数据的可追溯性案例及风险考虑要素

恨我不成钢

截止到昨天，WHO这份指南的正文部分已经按照指南的顺序进行了系列的解读，46页的文件大概完成了一半多一些的篇幅，从今天开始，进入附录部分。

这一系列的解读本来应该今天就结束了，比我预计的时间要长一些，大概下周可以结束，刚好也到了公众号发文一周年的纪念，以MHRA数据完整性指南开始，到WHO的数据管理规范结束，也算是圆满了。

A－L－C－O－A的原则在这几个系列的文章中不止一次提到，WHO的指南对这些看起来很枯燥的定义举了一些实例，今天解读的是Attributable（可归属的，可归属到人的，可追溯的）

比如，对于纸质记录来说，人员生成记录时的手工签名（包括全名和签名的缩写）、个人印章以及必要时签名的同时，签上日期和时间都是实现纸质记录可归属、可追溯的方式。

对于电子系统或者说电子记录而言，行为或者说动作的可归属性的前提是人员在系统中应该有唯一的身份标识，对于共用账号的情况，除非在执行动作的时候还有额外的电子签名的要求，否则在共用账号的情况下，系统是不可能将创建、修改或删除数据的活动具体到人的，这就不太符合Attributable的要求。

电子签名可以采用生物识别技术（指纹、虹膜）或者非生物识别技术（ID卡、密码和用户名的组合），生成的电子签名应该确保永久的和电子记录对应，不能被随意的移除或者添加到别的不相关的电子记录上，同时，系统可能也会有一些审计追踪的功能，可以去追溯系统对数据修改的动作，审计追踪的要求指南中也很明确，需要识别出用户的身份以及修改的日期和时间，再严格一些，甚至会要求记录下修改前后的不同的值。

我曾经花了很长时间去理解什么叫做Predicate Rule，后来才理解过来，并不是所有的电子数据都需要有电子签名，也不是所有的电子数据都是电子记录。电子签名仅需要在法规要求的场合，比如批准，审核，复核等有特定意义的动作的时候才需要。电子签名需要永久的和电子记录相对应，WHO举了一个反例，对于电子文档管理系统而言，当执行电子签名的动作是通过应用A完成，而电子签名后的文档又存在另外一个系统中的时候，通过应用B去管理，那么应该通过验证，去确保电子记录和电子签名始终的链接关系。

指南中还提到，需要确保在执行动作的同时去做签名的动作或者使用印章，这与后面的同步记录原则有些重复。在使用印章的时候，建议有额外的控制的措施，比如可以使用印章，但是额外要求人员进行签上时间，同时确保印章保存在一个安全的地方，这就可以降低伪造使用印章的风险。

印章可以使用，但是将人的签名扫描成电子图片，然后反复在不同的文件中使用的情况是WHO的指南所不允许的，指南认为，这样的签名图片被任意使用的风险太大，不可控的因素太多。

对于一些老的系统，不具备识别到具体人员的身份的功能的情况下，WHO认为可以接受混合的方式来实现电子文件的归属性，也就是说系统通过一个通用的账号产生电子记录是应该尽可能避免的，无论是在应用软件层面还是在操作系统层面。但是在特殊的情况下，比如老的系统不具备相应的账号设定功能的情况下，或者执行电子签名输入用户名和密码的操作会结束进程的情况下，可以采用纸质的辅助记录来实现记录的可归属性。

同时，WHO的指南还对于电子签名做了要求，可能且必要的情况下，电子签名永远是最优选择。指南还详细的说明了在完全的电子签名无法实现的情况下，将包含人员签名的纸质记录扫描件，做为电子记录的一部分，并且和电子文件保持链接关系的情况下，这种混合签名的方式也是可以接受的，但需要有流程的明确规定。

最后一个例子是采用类似于便笺纸的记录方式，这里提到的两个场景与之前MHRA允许代签、倒签中提到的例子一样，比如说高风险要求的操作区域，比如由于语言的限制，不能直接记录数据。在这两种情况下，需要有supervisory recording，并且这种supervisory recording是可以采取回溯性签名的，当然这需要在流程中有明确的规定。

手足之情

写的很详细，学习到很多
楼主辛辛苦 ，给你点赞

syhorchid

谢谢分享

alber688

多谢楼主的详细解读

zdz2007

“并不是所有的电子数据都需要有电子签名，也不是所有的电子数据都是电子记录”，这句很关键，见过许多的同事，混淆了这个区分；

semite

一般电子签名还是用在关键性文档上面吧

起早不贪黑

谢谢分享。

何何fp9

感谢分享，很专业，学习了

晴天°皓月

感谢分享，学习一下