bao giờ nhận FDA Warning Letter Audit trail phải review được.
Theo kinh nghiệm audit của tôi tại các nhà máy dược, lỗi audit trail thường không nằm ở hệ thống lớn như MES hay ERP, mà rơi vào các thiết bị standalone như máy đo pH, cân phân tích hoặc máy thử độ hòa tan. Các thiết bị này rất dễ bị lệch time-sync hoặc người vận hành dùng chung một tài khoản (shared account). Nếu không có cơ chế đồng bộ thời gian (NTP server) và phân quyền chặt chẽ, mọi dữ liệu audit trail cục bộ trên thiết bị đều vô giá trị khi đối chiếu với Part 11 hay Annex 11.
Supplier và cloud không còn là phụ lục mua hàng
Part 11 không nói chi tiết về cloud contract. Annex 11 Draft 2025 đưa vendor, service provider và cloud vào trọng tâm. Với SaaS LIMS hoặc eQMS, nhà máy cần quyền audit, SLA, data ownership, data export, backup responsibility và exit strategy.
Nếu hợp đồng SaaS chỉ nói phí thuê bao và uptime marketing, nhà máy chưa có đủ bằng chứng GMP. Đây là gap lớn tại các dự án cloud ở Việt Nam.
Cybersecurity đi vào GMP control
Part 11 được viết năm 1997 nên không có section cybersecurity. Annex 11 Draft 2025 Section 15 đưa cybersecurity vào vòng kiểm soát computerised systems: vulnerability, patching, remote access, removable media và incident response.
Không nên đợi ransomware xảy ra mới gọi cybersecurity là GMP issue. Nếu hệ thống bị mã hóa và batch record không truy xuất được, đó là vấn đề Availability trong ALCOA+. Availability cũng là bằng chứng GMP. Data Integrity ALCOA+ trong Dược Phẩm: Framework kỹ thuật, quy trình và văn hóa GMP
Periodic review trở nên cụ thể hơn
Annex 11 2011 đã có yêu cầu periodic evaluation ở Clause 11, nhưng Draft 2025 làm rõ hơn expectation về review định kỳ theo lifecycle. Review không chỉ nhìn validation status. Nó phải nhìn user access, audit trail, incident, change, backup, restore, security patch, system performance và continued fitness for intended use.
Một ví dụ số: trong 12 tháng, hệ thống có 18 emergency changes, 6 failed backup jobs và 4 access exceptions. Periodic review không thể kết luận “system remains validated” chỉ vì không có major deviation. Những tín hiệu này phải được trend và đưa vào CAPA hoặc improvement plan.
Chiến lược dual compliance cho EU và FDA
Phần này tóm tắt chuẩn tham chiếu để QA biết khung kiểm tra chi phối nội dung phía dưới.
Chiến lược tốt nhất không phải viết hai bộ SOP riêng cho FDA và EU. Cách hiệu quả hơn là xây một baseline theo GAMP 5 và Part 11, sau đó overlay các gap Annex 11 hiện hành và Draft 2025 theo thị trường đích.
Vì vậy, các yêu cầu của Annex 11 và 21 CFR Part 11 nên được xử lý như một ma trận quyết định, không phải một dòng yêu cầu chung trong URS. Đây là điểm kiểm soát đầu tiên.
Baseline chung
Baseline chung nên gồm URS theo intended use, risk assessment, supplier assessment, configuration specification, test strategy, traceability, access matrix, audit trail review SOP, backup/restore test, incident/change control và periodic review. Đây là phần đáp ứng cả hai phía ở mức vận hành. Baseline này phải đi vào URS.
Theo kinh nghiệm triển khai CSV của tôi, việc mua một hệ thống phần mềm có tính năng xịn đến đâu cũng sẽ thất bại nếu không map trực tiếp chức năng đó vào SOP thực tế của nhà máy. Dưới đây là checklist cơ bản tôi thường yêu cầu QA rà soát:
- Hệ thống có audit trail, nhưng SOP Review Hồ Sơ Lô (Batch Record Review) đã quy định QA phải mở log audit trail ra xem trước khi release lô chưa?
- Hệ thống hỗ trợ phân quyền role-based, nhưng SOP Quản trị Hệ thống (System Administration) có cấm IT tự ý cấp quyền phê duyệt dữ liệu (approve data) không?
- Hệ thống có chức năng backup tự động, nhưng SOP Backup & Restore có quy định tần suất test phục hồi dữ liệu định kỳ chưa?
Đối với hệ thống category 4 như LIMS/MES thương mại cấu hình, cần tập trung test vào critical functions. Nhóm này gồm audit trail, access control, calculation, e-signature, report, data export, interface và exception workflow. Với category 5 custom code, cần thêm SDLC evidence.
Overlay cho FDA
FDA overlay thường cần chú ý signature manifestation theo §11.50. Signature/record linking thuộc §11.70. Electronic signature components thuộc §11.200. Unique user và authority check nằm ở §11.10(d)/(g). Với dữ liệu thuốc, vẫn phải giữ predicate rules của 21 CFR Part 211.
Không được dùng §11.200 để nói về chữ ký gắn với record. Đó là §11.70. §11.200 nói về thành phần và kiểm soát electronic signature.
Overlay cho EU
EU overlay cần chú ý Annex 11 hiện hành về validation lifecycle, supplier/service provider, audit trail, security, incident management, business continuity và archiving. Nếu dùng Draft 2025 làm benchmark, cần thêm IAM, audit trail review, periodic review, cybersecurity, cloud exit strategy và AI-related considerations khi có AI.
Với dự án mới, nên đưa các expectation của Draft 2025 vào design ngay nếu không làm tăng complexity quá mức. Chi phí thêm một trường reason for change trong URS thấp hơn rất nhiều so với retrofit sau go-live.
Đọc tiếp trong cùng cụm:
- GMP dược phẩm hệ thống: nhìn GMP như kiến trúc dữ liệu, con người và quyết định chất lượng
- Audit Trail trong GMP: Cấu hình đúng 21 CFR Part 11 và EU GMP Annex 11 để không bao giờ nhận FDA Warning Letter
- Access Control và Segregation of Duties trong GMP: Phân quyền đúng để bảo vệ Data Integrity
- Electronic Batch Record (eBR) trong GMP: Triển khai từ Master Recipe đến Batch Release theo GAMP 5 và FDA CSA
Decision Moment
Trước khi chọn chiến lược compliance cho hệ thống mới, hãy hỏi:
- Các yêu cầu của Annex 11 và 21 CFR Part 11 đã được map thành URS requirement và test case riêng, hay chỉ được ghi chung trong câu “system shall comply”?
- Hệ thống có đáp ứng baseline hiện hành và có gap plan cho Annex 11 Draft 2025 nếu nhà máy nhắm thị trường EU không?
- Vendor contract đã cover data ownership, audit right, backup, exit strategy và responsibility split chưa?
Để chuyển so sánh này thành dual-compliance checklist cho dự án CSV/MES/LIMS, xem thêm tại nampham.net.
FAQ
Phần này gom các câu hỏi giúp QA tự kiểm tra nhanh trước khi audit.
Tính đến ngày 9 tháng 5 năm 2026, Annex 11 Draft 2025 vẫn là consultation draft, chưa phải phiên bản hiện hành. Phiên bản Annex 11 revision January 2011 vẫn là baseline pháp lý EU GMP. Tuy vậy, draft nên được dùng cho gap analysis vì nó phản ánh hướng kỳ vọng mới.
Không. CSA là guidance về computer software assurance trong phạm vi medical device production và QMS software. Nó không sửa text của Part 11. Với nhà máy thuốc, CSA nên được dùng như benchmark cho risk-based testing, không phải citation thay thế Part 11.
Chưa đủ. Vendor có thể cung cấp tính năng hỗ trợ Part 11, nhưng regulated user phải cấu hình, validate, vận hành và review đúng. Compliance là trạng thái sử dụng tại nhà máy, không phải nhãn marketing của phần mềm.
Không bắt buộc trực tiếp như EU hoặc FDA market, nhưng vẫn nên dùng làm benchmark. Việt Nam áp dụng GMP theo Thông tư 28/2025/TT-BYT (hiệu lực 01/07/2025, thay thế TT35/2018/TT-BYT) và có định hướng hội nhập PIC/S/WHO-GMP. Data Integrity, audit trail và access control đang trở thành kỳ vọng thực tế trong thanh tra.
Tùy chủ đề. Part 11 cụ thể hơn về electronic signature. Annex 11 rộng hơn về computerised system lifecycle. Draft 2025 strict hơn rõ ở access management, audit trail review, cloud, vendor, periodic review và cybersecurity.
Có thể, nếu package được thiết kế theo risk và có traceability đến cả hai bộ yêu cầu. GAMP 5 thường là ngôn ngữ chung tốt. Tuy nhiên, cần overlay riêng cho các yêu cầu chỉ có ở một bên, như Part 11 signature manifestation hoặc Annex 11 cloud exit strategy.
Không phải mọi dữ liệu điện tử. Part 11 áp dụng khi electronic record hoặc electronic signature được dùng để đáp ứng yêu cầu record/signature trong FDA regulations. Dữ liệu không có GMP hoặc regulatory impact cần được phân loại rõ trong risk assessment.
Có liên quan ở mức computerised systems, nhưng AI-specific expectation còn nằm trong các draft/khung riêng của EU GMP khi được ban hành. Với nhà máy đang dùng AI cho quality prediction hoặc process optimization, cần theo dõi regulatory status và không đưa AI vào GMP decision mà thiếu validation, explainability và human oversight. Tác giả: Phạm Đức Phương Nam Chức danh: Pharma Automation Engineer | GMP & Digital Systems Website: nampham.net
Ghi Chú Minh Bạch
Phần này làm rõ nguồn tham chiếu và ranh giới áp dụng của bài viết.
Nguồn Primary Regulatory
- 21 CFR Part 11, Electronic Records; Electronic Signatures — 21 CFR Part 11.
- 21 CFR Part 11 §11.10, controls for closed systems — 21 CFR §11.10.
- 21 CFR Part 11 §11.70, signature/record linking — 21 CFR §11.70.
- 21 CFR Part 11 §11.200, electronic signature components and controls — 21 CFR Part 11.
- EU GMP Annex 11 revision January 2011, current version — EU GMP Annex 11 (2011).
- EU GMP Annex 11 Draft 2025, consultation draft — EU GMP Annex 11 Draft 2025.
- FDA Computer Software Assurance Guidance, February 2026 — FDA.
Guidance & Standard chuyên môn
- ECA Academy, Annex 11 Draft First Analysis, July 2025 — GMP-COMPLIANCE.
Nguồn Việt Nam
- Cổng TTĐT Chính phủ, Thông tư 28/2025/TT-BYT về Thực hành tốt sản xuất thuốc, nguyên liệu làm thuốc (hiệu lực 01/07/2025, thay thế TT35/2018/TT-BYT) – Thông tư 28/2025/TT-BYT.
Ghi chú TYPE 2/TYPE 3
- Mọi trích dẫn Annex 11 Draft 2025 được ghi rõ là consultation draft, chưa phải yêu cầu hiện hành.
- Ví dụ 18 emergency changes, 6 failed backup jobs và 4 access exceptions là illustrative TYPE 3 để giải thích periodic review, không phải case study thực tế.
- Bài này không dùng claim vendor về “Part 11 compliant” như bằng chứng regulatory.
