审计追踪的审核权限是否可以共用账号？

13925117500

审计追踪是业界内一个老生常谈的话题。众所周知，对于采用计算机（化）系统生成记录或数据的，为确保生成的电子记录及数据真实、准确、完整和可追溯，计算机化系统中不同用户不得共享登录账号或者使用通用登录账号。

    对于具有操作权限的用户账号，为确保记录中的操作行为能够归属到特定个人，不同用户不得共享登录账号或者使用通用登录账号，这点是毫无疑问的。但有人也可能会存在疑问，如果仅是对审计追踪信息进行审核操作，同一账号可以多人使用吗？

    笔者认为，在产品放行前，负责复核的人员应该都能查看审计追踪信息，以便对数据进行审核。所以如果审核账号不具备操作权限，或者企业在管理上能通过操作规程的方法来保证审核账号不会被用来进行操作，是可以共用账号的。

附：

《药品记录与数据管理规范（征求意见稿）》

第二十三条【电子记录操作权限管理】  电子记录应当实现必要的操作权限与用户登录管理，包括：

（一）建立操作与系统管理的不同权限，业务流程负责人的用户权限应当与其承担的职责相匹配，不得赋予系统（包括操作系统、应用程序、数据库等）管理员权限；

（二）具备用户权限设置与分配功能，能够对权限修改进行跟踪与查询；

（三）应当采用生物特征或非生物特征等方式，确保登录用户的唯一性与可追溯性，当采用电子签名时，应当符合《中华人民共和国电子签名法》规定，至少明确记录签署人、签署日期、签署时间与签署含义；

（四）应当记录对系统操作的相关信息，至少包括操作者、操作时间、操作过程、操作原因；数据的产生、修改、删除、再处理、重新命名、转移；对计算机（化）系统的设置、配置、参数及时间戳的变更或修改。

作者：CIO合规保证组织专家——双花

ztzhang

墨石 发表于 2020-4-22 12:47
详细讲讲。

使用独立账号的目的是保证某个操作记录的可归属性，审核审计追踪这个操作，如果是记录在纸张上面，然后在该纸质记录上签名，那么可以认为，该记录的可归属性是通过手写签名来完成的。如果这个审核操作的记录是电子的，通过电子签名的方式来完成，那么可归属性就是通过独立账号来实现的。

13925117500

如果有更多关于医药转让/建厂/产品注册/验证等相关的问题，欢迎搜索【CIO在线】

ztzhang

需不需要独立账号查看审计追踪，取决于审计追踪审核的形式，建议还是多读点书再来。

墨石

ztzhang 发表于 2020-4-22 12:32
需不需要独立账号查看审计追踪，取决于审计追踪审核的形式，建议还是多读点书再来。

详细讲讲。

一世英名

个人同意这个观点，不具备任何操作权限的账号，该账号可以共用