在制药合规圈子里，提到计算机化系统验证（CSV），很多人第一反应就是“这个系统是GAMP几类？我按类别走文档和测试清单就行了”。 但如果你还这么想，真的该好好读读Waters这篇2021年的白皮书了——它几乎是在“当头棒喝”地告诉大家：别再用GAMP类别代替思考了。

作者Charlie Wakeham（GAMP全球指导委员会秘书、Data Integrity by Design联合主笔）用9页纸，把过去20年行业最常见的“合规误区”给精准地踩了个稀巴烂。

一、核心观点只有一句话

GAMP类别是用来帮助你理解系统复杂度的，不是让你把系统塞进一个盒子里然后按盒子开测试清单的。

这句话听起来平平无奇，但实际上戳破了全球无数药企CSV SOP的最大漏洞——假风险管理，真分类管理。

二、分类思维 vs 风险思维：两种路径，两个结局

白皮书用一张图把问题说得清清楚楚（图1）：

分类思维路径： GAMP 5 → 给系统贴个“Category 4”标签 → 按书上Category 4的文档/测试清单全做 → 产生海量文档 → 结束 → 结局：Extensive validation documentation

风险思维路径： 理解业务流程+预期用途 → 拆解系统中到底用了哪些功能 → 哪些是Category 3、4、5 → 做真正的风险评估（患者安全/产品质量/数据完整性） → 按风险优先级决定验证力度 → 结局：System is fit for intended use

区别就在于：前者是在“证明我做了很多事”，后者是在“证明系统不会害人”。

三、几乎没有系统是“单一类别”的

这是白皮书最狠的一刀。

你说Empower是Category 4？ 抱歉，错了。

真正的答案是：

• 操作系统、服务器、网络 → Category 1
• 仪器驱动、报告预览、任务分配 → Category 3
• 系统适用性、签名路由、报告模板 → Category 4
• 自定义计算、捕获模板、ELN表单 → Category 5

一个系统里同时存在1/3/4/5类是很正常的。

硬要让供应商给你一个“整体类别声明”等于让供应商替你承担本应由你自己做的风险评估——这本身就是严重的不合规（MHRA和FDA都明确说过不接受）。

四、类别 ≠ 风险等级（这点99%的人都搞错了）

很多人以为“Category 5风险最高，Category 3最低”，于是Category 5就疯狂测，Category 3就走供应商报告。

白皮书用GAMP 5 Appendix M3的风险模型打脸：

风险 = Severity（严重度） × Probability（发生概率） × Detectability（可检测性）

其中只有“发生概率”会受软件类别影响（因为定制越多越容易出Bug），而：

• Severity来自业务流程本身，跟软件类别无关
• Detectability很多时候靠人工复核或下游流程，跟软件类别更无关

举个例子：“只有授权用户才能登录”

• 如果用标准功能实现 → 发生概率Low
• 如果用自定义权限矩阵 → 发生概率High 但Severity都是High，最终风险优先级完全可能一样。

所以，单纯因为“它是Category 5”就加测一堆东西，是典型的资源浪费和伪风险管理。

五、批判性思维的真正威力（最精彩的部分）

白皮书用“禁止普通用户删除数据”这个需求，展示了常规思维和批判性思维的差距：

常规思维只测2个点：

1. 没删除权限的人能不能删？
2. 有权限的人删了有无审计轨迹？

批判性思维会额外追问6个点： 3. 能不能用别人的角色登录？ 4. 能不能通过流程把删除权限授给不该有的人？ 5. 审计轨迹本身能不能被关掉/修改？ 6. 能不能在审计轨迹里快速筛选出删除记录？

这才是真正的“思考潜在失效模式”，而不是机械地验证需求本身。

六、CSA（Computer Software Assurance）就是这个方向

FDA推CSA，本质上就是要把大家从“写脚本证明我测了”解放出来，变成“多思考少写脚本”。

高风险功能 → 仍需严格脚本化测试 低风险功能 → 允许无脚本测试、自动化测试、ad hoc测试

把原来花在写脚本、审脚本、改脚本上的70%精力，拿来真正去“虐系统”找缺陷，这才是保障患者安全的正确姿势。

最后想说

这篇白皮书虽然是Waters发的，但几乎没怎么推销自家服务（结尾才提了一句Professional Services），通篇都在讲方法论，含金量极高。

它真正想传递的信息是：

合规不是为了产生一堆没人看的文档，而是为了让系统真正不会害人。 别再用GAMP类别当拐杖了，该学会自己走路了。当有人再问你“这个系统是几类？要不要功能规格说明书？”的时候，你就可以把这篇文章甩给他，然后问他：“你是想做合规，还是想做真正的风险管理？”

链接：https://pan.quark.cn/s/8b9cb8072858