Lộ trình số hóa GxP nhà máy dược: case study EBR/MES

Case Study: GxP Digitalization Roadmap for a Vietnamese Pharmaceutical Factory — from Paper Batch Records to EBR/MES distills a three-step roadmap — current-state assessment, single-line pilot, controlled scale-up — applied in consulting work for Vietnamese pharma plants facing PIC/S and EU-GMP audit pressure.

• Classify data into Non-GMP / GMP Input / GMP Decision before any tool selection; only the last group needs full Part 11/Annex 11 controls.
• Pilot one production line with parallel paper + electronic runs; scale only after recipe templates and permission models stabilize.
• Seven recurring failure modes — digitizing a broken paper process, letting legacy ERP make GMP decisions, importing unverified legacy records, big-bang rollout, vendor selection by demo, unused audit trails, over-validating non-GMP systems.

Tôi làm việc với các nhà máy dược Việt Nam đang ở ngưỡng chuyển: hồ sơ lô vẫn là giấy, nhưng áp lực audit PIC/S và EU-GMP ngày càng lớn. Bài này viết lại một lộ trình ba bước — từ đánh giá hiện trạng, pilot một dây chuyền, đến mở rộng — được chắt lọc từ tài liệu phương pháp tích hợp tuân thủ Part 11 mà tôi biên soạn và dùng trong công việc tư vấn, kèm những sai lầm thường gặp mà tài liệu đó liệt kê.

Bối cảnh: hồ sơ lô giấy đang làm nhà máy chậm lại ở đâu

Phần này chỉ ra ba điểm yếu cấu trúc của hồ sơ giấy mà các hướng dẫn data integrity đều ghi nhận.

Regulatory baseline: bài viết đối chiếu theo 21 CFR Part 11, EU GMP Annex 11 và Thông tư 28/2025/TT-BYT của Bộ Y tế.

Theo bài công khai về hợp tác ESEC × BatchLine (05/02/2026, xem mục Nguồn), ngành dược Việt Nam tăng trưởng ổn định 8–10%/năm, và chuyển đổi số đang trở thành nền tảng để đáp ứng chuẩn quốc tế. Từ 01/07/2025, Thông tư 28/2025/TT-BYT của Bộ Y tế — văn bản pháp quy Việt Nam quy định về GMP — đưa WHO-GMP, PIC/S GMP và EU-GMP vào hệ thống đánh giá, nghĩa là kỳ vọng về hồ sơ và data integrity ở nhà máy VN đã nâng lên rõ rệt.

Với hồ sơ lô giấy, ba điểm yếu cấu trúc thường được các hướng dẫn data integrity và tài liệu thẩm định chỉ ra:

• Lỗi ghi chép theo cấu trúc, không phải lỗi con người. Nhập tay, ghi bù sau ca, sửa chữa không có audit trail, chữ ký khó xác minh. Đào tạo tốt hơn không loại bỏ được các điểm yếu này nếu quy trình vẫn cho phép lỗi xảy ra.
• Review lô chậm vì QA phải đọc từng trang. Không có cơ chế “review by exception”, nên thời gian giải phóng lô bị kéo dài bởi chính khâu kiểm tra hồ sơ.
• Audit PIC/S/EU-GMP ngày càng hỏi sâu về data integrity. ALCOA+ trên giấy rất khó chứng minh — đặc biệt “contemporaneous” (ghi tại thời điểm) và “attributable” (truy vết người ghi).

Bài ESEC × BatchLine có nêu một tham chiếu hữu ích: nền tảng eBR được thiết kế chuẩn GMP có thể rút thời gian phê duyệt/giải phóng lô “từ vài ngày xuống vài giờ” nhờ tự động đối chiếu và phê duyệt — đây là nhận định của bài viết, không phải số liệu đo tại một nhà máy cụ thể, tôi giữ nguyên mức trích dẫn đó.

Khung quyết định: khi nào cần EBR/MES, và cần bao nhiêu là đủ

Phần này cho khung phân loại dữ liệu để khoanh phạm vi thẩm định trước khi chọn công cụ.

Câu hỏi đầu tiên không phải “mua phần mềm gì” mà là “quyết định GMP nào của nhà máy đang nằm trên giấy”. Tài liệu hướng dẫn tích hợp tôi biên soạn (V1.0) mở đầu bằng ba câu hỏi phân loại, diễn giải từ FDA Guidance “Part 11 — Scope and Application”:

1. Hệ thống/dữ liệu nào tạo ra electronic record?
2. Record đó có được dùng để ra quyết định GMP không?
3. Quyết định GMP cuối cùng được thực hiện và kiểm soát ở đâu?

Từ đó phân loại dữ liệu thành ba nhóm: Non-GMP (kế hoạch, costing, logistics), GMP Input (số lô, hạn dùng, mã nguyên liệu — sai thì QA vẫn còn cơ hội chặn), và GMP Decision (pass/fail, batch release, chữ ký QA — sai là release nhầm lô). Chỉ nhóm cuối bắt buộc kiểm soát Part 11/Annex 11 đầy đủ. Đây là điểm nhiều dự án làm sai ngay từ đầu: hoặc bỏ qua phân loại và để hệ ERP legacy vô tình “ra quyết định GMP”, hoặc thẩm định dàn trải mọi thứ khiến chi phí đội lên.

Phạm vi tối thiểu hợp lý cho bước đầu thường là: eBR cho hồ sơ lô và quyết định GMP trong sản xuất; ERP legacy giữ vai trò cung cấp dữ liệu đầu vào; QMS giữ phê duyệt chất lượng cuối cùng. Đây cũng là mô hình ERP → eBR → QMS được mô tả trong tài liệu hướng dẫn tích hợp nội bộ nói trên. Về thiết kế eBR recipe theo ISA-88 và triển khai hồ sơ lô điện tử đạt chuẩn GMP đã có bài riêng đi sâu; phần này chỉ nói về lộ trình.

Về GAMP 5 (Second Edition): nền tảng eBR/MES thương mại cấu hình theo quy trình nhà máy thường rơi vào Category 4 (configured product); hạ tầng (OS, database) là Category 1; chỉ phần code viết riêng mới chạm Category 5. Category 2 đã bị loại bỏ trong GAMP 5. Phân loại category kết hợp với đánh giá nhà cung cấp và đánh giá rủi ro mới quyết định chiến lược vòng đời — không phải cứ “phần mềm GMP” là validate như nhau.

Về ICH Q9(R1): cách tiếp cận CSA (và tài liệu đào tạo nội bộ tôi dùng) đề xuất đánh giá rủi ro chức năng kiểu severity × probability × detectability (tư duy FMEA, khớp ICH Q9(R1)) ngay trong tài liệu yêu cầu, thay vì đánh giá rủi ro một lần ở đầu dự án rồi để đó. Rủi ro phát hiện sớm trong lúc viết URS thì sửa rẻ; phát hiện sau khi tài liệu đã ký duyệt thì phải biện minh thay đổi.

Lộ trình 3 bước: đánh giá hiện trạng → pilot một dây chuyền → mở rộng

Phần này mô tả từng bước của lộ trình thực tế — mỗi bước một rào chắn kiểm soát trước khi đi tiếp.

Bước 1 — Đánh giá hiện trạng (assessment). Kiểm kê toàn bộ hệ thống liên quan (ERP, SCADA, QMS, spreadsheet…), phân loại kịch bản tích hợp theo vai trò GMP của dữ liệu, và đo gap giữa thực tế với yêu cầu audit. Đầu ra của bước này là bản đồ ranh giới GMP/non-GMP và danh sách “ai đang ra quyết định gì, trên hệ thống nào”. Không làm bước này, mọi thiết kế sau đó đều mò.

Bước 2 — Pilot một dây chuyền. Chọn một dòng sản phẩm đại diện, xây master recipe trong eBR, chạy song song giấy + điện tử một thời gian giới hạn để đối chiếu, rồi chuyển hẳn khi QA chấp nhận review by exception. Pilot cho phép sai ở quy mô nhỏ — và sai sót sẽ xảy ra, thường ở chỗ master data và thói quen ghi chép của người vận hành.

Bước 3 — Mở rộng có kiểm soát. Chuẩn hoá template recipe và quy ước phân quyền từ pilot, nhân sang các dây chuyền khác, rồi mới tính đến tích hợp sâu hơn (thiết bị, LIMS, ERP) và khai tử hồ sơ giấy. Sai lầm kinh điển là nhân rộng khi template còn chưa ổn — mỗi site thêm vào lại trở thành một dự án riêng.

Cùng logic phân chia kịch bản chuyển đổi theo mức độ trưởng thành hiện trạng đã được phân tích trong ba kịch bản số hóa nhà máy dược Việt Nam — bài đó phân loại theo bối cảnh doanh nghiệp, còn bài này chi tiết lộ trình ba bước cho một nhà máy cụ thể.

CSV/CSA thực tế: validate đúng chỗ, đừng validate mọi thứ

Phần này nói cách áp chuỗi thẩm định theo rủi ro vào dự án eBR/MES thật.

Chuỗi công việc chuẩn trong tài liệu phương pháp nội bộ là: URS → đánh giá nhà cung cấp → IQ/OQ/PQ theo rủi ro, với một nguyên tắc giữ xuyên suốt — hệ thống không thuộc phạm vi Part 11 đầy đủ thì không được dùng để ra quyết định GMP.

• URS: viết yêu cầu theo hướng “testable” — mỗi yêu cầu kèm test case “đảm bảo rằng…”, và đánh giá rủi ro chức năng ngay trong tài liệu yêu cầu. Làm vậy tạo sẵn traceability ngầm thay vì dựng ma trận truy xuất riêng sau đó.
• Đánh giá nhà cung cấp (vendor assessment/audit): với nền tảng COTS, phần “thân dưới” của mô hình X — thiết kế, kiểm soát mã nguồn, test lõi — là trách nhiệm của vendor; kiểm toán vendor cho phép tái sử dụng bằng chứng đó để giảm kiểm thử nội bộ. Mua platform mà không audit vendor là tự nhận phần việc họ chưa làm.
• IQ/OQ/PQ theo rủi ro: chỉ chức năng tùy biến mức rủi ro trung/cao mới cần script test chi tiết; rủi ro thấp chỉ cần chứng kiến hoạt động và ký xác nhận. Key users — người hiểu hệ thống nhất — nên là người kiểm thử. CSA không có nghĩa là test ít hơn, mà là giấy tờ test ít hơn.

Điểm hay vướng với Part 11/Annex 11 — các yêu cầu mà quy định đặt ra nhưng nhiều nhà máy chưa vận hành hoá được:

• Audit trail: bật lên thì dễ, nhưng ai review audit trail, theo chu kỳ nào, bằng tiêu chí gì — câu đó mới làm nhiều nhà máy lúng túng khi bị hỏi.
• E-signature: chữ ký điện tử phải trói với ý nghĩa của lần ký (ý nghĩa “tôi xác nhận gì”), phân quyền cá nhân, không dùng chung tài khoản ca.
• Ranh giới hệ thống: một workflow thực tế tôi từng rà soát — ERP legacy in nhãn QR cho nguyên liệu (chỉ cần CSV giới hạn cho chức năng in nhãn), eBR giữ toàn bộ xác minh/phê duyệt GMP, sau phê duyệt eBR gửi một chiều dữ liệu tiêu hao về ERP để trừ tồn kho; batch bị reject thì không có giao dịch nào. Hồ sơ lô cũ dạng PDF lưu trữ riêng, không import vào eBR mới — vì mức độ tuân thủ của hệ cũ không được xác lập (tóm tắt từ một trao đổi tư vấn thật; đã ẩn danh khách hàng và hệ thống riêng).

Với MES nói riêng, chuỗi kiểm soát tương tự được mở rộng thành checklist thẩm định đầy đủ trong CSV cho hệ thống MES trong môi trường GMP.

Bài học và sai lầm thường gặp

Bảy sai lầm lặp lại nhất — mỗi cái kèm cơ chế gây lỗi để tránh trước khi ký hợp đồng.

1. Số hoá nguyên xi quy trình giấy đang yếu. Nếu quy trình giấy cho phép ghi bù, eBR sẽ chỉ “đóng dấu điện tử” cho thói quen đó — phải sửa quy trình trước, rồi mới số hoá. Nguyên tắc này khớp trực tiếp với quan điểm của FDA trong hướng dẫn Data Integrity: kiểm soát điện tử không thay thế một quy trình nghiệp vụ đúng.
2. Để ERP/legacy ra quyết định GMP. Đây là nhóm lỗi thường bị ghi vào FDA Form 483: dùng hệ thống không audit trail để phê duyệt hay làm source of truth cho batch record. Ranh giới phải vẽ rõ trước khi tích hợp.
3. Import hồ sơ cũ vào hệ mới “cho tiện tra cứu”. Mức độ tuân thủ của dữ liệu cũ không xác lập được thì nhập vào sẽ kéo rủi ro vào hệ đã validate — archive riêng, read-only.
4. Big-bang thay vì pilot. Validate cả nhà máy một lúc làm chi phí và rủi ro nhân lên; pilot một dây chuyền cho phép sai rẻ và học nhanh — và cũng khớp cách tiếp cận risk-based mà GAMP 5 khuyến nghị.
5. Chọn vendor theo demo thay vì vendor audit. Demo đẹp không chứng minh QMS của vendor kiểm soát phát triển; thiếu vendor assessment là tự gánh phần test mà lẽ ra bằng chứng của họ đã có.
6. Bật audit trail nhưng không ai review. Annex 11 yêu cầu audit trail được review định kỳ — chỉ bật tính năng mà không có quy trình review thì audit trail chỉ là log tồn kho, không phải chứng cứ GMP.
7. Thẩm định dư cho hệ non-GMP. Không phân loại trước sẽ kéo ERP, báo cáo nội bộ… vào phạm vi CSV, đội chi phí và làm phức tạp việc giải trình với inspector.

Về dự án

Theo bài công khai trên esec.vn (05/02/2026, HTTP 200 — xem mục Nguồn): ESEC là Sales Partner của BatchLine, triển khai giải pháp Electronic Batch Record (eBR) và số hoá vận hành tuân thủ GxP cho doanh nghiệp dược phẩm Việt Nam. Trong mô hình hợp tác này, ESEC mang đến kinh nghiệm triển khai chuyển đổi số công nghiệp và hiểu biết về vận hành nhà máy, yêu cầu tuân thủ tại Việt Nam; BatchLine cung cấp nền tảng eBR chuẩn hoá cho ngành dược, thiết kế theo GMP, ghi nhận đầy đủ theo nguyên tắc ALCOA+ và audit trail. (Chỉ trích điều bài viết nêu; không suy rộng thành cam kết dự án cụ thể.)

FAQ

Phần này gom các câu hỏi nhà máy thường hỏi trước khi bước vào lộ trình số hóa.

• FDA Guidance for Industry: “Part 11 — Electronic Records; Electronic Signatures — Scope and Application” (August 2003, vẫn hiện hành) — FDA Guidance

Decision Moment

Để chuyển các khuyến nghị trong bài thành kế hoạch triển khai khả thi, xem thêm tại nampham.net.