CRO（Contract Research Organization，合同研究组织），在最广泛的意义上，可以将其定义为一种商业化组织或学术实体（或二者兼而有之），负责实施药物开发过程所涉及的全部或部分活动。CRO之基本目的在于代表客户进行全部或部分的科学或医学试验，以获取商业性的或基于委托者与受委托者关系的报酬。CRO又称之为医药研发外包企业。近年来，在创新药爆发、药品监管改革红利持续释放等原因推动下，我国CRO行业快速发展。2019年11月5日，科创板迎来了首家上市生物医药临床前综合研发服务CRO，上海美迪西生物医药股份有限公司，进一步凸显了中国CRO行业的蓬勃景象。
CRO在医药研发中扮演着重要角色，它接受客户（主要是医药企业）委托，按照行业法规以及客户要求提供药物从研发到上市过程中的全流程或者部分流程服务。这也是原国家食品药品监督管理局于2003年9月1日实施的《药物临床试验质量管理规范》（下称“2003年版GCP”）对CRO的角色定义。
一、2003年版CGP中的CRO
2003年版GCP将CRO定义为一种学术性或商业性的科学机构，申办者可委托CRO执行临床试验中的某些工作和任务。
总体而言，2003年版GCP对CRO的规定非常简单。其规定，申办者负责发起、申请、组织、检查和稽查一项临床试验，并提供试验经费；申办者按国家法律、法规等有关规定，向国家食品药品监督管理局递交临床试验的申请，也可委托合同研究组织执行临床试验中的某些工作和任务。除此之外，2003年版GCP对CRO并没有更多规定。
上述规定也与ICH GCP（2016年版）的规定基本一致。
二、2020版GCP中的CRO
国家药品监督管理局和国家卫生健康委员会于2020年4月23日发布了新一版的《药物临床试验质量管理规范》（下称“2020年版GCP”）。2020年版GCP将于2020年7月1日起生效。
2020年版GCP突出申办者主体责任，明确申办者是临床试验数据质量和可靠性的最终责任人，加强对外包工作的监管。合同研究组织（CRO）应当实施质量保证和质量控制。2020年版GCP对CRO监管的变化和强化具体体现在以下几个方面：
1、CRO服务对象扩大至申办者和研究者
在ICH GCP以及2003年版GCP中，CRO仅为申办者执行临床试验中的某些职责和任务。而2020年版GCP允许CRO执行申办者或者研究者在临床试验中的某些职责和任务。将CRO的工作职责和任务扩展到执行研究者在临床试验中的某些职责和任务，反映了现在医药研发行业中SMO（Site Management Organization）越来越吃重的角色。
简言之，SMO就是在研究机构内为研究者提供服务的专业机构。不同于传统的CRO委派临床监查员（Clinical Research Assistant）所提供的临床监查服务，SMO提供协调员（Study Coordinator）服务，直接协助研究者，履行研究者授予的所有职责（但不应包含医学诊断类事务）。研究者将其部分职责和任务外包给SMO，显而易见的好处在于减少研究者在临床试验中所需花费的时间和资源，可以很好解决研究者在人力、时间、精力方面的不足；可以降低研究者在临床试验中聘用人员、采购设备设施的成本；可以在临床试验中引入更多专业人士并且通过这些专业人士优化临床试验的相关流程。
但严格上说，监查服务的主要职责是研究者从事临床试验的质量控制，而协调员服务则是服务于研究者，两者存在利益冲突，因此，从质量控制的角度而言，监查服务与协调员服务不能是同一个人，两项服务必须有区隔。所以，对于一家CRO公司，如果其还同时提供SMO服务，那么其内部应该建立防火墙，确保不发生利益冲突。而更稳妥的做法，则是CRO服务与SMO服务分别隶属于不同的独立公司。
2、明确申办者与CRO的各自职责和义务
为了突出申办者的主体责任，2020年版GCP第33条特别明确了申办者委托CRO应当符合各项要求：
（1）申办者可以将其临床试验的部分或全部工作和任务委托给CRO，但申办者仍然是临床试验数据质量和可靠性的最终责任人，应当监督CRO承担的各项工作。
药品临床试验数据是药品审评审批的依据，其真实性决定药品的安全性和有效性。在中国医药研发外包行业中，药品临床试验数据真实性和可靠性不高一直困扰行业的发展。2015年7月22日原国家食品药品监督管理总局发布了《关于开展药物临床试验数据自查核查工作的公告》（2015年第117号），拉开了按照《药物临床试验质量管理规范》等相关要求、对照临床试验方案，对药物临床试验数据开展自查和核查的大幕。此后，原国家食品药品监督管理总局先后发布了《关于8家企业11个药品注册申请不予批准的公告》（2015年第229号）、《关于14家企业13个药品注册申请不予批准的公告》（2015年第260号）、《关于7家企业6个药品注册申请不予批准的公告》（2016年第92号）。原国家食品药品监督管理总局认定上述公告中所述药物临床试验活动中存在数据不真实、不完整和不规范等问题，违反了《中华人民共和国药品管理法》及其实施条例和《药物临床试验质量管理规范》（GCP）的有关规定，给药品安全性、有效性带来隐患，严重影响公共安全。
2017年5月22日，原国家食品药品监督管理总局发布了《国家食品药品监督管理总局关于药物临床试验数据核查有关问题处理意见的公告》（2017年第63号），明确提出：
申请人是药品注册的申请者和权利人，必须保证注册申请中临床试验数据的真实、完整和规范，监督临床试验项目的实施，对所报申请资料及相关试验数据可靠性承担法律责任。
研究者受申请人委托具体实施临床试验项目，必须保证试验行为符合GCP规定，保证试验数据真实、完整、规范及可溯源，对临床试验数据真实性、完整性、规范性承担直接法律责任。临床试验机构是药物临床试验项目直接管理者，对临床试验数据的真实性、完整性和规范性负有管理监督责任。
临床试验合同研究组织受申请人委托，承担临床试验相关工作，对临床试验数据真实性、完整性、规范性承担法律及合同约定的责任；对其出具的相关报告和数据承担直接法律责任。
因此，2020年版GCP特别强调了申办者无论是否存在业务外包的情况，都是临床实验数据质量和可靠性的最终责任人，而且有义务监督CRO承担的各项工作。
（2）CRO应当实施质量保证和质量控制。
如前所述，CRO在临床试验中对临床试验数据真实性、完整性、规范性承担相应责任。2020年版GCP首次要求CRO应当实施质量保证和质量控制。2020年版GCP第32条详细规定了申办者质量保证和质量控制具体要求，但如何落实CRO的质量保证和质量控制还不甚明确。无论怎样，CRO可能因实施质量保证和控制而增加运营成本。
（3）申办者与CRO合同须有必备条款
为了更好规范申办者与CRO之间的外包，2020年版GCP要求申办者与CRO之间的委托合同必须具备以下内容：
委托的具体工作以及相应的标准操作规程；
申办者有权确认被委托工作执行标准操作规程的情况；
对被委托方的书面要求；
被委托方需要提交给申办者的报告要求；
与受试者的损害赔偿措施相关的事项；
其他与委托工作有关的事项。
一般而言，申办者与CRO之间的委托合同属于商事合同，其条款和条件可由申办者与CRO双方谈判确定。现在，2020年版GCP强制要求委托合同须有的必备条款，本意应该是通过加强合同条款管理，进一步明确申办者与CRO的各自职责和义务。但是，2020年版GCP所列举的必备条款不乏模糊之处。例如，“对被委托方的书面要求”，因要求表述过于宽泛缺乏针对性，而使得该要求显得空洞而不具有可操作性；又如“与受试者的损害赔偿措施相关的事项”，似乎与CRO关联度并不高，因为在临床试验实践中，往往是试验用药或因临床试验活动引发受试者损害赔偿诉求，此情形下的责任主体通常是申办者（不包括研究者和临床试验机构自身过失所致的损害），CRO提供服务引发受试者受损的可能性较低；所以这一规定可能需要理解为委托合同应明确规定当受试者因CRO的故意或重大疏忽而遭受伤害时，申办者与CRO应采取的损害赔偿措施。
（4）CRO转包应获得申办者的书面批准
相较于先前申办者与CRO在委托合同中约定CRO如有转包全部或部分服务将如何操作，2020年版GCP则直接要求CRO如有任务转包，其应当获得申办者的书面批准。
（5）对于承担的申办者的职责和任务，CRO应遵守2020年版GCP对申办者的要求
这说明，CRO在提供医药研发外包服务时，应遵守GCP中对申办者设定的相应要求。例如，如果申办者委托CRO从事临床试验中的试验管理、数据处理和记录保存，那么CRO自身应同时遵守2020版GCP第36条所设定的申办者在实验管理、数据处理和记录保存的要求，包括使用电子数据管理系统的要求。
