![QRM Dược phẩm: Quản lý Rủi ro Chất lượng theo ICH Q9 [2026] — quản lý rủi ro chất lượng](https://phamducphuongnam.com/wp-content/uploads/2026/07/quan-ly-rui-ro-chat-luong-qrm-ich-q9-hero.jpg)
quản lý rủi ro chất lượng (QRM) theo ICH Q9(R1) là quá trình có hệ thống để đánh giá, kiểm soát, thông tin và rà soát các nguy cơ đối với chất lượng thuốc trong suốt vòng đời sản phẩm, với mục tiêu tối thượng là bảo vệ an toàn của người bệnh. Mức độ nỗ lực, tính hình thức (formality) và hồ sơ tài liệu của quy trình QRM phải luôn tương xứng với mức độ rủi ro — không dùng QRM để biện minh cho chất lượng kém.
Key Takeaway
- Theo ICH Q9, mục tiêu tối thượng của quản lý rủi ro chất lượng (QRM) là bảo vệ an toàn của bệnh nhân.
- QRM không phải là công cụ để bào chữa cho chất lượng kém, mà là công cụ để kiểm soát và phòng ngừa.
- Mức độ nỗ lực, tính hình thức và tài liệu hóa của quy trình QRM phải tương xứng với mức độ rủi ro.
Regulatory baseline: Các nhận định QRM trong bài được đối chiếu trực tiếp theo ICH Q9(R1) và EU GMP Annex 11.
Tóm tắt dành cho Ban Lãnh đạo: Đối với các cấp điều hành ngành Dược, tuân thủ không còn là một “chi phí phát sinh” mà đã trở thành tài sản chiến lược sống còn. Sự thất bại trong việc kiểm soát dữ liệu dẫn đến những hậu quả tàn khốc: thu hồi sản phẩm, đình chỉ sản xuất, và hủy hoại uy tín thương hiệu trên thị trường quốc tế. Theo số liệu từ Certivo (2025), khoảng 60–80% các Thư cảnh báo (Warning Letters) của FDA có liên quan trực tiếp đến tính toàn vẹn dữ liệu (Data Integrity). Để đứng vững trước các kỳ thanh tra khắt khe của FDA hay EU GMP năm 2026, doanh nghiệp cần một hệ thống quản trị dựa trên “Bộ ba trụ cột” vững chắc: ALCOA++, ICH Q9(R1) và GAMP 5.
Trụ cột 1: ALCOA++ và 3 Lớp Kiểm soát Tính toàn vẹn dữ liệu
ALCOA+ không còn là một khẩu hiệu trừu tượng mà là bộ khung kỹ thuật để bảo vệ mọi quyết định chất lượng. Đây cũng là nền tảng của tính toàn vẹn dữ liệu (Data Integrity) trong GMP.
Nguyên tắc 9+1: Tín hiệu sẵn sàng ALCOA++
Bên cạnh 9 nguyên tắc truyền thống, dự thảo EU GMP Chapter 4 (2025) đã đưa vào nguyên tắc thứ 10: Traceable (Tính truy xuất). Lưu ý rằng, tính đến giữa năm 2026, ALCOA++ được xem là một “tín hiệu sẵn sàng” (readiness signal) hơn là một yêu cầu pháp lý đã hoàn thiện toàn cầu, nhưng doanh nghiệp cần áp dụng ngay để đón đầu xu hướng.
| Nguyên tắc | Mô tả thực thi GMP |
|---|---|
| Attributable | Dữ liệu phải gán được trách nhiệm cho cá nhân cụ thể, thời gian và địa điểm. |
| Legible | Dữ liệu phải đọc được trong suốt vòng đời lưu trữ (phần mềm đọc được file gốc). |
| Contemporaneous | Ghi chép ngay tại thời điểm hoạt động. Sử dụng timestamp hệ thống thay vì user nhập. |
| Original | Bản ghi đầu tiên là nguồn sự thật duy nhất (Raw Data), không dùng “bản nháp”. |
| Accurate | Phản ánh đúng thực tế, không sai số tùy tiện. Kết quả tính toán phải được validate. |
| Complete | Đầy đủ mọi dữ liệu, bao gồm cả kết quả không đạt (OOS) hoặc test bị hủy. |
| Consistent | Nhất quán về đơn vị, định dạng và logic giữa các bản ghi liên quan. |
| Enduring | Lưu trữ bền vững (Media migration). Backup phải được restore test định kỳ. |
| Available | Có thể truy xuất ngay lập tức khi cơ quan thanh tra yêu cầu. |
| Traceable (+) | Khả năng tái dựng lịch sử record: phải ghi cả giá trị trước và sau khi thay đổi (Audit Trail). |
Ba lớp kiểm soát thực thi (Enforcement Layers)
- Kỹ thuật (Technical Controls): Tự động hóa thu thập dữ liệu để loại bỏ sai sót nhập liệu (transcription error), đồng bộ NTP server ngăn chặn backdating, và phân quyền theo nguyên tắc Least Privilege.
- Quy trình (Procedural Controls): Xây dựng SOP rà soát Dấu vết kiểm tra (Audit Trail) dựa trên rủi ro thay vì rà soát tràn lan không mục tiêu.
- Văn hóa (Behavioral Controls): Đây là lớp quan trọng nhất. Ban lãnh đạo phải tạo môi trường “báo cáo an toàn” (Safe reporting), nơi nhân viên tin rằng báo cáo sai lệch trung thực luôn tốt hơn việc che giấu lỗi do áp lực năng suất.
Cảnh báo từ Chuyên gia: Một lỗ hổng kinh điển thường bị thanh tra FDA “soi” kỹ là các thiết bị standalone (máy đo pH, cân phân tích, máy đo độ rã). Các thiết bị này thường có tính năng Audit Trail bị tắt hoặc đồng hồ hệ thống không được khóa, cho phép nhân viên chỉnh lùi ngày giờ để ghi chép “đúng thời điểm” (Backdating). Doanh nghiệp cần rà soát lại ngay danh mục thiết bị này.
Khái niệm “Dữ liệu thô” (Raw Data)
Trong môi trường điện tử (như hệ thống HPLC), Raw Data không phải là bản in PDF hay báo cáo giấy. Raw Data là các tệp chromatogram gốc, bao gồm tệp phương pháp, thông số tích hợp và metadata đi kèm. Nhà máy phải lưu giữ toàn bộ file gốc này và đảm bảo khả năng mở/re-process chúng trong suốt thời gian lưu trữ (thường từ 5-15 năm).
Trụ cột 2: Quản lý Rủi ro Chất lượng (QRM) theo ICH Q9(R1)
Phiên bản ICH Q9(R1) năm 2023 thay đổi cách tiếp cận rủi ro: từ cảm tính sang khoa học, từ cồng kềnh sang tối ưu.
Định nghĩa chuẩn theo ICH Q9(R1):
- Rủi ro (Risk): Sự kết hợp giữa khả năng xảy ra tổn hại và mức độ nghiêm trọng của tổn hại đó.
- Mối nguy (Hazard): Nguồn gốc tiềm tàng gây ra tổn hại.
- Tổn hại (Harm): Thiệt hại về sức khỏe, bao gồm thiệt hại do mất chất lượng sản phẩm hoặc mất khả năng cung ứng thuốc.
Tối ưu hóa nỗ lực (Proportionate Effort)
Một sai lầm của nhiều QA Manager là áp dụng FMEA cho mọi thứ. “Bí quyết” của chuyên gia tư vấn là:
- Tính chính thức cao (High Formality): Sử dụng các công cụ như FMEA, HACCP cho các hệ thống phức tạp, rủi ro cao (như quy trình sản xuất vô trùng, batch release).
- Tính chính thức thấp (Informal Assessment): Đối với các tình huống rủi ro thấp, chỉ cần một biên bản đánh giá ngắn gọn kèm lý giải khoa học để tiết kiệm nguồn lực.
Quản lý Tính chủ quan (Subjectivity)
ICH Q9(R1) yêu cầu giảm thiểu tính chủ quan bằng cách sử dụng đội ngũ đa chức năng và dữ liệu thực tế thay vì ý kiến cá nhân. Việc xây dựng thang điểm Scoring (S-O-D) rõ ràng kèm ví dụ cụ thể là cách tốt nhất để đồng nhất kết quả đánh giá giữa các assessor khác nhau. Kết quả QRM cũng là đầu vào trực tiếp cho quy trình quản lý sai lệch (Deviation Management) và kiểm soát thay đổi (Change Control).
CAPA GMP: Root Cause Analysis và Effectiveness Check theo ICH Q10
Đọc tiếp để nối QRM với điều tra nguyên nhân gốc và hành động khắc phục/phòng ngừa.
CAPA GMP: Toàn tập Root Cause Analysis & Effectiveness Check →
Trụ cột 3: GAMP 5 và Chuyển dịch từ CSV sang CSA
Tư duy GAMP 5 Second Edition (2022) không còn là một “bảng kiểm” cứng nhắc mà tập trung vào Tư duy phản biện (Critical Thinking).
Phân loại Phần mềm: Một dải liên tục (Continuum View)
Thay vì cố ép một phần mềm vào một nhóm duy nhất, hãy xem xét nó như một dải liên tục. Các chuyên gia (SME) phải sử dụng tư duy phản biện để xác định mức độ thẩm định dựa trên tính mới, tính phức tạp và tác động GxP.
| Nhóm (Category) | Loại phần mềm | Chiến lược thẩm định (Risk-based) |
|---|---|---|
| Category 1 | Hạ tầng (HĐH, SQL) | Chỉ kiểm tra cài đặt (IQ), tin tưởng nhà cung cấp. |
| Category 3 | Không cấu hình (Máy đo pH, cân) | Kiểm tra cài đặt và vận hành cơ bản (IQ/OQ). |
| Category 4 | Có cấu hình (LIMS, ERP, MES) | Thẩm định kỹ các cấu hình, quy tắc nghiệp vụ và script. |
| Category 5 | Tùy chỉnh (Excel Macro, phần mềm tự viết) | Rigorous control: Kiểm soát toàn bộ vòng đời (Design, Code Review, Testing). |
Từ CSV đến CSA (Computer Software Assurance)
Theo hướng dẫn FDA CSA 2026, trọng tâm chuyển từ việc tạo ra “núi tài liệu” (Documentation-centric) sang tập trung vào kiểm tra thực tế (Testing-centric). CSA cho phép doanh nghiệp tận dụng bằng chứng từ nhà cung cấp và sử dụng kiểm tra không theo kịch bản (Unscripted testing) cho các tính năng rủi ro thấp, giúp tăng tốc độ triển khai hệ thống lên tới 60%.
Tương lai: AI, RPA và Hệ thống Quản lý Chất lượng Điện tử (eQMS)
Sự kết hợp giữa RPA và AI đang tạo ra bước đột phá trong quản trị tuân thủ.
- RPA làm “Bề mặt kiểm soát” (Control Surface): Trong môi trường GxP khắt khe, RPA cung cấp một nền tảng thực thi mang tính định tính (deterministic) và có thể kiểm chứng (auditable). Đây là nền tảng an toàn để triển khai các Agent AI.
- AI hỗ trợ quyết định (AI Assistance): AI/ML hỗ trợ điều tra sai lệch (Deviation), tóm tắt hồ sơ lô, và dự đoán OOS. Tuy nhiên, theo dự thảo EU GMP Annex 22, đối với các quy trình rủi ro cao (như xuất xưởng lô), AI chỉ đóng vai trò hỗ trợ, con người (Qualified Person) phải giữ quyền quyết định cuối cùng và chịu trách nhiệm về chữ ký điện tử (Human-in-the-loop).
- Mô hình trưởng thành: Lộ trình từ Thủ công -> Quy trình chuẩn -> RPA (Thực thi) -> AI (Hỗ trợ) -> Agentic Orchestration (Sắp xếp Agentic phối hợp giữa người và máy).
Bảng Tổng Hợp Dữ Liệu QRM
| Luận điểm | Điều khoản | Nguồn tham chiếu | Trạng thái xác minh | Nguồn |
|---|---|---|---|---|
| Việc đánh giá rủi ro chất lượng phải dựa trên kiến thức khoa học, kinh nghiệm sản xuất và liên kết trực tiếp đến việc bảo vệ người bệnh. | Phần I – 1.9; Chương I – 1.13; Mục 4.1 | Thông tư 28/2025/TT-BYT, ICH Q9(R1), WHO-GMP | Được xác minh là nguyên tắc cốt lõi của QRM và bảo vệ người bệnh. | [1], [2], [3], [4], [5], [6], [7], [8], [9] |
| Mức độ nỗ lực, tính hình thức và hồ sơ tài liệu của quá trình QRM phải tương xứng với mức độ rủi ro. | Phần I – 1.9; Chương I – 1.13; Mục 3 | Thông tư 28/2025/TT-BYT, ICH Q9(R1), WHO-GMP | Được xác minh dựa trên nguyên tắc tương xứng của rủi ro. | [1], [2], [3], [4], [6], [10] |
| Quản lý rủi ro chất lượng (QRM) là một quá trình có tính hệ thống để đánh giá, kiểm soát, thông tin và rà soát các nguy cơ đối với chất lượng sản phẩm trong suốt vòng đời. | Phần I – 1.8; Mục 10; Toàn văn | Thông tư 28/2025/TT-BYT, ICH Q9(R1), WHO-GMP | Được xác minh qua định nghĩa quy định trong WHO-GMP và ICH. | [1], [4], [6], [7], [8], [11], [9] |
| Dữ liệu phải tuân thủ nguyên tắc ALCOA+: Có thể truy xuất (A), Dễ đọc (L), Ghi chép tức thời (C), Bản gốc (O), Chính xác (A) cộng với Đầy đủ, Nhất quán, Bền vững và Sẵn có. | Chương IV; Mục 7.4; Phần 5 | PIC/S PI 041-1, EU-GMP Chapter 4, WHO TRS 996 | Tiêu chuẩn kỹ thuật bắt buộc để đảm bảo tính toàn vẹn dữ liệu. | [2], [12], [13], [14], [15], [9], [16] |
| Các hệ thống vi tính hóa liên quan đến GMP phải được thẩm định và kiểm soát để ngăn chặn truy cập trái phép hoặc thay đổi dữ liệu (Audit Trail). | Phần II – 5.40; Annex 11; 11.10 | EU-GMP Annex 11, FDA 21 CFR Part 11 | Đã xác minh qua các yêu cầu về bảo mật và tính toàn vẹn dữ liệu điện tử. | [2], [12], [17], [18], [19], [11], [20], [9], [21] |
| Quản lý rủi ro chất lượng trong GAMP 5 phải tuân thủ các nguyên tắc của ICH Q9, tập trung vào an toàn bệnh nhân và chất lượng sản phẩm. | Triết lý dựa trên rủi ro; Phụ lục M4 | ISPE GAMP 5 Second Edition, ICH Q9 | Được xác minh qua hướng dẫn về thẩm định hệ thống máy tính. | [17], [22], [7], [20] |
| Việc thẩm định hệ thống máy tính (CSV/CSA) phải dựa trên đánh giá rủi ro phù hợp với mục đích sử dụng, ưu tiên tư duy phản biện. | Phần IV; Future Trends; Annex 11 | GAMP 5, FDA CSA Guidance, EU-GMP Annex 11 | Đã xác minh qua cách tiếp cận dựa trên rủi ro cho phần mềm GxP. | [22], [23], [19], [9] |
| Phải sử dụng dấu vết kiểm tra (Audit Trail) an toàn, do máy tính tạo ra, không được phép vô hiệu hóa và phải được soát xét định kỳ. | 11.10 (e); Mục 9.6; ALCOA+ | FDA 21 CFR Part 11, PIC/S PI 041-1 | Đã xác minh qua yêu cầu hệ thống và quy trình xuất xưởng lô. | [12], [13], [18], [24], [20] |
| Văn hóa chất lượng phải khuyến khích nhân viên tự do báo cáo sai sót và lỗi mà không lo sợ bị kỷ luật để đảm bảo tính chính trực của dữ liệu. | Mục 6.3.1; Mục 3.2; Behavioral Controls | ICH Q9(R1), PIC/S Guidance, FDA Guidance | Yêu cầu về văn hóa tổ chức và trách nhiệm của lãnh đạo. | [12], [13], [8], [25], [21], [16] |
| Hệ thống quản trị dữ liệu (Data Governance) phải đảm bảo kiểm soát vòng đời dữ liệu tương xứng với các nguyên tắc quản lý rủi ro chất lượng. | Mục 5.2.3; ICH Q10 | Nguyên tắc ICH Q9, ICH Q10 | Đã xác minh qua văn bản quy định về quản trị hệ thống chất lượng. | [12], [14], [26], [15] |
| Phân loại phần mềm (Category 1-5) và phần cứng (Type 1-2) trong GAMP 5 giúp xác định mức độ thẩm định dựa trên rủi ro. | Bảng phân loại phần mềm/phần cứng | ISPE GAMP 5 Guide | Đã xác minh; Nhóm 5 (tùy chỉnh) có rủi ro cao nhất. | [17], [22], [24] |
| Mọi sai lệch (Deviation) phải được ghi chép, điều tra nguyên nhân gốc rễ (RCA) và thực hiện hành động khắc phục/phòng ngừa (CAPA). | Chương I – 1.4; 1.8 (vii); Mục 4.3 | EU-GMP Chapter 1, ICH Q10, PIC/S PE 009 | Pháp lý tuyệt đối yêu cầu điều tra khoa học và biện pháp khắc phục. | [2], [27], [24], [28] |
| Hệ thống máy tính quan trọng và AI/ML yêu cầu quản lý rủi ro nghiêm ngặt để đảm bảo tính tái lập và không thiên kiến. | Machine Learning Framework; Chương VI | ISPE GAMP 5, FDA AI/ML Framework | Đã xác minh qua các khuôn khổ kiểm soát rủi ro kỹ thuật số mới. | [29], [30], [23], [15], [31] |
| QRM phải được tích hợp xuyên suốt vòng đời sản phẩm, từ phát triển, sản xuất đến phân phối. | ICH Q10; Toàn văn R1 2023 | ICH Q9(R1), ICH Q10, EudraLex Volume 4 | Đã xác minh phạm vi mở rộng bao gồm cả phân phối. | [3], [4], [14], [15], [11], [28] |
| Các thay đổi đáng kể đối với quy trình, thiết bị hoặc hệ thống phụ trợ phải được phê duyệt thông qua hệ thống kiểm soát thay đổi (Change Control). | Phần II – 13; Chương V – 5.23; Điều 1 | Thông tư 28/2025/TT-BYT, EU-GMP, ICH Q10 | Yêu cầu bắt buộc để duy trì trạng thái thẩm định. | [1], [2], [32], [27], [15], [24] |
| Các thuốc có nguy cơ cao (kháng sinh, thuốc độc tế bào, vaccine) phải được sản xuất tại dây chuyền riêng biệt và có biện pháp phòng tránh nhiễm chéo. | Điều 1, Khoản 3; Điều 4, Khoản 10 | Thông tư 28/2025/TT-BYT, WHO-GMP, EU-GMP | Đã xác minh dựa trên đánh giá rủi ro về độc tính và hoạt lực. | [1], [32], [33] |
| Việc sử dụng AI/LLM trong môi trường GxP yêu cầu kiến trúc RAG hoặc Human-in-the-Loop để đảm bảo độ tin cậy và trung thực của dữ liệu. | Kết quả & Thảo luận; Section 02 | FDA Regulatory Framework, Clinical benchmarks | Đã xác minh qua các thử nghiệm về tính trung thực và sự giám sát của con người. | [30], [34] |
| Xác định mức độ chính thức (formality) trong QRM dựa trên tính không chắc chắn, độ phức tạp và hậu quả đối với người bệnh. | Tính hình thức trong QRM | ICH Q9(R1) Formality Guidance | Đã xác minh; giúp giảm bớt sự mơ hồ trong quản lý tri thức. | [3], [23], [6], [25], [28] |
| QRM không được sử dụng để biện minh cho các thực hành vốn không được chấp nhận theo quy định hoặc hướng dẫn. | Chương 1 | ICH Q9(R1) New Guidance | Đã xác minh là giới hạn của việc áp dụng QRM. | [3] |
| Cơ sở sản xuất phải cập nhật tài liệu GMP quốc tế (WHO, EU, PIC/S) và khắc phục tồn tại sau đánh giá trong thời hạn quy định. | Khoản 4; Điều 4, Khoản 15 | Thông tư 28/2025/TT-BYT, Thông tư 35/2018/TT-BYT | Đã xác minh lộ trình tuân thủ và nâng cấp tiêu chuẩn tại Việt Nam. | [33], [26] |
Checklist hành động cho QA & IT Manager
Để chuẩn bị cho kỳ thanh tra 2026, hãy thực hiện ngay các đầu việc sau:
- Data Integrity Walkthrough: Đi thực tế tại xưởng và phòng lab, đối chiếu ngẫu nhiên dữ liệu trực tiếp trên màn hình thiết bị với hồ sơ lô tương ứng.
- Rà soát Audit Trail patterns: Tìm kiếm các mẫu bất thường (ví dụ: thao tác lúc 2-3 giờ sáng, hoặc nhiều lần chạy lại (re-testing) cùng một mẫu mà không có lý do).
- Cập nhật quy trình QRM: Bổ sung hướng dẫn về “Tính chính thức” (Formality) để giảm bớt gánh nặng hồ sơ cho các rủi ro thấp.
- Rà soát định nghĩa Raw data: Đảm bảo tất cả các thiết bị standalone đã lưu tệp dữ liệu gốc thay vì chỉ lưu bản in/PDF.
- Đào tạo văn hóa Data Integrity: Triển khai cơ chế cho phép nhân viên báo cáo mối lo ngại về DI mà không sợ bị trừng phạt (Safe reporting system).
- Đánh giá lại Inventory máy tính: Cập nhật danh mục hệ thống máy tính theo tư duy “Continuum” của GAMP 5 Second Edition thay vì checklist cứng nhắc.
Việc chuẩn bị bài bản từ hôm nay chính là chìa khóa để doanh nghiệp không chỉ vượt qua các kỳ thanh tra mà còn tối ưu hóa hiệu quả vận hành trong kỷ nguyên số.
Decision Moment — Quyết định chiến lược cho Ban Lãnh đạo
Trước khi phê duyệt bất kỳ dự án chuyển đổi số nào, lãnh đạo cần trả lời 3 câu hỏi cốt yếu:
- Xác định Ranh giới: Hệ thống hoặc quy trình nào đang có rủi ro DI cao nhất cần phải định nghĩa lại ngay trước kỳ audit tới? (Ví dụ: Các thiết bị standalone cũ).
- Bằng chứng tự động: Những bằng chứng GMP nào có thể được tạo ra tự động thay vì dựa vào giải thích thủ công đầy rủi ro của nhân viên sau khi sự cố xảy ra?
- Trách nhiệm Chủ sở hữu: Ai là “System Owner” chịu trách nhiệm cuối cùng về tính toàn vẹn dữ liệu của hệ thống, thay vì phó mặc hoàn toàn cho bộ phận IT?
Để chuyển các khuyến nghị QRM thành kế hoạch triển khai cụ thể, xem thêm tại nampham.net.
FAQ
Phần này gom các câu hỏi giúp QA và Ban Lãnh đạo tự kiểm tra nhanh về quản lý rủi ro chất lượng.
QRM là một quá trình có tính hệ thống để đánh giá, kiểm soát, thông tin và rà soát các nguy cơ đối với chất lượng thuốc trong suốt vòng đời sản phẩm theo hướng dẫn ICH Q9. Mục tiêu tối thượng của QRM là bảo vệ an toàn của người bệnh.
ICH Q9(R1) chuyển cách tiếp cận rủi ro từ cảm tính sang khoa học, yêu cầu giảm thiểu tính chủ quan bằng đội ngũ đa chức năng và dữ liệu thực tế. Bản R1 cũng làm rõ khái niệm “tính chính thức” (formality) và nhấn mạnh QRM không được dùng để biện minh cho thực hành không được chấp nhận.
Mức độ nỗ lực, tính hình thức và hồ sơ tài liệu của quá trình QRM phải tương xứng với mức độ rủi ro. Với hệ thống phức tạp, rủi ro cao thì dùng công cụ chính thức như FMEA, HACCP; với tình huống rủi ro thấp chỉ cần biên bản đánh giá ngắn gọn kèm lý giải khoa học để tiết kiệm nguồn lực.
Bên cạnh các nguyên tắc truyền thống, dự thảo EU GMP Chapter 4 (2025) bổ sung nguyên tắc Traceable (Tính truy xuất): phải ghi được cả giá trị trước và sau khi thay đổi. Tính đến giữa năm 2026, ALCOA++ được xem là “tín hiệu sẵn sàng” hơn là một yêu cầu pháp lý đã hoàn thiện toàn cầu.
GAMP 5 phân loại phần mềm theo Category 1 (hạ tầng), Category 3 (không cấu hình), Category 4 (có cấu hình như LIMS, ERP, MES) và Category 5 (tùy chỉnh). Nhóm 5 có rủi ro cao nhất, cần kiểm soát toàn bộ vòng đời. GAMP 5 Second Edition khuyến khích xem phân loại như một dải liên tục dựa trên tư duy phản biện.
Không. Theo dự thảo EU GMP Annex 22, với các quy trình rủi ro cao như xuất xưởng lô, AI chỉ đóng vai trò hỗ trợ; con người (Qualified Person) phải giữ quyền quyết định cuối cùng và chịu trách nhiệm về chữ ký điện tử theo mô hình Human-in-the-loop.
Ghi Chú Minh Bạch
Phần này làm rõ nguồn tham chiếu và ranh giới áp dụng của bài viết.
Nguồn quy định chính (Primary Regulatory)
- ICH Q9(R1), Quality Risk Management, Step 4 (2023) — ICH Q9(R1) Guideline.
- ICH Quality Guidelines (Q8–Q14) — ICH.
- 21 CFR Part 11, Electronic Records and Electronic Signatures — eCFR.
- 21 CFR Part 211.188, Batch production and control records — eCFR.
- EU GMP Annex 11, Computerised Systems (revision January 2011) — EU GMP Annex 11.
- PIC/S PI 041-1, Good Practices for Data Management and Integrity — PIC/S.
- FDA CSA Guidance, Computer Software Assurance for Production and Quality System Software (2026) — FDA.
- WHO GMP — Norms and standards for pharmaceuticals — WHO.
Nguồn thứ cấp đã xác minh (Secondary — Verified)
- ISPE GAMP 5 Second Edition — ISPE.
Nguồn Việt Nam
- Cổng TTĐT Chính phủ, Thông tư 28/2025/TT-BYT về Thực hành tốt sản xuất thuốc, nguyên liệu làm thuốc (hiệu lực 01/07/2025, thay thế TT35/2018/TT-BYT) — Thông tư 28/2025/TT-BYT.
Ghi chú TYPE
- Số liệu “60–80% Warning Letters liên quan Data Integrity” trích từ Certivo (2025) — nguồn vendor/consulting, đã ghi rõ tại điểm trích dẫn.
- Con số “tăng tốc độ triển khai tới 60%” của CSA là ước lượng benchmark vận hành, không phải yêu cầu pháp lý độc lập.
- ALCOA++ (nguyên tắc thứ 10 Traceable) và EU GMP Annex 22 là dự thảo/readiness signal, chưa phải yêu cầu pháp lý đã hoàn thiện toàn cầu tính đến giữa 2026.
Tác giả
Phạm Đức Phương Nam
Chức danh
Pharma Automation Engineer | GMP & Digital Systems
Chuyên môn
Quality Risk Management, GMP Compliance, Data Integrity, Computer System Validation, Pharma 4.0
Website
nampham.net
⚠️ Tuyên bố miễn trừ trách nhiệm y tế: Nội dung bài viết này chỉ cung cấp thông tin tham khảo về quản lý chất lượng trong sản xuất dược phẩm. Không thay thế tư vấn chuyên môn pháp lý hoặc y tế. Hãy tham khảo ý kiến chuyên gia GMP trước khi áp dụng.
