21 CFR Part 11

eSignGlobal 21 CFR Part 11 合規性 報告

合規性分析

以下為 21CFR Part11 法規譯文

Subpart B—電子記錄 Electronic Records

Part11 11.10-對於封閉系統的控制 Controls for closed systems.

使用封閉式系統產生、修改、維護或傳送電子記錄的人員應採用能夠保證記錄真實性、完整性以及必要時的機密性的規程和管理方式， 以確保簽名者不能輕易否認簽署的非真實記錄。規程和管理的內容應包括：

(a)驗證系統以確保預定性能的準確性、可靠性， 以及識別無效改動記錄的能力。

回應	eSignGlobal 作為 SAAS 產品，軟體開發、測試與放行由供應商負責，被監管公司需要供應商的支援以完成驗證活動。 eSignGlobal 建立了完善的品質管理體系，並取得 CMMI 認證證書，透過標準化流程，對軟體產品進行生命週期管理，包括設計、開發、測試與放行控制，並保存了完整的記錄，可以提供充分的書面文件，對客戶的驗證活動進行支援。
結論	結合被監管公司的品質管理和 eSignGlobal 的品質管理活動，eSignGlobal 的應用可以滿足本條款要求。

(b)產生準確、完整、易讀的電子記錄副本的能力，以便於主管機關檢查、審核及複製。若有任何有關主管機關審核和複製電子記錄的問題，應與主管機關取得聯繫。

回應	eSignGlobal 產生的電子記錄包括兩大類別: § 業務活動記錄，主要包括上傳系統並簽署可靠電子簽名的各類 GMP 活動記錄，包括適用的電子合約。 §支援活動記錄，例如使用者管理與登入、合約檢視與分享等。 系統可產生準確、完整、易讀的電子記錄副本，以電子方式查閱或列印為紙本副本文件。被監管公司依照需求，將這些紀錄用於監理方審核。
結論	eSignGlobal 的應用可以滿足本條款要求。

©記錄的保護以使記錄能夠在整個的保存期內是準確的且易於檢索。

回應

作為 SAAS 產品，eSignGlobal 記錄管理和安全由供應商負責。相關記錄安全說明包括： § 雲端運算供應商為知名雲端服務供應商，eSignGlobal 與供應商簽訂了品質協議，約束實體安全、服務可用性、災難復原等。 § 研發、測試、維運與營運服務符合《個人資訊保護管理系統-ISO/ IEC27018:2019》管理系統並取得相關註冊證書 § 研發、測試、維運與營運服務符合《資訊安全管理系統-ISO/ IEC27001:2022》管理憑證IEC27701:2019》管理系統並取得相關註冊證書 § 系統具備完善的權限管理功能，未授權使用者無法存取相關記錄。 § 系統具備審計追蹤功能，針對系統中的資料新建、修改、刪除等操作會有詳細的記錄，保證了記錄的可追溯性。 § 天谷資訊配合被監管公司完成合規活動，如審計、系統驗證等，並提供適用的文件資料。 eSignGlobal提供了強大的記錄檢索功能，可用於根據人員，時間，操作類型，記錄編號和其他 資訊進行資訊檢索。

結論

eSignGlobal 的應用可以滿足本條款要求。

(d)透過授權個人使用者以限制系統的登入。

回應	eSignGlobal 具備完善的存取控制功能，控制個人使用者登入系統。系統透過授權，個人使用者可以透過密碼等方式登入系統。
結論	eSignGlobal 的應用可以滿足本條款要求。

(e)使用安全的、電腦產生的有時間印記的審計跟踪， 以便獨立地記錄操作者登入和建立、修改、或刪除電子記錄的行為的日期和時間。記錄的改變不能使先前的記錄資訊被覆蓋。這樣的審計追蹤文件將至少與目標電子記錄保存相同的時限，並便於主管機關審核和複製。

回應	eSignGlobal 具備完善的稽核追蹤功能，可記錄日期、時間、操作描述、新值、舊值、操作人等資訊。 審計追蹤可以透過時間、業務模組、操作類型進行篩選查看，新記錄不會覆蓋早期的記錄，與業務活動記錄一同存檔。 有權限的使用者可以查看審計追蹤訊息，審計追蹤記錄可以列印。
結論	eSignGlobal 的應用可以滿足本條款要求。

(f)必要時，使用作業系統檢查以強制執行允許的步驟和事件順序。

回應	eSignGlobal 可以設定記錄簽字流程，使用者可以依據需求設定簽字流程，確保文件簽字按照正確的順序執行。執行簽章時，系統將核對簽字流程與設定的流程是否一致。如果不一致，系統不支援相關人員的簽字操作。
結論	eSignGlobal 的應用可以滿足本條款要求。

(g)使用權限檢查以確保只有被授權的使用者才可以使用系統， 以電子方式簽署記錄，使用作業系統或電腦系統的輸入輸出設備，修改記錄或手動執行操作。

回應	eSignGlobal 具備完善的權限管理功能，系統每個使用者都是唯一的，只有被授權的使用者才能執行對應的操作。 使用者在使用電子簽名時，需要適當的驗證，例如輸入正確的使用者名稱和密碼、手機號碼驗證碼和生物辨識才能執行操作。
結論	eSignGlobal 的應用可以滿足本條款要求。

(h)必要時使用設備（例如，終端）檢查以確定資料輸入來源或操作指令的有效性。

回應	eSignGlobal 可作為獨立軟體使用，同時整合了電子簽章開發平台，透過 API 介面與外部系統對接。 系統對介面資料的發送與接收進行監測，只有透過驗證的資料才能成功交互，對於未通過驗證的數據，系統將進行記錄並說明錯誤原因。
結論	eSignGlobal 的應用可以滿足本條款要求。

(i)確定開發、維護或使用電子記錄/電子簽章系統的人員具備與執行他們被指派的任務相應的教育、訓練和經驗。

回應	eSignGlobal 的開發公司建立了完善的培訓體系，eSignGlobal 產品的開發人員、測試人員和維運人員在經過系統的培訓後，確認具備與崗位工作匹配的知識和經驗後才能上崗工作。 在產品交付流程，eSignGlobal 的開發公司為客戶提供專業的培訓，確保客戶相關人員具備所需的知識。 被監理公司需要進行訓練管理，確保相關人員有適當的資格。
結論	結合被監管公司的培訓管理和 eSignGlobal 開發公司的培訓管理活動，eSignGlobal 的應用可以滿足本條款要求。

(j)為了阻止記錄和簽名的偽造，需要確立書面策略，約束個人對電子簽名相關行為負責。

(k)在系統文件方面建立適當的控制包括：

(1)對系統操作和維護文件的分配、存取和使用有充分控制。

(2)建立修訂和變更控制規程， 以系統文件的編寫和修訂時間順序的進行審計追蹤。

Part 11 11.30-對於開放式系統的控制 Controls for open systems.

使用開放式系統產生、修改、維護或傳送電子記錄的人員應採用能夠保證記錄從創建點至接收點的真實性、完整性以及必要時的機密性規程和管理方式，必要時應包括 11.10 中明確的內容，以及額外的措施，例如文檔加密和運用相應的電子簽名標準以確保記錄必要的真實性、完整性和完整性。

回應	作為 SAAS 軟體服務，eSignGlobal 透過提供標準化的服務，為客戶提供業務價值。 eSignGlobal的開發公司配合客戶完成對開放式系統的控制，以確保記錄的真實性、完整性和保密性，包括以下： § eSignGlobal 採用先進的加密演算法，對電子文件從生成到存儲再到傳輸的全流程進行加密。傳輸時，運用 SSL/TLS 加密協議，確保資料在網路傳輸中難以被竊取或竄改。在儲存階段，對文件原文加密，確保資料不會被非法取得。 § eSignGlobal 運用數位簽章技術，並支援對相關記錄電子簽章驗證，實現對相關記錄進行保護。 § eSignGlobal 的開發公司支援與客戶簽訂品質協議，明確供應商提供的服務以及職責。結合被監管公司的品質管理體系，確保記錄從創建點到接收點的真實性、完整性。
結論	結合被監管公司的品質管理活動，eSignGlobal 的應用可以滿足本條款要求。

Part 11 11.50-電子簽名的形式 Signature manifestations

(a)簽署電子記錄應包含能清楚顯示以下所有與簽名相關的資訊：

(1)用印刷體書寫簽名者的名字

(2)簽名生效的日期和時間

(3)和簽名相關的含義（例如回顧、批准、職責、或原創作者）

(b)本節(a)(1),(a)(2),和(a)(3)中明確的內容應採用電子記錄相同的管理方式，且應作為易讀電子記錄（電子顯示或列印輸出）的一部分。

回應	使用 eSignGlobal 執行電子簽名時，系統支援以下： 1.使用者可基於實際設定個人化印刷體姓名，可讀格式在系統中也保存以確保簽名人資訊的可讀性。 2.保留簽章執行時的日期和時間資訊。 3.簽名相關的意思。 4.所有電子簽名關聯的記錄在系統中可讀，並可匯出或列印副本，供評審或複核使用。
結論	eSignGlobal 的應用可以滿足本條款要求。

Part 11 11.70-簽名/記錄連結 Signature/record linking

在電子記錄上簽署的電子簽名和手寫簽名應該連結到它們各自的電子記錄以保證電子簽名不能夠被刪除、複製或其他方式的轉移而實現電子記錄的偽造。

回應	eSignGlobal 的電子簽名作為關聯記錄的一部分，無法被刪除、複製或以其他方式轉移以偽造電子記錄。 eSignGlobal 運用數位簽章技術，支援相關記錄的電子簽章驗證，可辨識無效的簽章和記錄。
結論	eSignGlobal 的應用可以滿足本條款要求。

Subpart C--電子簽名 Electronic Signatures

Part 11 11.100-一般要求 General Requirements

(a)每一電子簽名應對應唯一的個體，且不能再使用、或再分配給其他任何人。

(b)在一個組織建立，分配，證明，或批准一個人的電子簽名或其他的任何這樣的電子簽名的要素前，組織將驗證個人的身份。

©簽名者在使用電子簽名前或使用時應向相關機構證明，從 1997 年 8 月 20 日起及以後在他們系統上的電子簽名，與傳統的手寫簽名有同等的法律效力。

(1)證明要以書面提交到 5600 Fishers Lane, Rockville, MD 20857 的區域工作辦公室（HFC-100）

(2)應相關機構要求，人們在使用電子簽名時，應提供一份明確電子簽名與簽字者手寫簽名具有同等的法律效力的附加的證明書或證據。

Part 11 11.200-電子簽章的元件與控制 Electronic signature components and controls.

(a)不依據生物測定學的電子簽名應：

(1)使用至少二種截然不同的證明成分，例如識別碼和密碼。

(i)當一個體對單一受控系統連續訪問，並進行一系列簽名時，第一個簽名應包含電子簽名的所有組成部分；隨後的簽名應至少包含電子簽名中只為個體設計使用的其中一種組成部分。

(ii)當一個人不在一個獨立的持續受控的系統登入期間內簽署一個或多個簽名時，每一個被簽署的簽名應使用所有的電子簽名成分。

(2)僅被他們真正的所有者使用；

(3)採用管理和簽署， 以確保除真正所有者以外的其他人嘗試使用電子簽名時需要兩個或多個個體的協作。

(b)依據生物測定學的電子簽名應被設計成能確保他們不能被真正所有者之外的其他人使用。

回應	eSignGlobal 同時支援非生物辨識的電子簽名和生物辨識的電子簽名。 對於非生物辨識的電子簽名， 電子簽名構成包括至少兩種證明成分，如使用者名稱和密碼、手機號碼和驗證碼。 每次執行簽名時，均需要電子簽名的所有組成部分。 被監管公司建立相關管理制度，確保電子簽名只能由真實所有者使用。 被監管公司建立相關管理制度，確保如果需要使用非本人使用者登入系統時，必須在有兩個或以上人員在場的情況下才能操作。 生物辨識的電子簽名透過動態活體偵測和多模態認證輔助確保只有本人可以使用。
結論	結合被監管公司的品質管理活動，eSignGlobal 的應用可以滿足本條款要求。

Part 11 11.300-控制識別代碼/密碼 Controls for identification codes/passwords.

同時使用識別碼和密碼的電子簽名應給予管理，以確保其安全性和完整性，這種管理應包括：

(a)保持每一組識別碼和密碼的唯一性，即不存在二個人有相同的識別碼和密碼。

(b)保證識別碼和密碼發布能定期被檢查、收回或是修訂（例如，解決密碼老化）。

©依照損失管理流程對遺失、被竊、遺漏或存在其它損傷可能的記號、卡片及其他含有或產生識別碼或密碼資訊裝置採用電子失效，並採用適當和嚴格的管理發放臨時或永久的代用品。

(d)處理安全裝置的使用以防止未被授權的密碼或識別碼的使用，採取立即和緊急的措施檢測並報告任何試圖未授權使用系統的安全裝置，和適當的，組織管理。

(e)初始和定期的設備測試，例如含有或產生識別碼或密碼資訊的令牌或卡， 以確保其運作正常，且未遭受未經授權的修改。

結論

美國聯邦法規第 21 章 Part 11 是複雜的法規，需要供應商和被監管者配合，實施良好的技術、管理和程序控制。

作為供應商，eSignGlobal 的開發公司已對 eSignGlobal 產品實施了充分的技術控制和適當的管理，使其具備合規性。被監管公司需要採取少量的管理和程序控制，即可確保合規性。