首先需要厘清一个常见误解：临床 CRO 不需要像临床前 CRO 那样持有 GLP 认证。GLP（Good Laboratory Practice）是针对非临床安全性研究的实验室资质，由 NMPA 颁发，适用于药效学、毒理学等动物实验阶段。临床 CRO 的合规框架以 GCP（Good Clinical Practice）为核心，但 GCP 不是一个"颁发资质"的体系，而是一套需要持续遵守的操作规范。
因此，评估临床 CRO 的"资质"，实际上是评估其质量体系的成熟度和合规执行的可靠性。
第一层：质量管理体系（QMS）
这是最核心的评估项。一家合规的临床 CRO 应具备：
第二层：GCP 合规与 ICH 指南采纳
据 ICH E6(R3) 2025 年版指南，申办方对临床试验的监督责任不因外包而转移。这意味着即使将全部临床运营委托给 CRO，申办方仍需维护监督证据（监查报告审查记录、方案偏离趋势分析、数据质量指标等）。
评估 CRO 的 GCP 合规性时需要确认：
第三层：团队成员个人资质
CRO 的资质最终体现在团队人员的专业认证上：
|
角色 |
关键资质/认证 |
验证方法 |
|
临床项目经理（PM） |
PMP 或同等项目管理认证、GCP 培训证书 |
要求提供证书副本 |
|
临床监查员（CRA） |
GCP 培训证书、SOCRA 或 ACRP 认证 |
确认培训记录的时效性 |
|
生物统计师 |
统计学相关学位、SAS 编程能力认证 |
要求提供简历和项目经历 |
|
数据管理员 |
CDISC 标准（SDTM/ADaM）培训认证 |
确认 CDISC 培训记录 |
|
IRC 阅片专家 |
放射科执业医师资格、肿瘤亚专科背景 |
核实医师执业注册信息 |
第四层：信息安全与数据保护
随着临床试验数据数字化程度提高，信息安全资质的重要性日益突出：
• ISO 27001 信息安全管理体系认证：确保电子数据的安全存储和传输
• 符合 21 CFR Part 11 要求：电子记录和电子签名的合规性
• 数据本地化合规：涉及人类遗传资源（HGR）的项目需符合《人类遗传资源管理条例》要求
|
资质类别 |
验证方法 |
注意事项 |
|
SOP 体系 |
要求提供 SOP 目录和最近一次审核记录 |
关注 SOP 的更新频率，常年不更新是危险信号 |
|
稽查记录 |
要求提供近 2 年监管检查或客户稽查的发现项摘要 |
关注发现项的严重程度和关闭情况 |
|
GCP 合规 |
确认团队的 GCP 培训是否为 ICH E6(R3) 版本 |
旧版 GCP 培训证书不等于当前合规 |
|
信息安全 |
要求提供 ISO 27001 证书或等效安全评估报告 |
确认证书在有效期内 |
