データの整合性

このトピックは、 SG Systems Global 規制および運用ガイド ライブラリ。

データの整合性: 記録が信頼できるものであることを保証します (ALCOA 証拠、監査証跡、制御されたアクセス、防御可能な決定)。

2026年1月更新 • データ整合性、ALCOA、監査証跡、パート11、付録11、CSV、記録保持、アクセス制御 • 業界横断的

データインテグリティとは、データライフサイクル全体を通して、記録が信頼できるものであること（完全性、正確性、帰属可能性、不正な変更からの保護）を保証する規律のことです。規制対象となる製造および品質システムにおいて、「インテグリティ」は哲学的な概念ではありません。それは、バッチリリース、製品決定、調査、そして患者／顧客の安全を守るための運用上の基盤です。データが信頼できない場合、それに基づいて下された決定は正当化できません。

組織はしばしば、データの整合性とサイバーセキュリティやデータ品質を混同します。セキュリティは不正アクセスから保護するものであり、品質は利用適合性に焦点を当てています。整合性は、記録が本来の姿であり、改ざんされたり、気づかれずに破損したり、コンテキストから切り離されたりしていないことを証明します。コンテキストには、メタデータ（タイムスタンプ、ユーザーID、バージョン）、監査証跡、そして何か問題が発生した場合に人が履歴を書き換えられないようにするための手続き上の管理が含まれます。

データの完全性は、逸脱調査、規格外事象、サプライヤーとの紛争、バッチ処分の決定、監査など、プレッシャーが最も高い時に最も重要になります。このような状況では、組織は信頼できる証拠の連鎖を持っているか、あるいは議論を展開しているかのどちらかです。完全性こそが、「こうなったと思う」という主張が「こうなったと証明できる」という主張に取って代わることを防ぐのです。

「記録が書き換えられるなら、それは証拠にならない」

1) データ整合性の本当の意味

データの完全性とは、記録が証拠として信頼できることを意味します。具体的には、完全性は以下のことを証明します。

• 記録の帰属先: 「誰が、何を、いつ、なぜ行ったか」という質問に確実に答えることができます。
• 記録が完了しました: 欠落した結果、欠落したバッチ、欠落した監査証跡エントリ、欠落した添付ファイルはありません。
• 記録は一貫しています: タイムスタンプ、バージョン、および状態遷移は一貫性があり、再現可能です。
• 記録は保護されています: 削除や日付の遡及などの不正な変更は防止され、検出されます。
• 記録は引き続き使用可能です: これらは、保存規則に従って、数年後でも取得、解釈、および確認することができます。

整合性は「データ値」に限定されません。値に意味を与える文脈、すなわち機器、方法、単位、バージョン、承認、トレースリンクなども含まれます。校正ステータスのない温度測定値は信頼できる証拠にはなりません。試験方法の改訂なしに「合格」という結果は正当化できません。監査証跡のないバッチ記録は単なる作り話に過ぎません。

医薬品、医療機器、食品安全、その他重大な影響を伴う製造業といった規制環境において、誠実性はリリースの決定、調査、そして規制当局の信頼を支える基盤です。誠実性が損なわれると、他のすべてが交渉の対象となります。

2) データの整合性が譲れない理由

誠実さを現実のものにするための強制機能は 4 つあります。

厳しい現実：整合性の欠陥は「証明できない現実」を生み出すため、大きな損失をもたらします。データが信頼できない場合、組織は過剰なテスト、作業の繰り返し、バッチ保留期間の延長、そして経営幹部によるレビューへのエスカレーションといった対応をとります。たとえ製品が安全であっても、その安全性を証明できないことが運用上のボトルネックとなります。

整合性の欠陥もまた伝染します。記録が改ざんされる可能性があると人々が信じるようになると、行動は変わります。「後で記録する」「値を修正する」「スプレッドシートを更新する」「後で照合する」などです。こうした文化的な変化は、どんな技術的な欠陥よりも早く証拠の質を損ないます。

3) データの整合性 vs 品質 vs セキュリティ

チームはこれらの概念を混同し、間違ったコントロールを設計してしまうことがよくあります。

整合性のないセキュリティは一般的です。強力な境界制御、脆弱な内部ガバナンス、履歴を書き換えられる特権ユーザーなどです。セキュリティのない整合性もまた存在します。優れた監査証跡、脆弱なアクセス制御、そして高い不正アクセスの可能性などです。規制対象の業務では、その両方が必要ですが、整合性こそが記録の防御を可能にする要素です。

4) データのライフサイクル: 整合性が保たれるか失われるか

整合性は単一の制御ではありません。データライフサイクル全体にわたる制御の結果です。

• 作成： データの生成方法（機器、システム、手動入力）、方法とバージョンを含む。
• 処理： 計算、変換、および派生結果など、隠れた操作が頻繁に発生する場所です。
• レビュー： 承認ワークフロー、例外処理、エスカレーション経路（ 承認ワークフロー).
• レポート： 要約、ダッシュボード、PDF レポートは、根本的な真実から切り離される可能性があります。
• ストレージ： 記録がどこに保存され、どのように保護され、監査証跡がどのように保存されるか。
• 検索： 監査および調査中に記録のコンテキストを再現する機能。
• 保持/アーカイブ: 長期保存 記録の保持 ルール。
• 配置： 保管期間が終了したら、文書化された根拠に基づいて制御された破棄が行われます。

ほとんどの整合性プログラムは、保存に重点を置き、作成と処理を無視しているために失敗に終わります。これは逆です。記録がキャプチャ時に侵害された場合、後からどんなに保持ポリシーを適用しても修正することはできません。

5) 範囲を定義する: 何を記録としてカウントするか

整合性は、容赦のない範囲の定義から始まります。管理対象レコードとは何かを定義しなければ、誰かが勝手に定義してしまいます。そして、それは大抵の場合、説明責任を軽視する形で行われます。

実用的なスコープ マップには次の内容が含まれます。

• 品質記録: 逸脱、調査、承認、CAPA（参照） 逸脱管理 (NAIST) と CAPA).
• 製造記録: バッチドキュメントなど BMR 電子版では EBR.
• デバイスレコード: デバイス履歴証拠（DHR / 電子DHR).
• 実験記録: 結果、計算、レビュー履歴（多くの場合、 LIMS).
• マスターデータ： 管理されたレシピ、BOM、仕様、パラメータ制限（ マスターデータコントロール).
• メタデータ： タイムスタンプ、ユーザー ID、バージョン、監査証跡自体。
• 添付ファイル： PDF、画像、生データ ファイル、機器のエクスポートなどは、多くの場合、操作を隠すのに最も簡単な場所です。

対象範囲には「シャドーシステム」も含める必要があります。スプレッドシート、ローカルフォルダ、共有ドライブ、アドホックデータベースなどです。重要な計算が管理対象システム外のExcelで行われている場合、整合性リスクはそこに潜んでいます。監査人に誇らしげに見せる検証済みのアプリケーションではありません。

6) ALCOAの実践：スローガンではなく証拠

ALCOAは、誠実性に関する期待事項を表す最も一般的な略語です。ALCOAの真価は頭字語にあるのではなく、それが強制する検証可能な行動にあります。

• 帰属先: 固有の ID、制御されたアクセス、信頼性の高いユーザー属性。
• 判読可能: 記録は長期にわたって読み取りおよび解釈可能でなければなりません（電子的な読み取り可能性を含む）。
• 同時期: イベントは発生した時点で記録され、後で再構築されることはありません。
• オリジナル： ソース データとレコードの最初のキャプチャを保持します (上書きから保護します)。
• 正確： 値は正しく、計算は制御されており、エラーは検出可能です。

ALCOAは、組織がそれを研修コンテンツのように扱うと機能不全に陥ります。ユーザーが結果を上書きしたり、監査証跡を削除したり、実行していないアクションに署名したりできるようなシステムでは、「研修」だけでは解決できません。ALCOAはポスターではなく、管理策によって強制されます。

7) ガバナンス：所有権、手順、証拠

整合性はITプロジェクトではありません。品質ガバナンスモデルです。ガバナンスがなければ、管理体制は崩壊し、例外が常態化します。

コアガバナンスのアンカー:

• 所有： 整合性制御と定期的なレビューの責任を負うシステム/データ所有者を定義します。
• 文書管理: データの取り扱い、確認、修正、逸脱に関する SOP。
• リビジョン管理: 方法、仕様、レシピ、および構成の制御されたバージョン。
• 変更管理: システムの変更、パッチ、構成の更新による整合性への影響の評価。
• トレーニング + 能力: 訓練を受けたユーザーだけでなく、「優れた証拠」がどのようなものかを知っている訓練を受けたレビュー担当者も必要です。
• 定期レビュー： 監査証跡、特権アクセス、および重要な記録は定期的にレビューされます。

ガバナンスでは「修正ルール」も定義する必要があります。エラーが発生した場合、どのように修正するのでしょうか？何が許可され、何が禁止され、監査証跡に記録する必要があるのでしょうか？もし「ただ修正するだけ」という答えであれば、整合性のギャップが生じていることになります。

8) アクセス制御: UAM、RBAC、SoD

整合性はアクセスによって最も早く失われます。不適切な人物が不適切な行動をとれる場合、あるいは誰が何をしたかを誰も証明できない場合、記録は改ざん可能になります。

存在し、テスト可能である必要があるコントロール:

• 定義された役割と権限: 制御を通じて ユーザーアクセス管理 (UAM).
• RBAC 執行： 特権アクションは制限され、レビュー可能です。
• プロビジョニング規律: アクセスが作成/削除されました アクセスプロビジョニング コントロール。
• 職務の分離: 自己承認や「変更して承認した」という表現は不要です（ 職務の分離).
• 定期的なアクセスレビュー: アクセスは審査され、永久に正しいとみなされるわけではない（ アクセスレビュー 実行システムにおける規律)。

特権アクセスは、整合性における最もリスクの高い脆弱性です。管理者は、マスターデータの変更、監査証跡の設定変更、履歴を変更するバックアップの復元などの権限を持つことがよくあります。整合性プログラムでは、特権アクセスを「必要なIT上の利便性」ではなく、管理された品質リスクとして扱う必要があります。

9) 監査証跡とメタデータ: 整合性エンジン

重要な電子記録にとって、監査証跡は必須です。監査証跡は、不適切な変更を可視化し、正当な変更を正当化するための仕組みです。

効果的な監査証跡では次のことを証明する必要があります。

• 完全： 重要なアクション (作成、変更、削除、承認、上書き) がキャプチャされます。
• アトリビューション： 固有のユーザー ID。共有アカウントは帰属関係を破壊します。
• タイムスタンプ： 信頼性の高い時間とタイムゾーンの処理 (時間のずれにより「不可能な」シーケンスが作成されます)。
• 変更理由: 適切な場合、システムは暗黙の編集ではなく、根拠を要求します。
• レビュー可能性: 監査証跡は照会可能であり、定期的に確認されますが、「必要に応じて利用可能」ではありません。

メタデータは多くの場合、整合性の源泉です。値をエクスポートできても、メタデータ（承認者、バージョン、デバイス、方法）が失われると、意味が失われます。だからこそ、「レポートのみのアーカイブ」はリスクが高いのです。PDFは保存されますが、真実を証明するために必要な構造化されたコンテキストが失われてしまうからです。

10) 電子署名と承認の意味

電子署名は、その意味が保持されてこそ意味を持つ。署名は単なる図形ではなく、管理された宣言である。

電子署名の整合性に関する期待事項は次のとおりです。

• 本人確認: 署名は共有ログインではなく、認証されたユーザーに関連付けられます。
• 意図の明確さ: 何が承認されているか（およびどのバージョンで承認されているか）は明確です。
• 否認防止： 制御が弱いため、ユーザーは署名を正当に否定できません。
• 監査可能性： 署名イベントは、タイムスタンプと意味とともに監査証跡に記録されます。

これが、完全性が21 CFR Part 11およびAnnex 11と交差する理由です。管理の意図は、電子記録と署名が紙の記録と同等、あるいはそれ以上に信頼できるものであることを保証することにあります。なぜなら、それらはイベントの履歴を保存するからです。

11) 検証とシステム保証：CSVとGAMP 5

人気のあるシステムを購入したからといって、整合性が保証されるわけではありません。整合性は、重要な記録を保存するためにシステムが構成、検証、運用された場合にのみ保証されます。

規制された環境では、通常、次の方法で対処されます。

• コンピュータシステム検証（CSV）: 証明システムは意図された使用をサポートし、重要な記録の整合性を維持します。
• ガンプ5: リスクベースの検証を適用し、整合性リスクが最も高い部分に重点を置きます。
• 変更管理主導の再検証: インフラストラクチャのパッチ適用、アップグレード、移行、または構成の変更を行うと、整合性への影響が評価されます。

検証は、記録の信頼性を高める制御パス機能、すなわち監査証跡の生成と取得、アクセス制御、電子署名の動作、時間管理、レポート生成（および基礎データへのリンク）、データのエクスポート/インポート制御などをカバーする必要があります。ワークフローを検証しても、証拠チェーンを検証していない場合、検証すべき内容が間違っています。

12) 保存と回復可能性：アーカイブと復元

整合性は時間の問題でもあります。記録は、保管期間が必要とされる限り、信頼性と検索可能性を維持する必要があります。そのため、保管、アーカイブ、そして災害復旧は、単なるIT衛生管理ではなく、整合性管理の重要な役割を担うことになります。

復元後の整合性は、よくある盲点です。復元されたシステムが監査証跡の連続性を失ったり、タイムスタンプがリセットされたりすると、たとえ本番環境が再開されたとしても、コンプライアンスと証拠の面で大きな問題となる可能性があります。そのため、復旧演習では、稼働時間だけでなく、整合性管理も検証する必要があります。

13) 運用化: 実際に機能する日常的な管理

整合性プログラムは、管理策が日常業務に組み込まれることで成功します。その目的は、潜在的な障害を防止し、ドリフトを早期に検出することです。

精査に耐える運用管理:

• 監査証跡レビューの頻度: 重要な監査証跡を単に「利用可能」であるだけでなく、定期的にレビューします。
• マスターデータガバナンス: 管理された編集 マスターデータコントロール 承認と追跡可能性を備えています。
• 偏差リンク: 整合性の問題は品質イベントとして捕捉され、調査されます（ 質の高いイベント管理).
• 例外処理の規律: オーバーライドと「一時的な」権限は記録され、承認され、廃止されます。
• 定期的なアクセスレビュー: 役割と権限は実際の職務機能に対して再検証されます。
• 時間同期チェック: システム クロックは制御されており、時間のずれは整合性の欠陥として扱われます。
• データエクスポート制御: エクスポートされたデータが並列の編集可能な真実にならないようにします。

14) KPIと運用頻度

データの整合性は、測定可能な結果を​​伴う運用管理のように管理する必要があります。

頻度はリスクに基づいて決定する必要があります。大規模なサイト、高い変更率、そしてソフトウェア主導の運用では、安定した環境よりも頻繁なチェックが必要です。管理策が適切に実施されていない場合、検査によって気づかされるまで、管理策は変化し続けるでしょう。

15) 「整合性ブロックテスト」チェックリスト

迅速な合否判定による整合性評価が必要な場合は、ブロックテストを実行してください。その目的は、システムが不正なアクションを防止し、不正なアクションが発生した場合に証拠を保全できることを証明することです。

ブロックテストに不合格となった場合は、品質例外として扱います。完全性管理は機能しているか、していないかのどちらかであり、「ほぼ」という状況は検査中に正当化できるものではありません。

16) よくある失敗パターン

• 共有アカウントと汎用ログイン。 帰属が崩壊し、監査証跡は意味をなさなくなります。
• 編集可能なソース ファイル。 「元の」データは痕跡を残さずに上書きまたは再計算されます。
• 監査証跡は確認されていません。 痕跡は存在するが、誰も見ていないため、操作は検出されない。
• 管理者の権限の超過。 特権ユーザーは、結果を変更したり、ログ記録を無効にしたり、保持期間を静かに変更したりできます。
• 時間の流れ。 タイムスタンプは信頼できなくなり、シーケンスを防御することは不可能になります。
• PDF のみの記録戦略。 レポートは残りますが、構造化された真実とメタデータは失われます。
• スプレッドシートの「真実」。 重要な計算は制御されたシステムの外部で行われます。
• 復元すると整合性が失われます。 システムはオンラインに戻りますが、監査証跡または署名の意味は破損しています。

17) 業界横断的な事例

誠実さの原則は普遍的ですが、その厳しさは業界によって異なります。

• 医薬品製造: 完全性はバッチリリースと調査準備の基盤となる。 G×P, 21 CFRパート211、電子記録管理など。
• 医療機器： 整合性は、次のような設計および製造の証拠チェーンをサポートします。 DHF, DMR, DHR.
• 食品加工： 整合性はトレーサビリティ、リコール、コンプライアンス管理に関係しており、失敗は調整のギャップや検証できない決定として現れます。
• 実行システム: MESと接続されたレイヤーは、状態の真実と証拠を保存する必要があります。整合性は MES 制御と監査証跡。
• 研究所： 整合性は、方法の制御、生データの保存、レビューの規律にかかっています。統合が弱いと、「コピー/ペーストによる真実」が生まれます。

共通の教訓：誠実さは部門の問題ではありません。それは、証拠の連鎖全体にわたる信頼性なのです。

18) 拡張FAQ

Q1. データ整合性とは何ですか?
データ整合性とは、データのライフサイクル全体にわたって、レコードが信頼できること（完全、正確、帰属可能、不適切な変更から保護されていること）を保証するための分野です。

Q2. データの整合性とサイバーセキュリティは同じですか?
いいえ。セキュリティは不正アクセスから保護し、整合性は監査証跡、メタデータ、管理された変更履歴などの記録が信頼できる証拠であることを証明します。

Q3. ALCOA は実際には何を意味しますか?
アルコア 記録は帰属可能、判読可能、同時性、オリジナル性、正確性を備えており、アクセス ガバナンス、監査証跡、レビュー規律などの制御を通じて強制されることを意味します。

Q4. 最も一般的な整合性エラーは何ですか?
共有ログイン、制御されていないスプレッドシート、レビューされていない監査証跡、弱い特権アクセス制御、レポート/アーカイブ中のメタデータの損失。

Q5. システムの復元後に整合性をどのように証明しますか?
復元テストでは、稼働時間だけでなく、監査証跡の継続性、タイムスタンプの正確性、アクセス制御、署名の意味も検証する必要があります（ バックアップ検証 原則）。

関連レディング
• コアインテグリティコンセプト: アルコア | 監査証跡（GxP） | G×P | 記録保持 | データアーカイブ | Data Retention
• 検証 + ガバナンス: CSV | ガンプ5 | 変更管理 | 文書管理 | リビジョン管理
• アクセス + 説明責任: ユーザーアクセス管理 | ロールベースのアクセス | アクセスプロビジョニング | 職務の分離
• 電子記録のコンテキスト: 21 CFRパート11 | 附属11 | 電子署名
• システムのコンテキスト: MES | 電子バッチ記録（EBR） | 電子品質管理システム | MESバックアップ検証