• 是否可以更改应用程序/系统日期、时间、时区？
如回答为“是”，建议确认更改时间、时区的步骤以及是否有权限控制该操作。
• 是否可以控制对数据/文件的操作，如重命名、删除？
如回答为“是”，建议确认数据/文件防删除、重命名方法，并对方法设置步骤进行确认。否则，表示不能控制数据/文件的修改与删除，不能保证数据/文件的完整性/准确性，建议在验证偏差中注明。
• 是否与操作系统共用账户系统或使用单点登录？
如回答为“是”，建议确认账户配置步骤以及配置启用后账户数量是否一致。
• 是否可以识别并提示被篡改的数据/文件？
如回答为“是”，建议确认具体识别方式或提示方式。
• 硬件控制项是否有权限控制？
如回答为“是”，建议确认哪项权限可以控制对应硬件控制项（启停/开关/参数调整）。
J. 时间
• 采用何种时间同步机制？
如采用时间服务器自动同步，建议确认时间服务器使用的时间源标准：如采用定期核对（手动），建议确认核对的时间源标准以及核对的步骤。
K. 电子签名
对电子签名的验证应符合相应法规要求，按照内容进行风险评估，输出具体行动项。
• 是否具有电子签名功能？
如回答为“是”，则建议进行以下相关评估，并对签署步骤、可签署内容进行确认。
• 是否包含签署人全名/用户ID/账户名、签署日期、签署原因？
如回答为“是”，建议确认实际情况是否包含该数据项；否则，建议确认具体数据项与缺失数据项，并在验证结论中注明。
• 作为数据/记录的元数据记录是否进行关联保存？
如回答为“是”，建议确认当对数据/记录进行签署时，应作为该数据/记录的一部分（元数据）与数据/记录一起进行关联保存，并可以进行关联查询；否则，建议确认签署记录查询步骤，若无法查询签署记录则带在验证偏差中注明。
• 是否使用生物形式的电子签名？
如回答为“是”，建议确认使用什么方式的生物电子签名、签名展示形式、签名的可追溯性等。
L. 控制
• 是否对硬件进行控制操作？
如回答为“是”，建议进行该部分的评估，并确认 H/ 部分是否包含控制操作日志/ 审计跟踪与安全/保护内容等。
•控制方式：可能包括顺序控制、启停控制、互锁控制、报警控制、位置控制、速度控制、温度控制、压力控制、时间控制、计数等。
建议确认控制的操作步骤（参数控制、事件控制）；参数控制建议确认是否有参数限制范围，无效参数输人，参数反馈等内容；事件控制建议确认实际操作与设备反馈情况（参加设备/仪器确认）。
步骤 4：实施并确认合适的控制措施
应该针对步骤3中所识别的风险控制措施进行实施和确认，从而确保该实施是成功的，控制措施应该可以追溯到所识别的相关风险。而验证活动应该证明控制措施在风险降低上是有效的。
步骤5：审查风险与监控控制措施
通常，在系统定期审查期间，企业用户应该对风险进行审查。风险审查应证实控制措施始终有效，并且如果发现了任何缺陷，则应在变更管理下采取纠正措施。
如必要，建议将评估的结果纳人风险管理流程中。建议企业根据风险级别来决定定期审查的频率和范围。
通过系统影响性评估后，企业应当对系统的配置情况进行梳理评估，因为计算机化系统的功能往往由各类可保存的配置来实现业务需求、数据可靠性需求。
配置是指仪器、设备、系统上用户（药企员工）可以进行设置、修改并保存的参数项或者选项。同一套计算机化系统，由于配置不同，最终要实现的功能就可能不同，对最终结果和风险也就不同，例如一套液相色谱CDS 系统，软件可以设置禁止手动积分或允许手动积分，这样对最终分析结果和放行的风险完全不一样。
如果对计算机化系统配置不熟悉，可能导致日常运维过程中错误的配置修改，影响业务的运维与数据可靠性保证。所以，在系统影响评估后，再进行配置的梳理，通过评估配置了什么参数来实现特定功能以满足用途，最终评价一个计算机化系统是否处于验证状态，应该以配置的变更情况与确认情况来作为标准。通常来讲，配置初步可分为五类：环境配置、安全配置、应用配置、功能开/关配置、业务配置。
基于用例设计与配置的计算机化系统验证，强调用基于业务场景的测试用例设计来做验证，以确保符合用途。
