但更值得关注的，不是FDA接不接受，而是中国数据凭什么被接受。卖普通产品，消费者最终消费的是产品本身，产品好就够了；医药则是产品、服务与持续监管的组合，上市之后仍要接受检查，出了问题还要回溯到试验和生产过程，过程本身就成了审查对象。国内长期习惯以结果说话，境外监管看的却是全程质控，差别正在于此。落到具体项目上，需要回答的是这样几个问题：中国开展的临床研究，需要满足什么条件才能获得FDA的认可？与境外研究机构和主要研究者的合作，保密协议和临床试验协议怎么谈，才能既控制风险又不拖慢启动？国内临床在执行层面要做哪些准备，产生的数据才经得起境外审评？FDA来中国机构做现场核查时，供应商和研究机构应当如何管理？

一、FDA接受境外临床数据的法定标准

21 CFR 314.106对以境外数据作为美国上市批准依据的情形设有明确规定，原文表述为：“An application based solely on foreign clinical data meeting U.S. criteria for marketing approval may be approved if: (1) the foreign data are applicable to the U.S. population and U.S. medical practice; (2) the studies have been performed by clinical investigators of recognized competence; and (3) the data may be considered valid without the need for an on-site inspection by FDA or, if FDA considers such an inspection to be necessary, FDA is able to validate the data through an on-site inspection or other appropriate means.”[2]换言之，条文设定的前提不是“数据必须来自美国”，而是三项要件同时成立：境外数据对美国人群和美国医疗实践适用；研究由具备公认能力的研究者按GCP开展；以及数据可在无需FDA现场检查的情况下被视为有效或是FDA认为必要时，能够通过现场检查核实这些数据。三项要件缺一不可，仅凭境外数据的申请不能获批。

与之配套的还有两条规定。21 CFR 312.120(a)(3)规定：“Marketing approval of a new drug based solely on foreign clinical data is governed by § 314.106 of this chapter.”[3]把境外数据能不能采信的判断交回314.106处理。医疗器械的平行规则是21 CFR 814.15，其三项要件的表述与314.106近乎逐字对应：“The foreign data are applicable to the U.S. population and U.S. medical practice; the studies have been performed by clinical investigators of recognized competence; and the data may be considered valid without the need for an on-site inspection by FDA, or if FDA considers such an inspection to be necessary, FDA can validate the data through an on-site inspection or other appropriate means.”[4]两套规则背后是同一套判断逻辑：数据用不用得上，研究者够不够格，查不查得了。

指南层面，ICH E5开宗明义：“The purpose of this guidance is to facilitate the registration of medicines among ICH regions...by recommending a framework for evaluating the impact of ethnic factors upon a medicine’s effect...while minimizing duplication of clinical studies and supplying medicines expeditiously to patients for their benefit.”[5]即通过评估内在与外在民族因素、必要时开展桥接研究，减少不必要的重复申报。ICH E17的定位更进一步：“The purpose of this guideline is to describe general principles for the planning and design of MRCTs with the aim of increasing the acceptability of MRCTs in global regulatory submissions.”[6]目标就是让国际多中心临床试验（MRCT）在各区域更容易被接受。两者在FDA体系中均为正式指南（final guidance）。

适用性方面，中国人群的疾病谱、合并用药和标准治疗与美国的差异有多大，需要用什么证据来论证，要不要做桥接研究？研究者资质方面，机构和主要研究者的既往检查记录能否获取，GCP培训有没有覆盖到每一位实际参与试验的人员？可核查性方面，从第一例受试者入组开始，源文件是否始终处于可供检查的状态？这些问题在方案设计阶段回答，成本最低；等审评意见下来再回头补，往往已经没有多少调整空间。

二、如何与境外研究机构和主要研究者高效协作

出海临床的第一步往往不是签协议，而是找机构。可行性评估阶段就要与候选机构和主要研究者交换方案摘要、既往数据甚至部分非临床结果，这个阶段的保密协议如果签得草率，后面很难补救。签署之前值得先问几个问题：保密义务是单向还是双向，机构披露的既往经验和患者资源信息是否也在保护范围内？向监管机构和伦理委员会披露时有没有留出例外，否则后续申报会与保密义务发生冲突？保密期限是套用了商务谈判常见的两年期，还是覆盖到试验结束后的合理年限？这份文件与后续临床试验协议中的数据权属条款，会不会互相矛盾？

可行性确认之后进入临床试验协议谈判。境外机构，特别是欧美的大型学术医疗中心，通常有自己的模板和不可谈判条款清单，谈判周期往往比国内长得多。数据与成果权属、发表权、受试者损害赔偿与保险、知识产权，这几类条款各自都可能成为僵局：试验数据归谁所有，机构和研究者在什么范围内可以使用？学术机构坚持保留发表权时，申办方的事先审阅期和推迟发表期怎么约定才够用？赔偿范围、免责情形和保险额度，是否与当地法律以及机构的强制要求相符？这些问题谈不拢，入组时间就只能一再顺延。

还有一类条款容易被当作模板文字带过，实际上直接关系到后续申报能否顺利。2025年1月通过的Step 4版本ICH E6(R3)要求研究者和研究机构允许申办方监查、稽查并接受监管机构检查，并在监查员、稽查员、伦理委员会或者监管机构提出要求时，提供对全部试验相关记录的直接查阅；更值得注意的是，该指南把取得这些承诺的责任明确交给了申办方：申办方应当取得研究者、研究机构以及服务提供方的同意，承诺按规定期限保存必备记录，并允许境内外监管机构检查、提供对源记录和场所的直接查阅。[7]换句话说，把检查配合和记录保存写进临床试验协议，本身就是申办方的GCP义务，而不只是一项谈判技巧。协议中还应当约定试验结束后的资料移交安排，否则数年后接到检查通知时，机构可能已经无法调取原始记录。

协议之外，日常沟通机制同样影响进度。与境外研究者的沟通不同于国内，时区、语言和学术文化的差异都会放大信息损耗。稳妥的做法是在启动前就约定固定的沟通节奏和单一联络口径，方案修订、安全性信息和入组进度通过统一渠道同步，避免同一个问题在申办方、CRO和机构之间反复传递却始终没有结论。

三、国内临床如何经得起境外审评

中国开展的临床研究要经得起境外监管的审评和检查，合规工作分两个层次。基础层次是法定要求，主要是人类遗传资源管理和个人信息保护；更关键的层次，是质量体系本身能不能经得起境外审评和检查的检验。前者决定数据能不能合法送出去，后者决定数据送出去之后有没有人信。

人类遗传资源方面，需要先判断走哪条轨道。为获得药品和医疗器械在我国的上市许可，在临床机构利用我国人类遗传资源开展国际合作临床试验、不涉及人类遗传资源材料出境的，不需要审批，但是，合作双方在开展临床试验前应当将拟使用的人类遗传资源种类、数量及其用途向国务院卫生健康主管部门备案；一旦需要将我国人类遗传资源材料运送、邮寄、携带出境，就需要符合《中华人民共和国人类遗传资源管理条例》第二十七条所规定的特定条件（包括对我国公众健康、国家安全和社会公共利益没有危害；具有法人资格；有明确的境外合作方和合理的出境用途；人类遗传资源材料采集合法或者来自合法的保藏单位；通过伦理审查），并取得国务院卫生健康主管部门出具的人类遗传资源材料出境证明。将人类遗传资源信息向外国组织、个人及其设立或者实际控制的机构提供或者开放使用的，应当向国务院卫生健康主管部门备案并提交信息备份，可能影响我国公众健康、国家安全和社会公共利益的，还应当通过国务院卫生健康主管部门组织的安全审查。[8]

个人信息方面，医疗健康信息如果属于《个人信息保护法》下的敏感个人信息，处理前需要取得个人的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。向境外提供的，还应当向个人告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使《个人信息保护法》规定权利的方式和程序等事项，并取得个人的单独同意。[9]数据出境安全评估则留有豁免空间：未被相关部门、地区告知或者公开发布为重要数据的，数据处理者不需要作为重要数据申报评估。[10]

这几项要求对应的是不同类型的数据，实务中最容易出错的地方，是把它们混作一谈。稳妥的做法，是在方案设计阶段就画出样本和数据的流向图：哪些属于人类遗传资源材料、哪些属于人类遗传资源信息、哪些是一般临床数据或者个人信息，分别在什么环节、以什么形式出境，各自对应审批、备案还是告知义务。这张图画清楚了，后续每一次跨境传输才有依据。

法定要求之外，真正决定数据能不能被采信的，是执行层面的质量体系。境外审评关注的不是企业有没有标准操作规程，而是规程有没有被执行、执行有没有留痕。不妨对照几个问题：源数据的定义是否写清楚了，哪些直接录入电子系统、哪些先有纸质记录、修改如何留痕？知情同意书的版本管理、生物样本的流转记录、方案偏离的识别与报告、安全性事件的上报时限，是否都有可执行的规程，而不只是写在质量手册里？这些规程与实际操作之间，是否有人定期核对？

这些规程最终要落到数据本身的属性上。ICH E6(R3)要求，源记录应当可归因、易读、同时记录、原始、准确和完整；对源记录的修改应当可追溯，不得掩盖原始记录，必要时还应当通过稽查轨迹说明理由。[7]实务中最常见的缺陷往往不是没有制度，而是中英文版本不一致、培训记录缺失、研究者授权表未及时更新。建议在入组开始前完成一轮内部质量稽查，用境外检查的标准预演一次，把问题留在自查阶段，而不是留到检查现场。

四、如何应对FDA现场核查

前述21 CFR 314.106对境外数据三项要件中，数据的适用性和研究者的资质在行业里讨论得多，第三条也就是FDA认为必要时能否通过现场检查核实数据，很少被单独拿出来讨论。但检查能不能完成，本身与数据质量无关，却足以阻断一次申报。2025年FDA扩大境外设施非预先通知检查政策的适用范围，并明确说是在印度和中国试点基础上推开的，其政策重心之一，就是加快核实境外设施和数据。因此，真正决定数据命运的，不是它产生于哪个国家，而是它由谁产生、检查当天能不能被核实。这两个问题分别落在供应商管理和源数据安排上。

（一）供应商与研究机构的全流程管理

2024年初，FDA就上市前提交材料中第三方实验室生成的不可靠数据发出提醒，指出问题实验室中包括位于中国和印度的多家机构，并说明这类数据已导致FDA无法作出相应决定；[11]2025年5月，FDA又就两家中国第三方检测机构的数据完整性问题采取了行动。这些动作针对的是特定机构生产的特定数据，判断标准是数据能不能被信赖，而不是按国别给临床结果贴标签。

这意味着供应商管理不能停留在一次性的资质审查上。遴选阶段，检测实验室、中心实验室、生物分析和影像判读等关键供应商，有没有接待过境外监管检查、既往检查有没有发出缺陷、资料保存是否规范，应当与技术能力和报价一样成为筛选标准；研究机构同样如此，接待境外检查的经验理应和入组能力放在一起考量。

合同阶段，ICH E6(R3)要求申办方取得服务提供方的同意，应监查员、稽查员及境内外监管机构的要求，向上述机构提供所有要求的试验相关记录以供直接查阅，这项要求同样覆盖中心实验室、检测机构等第三方。[7]落到文本上，配合监管检查的义务、数据完整性要求、分包与再委托的事先审批、文件保存期限和到期前的通知义务，都应当写进供应商合同，而不是依赖对方的标准条款。执行阶段则需要定期稽查和关键质量指标监控，并在供应商发生人员变动、系统升级或者场地搬迁时重新评估。把这些动作串起来，供应商管理才真正成为贯穿项目全流程的机制，而不是立项时签一份问卷、检查前临时补材料。

（二）源数据核查如何应对双重合规困境

FDA一侧要求，认为必要时能够通过现场检查核实境外研究数据。落到操作上，这意味着检查员可能需要看到中国机构的原始病历、检验原件、知情同意书等源文件，才能核对源数据。这与中国一侧的备案、安全审查和个人信息同意要求，是两套各有道理、却可能在同一个检查现场同时生效的规则。

这个问题在实务中通常要拆成几个问题来回答。哪些资料构成人类遗传资源信息，因而适用条例项下的管理要求？哪些源数据可以在中国境内的受控环境下供检查员查阅，但不宜自由复制带走？哪些数据经过去标识化、按最小必要原则处理后，可以依法跨境提供？以及，境外申办方或者境外CRO远程访问中国机构的系统，在法律上算不算“对外提供”或者个人信息出境？

这些问题背后是法律性质并不相同的行为：现场受控查阅、复制带走、远程访问、长期系统接入。实务中它们经常被笼统归结为“能不能让对方看数据”一个问题，但从合规角度看，四者的定性、可行路径和风险并不相同。把它们分开界定，是设计检查应对方案的起点。

需要坦率说明的是，就目前能查到的公开材料而言，还没有见到针对这一场景的、足够细致的统一官方操作指引。因此上面这个框架更接近实务经验和行业惯例的归纳，而不是可以直接援引的明确规则。具体项目中，仍要结合系统架构、数据存放地点、访问权限设置和研究类型逐案判断。

但有一点是确定的：这些安排都得事先做出来。它们最终要落在CRO合同的核查配合条款、研究机构协议的源文件查阅安排、知情同意书的数据使用与出境告知，以及电子系统的权限和审计追踪设置上。笔者在此前讨论出海临床CRO合同法律风险时曾提到，合同给了Sponsor什么权利，Sponsor在项目中就有什么权利。放到数据核查这个场景，这句话同样成立。

五、申报阶段还会遇到哪些合规问题

审评过程中，审评部门可能就中国人群的适用性、机构既往检查记录、数据管理流程发出补充资料要求，答复口径与此前提交的资料是否一致？会前会上被问到为什么不做国际多中心时，企业能否给出经得起追问的理由？如果收到检查通知，从接到通知到检查开始的准备期通常很短，届时才发现某家机构的原始记录调不出来，还有没有补救余地？检查结束后若收到缺陷项，回复的时限和内容要求都很具体，处理不当会拖累整个申报进程。

交易层面的问题同样会在这个阶段集中显现。在license-out、NewCo和融资尽调中，境外一方越来越早地把数据来自哪些国家和地区、能不能接受现场检查列为专门的核查事项。NewCo结构下，关键不在主体注册在哪里，而在申报资料中哪些数据用于支持美国IND、哪些只作为境外开发历史，这条界线一旦划错，后续很难回头调整。临床数据的可接受性，最终会直接反映在BD估值和融资条件上。

这些问题彼此关联，等到暴露出来再逐个处理，代价通常远高于事先安排。

六、全程质控统一规划

回到最初那个传闻。目前美国法上并不存在一条已经生效、以数据来源国为准的绝对排除规则；决定境外数据能否被接受的，仍然是适用、合规与可核查这三项要件。但2025年以来的国会与FDA动向，确实明显抬高了对中国单国数据的政治敏感度和审评强度。

更值得注意的是，前面讨论的环节分属不同部门：法定标准由注册团队关注，机构协作由临床运营推进，质量体系归质量保证部门，检查应对靠现场团队，交易文件则在法务和BD手中。但从审评和检查的角度看，它们是同一件事的不同侧面。知情同意书里没有写检查授权，现场核查就会受阻；临床试验协议里没有约定资料保存期限，几年后调不出原始记录。这类问题很难由单一部门发现，也很难在暴露之后补救。

因此，与其揣测FDA的态度，不如尽早安排专门团队统一规划、统筹推进。合规准备做在前面成本最低；等到申报或者检查阶段再补，往往已经来不及。

[注]

[1] 美国众议院拨款委员会2026年4月29日通过的《2027财年农业、农村发展、食品药品监督管理局及相关机构拨款法案》（FY2027 Agriculture, Rural Development, Food and Drug Administration, and Related Agencies Appropriations Act）所附的委员会报告（Committee Report），https://www.congress.gov/119/crpt/hrpt632/CRPT-119hrpt632.pdf

[2] 21 CFR 314.106 (Foreign data)，https://www.ecfr.gov/current/title-21/chapter-I/subchapter-D/part-314/subpart-D/section-314.106

[3] 21 CFR 312.120 (Foreign clinical studies not conducted under an IND)，https://www.ecfr.gov/current/title-21/chapter-I/subchapter-D/part-312/subpart-F/section-312.120

[4] 21 CFR 814.15 (Research conducted outside the United States)，https://www.ecfr.gov/current/title-21/chapter-I/subchapter-H/part-814/subpart-A/section-814.15

[5] ICH E5(R1), Ethnic Factors in the Acceptability of Foreign Clinical Data，https://database.ich.org/sites/default/files/E5_R1__Guideline.pdf

[6] ICH E17, General Principles for Planning and Design of Multi-Regional Clinical Trials，https://www.ema.europa.eu/en/documents/scientific-guideline/ich-guideline-e17-general-principles-planning-and-design-multi-regional-clinical-trials-step-5-first-version_en.pdf

[7] ICH E6(R3), Guideline for Good Clinical Practice（2025年1月6日Step 4通过，取代E6(R2)），第2.3.5条、第2.12.2条、第2.12.14条、第3.6.3条。https://database.ich.org/sites/default/files/ICH%20E6%28R3%29_Step4_FinalConsolidatedGuideline_2026_0616_.pdf

[8] 《中华人民共和国人类遗传资源管理条例》（2019年国务院令第717号公布，根据2024年3月10日《国务院关于修改和废止部分行政法规的决定》修订），第二十二条、第二十七条、第二十八条，https://www.nhc.gov.cn/qjjys/rlyczygl/202503/c5373f14621e4011b6cbc932184086a2/files/1746832760945_40292.pdf

[9] 《中华人民共和国个人信息保护法》第二十九条、第三十九条。https://www.jsmm.gov.cn/u/cms/www/202110/1317253417oi.pdf

[10] 《促进和规范数据跨境流动规定》（国家互联网信息办公室，2024年3月22日施行），第二条，https://www.cac.gov.cn/2024-03/22/c_1712776611775634.htm

[11] FDA, “Fraudulent and Unreliable Laboratory Testing Data in Premarket Submissions”，https://www.fda.gov/medical-devices/industry-medical-devices/fraudulent-and-unreliable-laboratory-testing-data-premarket-submissions-fda-reminds-medical-device