药品追溯系统“新国标”下的MAH合规义务重构——以《药品追溯系统基本技术要求（修订征求意见稿）》为中心

【摘要】药品追溯正在从“倡导性合规”升级为“全链路硬约束”。2026年8月3日，国家药监局信息中心发布《药品追溯系统基本技术要求（修订征求意见稿）》（公开征求意见至2026年9月3日），将药品追溯系统的通用、功能、存储、安全、运维要求整体抬高，并把药品经营企业（含零售药店）全面纳入闭环管理。对药品上市许可持有人（MAH）而言，追溯不再是“赋码上传”的单项动作，而是贯穿生产、流通、使用全过程的法定义务与数据责任。本文梳理《药品管理法》第十二条、第三十六条、第一百二十七条构成的追溯制度底座，拆解新标准对MAH的合规增量，给出可落地的风险清单与十条操作指引。

【核心术语】

· 药品信息化追溯体系：以“一物一码、物码同追”为目标，由MAH、生产、经营、使用单位等通过信息化手段对药品生产、流通、使用各环节信息追踪溯源的有机整体。

· 药品上市许可持有人（MAH）：对药品全生命周期质量、安全与可追溯性承担责任的主体，亦是药品追溯系统建设的主要责任主体。

· 药品追溯协同服务平台：国家药监局建立的全国药品追溯数据交换、共享平台，企业系统须对接以实现备案、上报、查询。

· 追溯码：赋于每一销售包装单元的唯一电子标识，是药品的“电子身份证”，用于防回流、防假药、防串货。

· 等级保护三级：信息系统安全等级保护第三级，新标准要求追溯系统须满足该级别，并实行多因素认证、最小权限。

· 多码合一／多系统合一：新标准鼓励的融合方向，推动ERP、WMS、SCM、HIS等系统与追溯系统对接数智化。

一、监管信号：从“导则”到“新国标”的追溯收紧

药品信息化追溯体系的制度起点，是2018年11月1日国家药监局发布的《关于药品信息化追溯体系建设的指导意见》（国药监药管〔2018〕35号）。该意见确立“一物一码、物码同追”的建设方向，明确药品上市许可持有人和生产企业承担追溯系统建设的主要责任，经营企业和使用单位配合建成完整系统，并提出疫苗、血液制品、精麻药品等重点品种率先建立追溯体系，追溯数据记录和凭证保存期限不少于五年。八年过去，追溯体系已从重点品种向全品种、从生产批发向零售使用终端延展。2026年8月3日，国家药监局信息中心发布《药品追溯系统基本技术要求（修订征求意见稿）》，将2018年指导意见确立的原则转化为可执行的系统级技术规范，公开征求意见期为2026年8月3日至9月3日（来源：国家药监局信息中心官网 nmpaic.org.cn，2026-08-03/08-05发布）。

此次修订的背景，是配套落地《国务院办公厅关于全面深化药品医疗器械监管改革促进医药产业高质量发展的意见》（国办发〔2024〕53号）以及2026年新修订的《药品管理法实施条例》（国务院令第八百二十八号，2026年5月15日施行）。据行业媒体梳理，新标准在通用、功能、存储、安全、运维五个维度提出全面要求：系统须覆盖生产、流通、使用全过程的追溯信息，具备采集、存储、管理与共享功能，并强制对接国家药监局药品追溯协同服务平台与药品追溯监管系统；同时把零售药店等经营企业的入出库操作纳入“业务真实发生、当日及时上传”“先入库、后出库”的闭环规则（来源：新浪财经/搜药，2026-08-08；第一药店财智，2026-08-09）。这意味着，追溯合规的重心正从“持有人赋码”前移到“全链条数据真实、防篡改、可共享”。

二、法律底座：《药品管理法》第12、36、127条的三层义务

2.1 第12条：国家追溯制度与统一标准

《中华人民共和国药品管理法》（2019年修订，主席令第三十一号）第十二条从国家层面确立制度：“国家建立健全药品追溯制度。国务院药品监督管理部门应当制定统一的药品追溯标准和规范，推进药品追溯信息互通互享，实现药品可追溯。”该条是药品追溯的“宪法性”授权条款，明确了追溯标准的统一制定主体（国务院药品监督管理部门）与互通互享的目标。国家药监局据此制定统一的追溯编码、数据与交换标准，本次《药品追溯系统基本技术要求（修订征求意见稿）》正是统一标准体系的组成部分。

2.2 第36条：四类主体的追溯义务

第三十六条将追溯义务具体落实到主体：“药品上市许可持有人、药品生产企业、药品经营企业、医疗机构应当建立并实施药品追溯制度，按照规定提供追溯信息，保证药品可追溯。”值得MAH特别注意的有三点：其一，MAH是追溯义务的第一责任人，而非仅“配合方”；其二，义务内容既包括“建立并实施制度”，也包括“按照规定提供追溯信息”，即向下游传递追溯数据、确保数据闭环；其三，保证“药品可追溯”是结果导向责任，一旦发生产品无法溯源，即构成义务违反。2026年新修订的《药品管理法实施条例》（国务院令第八百二十八号）第六十四条进一步细化了药品追溯要求，使制度更具操作性（来源：重庆市药监局政策解读，2026-07-24）。

2.3 第127条：未建追溯制度的罚则红线

罚则位于第一百二十七条：“违反本法规定，有下列行为之一的，责令限期改正，给予警告；逾期不改正的，处十万元以上五十万元以下的罚款：……（三）未按照规定建立并实施药品追溯制度；”该条将追溯合规瑕疵直接设为行政处罚事由。实践中，已有基层市场监管部门依此对未完整留存药品购进与使用记录、无法保证可追溯的经营主体作出“警告并责令限期改正”的处罚（来源：醴陵市市场监督管理局行政处罚决定书〔2025〕第113号，2025-05-28）。对MAH而言，追溯义务与《药品管理法》其他行政责任（如第一百三十九条规定的处罚由县级以上药品监督管理部门决定）共同构成“行政可追责”的闭环，且与上市后风险管理、召回等形成联动。

三、新标准对MAH的合规增量（征求意见稿，尚未生效）

需要明确：本次《药品追溯系统基本技术要求（修订征求意见稿）》是国家药监局信息中心起草的技术标准修订稿，截至本文撰写（2026年8月17日）仍处于征求意见阶段，尚未正式发布生效，故以下分析按“前瞻性合规准备”进行，不构成对现行生效规则的陈述。但其释放的监管信号与预期要求，对MAH的体系建设具有现实指引意义。

3.1 系统对接的双向强制：协同平台＋监管系统

新标准在通用要求中明确，药品追溯系统须包含药品生产、流通及使用全过程的追溯信息，具备对追溯数据的采集、存储、管理和共享功能；系统必须对接药品追溯协同服务平台，实现药品相关信息备案、追溯数据上报、追溯信息查询等功能，同时必须对接药品追溯监管系统，满足监管数据交换要求。对MAH而言，这意味着自建或采购的追溯系统不能“自建孤岛”，而须具备与国家平台的标准化接口能力。未对接或对接不全，将直接影响“保证药品可追溯”的法定结果。

3.2 资质与药品信息的“有据可查”审核

在基础信息管理上，新标准要求企业首次使用系统时须依据企业类型提供相应资质文件，系统基于国家药监局公开数据进行审核；企业信息变更须上传带变更记录的资质证明并经审核；药品信息新增或修改时，须提交药品批件等证明材料并基于公开数据审核。对MAH而言，这意味着产品批件、注册证、再注册等资质文件的“数字化、可验证”成为系统准入前提，批件过期或信息不一致将被系统拦截，进而影响入出库与销售。

3.3 追溯码全链路安全与防篡改

在追溯码管理上，新标准要求系统保障追溯码在生成、传输、存储等环节的安全性、机密性与防篡改能力，须采用加密技术对追溯码数据进行加解密处理。这一条直指“假追溯码、回流药、串货”等顽疾——同一追溯码被多次扫码销售将触发预警。对MAH而言，追溯码的生成与赋码环节（生产线赋码、三级包装关联）须纳入质量体系管理，防止码段泄露、错赋、重赋。

3.4 数据安全：等保三级＋多因素认证＋留存期限

在数据安全上，新标准要求系统满足信息系统安全等级保护三级要求，实施多因素认证，定期进行数据安全风险自查；追溯数据须按规定期限保存，并提供数据导入/导出功能。结合2018年指导意见“数据保存不少于五年”的要求，MAH的追溯数据存储须满足长期、可导出、防篡改的合规基线。对涉及跨境或集团化数据的企业，还需与《数据安全法》《个人信息保护法》的数据分类分级、出境评估规则衔接（详见第五部分）。

3.5 经营端闭环：入出库“当日上传、先入后出”

在系统融合与经营端管理上，新标准完善退货追溯码状态复位、负库存预警、关联关系查询、消费者追溯查询等全流程闭环，并鼓励利用新技术支持“多码合一、多追溯系统合一”，推动ERP、WMS、SCM、HIS等多系统的数智化对接。对采取“MAH直供+委托经营”或“MAH+经销商网络”模式的生物制药企业，须确保下游经营企业的系统同样满足入出库“业务真实发生、当日及时上传”“先入库、后出库”的规则，否则上游MAH的“保证可追溯”责任将因下游断链而落空。

四、MAH的追溯主体责任边界

厘清责任边界，是MAH合规的前提。依《药品管理法》第三十六条与2018年指导意见，MAH和生产企业承担追溯系统建设的主要责任，经营企业和使用单位配合建成完整系统并履行各自追溯责任。关键边界有三：第一，MAH对“产品各级销售包装单元赋以唯一追溯标识”负首要责任，赋码的准确性、关联性（各级包装码关联）是源头；第二，MAH在销售药品时须向下游提供追溯信息，并应能及时、准确获得所生产药品的流通、使用全过程信息，即“既要给得出，也要收得回”；第三，MAH可自建系统或采用第三方技术服务，但“责任不随外包转移”——第三方缺陷将认定为MAH的违法事实，与第20期所述药物警戒委托责任同构。

此外，《药品经营和使用质量监督管理办法》（国家市场监督管理总局令第84号）对经营环节的追溯配合义务作出细化，零售药店、批发企业的入出库扫码上传已被多地列为日常监管与医保结算的前置条件。MAH在选择经销商、终端合作方时，应将“追溯系统对接能力”纳入准入与考核，避免因下游断链承担连带责任或“保证可追溯”落空。

五、数据合规交叉：追溯数据与《数据安全法》《个人信息保护法》

药品追溯系统沉淀海量数据，既包括药品流向、批号、数量等企业经营数据，也可能包含患者用药记录、医疗机构信息等敏感个人信息，数据合规是MAH不可回避的交叉风险。依《数据安全法》（2021），重要数据的处理活动须建立健全全流程安全管理制度，追溯数据若涉及国家药品安全相关的重要数据，须落实分类分级与风险监测；《个人信息保护法》（2021）第十三条、第二十九条要求处理敏感个人信息须取得单独同意，追溯系统在采集患者端扫码查询、用药记录时须评估是否触发个人信息处理边界。对跨国药企或涉及人类遗传资源材料的生物制药企业，追溯数据的出境还须依《数据出境安全评估办法》（2022）与《人类遗传资源管理条例》（国务院令第七百一十七号）走安全评估或审批/备案路径，防止“为了可追溯而违规出境”。

六、风险清单（十二项）

1. 未按《药品管理法》第三十六条建立并实施药品追溯制度——违反第36条，触发第127条（警告+10万-50万罚款）。

2. 追溯系统未对接协同服务平台与监管系统，形成“数据孤岛”——无法保证药品可追溯。

3. 产品未赋唯一追溯标识或各级包装码关联错误——源头失准，下游全链不可溯。

4. 资质文件（批件、注册证）过期或信息不一致，被系统审核拦截——影响入出库与销售。

5. 追溯码生成/赋码环节管理缺失，致码段泄露、错赋、重赋——为假码、回流药留隐患。

6. 追溯系统未达等保三级或未实施多因素认证——违反新标准安全要求。

7. 追溯数据保存不足五年或不可导出——违反2018指导意见留存要求。

8. 下游经营企业未落实“当日上传、先入后出”，上游MAH可追溯责任落空——连带风险。

9. 委托第三方追溯服务但未签协议、未审计——责任仍归MAH。

10. 追溯数据涉及重要数据未分类分级、未做风险监测——违反《数据安全法》。

11. 患者端扫码/用药记录处理未单独同意——违反《个人信息保护法》第29条。

12. 跨境追溯数据出境未走安全评估/标准合同——违反《数据出境安全评估办法》《人遗条例》。

七、MAH合规操作指引（十条）

1. 以《药品管理法》第三十六条为基线，建立覆盖采购、生产、赋码、入出库、销售、退货的全流程追溯制度文件，明确责任部门与岗位。

2. 选用或自建的追溯系统须具备与药品追溯协同服务平台、监管系统的标准化对接能力，预留接口并通过联调验证。

3. 建立产品赋码与包装关联（三级关联）的质量控制流程，将码段管理纳入GMP体系，防止错赋、重赋、泄露。

4. 维护资质文件的数字化台账（批件、注册证、再注册），确保系统审核所需证明材料实时、一致、可验证。

5. 将追溯系统安全基线提升至等保三级，实施多因素认证与最小权限，建立定期数据安全自查与审计记录。

6. 按“不少于五年”要求配置追溯数据留存与导出能力，确保数据防篡改、可追溯、可监管调取。

7. 对下游经销商、零售终端的追溯系统对接能力设准入门槛，签署追溯配合条款，定期核查入出库上传合规。

8. 委托第三方追溯服务的，签订书面协议明确职责边界并建立审计机制，牢记责任仍由MAH承担。

9. 开展追溯数据分类分级，识别是否涉及重要数据、敏感个人信息或人遗材料，依法完成出境评估/审批或单独同意。

10. 将《药品追溯系统基本技术要求（修订征求意见稿）》（征求意见至2026-09-03）纳入合规日历，正式发布后及时对照整改，提前适配“新国标”。

八、常见问答（FAQ）

Q1：MAH把追溯系统全部外包给药企服务商，是否等于合规免责？

A：不等于。依《药品管理法》第三十六条，MAH是追溯义务第一责任人；2018年指导意见明确持有人和生产企业承担系统建设主要责任，责任不随外包转移。第三方缺陷（如未对接平台、数据缺失）将直接认定为MAH的违法事实，监管追责第一对象仍是MAH。

Q2：新标准是8月3日发布的，现在就要执行吗？

A：不需要。该文件为《药品追溯系统基本技术要求（修订征求意见稿）》，公开征求意见期为2026年8月3日至9月3日，截至本文撰写尚未正式发布生效。本文按“前瞻性合规准备”分析其预期要求，企业应在正式文本发布后对照整改，但现行法定义务（第36条、第127条）早已生效、须持续遵守。

Q3：追溯数据要保存多久？

A：依2018年《药品信息化追溯体系建设指导意见》，药品追溯数据记录和凭证保存期限不少于五年；新标准征求意见稿进一步要求系统提供数据导入/导出功能并满足等保三级。MAH应按“不少于五年、可导出、防篡改”配置存储，生物制品等长周期品种建议结合产品生命周期适当延长。

Q4：零售药店的“当日上传、先入后出”跟MAH有什么关系？

A：关系重大。MAH负有“保证药品可追溯”的结果责任，而零售端是追溯链条的末端。若下游药店未落实入出库“业务真实发生、当日及时上传”“先入库、后出库”，上游MAH的追溯链将在末端断链，可能导致“无法保证可追溯”被认定。MAH应在经销商准入与考核中纳入追溯对接能力。

Q5：追溯码被多次扫码销售，MAH要担责吗？

A：追溯码多次扫码往往指向回流药、串货或假码。MAH对赋码准确性与码段安全负首要责任；若因码段管理缺失（泄露、重赋）致假码流通，MAH可能承担质量与合规双重责任。新标准要求追溯码全链路加密防篡改，正是为封堵此类风险。MAH应建立码段全生命周期管理与异常扫码预警机制。

Q6：跨国药企的追溯数据能否直接传回境外总部？

A：须依法评估。追溯数据可能包含患者用药记录等敏感个人信息，甚至涉及人类遗传资源材料相关数据，出境须依《个人信息保护法》单独同意、依《数据出境安全评估办法》完成安全评估或标准合同备案，涉人遗数据还须依《人类遗传资源管理条例》走审批/备案。“为可追溯而违规出境”本身构成独立违法风险，应与追溯系统架构一并设计。

九、权威来源与免责声明

· 《中华人民共和国药品管理法》（2019年修订，主席令第三十一号）：第十二条、第三十六条、第一百二十七条、第一百三十九条。

· 《中华人民共和国药品管理法实施条例》（国务院令第八百二十八号，2026年修订，2026年5月15日施行）：第六十四条（细化药品追溯要求）。

· 《关于药品信息化追溯体系建设的指导意见》（国家药监局，国药监药管〔2018〕35号，2018-11-01发布）：“一物一码、物码同追”、持有人生产企业主要责任、数据保存不少于五年。

· 《药品经营和使用质量监督管理办法》（国家市场监督管理总局令第84号）：经营环节追溯配合义务。

· 《药品追溯系统基本技术要求（修订征求意见稿）》（国家药监局信息中心，2026-08-03发布，征求意见至2026-09-03），来源：国家药监局信息中心官网 nmpaic.org.cn，2026-08-05发布页。

· 配套法律：《数据安全法》（2021）、《个人信息保护法》（2021）、《数据出境安全评估办法》（2022）、《人类遗传资源管理条例》（国务院令第七百一十七号）。

· 案例/事实参考：醴陵市市场监督管理局行政处罚决定书〔2025〕第113号（依第36、127条对未实施追溯制度给予警告）；重庆市药监局《药品经营使用环节全品种追溯体系建设工作方案》政策解读（2026-07-24，列明第12/36/127条与实施条例第64条）；新浪财经/搜药（2026-08-08）、第一药店财智（2026-08-09）对新标准要点的梳理（基于征求意见稿原文）。

免责声明：本文基于截至2026年8月17日可查的公开监管信息撰写，所列法条均引自现行有效法律文本与官方公告。新标准系征求意见稿、尚未生效，本文按“前瞻性合规分析”处理，不构成溯及既往，亦不构成对现行生效规则的陈述；文中所涉具体技术要求、时限与处罚幅度以官方正式文本为准。本文不构成正式法律意见，具体合规事项请咨询专业律师。