21 CFR 117 サブパート C

この用語集の用語は、 SG Systems Global 規制および運用ガイド ライブラリ。

2026年1月更新 • FSMAヒト食品予防管理、危害分析、予防管理の選択、プロセス/アレルゲン/衛生管理、パラメータと制限、リコール計画、リスクに基づく意思決定ロジック • 主に食品および飲料製造（PCQI主導の食品安全計画、監査準備、現場の実行規律）

21 CFR 117 サブパート C（「危害分析とリスクベースの予防管理」）は、食品安全を「優良事例」から、明確かつ文書化されたリスクベースの管理システムへと変える、食品安全近代化法（FSMA）のヒト用食品に関する予防管理規則の一部です。サブパート C では、（1）危害分析を実施し、（2）どの危害に対して予防管理が必要かを決定し、（3）施設内でそれらの管理をどのように実施し検証するかを定義し、（4）予防管理が必要な危害に関連するリコール計画の要件を確立します。

パートCはパート117の中核を成す部分です。パートBがGMPの基盤であり、パートFが記録保持の証明であるとすれば、パートCは意思決定のエンジンと言えるでしょう。そこでは、次のような不快な問いに論理的に答えることを強いられます。何が問題になる可能性があるのか​​？それをどのように防ぐのか？どの予防活動が必須で、どの活動が任意なのか？「管理」とは具体的にどういう意味なのか？そして、管理が失敗した場合、どのように対応するのか？

ありのままを伝えましょう。ほとんどの施設がサブパートCの基準を満たさないのは、ハザードを無視しているからではなく、ハザード分析が曖昧で、予防管理が「既に実施しているもの」であり、管理の定義が測定不可能だからです。監査人が「これを予防管理だと判断した理由と、その限界を教えてください」と尋ねた瞬間、脆弱なプログラムは物語へと堕落します。サブパートCは、物語的なリスクを取り除き、それを防御可能で監査可能なロジックに置き換えるために存在します。

「サブパート C では、『私たちは安全です』という表現が、『これが私たちの危険分析と、私たちを安全にする特定の管理策です』に変わります。」

1) 21 CFR 117 Subpart Cを引用するときの人々の意図

「サブパート C への準拠が必要です」と言う人は、通常、次のいずれかの状況に対処しています。

まず第一に、彼らは食品安全計画を策定または再構築しており、危害分析と予防管理が単なる「業界標準」ではなく、正当性を証明できるものでなければならない。

第二に、監査人や検査官は「なぜこれが予防的統制なのか、そしてその限界はどこにあるのか」と尋ねます。その正当化は、サブパートCに記載されています。

3つ目は、ある施設で実際に事故（誤表示、アレルゲンの交差汚染、衛生管理の不備、サプライヤーの事故など）が発生し、予防措置が正しく設計され実施されていたことを証明しなければならない場合です。

これら3つのケースにおいて、サブパートCは書類の量ではなく、意思決定の質に関するものです。つまり、統制が意味のあるものかどうかを判断するロジック層です。

2) サブパートCがパート117全体の構造にどのように適合するか

パート117はシステムです。サブパートCは独立したものではなく、予防管理システムの「設計」です。規則の残りの部分は、実行と証明をサポートします。

• サブパートB: CGMP（安全な製造をサポートするベースライン条件）。
• サブパートC: 危害分析と予防管理（およびリコール計画の要件）を実施する決定。
• サブパートD: 監視（コントロールをリアルタイムで実行する方法）。
• サブパートE: 是正措置と修正（何かが逸脱した場合の対応方法）。
• サブパートF: 記録保持（システムが存在し実行されていることをどのように証明するか）。
• サブパートG: サプライチェーン プログラム (危険がサプライヤーによって管理されている場合によく必要)。

サブパートCは、管理の「なぜ」と「何を」行うかを規定しています。これがなければ、監視と記録は目的のない活動となってしまいます。

3) 適用範囲マップ：サブパートCが誰にいつ適用されるか

サブパート C は、通常、パート 117 に基づいて危害分析およびリスクに基づく予防管理を実施する必要がある施設に適用されます。実際の適用範囲に関する質問は、貴社の事業では CGMP のみに頼るのではなく、予防管理食品安全計画が必要かどうかです。

実際の監査では、製品リスクとプロセスの複雑さによって監査範囲が評価されます。アレルゲン、高リスク原料、RTEへの曝露、あるいはキルステップを取り扱う場合は、サブパートCの作業は避けられません。

サブパートCはすべてのプラントで同じではありません。危険源と管理策は施設ごとに異なります。しかし、意思決定の枠組みは一貫性があり、文書化されていなければなりません。

4) 危険分析: 評価すべき事項

サブパートCでは、施設で製造、加工、包装、または保管される食品の種類ごとに、既知または合理的に予見可能な危害を特定する危害分析が義務付けられています。危害分析とは、「製品の製造」プロセスを段階的に分解し、「ここで何が問題になる可能性があるか」を問うものです。

危険のカテゴリーには通常、次のものが含まれます。

• 生物学的危険性： 病原体、増殖、毒素形成、汚染リスク。
• 化学的危険性： アレルゲン、残留物、衛生化学物質、天然毒素。
• 物理的な危険： 金属、ガラス、硬質プラスチック、異物。
• 放射線の危険性: まれですが、関連する場合は評価されます。

ハザード分析では、新たに導入されたハザードと増加したハザードの両方に加え、疾病／傷害の重症度とハザードが管理されていない場合の発生確率も考慮する必要があります。リスクに基づく思考は、もはやオプションではなく必須となります。また、多くのプログラムがここで手抜きをしてしまうこともあります。つまり、プロセスの実態や実際の曝露ポイントと関連付けずにハザードを列挙してしまうのです。

5) 「予防管理を必要とする危害」：判断基準

サブパートCでは、どのハザードに予防的管理が必要なのかを決定することが求められます。これは最も重要な決定ポイントであり、監視、検証、および文書化が義務付けられる事項を決定するものです。リスクは、チームが次のいずれかに該当することです。

• 過剰デザイン: すべてを予防管理と名付けて、誰も実行できない肥大化したシステムを作るか、
• 設計中: 主張される危険性は正当な理由もなく「GMP」によって管理されており、実際のリスクは管理されていないままです。

正当性のあるプログラムは、一貫した手法を用いる。多くのサイトでは、リスク管理の考え方と同様に、リスクスコアリングや構造化された根拠（重大度、発生可能性、検出可能性、および実用的な対策）を用いている。

運用上、「ハザードには予防管理が必要」という決定は、測定可能な具体的なメカニズムに結び付けられる必要があります。ハザードが「予防管理が必要」であるにもかかわらず、その管理が測定できない場合、証明できないコンプライアンスを主張していることになります。

6) 予防管理の種類：プロセス、アレルゲン、衛生、その他

サブパートCは、施設が危害分析に基づいて実施できる予防管理の主なクラスを定義しています。実際のプラントにおいては、これらが実施および管理する管理ファミリーとなります。

重要なのはカテゴリーではありません。制御が測定可能な用語で定義され、工場の日々の運用に組み込まれているかどうかです。

7) プロセス予防管理：キルステップ、時間/温度、配合ゲート

プロセス予防管理は最も直感的に理解しやすいものです。これらは、定められたプロセスを通じて危険を低減または防止するための手順です。典型的な例は、殺菌管理です（殺菌ステップの検証を参照）。

防御可能なプロセス制御には次のものが含まれます。

• 定義された重要なパラメータ: 時間、温度、pH、濃度、流量など。
• 定義された制限: 何を達成しなければならないか（「これくらい」ではない）。
• 監視方法： どのように測定するか（デバイス、頻度、責任）。
• 検証/科学的サポート: 制御によって、お客様の条件下で危険の軽減を達成できるという証拠。
• 応答ルール: 制限が満たされなかった場合に何が起こるか (保留、再作業、破棄、調査)。

プロセス管理は、測定可能な限界値や、調理工程が製品と設備への危害を制御しているという証拠なしに、高レベルで（「私たちが調理します」と）記述されている場合、不適切です。サブパートCは、「私たちが行います」ではなく、「私たちはそれを証明できます」という姿勢を促します。

8) アレルゲン予防管理：誤表示と交差接触の現実

アレルゲンは、不具合モードが微生物学的ではなく、運用面やラベル表示面に起因することが多いため、特異なハザードです。サブパートCでは、アレルゲンハザードに対して予防的管理が必要な場合、アレルゲン管理が求められる場合があります。実際には、アレルゲン管理には以下のようなものが含まれることが多いです。

• 分離制御: 保管とステージングのルール（ アレルゲン分離).
• 切り替えと衛生管理: 交差接触を防ぐための洗浄と検証（ アレルゲン交差接触).
• やり直しルール: 隠れたアレルゲンの混入を防ぐため、再加工の識別と使用制限を行う（ 再作業トレーサビリティ).
• ラベル検証: 正しいSKUとアレルゲンプロファイルに正しいラベルが貼付されていることを確認する（ ラベル検証).

ありのままを伝えましょう。アレルゲンの不適合は、立ち上げ時、切り替え時、手直し、急ぎの包装作業など、端の段階で発生することがよくあります。サブパートCでは、完璧な状態だけでなく、実際の圧力下でも機能する管理策を設計することが求められます。

9) 衛生予防管理：衛生がPCになるとき

衛生管理は常に重要ですが、ハザード分析によってハザード（特にRTE曝露や高い衛生リスク）の管理に衛生管理が不可欠であると判断された場合、予防管理へと移行します。衛生管理の予防管理には、通常、日常的な「清掃記録」よりも厳密な定義、厳密な検証、そして厳密な対応ルールが必要です。

運用上、衛生予防管理には多くの場合、次のようなことが含まれます。

• 定められた衛生手順とスケジュール
• 検証証拠（ATP、綿棒、視覚基準； 清掃確認),
• 必要に応じて科学的な裏付けと検証（ クリーニングの検証),
• 該当する場合の環境モニタリング（ EM）、及び
• 衛生基準が満たされていない場合の是正措置を定義しました。

衛生管理は、検証や製品リスクの判断との関連性を伴わずに「チェックボックスによる清掃」のみを行う場合、不適切です。サブパートCでは、衛生管理を活動ではなく、管理システムとして定義することが義務付けられています。

10) パラメータと制限: 運用上の「制御」とはどのようなものであるべきか

サブパートCはまさにこの点で実務的な意味を持ちます。危険に対して予防管理が必要な場合、その管理には「管理対象」と「管理対象外」を定義するパラメータと制限がなければなりません。制限がなければ監視はできず、監視がなければ検証もできません。

測定可能な制御定義の例:

• プロセス制御限界: コールドスポットで達成される最小時間/温度。
• アレルゲン管理基準: 実行開始前にラベル検証合格 + 切り替え検証が完了しました。
• 衛生基準: ATP/スワブ結果が閾値以下 + 術前検査合格。
• 異物管理基準： 検出器検証テストは定義された頻度で合格します。

制限は現実的なものでなければなりません。明確な数値、明確な合否基準、そして明確な点検頻度が必要です。「定期的に点検する」というのは管理上の定義ではありません。サブパートCは、曖昧な表現の使用をやめるよう求めるものです。

11) 検証と科学的裏付け:コントロールが機能することを証明する

サブパートCでは、特にプロセス予防管理については、必要に応じて科学的な裏付けと検証を行うことが求められます。検証とは、「効果があると思う」ということではありません。設計され、工場で実行された管理がハザードを制御できるという証拠です。

運用上、これには次のようなものが含まれます。

• プロセス検証データまたは致死性を裏付ける科学的研究
• 関連する場合の熱伝達に関する機器の適格性評価およびマッピング
• 衛生およびアレルゲン管理に関するチャレンジ研究または文書化されたサポート（該当する場合）
• 監視機器と校正規律の検証（測定値が信頼できるものとなるように）。

サブパートCの重要なポイント：予防管理を「ベストプラクティス」として扱うことはできません。予防管理は、裏付けのある管理されたリスク低減メカニズムとして扱う必要があります。

12) 監視と対応の設計：実行に制御を組み込む

サブパートCでは、管理すべき事項が定義されています。システムでは、実際の運用における監視方法を定義する必要があります。実際には、監視設計は以下の点に留意する必要があります。

• 監視をステップにバインドします。 監視は「今日のいつか」ではなく、適切なプロセス ステップで実行されます。
• 適切な場合にはハード ゲーティングを使用します。 監視に合格しないと重要なステップを続行できません（ ハードゲーティング (その概念を適用すると)
• 役割ベースの説明責任を使用する: 誰が監視し、誰がレビューし、誰が承認するか。
• 即時の可視性を実現: 制限に違反した場合、システムは封じ込め（保留）とエスカレーションをトリガーします。

実行に組​​み込まれていない監視は、後回しにされる事務作業になりがちです。サブパートCは「理論上の監視」を許容しません。監視は管理された行動として行われることが求められます。

13) 是正措置と修正：制御が失敗したときに何が起こるか

サブパートCは対応についても規定しています。予防管理システムは、限度が満たされなかった場合に何が起こるかを示すことができなければ、信頼性がありません。実践的な対応モデルには以下が含まれます。

• 即時訂正: プロセスを停止し、パラメータを調整し、製品を分離します。
• 製品の処分： リスク評価に基づいて保留、再作業、または廃棄します。
• 調査のきっかけ: 逸脱が体系的な問題を示している場合は、管理された逸脱/NC プロセスにルーティングします。
• 再発を防ぐ: 機器、トレーニング、手順、またはサプライヤー管理に関する是正措置。

サブパートCは、保留、逸脱、CAPA、リリース準備といった、より広範な品質システムと関連しています。もし貴社のシステムが逸脱を非公式に（「修正しました。信頼してください」といった形で）処理している場合、検査官は貴社の予防管理が脆弱であるとみなします。

14) リコール計画の要件: サブパートCがリコール準備を義務付ける理由

サブパートCには、予防管理を必要とする危害に関連するリコール計画の要件が含まれています。運用上の意味は単純です。予防管理を必要とする危害を主張する場合、管理が不十分になった場合、または後になって危害が発見された場合、影響を受けた製品を迅速に除去できなければなりません。

リコール計画は単に「顧客に電話する」だけではありません。実行可能なものでなければなりません。製品の特定、受取人への通知、有効性の確認、製品の処分、そして事案の記録が必要です。そのため、サブパートCはリコール準備と模擬リコール実施に自然と結びついています。

実践的なポイント：トレーサビリティシステムが脆弱だと、リコール計画は単なるパフォーマンスになってしまいます。リコールは管理戦略の一部であるため、サブパートCはトレーサビリティの実現を本質的に義務付けています。

15) 再分析のトリガー: サブパートCを再検討する必要がある場合

サブパートCの危害分析と予防管理は「一度きり」のものではありません。状況の変化に応じて再分析する必要があります。具体的なトリガーとしては、以下のようなものがあります。

• 重要なプロセス変更（新しいライン、新しい装置、新しいキルステップパラメータ）
• 新製品または新原料（特にアレルゲンおよび危険因子の変化）
• サプライヤーの変更（新規サプライヤー、新規サイト、サプライヤーの繰り返しの変更）
• 特定された新たな危険（顧客からの苦情、EMの発見、規制上の警告）
• システムの弱点を示す予防管理の失敗または逸脱の繰り返し。

再分析は、予防制御システムが、その下での運用が変化する間も固定されたままではなく、現実に合わせて進化することを証明します。

16) 監査姿勢：サブパートCに基づいて検査官が圧力テストを行う内容

検査官や監査官は、サブパートCのプレッシャーテストを行う際に、特定の危害要因を選択し、危害分析から実施証拠までの管理チェーンの実証を求める傾向があります。プレッシャーテストの典型的な質問は以下のとおりです。

• 「この製品とプロセスステップの危険性分析を見せてください。」
• 「なぜこの危険に対して予防管理が必要なのか（または必要でないのか）？」
• 「あなたの限界は何ですか？そしてそれをどのように監視しますか？」
• 「最近の実行の監視記録と検証証拠を見せてください。」
• 「監視が失敗すると何が起こるのか、実際の例を見せてください。」
• 「リコール計画と、リコールの準備状況をどのようにテストしたかを見せてください。」

これらの問題に合格する最も早い方法は、暗記ではありません。ハザード分析が具体的な管理策にリンクし、それらの管理策が実際の記録や日常業務における実際のゲーティングにリンクするシステムを構築することです。

17) 準備スコアカードをコピー＆ペーストする

これを率直な社内テストとして活用してください。明確に答えられない場合は、文言ではなくシステムを修正してください。

18) 失敗パターン:サブパートCが現実ではないのに「完了」する方法

• テンプレートの危険性分析。 危険は一般的にリストされており、実際の歩数や暴露とは結び付けられていません。
• 根拠のない予防管理としての GMP。 「当社は GMP を実施しています」は、測定可能な基準のない包括的な管理として使用されます。
• 制限のないコントロール。 定義された制限、頻度、または応答ルールのない「温度を監視する」と説明されている制御。
• アレルゲン管理はラベル表示のみとして扱われます。 インシデントが発生するまで、相互接触ややり直しのリスクは無視されます。
• チェックボックス ログとしての衛生記録。 検証なし、危険管理との連携なし、対応規律なし。
• バインダーアーティファクトとして計画をリコールします。 書類上は存在しますがテストされていません。トレーサビリティは実行をサポートできません。
• 再分析文化はありません。 プロセスの変更は発生しますが、危険分析は固定されたままです。

サブパートCの遵守は、文書を作成することだけでは達成されません。証拠によって実証できる危害管理システムを構築することで達成されます。

19) これをV5にマッピングする方法 SG Systems Global

V5は、危険防止策を実行可能、測定可能、かつ証拠に結び付けることで、サブパートCの成果を支援します。サブパートCは設計要件であり、V5はその設計を運用可能なものにします。

• 危険から制御へのマッピング: 食品安全計画における危険性を特定の実行管理（プロセス/アレルゲン/衛生）に結び付けます。
• ハードゲート実行: 必要なチェックを実施し、制御が満たされていない場合は続行を防止します (特に重要な手順の場合)。
• アレルゲンおよびラベル管理: 分離ルール、切り替えチェック、ラベル検証ワークフローを実施します。
• 衛生上の証拠: クリーニング検証と EM 証拠を、自由形式のログではなく、リンクされたレコードとして記録します。
• サプライヤー証拠のリンク: インバウンド制御体制の一環として、サプライヤーの承認と CoA 検証を取得します。
• リコール準備: トレーサビリティ出力を迅速に生成し、リンクされたロット系図を使用して模擬リコールワークフローをサポートします。

プラットフォームのコンテキストについては、まずV5ソリューション概要をご覧ください。サブパートCの管理において、製造現場での実施が求められる場合、V5 MESは実行状況を正確に把握し、V5 WMSは移動と隔離を徹底し、V5 QMSは保留、逸脱、承認、および証拠の完全性を管理します。

20) 拡張FAQ

Q1. サブパートCはHACCPと同じですか？
関連はあるものの、同一ではありません。サブパートCの概念の多くはHACCP（危害分析、管理、監視）の考え方に当てはまりますが、サブパートCはFSMA予防管理フレームワークの一部であり、より広範な管理カテゴリーと、予防管理に関連したリコール計画の要件が含まれています。

Q2. サブパート C の最も一般的な弱点は何ですか?
測定不可能な管理策。明確な制限や対応ルールがないまま「監視する」というだけでは、予防管理策として正当化できません。

Q3. アレルギーの危険性には通常、予防的管理が必要ですか?
多くの場合、特に誤表示や交差接触のリスクがある場合は、その通りです。重要なのは「アレルゲン」という言葉ではなく、ハザード分析の結論、そしてリスク管理のために管理策を実施・検証する必要があるかどうかです。

Q4. サブパート C では、すべての製品に対してリコール計画が必要ですか?
リコール計画の要件は、予防管理を必要とする危害に関連しています。実際には、予防管理を実施していれば、トレーサビリティと有効性の確認を伴ったリコールまたは撤去を実行できるはずです。

Q5. サブパートCプログラムが本物かどうかをどのようにテストすればよいですか?
1つのハザード（アレルゲン、致死性、衛生）を選択し、管理チェーンを端から端まで追跡してみてください。ハザード分析の決定 → 予防管理の定義（限界） → モニタリングの証拠 → 検証の証拠 → 実際の例外事例と対応 → リコール準備状況の出力。いずれかのリンクが「我々はそう思う」と回答した場合、プログラムは脆弱です。

関連資料（実用的なもの）
サブパートCを厳密に実施する場合は、測定可能な基準に当てはめてください。 食品安全計画 規律あるリスク思考によって支えられている（ リスク管理）、アレルゲンに対する強制力のある管理を構築する（クロスコンタクト (NAIST) と 分離）、プロセス致死性（キルステップ検証）、衛生検証（清掃確認）。主な規制テキストには、 21 CFR パート 117 (eCFR) セクションレベルのビュー 21 CFR Part 117（コーネル）.