一、新版GCP、注册核查与数据跨境的规则变化

新版GCP将“质量源于设计”“符合目的”“风险相称”写入总则，其实质是监管评价的对象发生了转移：从“监查做了多少”转向“质量体系是否按设计运行”。与之相应，体系的设计责任与举证责任由申办者承担，并不因委托CRO或者其他服务商而转移。新版GCP施行后，这条边界较此前更为清晰，也更难通过合同安排向外转移。对于人数有限、高度依赖外包的创新药企而言，“委托即免责”的假设已经不再成立。

对多数创新药企而言，数据问题并不出现在上市申请阶段。更常见的情形是：以在中国取得的临床前与早期临床数据向境外监管机构提交IND，以已完成的一期、二期结果支持在境外开展下一阶段的试验，或者将其作为对外授权中继续开发的基础。这条路径本身设有前提。按照美国联邦法规的规定，未在IND下进行的境外临床试验，只有在符合GCP（包括经独立伦理委员会审查批准并取得受试者知情同意），且FDA在认为必要时能够通过现场检查核实数据的条件下，才会被接受用于支持IND或者上市申请[3]。因此中国数据能否被境外采用，取决于试验当初是怎么做的，以及今天是否还经得起核查。

交易一端的标准与此相通。对外授权交易的持续升温把同一个问题提前带到了交易桌上：买方对数据包的审视大体集中在完整性、可转移性和可依赖性，而这些因素正在成为估值与交易结构的直接变量。走到上市申请那一步的教训则更为直观：2022年以来，若干仅以单一区域数据支持的品种在美国申报中受挫，监管方反复强调多区域临床试验设计与目标人群适用性的重要性。试验设计阶段一个看似纯技术性的取舍，往往决定了若干年后这组数据在监管和交易两个场景下能否被接受。

核查的强度同步提高。2025年5月，FDA宣布扩大对境外生产设施的无预告检查[4]，其针对临床试验的生物研究监查（BIMO）本就包含境外机构；境内的注册核查与临床试验数据核查早已常态化，数据真实性是不可触碰的底线，新版GCP的数据治理专章又为核查提供了新的抓手。更需要注意的是核查结论的传导：同一份核查发现，会先后被注册审评、交易尽调和融资问询引用，而后两者的反应通常比监管更快。

样本与数据出境的监管要求也在境内外同时收紧。境内方面，《人类遗传资源管理条例》及其实施细则[5]、数据出境安全评估与个人信息出境标准合同等规则，共同界定了样本与数据的采集、保藏、利用和出境路径；境外方面，美国限制向特定国家批量转移人类基因组数据等敏感个人数据的规则已于2025年生效[6]。临床试验恰好处在样本、数据与跨境合作的交汇点上，一项国际多中心试验完全可能同时落入境内外规则的适用范围。

二、知情同意、样本与数据

知情同意书签署完毕、样本采集完成之时，这一批数据与样本的合规状态即告锁定，对于知情同意未曾覆盖的用途，事后并没有补授权的机会。临床数据与生物样本是核心资产的载体，权属或者来源一旦存疑，受影响的是资产本身的估值。

出海过程中，这一点最常在两种场合显现。一种是试验最初只为境内开发设计，后续才决定推进境外临床试验或者对外授权，而当初的知情同意书用途并未覆盖数据与样本向境外监管机构、境外申办方或者境外实验室的提供。个人信息出境所需的单独同意因此失去基础，此时受试者多已出组，重新取得其知情同意并不现实。

另一种是缺陷在境外被指出。2022年2月，FDA肿瘤药物咨询委员会讨论一项以中国单一区域数据申报的PD-1单抗时，会前文件列出的理由中就包括：知情同意书未按GCP要求随标准治疗的变化及时更新，以及对试验执行和数据真实性的监查范围有限[7]。会上并未对该药的安全性和有效性提出质疑。

尽调中发现的一处知情同意缺陷、一项遗传资源审批瑕疵，最终都会以估值折扣、交割先决条件或者特别赔偿的形式回到条款清单上，成本并没有被节省，只是被推迟，并且在推迟中被放大。上市、授权、融资，每一个节点都会把这笔账重新算一遍，区别只在于由谁来算、按什么价格算。这也是临床试验合规区别于其他合规事项的地方：多数合规问题的成本由企业自己承担，而这里的成本高低，往往不取决于企业自己。

三、从GCP责任划分到数据跨境与试验数据保护

围绕上述问题的讨论，在监管、研究机构与行业组织层面已经陆续展开。

试验中途更换CRO，交接之前形成的数据与文件由谁负责说明？申办者将监查与数据管理整体外包之后，一旦核查发现问题，责任如何在申办者、研究者与机构之间划分？答案不清楚的结果是，核查结论最终仍会归到申办者名下，而合同中的责任条款未必派得上用场。笔者曾在《ICH视角下GCP合规的责任主体与监管机制》 与《合规风险评估是我国数字化临床试验质量管理的核心》（《中国食品药品监管》2024年第8期）中讨论这一组问题。

受试者在家中完成访视、由第三方上门采样，研究者的监督责任延伸到哪里？电子知情能否满足签署要求？远程采集的数据如何溯源？边界不清的代价，通常出现在核查阶段：这部分数据难以还原采集过程，进而影响整组数据的可用性。相关讨论见笔者参与撰写的《远程智能临床试验专家共识》及相关蓝皮书的法律合规部分，以及2026年3月出版的《远程智能临床试验——以患者为中心的数字临床试验》一书。此外，笔者也曾在头部临床研究机构的专题研讨、DIA中国年会与CMAC“走进企业”等场合展开讨论。

中心实验室设在境外、原始数据实时回传，这构成数据出境吗？触发的是安全评估、标准合同还是认证？自贸区场景下是否另有安排？试验结束后剩余的生物样本能否用于后续研究？路径判断一旦出错，后果不止于行政责任，还包括这批样本与数据自始不能用于境外的临床注册与后续开发。笔者先后撰写的《美中数据跨境新政对医药行业的影响及应对》（发表于《中国医药报》、中伦视界、药时代公众号，2024年03月）、《临港新片区生物医药场景数据出境解决方案》（2024年5月）、《中国临床数据出海如何适用个人信息保护新规》（2026年7月），以及参与撰写的《生物样本活库建设管理规范及应用专家共识》（《药学进展》2026年第2期），对上述问题均有讨论。

《药品试验数据保护实施办法》已于2026年5月15日发布施行，创新药最长可获得六年数据保护期[8]。但受保护的对象限于“自行取得且未披露”的数据：怎样举证“自行取得”，怎样维持“未披露”，要到主张权利的那一刻才会被检验，而那时同样无法补救。笔者撰写的《以数据保护厚植创新沃土——〈药品试验数据保护实施办法〉的制度设计与行业影响》一文，于同年5月28日刊于《中国医药报》头版。  

四、新版GCP施行前的自检

新版GCP自9月1日起施行，此后启动的每一项试验，都将按照新的标准接受衡量。但对存量项目的检视不会就此停下：注册核查会调阅历史数据，境外监管机构的审评会回溯试验的全过程，交易尽调则往往从第一份知情同意书查起。规则只向前适用，检视却不分新旧。这类问题平时没有征兆，项目推进顺利，各方相安无事，直到某一天被人问起。代价的大小，取决于由谁先发现。企业自己发现，付出的是内部核对的时间；监管发现，付出的是补充资料和被延后的审评；交易对手发现，付出的是价格，因为对方不会把它只当作一处瑕疵，而会把它变成谈判的筹码。这些问题分属不同部门，但从核查和尽调的角度看，它们是同一件事的不同侧面。与其等到第一次核查或者第一次交易尽调时再逐条确认，不如先把它们在内部过一遍。将合规准备做在前面，一直都是成本最低的做法。

[注]

[1] 《药物临床试验质量管理规范》，国家药品监督管理局、国家卫生健康委员会、国家中医药管理局、国家疾病预防控制局2026年6月8日发布，自2026年9月1日起施行；国家药监局、国家卫生健康委《关于发布药物临床试验质量管理规范的公告》（2020年第57号）同时废止。

[2] 《国家药监局关于适用〈E6（R3）：药物临床试验质量管理规范技术指导原则〉国际人用药品注册技术协调会指导原则的公告》（2025年第125号）。

[3] 21 C.F.R. § 312.120（Foreign clinical studies not conducted under an IND）；另见FDA, “FDA Acceptance of Foreign Clinical Studies Not Conducted Under an IND: Frequently Asked Questions”, 2012年3月。

[4] FDA, “FDA Announces Expanded Unannounced Inspections at Foreign Manufacturing Facilities”, 2025年5月。

[5] 《中华人民共和国人类遗传资源管理条例》；《人类遗传资源管理条例实施细则》，自2023年7月1日起施行。

[6] 美国司法部《防止受关注国家获取美国人敏感个人数据和政府相关数据》最终规则（28 C.F.R. Part 202），2025年4月8日生效。

[7] 参见美国FDA肿瘤药物咨询委员会2022年2月10日会议及会前简报材料。

[8] 《国家药监局关于发布药品试验数据保护实施办法的公告》（2026年第47号），2026年5月15日发布并施行。