LIMS信息管理系统如何过CNAS评审？要求与常见问题

‌‍ ‍​ ‍​ ‌‌ ​‌ ‌‍​ ‌‍ ‍

CNAS评审中，实验室信息管理系统（LIMS）是最容易被查出问题的地方之一。系统功能再多、仪器设备再先进，如果审计追踪没开、权限管理混乱、数据追溯链断了，评审照样过不了。所以，小编结合CNAS-CL01:2018第7.11条对数据控制和信息管理的要求，以及评审现场经常遇到的高频问题，整理了一份LIMS信息管理系统合规自查清单，准备迎接CNAS或CMA评审的实验室，或者已经上线系统但心里没底的，可以对标着看一看。当然，需要先理清CNAS和CMA的区别——前者是自愿性的国际能力认可，侧重技术能力和数据溯源性；后者是强制性的行政许可，侧重国内法律效力和行政合规性。

一、CNAS对LIMS信息管理系统的基本要求

CNAS认可准则里对LIMS信息管理系统的要求，说到底是围绕五个方面展开的：防止未授权的人动数据、保证数据不被随意篡改、系统运行环境要稳定可靠、数据从采集到报告不能断链、系统出过什么问题怎么恢复的都得有记录。

这五点不是可有可无的。任何一项没做到，评审的时候都有可能被判定为体系运行有效性不足。评审专家现场看的就是这些细节。

二、评审时经常翻车的地方

审计追踪问题

很多实验室以为系统有日志就算有审计追踪了。评审专家翻日志的时候，看到的是数据库底层的一堆技术字段，根本看不明白谁改了什么、为什么改。这种情况下，专家会判定审计追踪不满足要求。

审计追踪的核心不是有没有记录，是记录能不能回答四个问题：谁操作的、什么时间操作的、改了什么内容、为什么改。而且这些记录要以业务人员看得懂的方式呈现。

白码LIMS系统的审计日志用的是业务语言记录操作过程，不是堆技术字段，评审的时候也支持一键导出符合要求的完整日志，不用临时整理。

权限管理问题

实验室里常见的情况是多人共用一个账户，或者离职了账号还在，检测员能直接动审核人的数据。这些问题在评审时很容易被发现。CNAS的要求是每个人要有独立账号，权限按最小必要原则分配，做检测的只能录数据、审核的只能审核、系统管理员只管维护。离职的账号及时注销，权限变动要有记录。

系统上线前没做验证

买了一套LIMS系统回来直接就用，上线前没做过功能确认，系统升级后也没重新验证，这种情况在评审时被发现数据计算逻辑有问题，就是严重不符合项。

系统在投入使用前必须做安装确认、运行确认和性能确认，保留完整的验证记录。系统版本升级或者配置改了之后，也要重新确认一遍功能是否正常。

三、电子记录本身也有要求

有了合规的LIMS信息管理系统，不代表电子记录就自动符合要求了。电子记录本身要满足下面五个条件：

• 原始性：指的是数据要在产生的当时就记录下来，不能先记小本子上再往系统里抄。仪器数据自动采集到系统里，就能直接满足这个要求。

• 真实性：说的是谁做的谁负责。电子签名要跟个人身份绑定，不能让别人代签。

• 完整性：要求记录里要包含重现检测活动需要的全部信息，比如样品信息、仪器状态、原始数据、计算过程、质控数据这些，不能只留个最终结果。

• 可追溯性：指的是从最终报告能一路往回找到原始数据、仪器设备、试剂批次、操作人，中间不能断了任何一环。

• 安全性：说的是数据要定期备份、关键数据加密、防病毒防攻击。备份建议按3-2-1的原则操作，就是3份备份、2种介质、1份放到异地。

白码LIMS系统在电子记录这块原生支持审计追踪、电子签名和数据加密，仪器数据直接进系统，修改全程留痕，备份可以设置自动执行。

四、选系统的时候重点看什么

选LIMS信息管理系统的时候，不要只看功能列表多长，要重点看几件事：

• 审计追踪是不是默认就开着、不能关的。如果这个功能是后期额外配置的附加项，可靠性会打折扣。

• 权限体系能不能支持一人一号、角色分离。最好系统内置了多角色模板，而不是每次都要从头配一遍。

• 仪器数据自动采集能力怎么样。人工录入环节越少，数据原始性就越有保障。

• 电子签名是否符合《电子签名法》的要求，签名后数据就锁住了不能改。

• 系统有没有做过第三方安全认证，比如等保测评之类的。

白码LIMS系统在这些方面做得比较完整，审计追踪、权限管理、电子签名都是系统底层自带的功能，不需要再额外配。系统支持私有化部署，评审的时候数据都在自己手里，导出也方便。当然，每家实验室的业务场景和合规要求不尽相同，选型时也可以参考最新的LIMS系统厂商排名，结合自身的行业领域、预算规模和评审需求，综合对比后再做决定。