eBR dược phẩm: Hồ sơ lô điện tử GMP và Review by Exception

Electronic Batch Records from Paper Records to Digital GMP Evidence explains how eBR should improve execution control and batch review.

• eBR value comes from master recipe governance, enforced steps, exception capture, electronic signatures and review-by-exception.
• Part 11, Annex 11 and GAMP 5 require clear links between requirement, configuration, test evidence and retained records.
• The article helps teams avoid digitizing paper weakness without fixing data ownership, deviation triggers and QA approval logic.

eBR dược phẩm – Electronic Batch Record – là hệ thống tạo, lưu trữ và truy xuất bằng chứng sản xuất lô thuốc theo thời gian thực, không phải bản scan của hồ sơ giấy.

Rủi ro của hồ sơ giấy nằm ở cấu trúc: nhập tay, ghi bù sau ca, backdating, thiếu audit trail và chữ ký khó xác minh. Training tốt hơn không loại bỏ được các điểm yếu này nếu quy trình vẫn cho phép lỗi xảy ra.

Bài này phân tích kiến trúc eBR, Review by Exception, lộ trình Paperless và phạm vi CSV GAMP 5 để triển khai eBR chuẩn GMP theo FDA/EU GMP.

Tại sao hồ sơ giấy không còn đủ cho tiêu chuẩn GMP hiện đại

Phần này giúp người đọc chuyển từ khái niệm sang checklist evidence có thể kiểm tra ngay.

Lưu ý trạng thái pháp lý: Các nhận định GMP trong bài được đối chiếu trực tiếp theo 21 CFR 211.192, 21 CFR 211.68, EU GMP Annex 11.

Ba điểm fail của hồ sơ giấy trong thanh tra

FDA 21 CFR Part 211.188 yêu cầu hồ sơ lô phải chứa đủ thông tin để tái dựng lại hoàn toàn cách lô được tạo ra — bao gồm mọi thao tác, mọi thông số và mọi quyết định quality trong suốt quá trình sản xuất (eCFR — 21 CFR 211.188).

Yêu cầu này về lý thuyết có thể đáp ứng bằng hồ sơ giấy — nhưng trong thực tế thanh tra, hồ sơ giấy thường fail ở ba điểm chính.

Điểm fail thứ nhất là manual transcription errors: nhân viên nhập số liệu từ cân hoặc thiết bị vào hồ sơ giấy, dễ nhầm chữ số. Điểm fail thứ hai là backdating: hồ sơ giấy không ngăn được việc điền sau khi thao tác đã thực hiện, vi phạm “Contemporaneous” trong ALCOA+.

Điểm fail thứ ba là thiếu audit trail: Tipp-Ex hoặc ghi đè là vi phạm GMP cơ bản nhưng vẫn xảy ra, và chữ ký tay khó verify chính xác.

FDA ghi nhận vi phạm CGMP liên quan đến data integrity xuất hiện ngày càng nhiều trong các đợt thanh tra (FDA — Data Integrity and Compliance With Drug CGMP).

Tại sao training tốt hơn không giải quyết được vấn đề

Năm loại rủi ro của hồ sơ giấy đều là rủi ro cấu trúc: Transcription Error, Backdating, mất hồ sơ vật lý, sửa chữa không có dấu vết, và chữ ký không xác minh. Không thể kiểm soát bằng training mà phải loại bỏ bằng kiến trúc hệ thống.

Manual batch record review cũng ngày càng không thể scale: theo ví dụ Mareana nêu, một hồ sơ lô có thể gồm 500 trang và 68 parameters (CMA, CPP, CQA), và reviewer fatigue làm tăng xác suất bỏ sót lỗi theo độ dài hồ sơ (Nguồn: Mareana — “How to Implement Review by Exception for Faster Batch Reviews”, cập nhật 01/2026).

eBR là cơ chế ép buộc tuân thủ — không phải là cách lưu hồ sơ giấy dưới dạng số. Đây là sự khác biệt quan trọng nhất cần hiểu trước khi bắt đầu bất kỳ dự án số hóa nào.

So sánh toàn diện: Hồ sơ giấy truyền thống versus eBR chuẩn GMP

eBR không chỉ nhanh hơn hồ sơ giấy — nó tạo ra một class bằng chứng khác về mặt pháp lý: không thể sửa mà không để lại dấu vết, không thể mất, không thể gian lận mà không bị phát hiện trong audit trail.

Review by Exception — Tính năng tạo ra giá trị lớn nhất của eBR

Trả lời ngắn: Review by exception (RBE) trong hồ sơ lô điện tử (eBR) là phương thức duyệt hồ sơ trong đó hệ thống tự động xác nhận các thông số đạt chuẩn còn QA tập trung xử lý ngoại lệ. Theo PIC/S PI 041-1, exception report là “a validated search tool” xác định dữ liệu và hành vi bất thường đã định nghĩa trước cần điều tra — và review by exception thuộc khuyến nghị về audit trails (Mục 9.6).

• Exception report: công cụ tìm kiếm đã validate, ghi nhận “abnormal” data/actions được định nghĩa trước đòi hỏi reviewer xem xét (PI 041-1, Glossary).
• Review by exception (PI 041-1 §9.6): sau assessment, audit-trail review có thể tập trung vào “anomalous or unauthorised activities”.
• Phê duyệt lô: chú thích 1 của EU GMP Chapter 4 (gắn với định nghĩa Certificates of Analysis) ghi rằng certification có thể dựa một phần hoặc toàn bộ vào đánh giá real-time data — gồm summaries và exception reports — từ PAT, parameters hoặc metrics theo marketing authorisation dossier đã được phê duyệt (EudraLex Vol.4 Ch.4); quy trình QP certification và xuất xưởng lô do EU GMP Annex 16 quy định.
• Trách nhiệm: QA vẫn giữ quyền quyết định cuối cùng về disposition và release.

Cơ chế hoạt động của RBE

Review by Exception (RBE) là tính năng biến eBR từ “hồ sơ điện tử” thành “compliance engine” thực sự. Cơ chế hoạt động: MES tự động so sánh mọi thông số thực tế với giới hạn được định nghĩa trong Master Batch Record. Mọi thông số nằm trong giới hạn được đánh dấu “Pass” tự động.

Chỉ các “Exceptions” — thông số ngoài giới hạn, bước chưa completed đúng, hoặc handwritten margin notes cần justification — được flag và yêu cầu QA disposition.

Nền tảng RBE của Mareana có thể tự động hóa 85% routine checking, để QA tập trung toàn bộ attention vào phần còn lại thực sự có rủi ro (Nguồn: Mareana — “How to Implement Review by Exception for Faster Batch Reviews”, cập nhật 01/2026).

Tác động đo lường được lên batch release

Kết quả được ghi nhận qua nhiều triển khai thực tế: review by exception có thể giảm tới 70% thời gian review lô (Nguồn: Mareana — “How to Implement Review by Exception for Faster Batch Reviews”, cập nhật 01/2026); đồng thời audit trail evidence có thể được truy xuất theo Batch ID thay vì tìm kiếm thủ công trong kho lưu trữ.

Theo Eddie Ryan trên ISPE iSpeak: demonstrating business payback là yếu tố critical để getting MES projects approved và verifying profitability sau khi đầu tư (Nguồn: ISPE iSpeak — “Manufacturing Execution Systems (MES): Beyond ROI, a New Look at Business Payback”, Eddie Ryan, 29/02/2024).

Review by Exception: QA review exception, không review toàn bộ batch record. Đây là tính năng tiết kiệm thời gian release lô nhiều nhất trong toàn bộ eBR ecosystem — và là ROI argument mạnh nhất khi trình bày business case với ban lãnh đạo.

Năm rủi ro ẩn của hồ sơ giấy mà eBR loại bỏ

Phần này làm rõ control dữ liệu và dấu vết cần chứng minh khi bị audit.

Rủi ro 1 — Transcription Error: Nhân viên nhập số liệu từ cân hoặc thiết bị vào hồ sơ giấy, dễ nhầm chữ số. eBR lấy dữ liệu trực tiếp từ thiết bị qua interface — không có bước nhập tay cho dữ liệu critical. Đây là một nguồn deviations thường gặp tại nhà máy dùng hồ sơ giấy.

Rủi ro 2 — Backdating: Hồ sơ giấy không ngăn được việc điền sau khi thao tác đã thực hiện. eBR ép buộc workflow: không thể xác nhận bước sau nếu bước trước chưa complete với e-signature, và timestamp được tạo tự động bởi hệ thống tại thời điểm thực hiện.

Rủi ro 3 — Mất hồ sơ vật lý: Hỏa hoạn, ngập nước, thất lạc trong kho lưu trữ. eBR lưu trong database với backup nhiều lớp và off-site copy, đáp ứng yêu cầu backup (Annex 11 (2011) §7.2) và business continuity (§16).

Rủi ro 4 — Sửa chữa không có dấu vết: Dùng Tipp-Ex hoặc ghi đè là vi phạm GMP cơ bản nhưng vẫn xảy ra trong áp lực sản xuất. eBR sử dụng Append-Only database — mọi “sửa” thực ra là tạo record mới với reference đến record gốc, Reason for Change và e-signature của người sửa. Record gốc không bao giờ bị xóa.

Rủi ro 5 — Chữ ký không xác minh: Chữ ký tay khó verify chính xác và có thể bị giả mạo. eBR sử dụng e-signature chuẩn 21 CFR Part 11 với username, password và timestamp — định danh duy nhất, không thể tranh cãi, và được linked trực tiếp với account permission trong hệ thống.

Năm rủi ro của hồ sơ giấy đều là rủi ro cấu trúc — không thể kiểm soát bằng training mà phải loại bỏ bằng kiến trúc hệ thống. eBR không giải quyết vấn đề con người; nó loại bỏ những điều kiện cho phép lỗi của con người tạo ra rủi ro pháp lý.

Lộ trình chuyển đổi Paperless chuẩn GMP

Ba giai đoạn giảm rủi ro chuyển đổi

Chuyển sang eBR là hành trình thay đổi cả kỹ thuật lẫn văn hóa tổ chức, và thứ tự từng bước quyết định tỷ lệ thành công. Thực tiễn ngành thường ưu tiên phân giai đoạn thay vì chuyển đổi toàn bộ cùng lúc (“big bang”) để giới hạn rủi ro validation và vận hành.

Giai đoạn 1 — Pilot một dây chuyền (Tháng 1–6) là giai đoạn học hỏi: chọn dây chuyền có độ phức tạp trung bình, không phải phức tạp nhất. Mục tiêu là tìm ra workflow nào cần điều chỉnh, thao tác nào operator thấy khó, integration point nào cần xử lý thêm. Pilot với sản phẩm thực tế — không chỉ test scenarios — để lộ ra những configuration gap mà planning không thể phát hiện.

Giai đoạn 2 — Hybrid Mode (Tháng 7–12) là giai đoạn số hóa các bước critical — cân lẻ, e-signature cho critical steps — trong khi vẫn maintain hồ sơ giấy song song để build confidence. Hybrid mode cần có kế hoạch cutover rõ ràng với ngày kết thúc xác định để tránh kéo dài trạng thái two-system tạo ra Data Integrity risk.

Giai đoạn 3 — Full eBR (Tháng 13–24) là giai đoạn 100% Paperless với Review by Exception toàn diện. Timeline tổng hợp thực tiễn ngành — thay đổi tùy quy mô nhà máy, số dây chuyền và mức độ phức tạp của integration Giai đoạn này yêu cầu validation hoàn chỉnh (IQ/OQ/PQ), training được documented và SOP được update.

Quản lý rủi ro văn hóa tổ chức

Operator resistance hiếm khi là về công nghệ — mà là về sự thay đổi routine. Các nhà máy giảm resistance hiệu quả thường bắt đầu training sớm trước go-live với hands-on practice trong test environment, kết hợp competency assessment trước khi cấp quyền truy cập vào hệ thống live.

Lộ trình Pilot → Hybrid → Full eBR giảm cả rủi ro kỹ thuật lẫn rủi ro văn hóa tổ chức so với chuyển đổi “big bang” toàn bộ cùng lúc. Giai đoạn Hybrid là investment vào confidence, không phải điểm yếu của dự án.

Phạm vi CSV cho eBR theo GAMP 5 2nd Edition

Phân loại và cách tiếp cận validation

eBR thường được phân loại GAMP 5 2nd Edition Category 4 (Configured Products) (ISPE GAMP 5, 2022).

Năm nhóm test case rủi ro cao nhất

E-Signature Integrity chứng minh e-signature không thể bypass: thử skip signature step, thử dùng account không có quyền, thử sign bằng account đã disabled — verify hệ thống block và tạo alert. Workflow Enforcement test tất cả negative case: thử nhập kết quả cân ngoài range và verify alert; thử tiến sang bước tiếp theo khi bước trước chưa complete và verify block; thử start Work Order khi equipment status chưa được released.

Data Capture Accuracy so sánh parallel giữa giá trị tại cân/SCADA và giá trị được ghi vào eBR — không được có sai khác, kể cả rounding hay unit conversion ngoài ý muốn. Audit Trail Completeness verify mọi thay đổi có đủ 5W — Who, When, What, Before/After, Why — và không thể bị xóa ngay cả với quyền Admin. Disaster Recovery test khôi phục database từ backup và verify không mất dữ liệu, timestamp được preserve chính xác. Tích hợp MES–SCADA–EMS–ERP: Kiến trúc Pharma 4.0 chuẩn GMP cho nhà máy dược

Validation eBR là chứng minh hệ thống không thể bị bypass và dữ liệu không thể bị giả mạo — không phải chỉ test chức năng cơ bản. Negative test cases thường quan trọng hơn positive test cases trong môi trường GMP.

Câu hỏi quyết định — 3 Câu hỏi trước khi Go-live

Trước khi eBR đi vào vận hành thực tế, QA, Engineering và owner hệ thống cần khóa ba quyết định sau.

1. Ranh giới hệ thống hoặc quy trình nào trong phạm vi eBR dược phẩm phải được định nghĩa lại trước khi audit tiếp theo?
2. Bằng chứng GMP nào cần được tạo tự động thay vì dựa vào giải thích thủ công sau sự cố?
3. Ai là owner chịu trách nhiệm cập nhật SOP, URS, CSV hoặc training record sau khi eBR go-live?

Liên kết vận hành cần đọc kèm: Kiến trúc hệ thống nhà máy dược: Tích hợp chuẩn ISA-95

Để chuyển các khuyến nghị trong bài thành kế hoạch triển khai khả thi, xem thêm tại nampham.net.

FAQ

Phần này gom các câu hỏi giúp QA tự kiểm tra nhanh trước khi audit.

Production Readiness — Chuẩn hóa trước Go-live eBR

Phần này giúp người đọc chuyển từ khái niệm sang checklist evidence có thể kiểm tra ngay.

Trước khi eBR go-live thực tế, ba deliverable phải được approved và signed-off: Validation Summary Report (IQ/OQ/PQ executed và approved); Training Completion Records cho 100% user roles (operator, supervisor, QA reviewer, admin); và SOP dự phòng cho scenario mất điện, mất mạng được documented và rehearsed ít nhất một lần trước go-live.

Thiếu SOP dự phòng là finding phổ biến trong thanh tra EU GMP ngay cả khi eBR chính hoạt động hoàn hảo. Tác giả: Phạm Đức Phương Nam — nampham.net

Ví dụ minh hoạ: checklist URS eBR tối thiểu

Ví dụ minh hoạ (tình huống tổng hợp, không đại diện cho nhà máy cụ thể) — để đối chiếu khi viết URS và thẩm định phương án hãng.

Với nhiều nhà máy dược quy mô vừa, URS eBR thường nằm trong phạm vi MES-lite: không đòi routing, scheduling hay recipe engine của MES full-scale. Phạm vi như vậy thường tương ứng configured product theo hướng dẫn GAMP 5 (Category 4). Bảng dưới là checklist 9 nhóm yêu cầu tối thiểu nên có trong URS.

Một quy trình duyệt eBR điển hình chạy theo trình tự chặt: operator quét mã để hệ thống xác minh đúng nguyên liệu, đúng công thức; doer thực hiện, checker phê duyệt điện tử tại hiện trường; chỉ sau phê duyệt, tồn kho mới trừ một chiều qua ERP — chặn nguy cơ trừ kho hai lần hoặc trừ cho nguyên liệu chưa xác minh.

Ba lưu ý khi chọn giải pháp. Thứ nhất, giữ ranh giới ISA-95: recorder Level 2 chỉ tạo bằng chứng quá trình (file chống sửa, đồng bộ giờ — theo tài liệu hãng), còn eBR Level 3 mới là workflow MBR → BR → release. Thứ hai, sản phẩm “đã compliant” theo tài liệu hãng không nghĩa là hệ thống đã validated — trách nhiệm CSV cho hệ thống MES vẫn ở nhà máy. Thứ ba, chốt kiến trúc mạng sớm: nếu URS viết theo logic on-premise (LAN-only) mà giải pháp hãng là SaaS GxP, hai bên sẽ lệch nhau ngay từ bước đánh giá phương án.

Cùng bối cảnh, các kịch bản số hóa nhà máy dược Việt Nam cho thấy pattern chung: URS đúng cỡ, validate theo rủi ro, ranh giới L2–L3 rõ trước khi ký hợp đồng.

Bài này đi sâu thiết kế và triển khai eBR; để xem thứ tự áp dụng — đánh giá hiện trạng, pilot một dây chuyền, mở rộng có kiểm soát — xem case study lộ trình số hóa GxP từ hồ sơ lô giấy sang EBR/MES.

Ghi Chú Minh Bạch

Phần này làm rõ nguồn tham chiếu và ranh giới áp dụng của bài viết.