FDA 21 CFR Part 11（《联邦法规21章》第11款）是美国食品药品监督管理局（FDA）针对电子记录和电子签名制定的核心合规法规。它确立了电子记录和电子签名在满足特定控制要求的前提下，可被视为与纸质记录和手写签名具有同等法律效力和可信度的标准。

该法规主要适用于受 FDA 监管的行业（如制药、生物技术、医疗器械、临床研究和食品等），在创建、修改、维护、归档、检索或传输电子记录，以及向 FDA 提交电子记录时，必须满足可信、可追踪、可验证和可审计的要求。

1、核心结构与适用范围

21 CFR Part 11 并非单纯的“电子签名功能清单”，而是一套覆盖电子记录、审计追踪、身份验证、签名绑定和账号控制的系统要求。其法规结构主要分为三个部分（Subpart）：

Subpart A（总则）：界定法规的适用范围、实施原则及核心术语定义。

Subpart B（电子记录）：关注记录的可信度，涵盖系统验证、访问控制、审计追踪、签名显示及记录与签名的绑定等。

Subpart C（电子签名）：关注签名的可信度，规范签名人身份验证、签名组件（如非生物识别需双重验证）及账号密码控制。

2、关键合规控制要求

为满足监管审查，受控的计算机系统必须具备以下核心能力：

系统验证：系统必须经过严格验证，以证明其能够持续、稳定地按预期功能运行。

审计追踪（Audit Trails）：系统必须启用不可篡改的审计追踪功能，自动记录“谁、在什么时间、对哪份记录、做了什么操作”，且原始记录不能被覆盖或静默修改。

访问控制：系统需具备严格的权限管理，确保只有经过授权的人员才能登录、查看、签署或修改数据。

电子签名绑定与显示：电子签名必须与对应的电子记录永久绑定，一旦记录内容被修改，签名即失效。同时，签名必须清晰显示签署人、签署时间及签署含义（如审批、复核等）。

身份识别与密码管理：每个电子签名必须对应唯一的个人，且非生物识别签名需采用至少两种截然不同的证明成分（如识别码加密码），凭证仅限本人使用并需定期检查和更新。

3、执法导向与风险管理

尽管 21 CFR Part 11 的要求十分详尽，但 FDA 在实际执法中采取了基于风险的方法（Risk-based approach）。FDA 指出，企业应首先确保底层 GxP（如 GMP、GLP、GCP）法规对记录保存的基本要求得到满足。对于 Part 11 中的部分技术控制（如系统验证、审计追踪等），FDA 会根据数据对产品质量和患者安全的风险程度，采取更为灵活和主观的执法裁量权。

在实际应用中，21 CFR Part 11 已成为全球医药和医疗器械行业数据完整性的通用参照系。企业只有遵循该标准，其保留的电子数据才能作为通过监管检验或未来追溯的有效依据。