新版GCP真正改变的，
不只是电子签名

监管人员抽查一份电子知情同意书，真正会问什么？

最危险的答案不是“我们没有电子签名”，而是“系统显示签署成功”，除此以外再也解释不清。

设想一次现场检查：检查员抽取某位受试者的电子知情同意书。系统能够打开PDF，页面上有签名图片、有签署时间，甚至还有第三方存证编号。表面看起来万无一失。但检查不会停在这里。

新版GCP、ICH E6(R3)与电子签名法，必须同时看

三套规则解决三个不同层面的问题：临床试验质量体系、国际通行的风险与数据治理原则，以及电子签名本身的法律效力。

2026年6月8日，国家药品监督管理局、国家卫生健康委员会、国家中医药管理局、国家疾病预防控制局联合发布2026年第50号公告；新版GCP自2026年9月1日起施行，2020年第57号公告同时废止。文件共六章五十四条，并单列“数据治理”一章。官方原文

与此同时，国家药监局已明确ICH E6(R3)在中国的适用安排：2026年3月31日之后开始实施的药物临床试验适用E6(R3)。这意味着不少项目在9月1日前已经进入E6(R3)框架，而9月1日后又必须满足新版GCP；二者不是二选一。适用公告

2020版与2026版，变化不只是多了一章

效力层级提示：新版GCP属于规范药物临床试验活动的部门规范性文件/监管规则，不宜在对外材料中表述为“新法律”。项目制度中还应结合药品管理法、电子签名法、个人信息保护法、数据安全法以及适用的伦理、网络与档案要求综合判断。

电子化可以外包，主体责任不能外包

临床试验数字化最容易犯的错，是从采购功能开始；真正正确的起点，是先确认每个决定由谁作出、谁能授权、谁要解释。

电子签约平台、eConsent系统、CTMS、EDC、eTMF、CRO和SMO都可以承接具体工作，但它们不能代替申办者确定质量策略，不能代替主要研究者对中心研究实施负责，也不能代替伦理委员会作出伦理审查判断。技术平台可以输出证据，不能生成原本不存在的业务事实。

数据治理不是“系统留日志”，而是事实从出生到退役都受控

新版GCP把数据、元数据、审计轨迹、盲法和计算机化系统连续写进同一组条款，本身就在提示：不能再分散建设、分散解释。

第五十一条至第五十三条构成数字化整改的核心段落：数据和元数据应当可追溯；审计轨迹应能够记录创建、修改或删除等操作；涉及盲法的数据处理不得破坏盲态；计算机化系统要经过与风险相称的验证，具备权限管理、数据备份、灾难恢复和变更控制等能力。第五十三条同时明确：如使用电子签名，应当符合我国关于电子签名的有关要求。

“如使用”非常重要。它不是“所有文件都必须电子签”，也不是“只要用了电子签就天然合规”。机构需要基于文件属性、签署目的、角色风险和系统场景，形成一份经质量、医学、法务、信息安全共同批准的电子签名适用矩阵。

每一步都要回答四个问题

eConsent不是一份电子合同，而是两条证据链的交汇

一条证明“这个人签了这份文件”；另一条证明“这个人是在充分知情、可以选择的前提下同意参加”。少任何一条，都可能留下解释缺口。

ICH E6(R3)承认纸质或电子形式的知情同意记录，也允许在适当条件下采用远程过程，但仍强调信息提供、理解、提问机会、自愿决定和记录保存。电子化不应成为增加受试者负担或排除数字能力较弱人群的门槛；需要时应提供纸质或现场替代路径。ICH E6(R3)

“必须刷脸”不是新版GCP的原文要求

人脸核验可以作为高风险场景的一种增强手段，但不应被写成所有受试者、所有研究、所有文件的单一入口。老年人、疾病状态特殊人群、境外主体、未成年人或网络条件不稳定场景，都可能需要差异化核验和人工兜底。正确做法是由机构建立风险分层：核验强度与身份冒用风险、文件法律后果、场景可替代性和受试者便利性相匹配，并保留选择依据。

十类最容易在检查中暴露的电子签约缺口

这些问题往往不会单独出现。一个版本控制失效，通常还会同时暴露权限、签署意愿和归档关联的缺口。

整改判断：任何一项都不应只通过“补一份制度”关闭。至少要同时落实页面门禁、接口校验、状态控制、事件留痕、异常测试和证据导出。

从一枚签名，扩展为可以逐层验收的可信体系

每一层都有业务控制，也都有最小证据输出。只有把两者成对设计，系统才不会在检查时出现“功能有、证据没有”。

四层目标架构：把专业能力接进机构控制，而不是另建一座孤岛

理想架构不是让用户在更多系统间跳转，而是由临床业务系统掌握决策和状态，e签宝提供可验证的身份、签名、时间和证据能力。

在已有eConsent、CTMS、EDC、eTMF或院内门户的项目里，电子签名服务更适合以SDK/API、H5或受控页面方式被编排，而不是要求业务迁移到另一个孤立后台。业务系统在签署前完成版本、角色、适用性和状态校验；e签宝完成身份、证书、签名、可信时间及证据服务；结果回调后，业务系统再次校验订单、文件哈希和状态，才允许进入“完成”。

本地PDF摘要签：减少原文传输，也不能跳过业务校验

对数据出域敏感、文件较大或需要在机构环境内保留原文的场景，可以由本地系统生成定稿文件并计算摘要，由电子签名能力完成摘要签名，再把签名结果与本地原文绑定。它有助于降低原文跨域暴露，但前提是：摘要计算前文件已经定稿；摘要、订单和版本唯一对应；签署结果回传后本地完成验签；原文、摘要、签名和审计记录在保存期内可以共同恢复。否则“只传哈希”会变成另一种证据断裂。

电子签章与个人签名应分开治理

申办者、研究机构等组织用章，可以根据企业授权制度采用经批准的自动签章、审批后签章或人工确认签章；受试者、研究者等个人的签署，则需要与个人身份和当次意思表示关联。二者不能用同一套“自动化”逻辑处理。尤其是知情同意、主要研究者确认和关键医学判断，不应通过后台静默动作替代本人真实行为。

不要验收一张“成功页”，要验收一台签约状态机

签署完成只是终态之一。真正决定系统能否上线的，是每个前置条件、失败分支和恢复动作是否被定义。

任何一步失败，都不能把订单直接推进到下一状态。例如：文件版本变化后，原知情完成状态是否仍然有效？签名完成但验签失败时，是自动重试、人工复核还是形成偏差？存证失败是否影响业务完成，后补存证如何保证原文未变？这些都需要在上线前由业务、质量和技术共同批准。

订单级最小字段，不是越多越好，而是能把事实串起来

验收至少覆盖九组异常

上线门禁：每个用例都要有前置数据、执行步骤、预期状态、前端表现、后台日志、证据字段和恢复结果。只截一张“签署成功”页面，无法证明系统适合预定用途。

有Part 11签名样式，不等于整个系统已经符合Part 11

“打印姓名、日期、签署含义”只是电子记录和电子签名控制中的可见部分；系统范围、验证、访问控制和审计轨迹才是更大的主体。

如果项目涉及向美国FDA提交受监管电子记录，21 CFR Part 11的适用判断应基于记录类型、系统边界和使用方式进行。常见控制不仅包括签名与记录的绑定，还包括系统验证、准确完整副本、记录保护、访问限制、审计轨迹、操作顺序、权限检查、人员培训、责任政策和文档控制等。签名服务可以承担其中部分技术控制，却不能替代申办者或机构对整个受监管计算机化系统的验证。

对仅在中国境内实施、并不属于Part 11适用范围的项目，也不应为了宣传而把所有要求都笼统称作“Part 11合规”。更准确的做法是分别说明：哪些是新版GCP要求，哪些是中国电子签名法律要求，哪些是机构质量体系选择采用的国际控制。

检查时不应临时拼截图，而应一键还原一笔业务

理想证据包不是日志压缩包，也不是平台自己写的一页结论；它要让质量、法务、技术和检查人员都能按同一顺序读懂。

e签宝可基于项目配置提供签署过程记录、数字证书与签名验证、可信时间、文件完整性校验、存证及验证报告等能力。不同报告回答的问题不同：电子签章验证关注签名、证书、文件完整性；电子数据验证关注过程数据和证据链；业务报告则把技术结果放回订单与业务时间线。不能用其中任意一份替代其他全部事实。

证据包还要满足“离开平台后可以理解”

长期保存不能只依赖供应商在线页面。机构应在合同、接口和退出方案中明确：原始文件及其哈希、签名值、证书链、可信时间、审计轨迹、验证报告、字段说明、导出格式、验签方式和迁移支持。涉及算法或证书生命周期变化时，还要评估长期验证策略。区块链存证可以增强时间与完整性证明，但它证明的是“某个摘要在某时存在且之后未变”，并不自动证明业务事实真实、授权有效或知情充分。

先关高风险缺口，再把数字证据链纳入常态治理

六周不适合推倒重来，但足以完成范围盘点、风险分层、关键门禁改造、异常测试和上线证据包。

9月1日以后，整改才真正进入第二阶段

上线不是终点。机构还需要持续监控认证失败率、异常订单、权限回收时效、旧版本拦截、证据导出成功率和供应商服务变化；通过偏差、CAPA、变更控制和周期性复核，把电子签约纳入既有质量体系。对于新研究、新中心、新人群或新终端，应重新评估风险，而不是直接复制历史配置。