化妆品工厂审核到底在审什么：GMP 规范、ISO 22716 与生产许可的交集

审核不是参观车间，而是倒查记录

先说结论：一次代工厂审核很少因为现场不干净而失败，绝大多数是在会议室里被记录推翻的。审员走进化妆品工厂，要找的不是「这个厂干不干净」，而是「同一批货是不是由同一个可控过程产出来的，并且三年以后还证明得出来」。

这句话决定了你该在审核前干什么：不是擦地，是补链。如果一家工厂给你看的是整洁的灌装线和干净的白大褂，却有十年的旧批记录、没有留样台账、变更审批只签在一个人的笔记本上，那么它对外宣称的 GMP 状态就是空的。审核员接受不了这种空，因为你买的不只是这一批货，而是这家厂未来三年每一批货的可信度。

QuickOEM 对工厂的评估基准也是同一套：先按现行法规与标准的底线筛，再逐项核对记录链，最后才看设备。下文就是如果我们作为买家，会把审核前一天下午用来做什么。

ISO 22716 是过程标准，不是产品标准

把标准名字记住很重要。ISO 22716 现行有效版本是 2007 版，国际标准化组织相关技术委员会在 2022 年复审时确认其继续有效，并不存在所谓 2026 新版。如果供应商告诉你有更新的版本，直接问是哪一条改了、为什么改，通常就够他解释清楚了。

这个标准管的是「过程」：工厂有没有一套稳定的体系，让同一配方在不同批次之间保持不变。它不管你的精华有没有抗老效果，只管你能不能证明自己确实做了你说做的过程。标准围绕几大系统展开，审员是逐系统拿记录去对，不是拉一个人来访谈。

• 质量管理体系：岗位职责是否书面化、资源是否配齐、管理评审是否真的开过、内审有没有查出真实问题、整改有没有跟到底。
• 厂房与设备：纯化水系统的制备与水质监控、洁净区等级是否匹配剂型、清洗消毒记录、计量器具的校准日志。
• 生产与控制：批记录、过程控制点、投料重量与体积的物料衡算、产量核对，以及需要环境监控的剂型的环境监测数据。
• 质量控制：真正放行的检验实验室、留样、稳定性数据，以及不合格品怎么处置。
• 投诉、偏差、变更控制与召回：这四项是失分最多的地方，因为它们无法在审核当天临时编出来。

中国的 GMP 是另一套法律：生产质量管理规范 + 生产许可

很多人以为「有 GMP 证就等于符合中国法规」。这两件事在中国是分开的：一套是《化妆品生产质量管理规范》，一套是省级药监部门核发的《化妆品生产许可证》。前者是过程要求，后者是准入资质，两者都有有效期，也都会在《化妆品检查管理办法》（2024-11-01 施行）确立的许可检查、常规检查、有因检查、其他检查中被抽到。

对中国买家来说，核对顺序建议是：先确认生产许可证的许可范围是否包含你下单的剂型（不同剂型的生产车间与净化要求不同），再确认规范的执行文件是否齐备。出口单还要额外看境外客户或认证机构要求的那套文件，因为它依据的是另一套标准。

• 生产许可的范围：许可证上写明的生产地址与许可类别，必须覆盖你的产品实际生产地与实际剂型。
• 规范执行的痕迹：有没有成体系的文件、记录台账、内审与整改记录，而不是只有一套挂在墙上的制度。
• 委托生产的合法性：如果这单是委托别人做的，受托方要具备相应资质，且注册人／备案人要在自己的注册备案资料里体现清楚。
• 留样与稳定性：留样是否按保质期留存、能不能被找到、能不能复测，稳定性数据是否支撑标签上写的保质期。

不同目标市场的 GMP 期待，差在文件而不在设备

同一家工厂，供货给国内与供货给欧盟／美国，需要准备的文件并不一样。这通常也是「这家厂能不能接我这个市场」的真正分界线：设备差距可以用钱补，文件体系的差距补不快。

以中国大陆为基准：产品责任落在注册人／备案人身上，注册或备案资料、功效依据、检验报告与留样要在自己手上；产品要按《化妆品监督管理条例》及配套规章的要求完成注册或备案，相关摘要要在官方平台可查。而面向出口，客户与当地法规往往还会要求成体系的文件，包括产品信息档案的留存、可追溯的批记录、以及供当地主管机构查阅的配合机制。

• 国内市场：以生产许可 + 生产质量管理规范 + 注册/备案资料为准，日常监管由省级药监部门负责。
• 面向出口的订单：客户常额外要求英文或本地语言的文件版本、可远程查阅的档案柜、以及配合客户审核的书面流程。
• 两者都要的工厂：通常是同一批记录，只是多了一份语言版本与一份查阅索引；如果工厂说「出口的文件我们没有」，那基本等于做不了。

ISO 9001 救不了你，ISO 22716 也不代表今天的状态

两个方向都要说清楚。第一个方向：ISO 9001 证明的是「这家公司有一个书面的管理体系」，它不包含防腐剂挑战试验、微生物限度、稳定性试验、污染控制这些化妆品专属风险项，监管机构和审员都不接受它替代化妆品 GMP。

第二个方向同样重要：手里拿着一张 ISO 22716 证书，说明的只是「发证那天的状态」。证书描述的是认证那一刻，不是今天早上。只有一次真实的现场审核——或者一次对着清单做的、留下书面结论的远程审核——才能描述今天。

证书是过去时的证据，审核是现在时的证据。把这两件事混为一谈，是采购环节最常见的判断失误。

审核时被推翻的五类记录

审员受过的训练是「顺着记录往回追」，不是「参观车间然后写好评语」。以下五类记录一旦断链，几乎必然导致不符合项。

• 批记录：投入重量、产量、包材消耗与实际上架数量之间要对得上，任何缺口都要有解释。
• 偏差与变更控制日志：谁批的、什么时候批的、依据什么风险评估。挂着不闭环的偏差、口头确认的变更，是最常见的失分点。
• 留样：按规定的期限留、标签清楚、位置明确，使得三年前的一批货今天还能复测。
• 投诉与召回档案：包括一次真实演练的证据。很多工厂的召回政策挂在墙上，却没有任何一次演练记录。
• 人员培训与资质记录：特别是接触高风险工序的人，有没有培训、有没有考核、有没有在岗资格。

15 分钟核验一份工厂证书

证书编号本来就是公开信息，不必依赖供应商转发的那份 PDF。十几分钟可以做完五件事。

1. 拿证书编号去发证机构的公开名录核对，而不是看扫描件。
2. 核对 scope：生产基地地址与剂型必须覆盖你要买的东西。一份跨越多个法人的集团证书，不等于单一生产基地的保证。
3. 核对日期：初次发证日期、当前有效期、审核周期。过期又没有续期路径的证书，比没有证书更糟。
4. 核对语言：中国工厂的证书常见中文版 scope，未必写得到你想要的产品类别，别默认翻译件就是全量。
5. 索要最近一次审核报告，而不是只要证书。不符合项与整改页，才是弱厂现形的地方。

把审核结论变成采购条款

审核不是一个通过／不通过的事件，而是一组风险：你要么接受它，要么把它折进单价里，要么在首单前用合同条款关掉它。多数品牌在厂房物理条件上过度投入，却在真正导致 recalls 的文件上投入不足。

最便宜的几条，应该在首单前就提出来：指定产品信息档案的责任人、约定留样方案、写明投诉反馈到工厂的书面渠道、约定批数据响应时限。

• 指定档案责任人：产品信息档案由谁持有、谁可以调阅，写清楚。
• 留样方案：留多少、留多久、放在哪，用书面方式确认。
• 投诉通道：品牌方的客诉进入工厂的书面路径与时限。
• 批数据响应承诺：书面提出需求后的响应时限，最好压到 48 小时以内。

审核之后：先关掉哪些风险

如果时间只够做一件事，就做「按剂型核 scope」。一家持有多类证书的生产基地，未必每一类都有同等水平的控制；留在线性乳液的产品线，和留在一个真正做精华或防晒的车间，风险量级并不一样。

• 按剂型核：不要按公司核，按生产地址与剂型核。
• 按品类核：需要功效评价与安全性论证的品类，对工厂的记录完整度要求更高。
• 按目标市场核：只做国内的和打算出口的，文件配置完全不同。

在 QuickOEM 上，品牌方免费使用，工厂报价直达、不加价。把你打算卖的市场和剂型告诉我们，我们会只推 certificate scope 覆盖得到的产品基地。