検査官が実際に検査するもの

エグゼクティブサマリー

多くのチームは21 CFR Part 11をソフトウェアの機能チェックリストのように扱っていますが、検査官がそのようなアプローチを取ることは稀です。実際には、Part 11は少数の運用上の質問を通して検証されます。誰が何をしたのか？いつ行ったのか？何が変わったのか？なぜ変わったのか？記録は記述を再構成することなく信頼できるのか？これらの質問への回答が不明確な場合、記録の信頼性が不確実になるため、検査は急速に拡大します。

このホワイトペーパーは、検査官が実際の施設で電子記録と電子署名を評価する方法について、ベンダーに依存しない実践的なモデルを提供します。検査官が一般的に調査する制御領域、すなわち、IDおよびアクセス管理、監査証跡の動作、電子署名の意味と拘束力、制御された編集と修正、記録の保持と検索、システム時刻の整合性、およびコンピュータシステム検証（CSV）を裏付ける証拠に焦点を当てています。また、特権アクセスのガバナンス、定期的なアクセスレビュー、トレーニング/能力、変更管理規律など、見落とされがちだが頻繁にテストされる手続き上の制御についても強調しています。

目的は規制を改めて説明することではありません。目的は、検査官がその場で実演、画面共有、記録の提出を求めた場合に、何が通用するかを説明することです。この文書には、社内で実施できる一連の「検査訓練」が含まれており、文書上だけでなく、実際にパート11の対応が妥当かどうかを測定できます。データ整合性の概念が適用される箇所では、文書における信頼性の実践的な基準として、データ整合性やALCOA+などの原則を参照しています。

Part 11 への強固な姿勢とは、完璧さを求めることではありません。記録の作成、変更、承認、そして保管に関して、一貫性があり、実証可能な管理体制が確立されていること、そして、プレッシャーの下でも、即興で対応することなく、迅速に取得できる証拠によって裏付けられていることが求められます。

抽象

21 CFR Part 11は機能チェックリストとして実装されることが多いものの、検査官はそれを証拠システム、すなわち監査環境下で信頼できる電子記録および電子署名を実証する能力として評価します。本稿では、検査官が一般的に調査するコントロールサーフェス（IDおよびアクセス管理、監査証跡の挙動、署名の意味とバインディング、管理された編集、タイムスタンプの整合性、保存と検索、そして検証証拠）を中心に構成された、実用的な検査指向モデルを提案します。このモデルは、ガバナンスと変更のための手続き的コントロールによって支えられており、検証された状態を長期にわたって維持します。

本稿では、組織が物語の再構成に頼ることなく、迅速に防御可能な証拠を提示できるかどうかを測定するための検査訓練も提供しています。これらの訓練を適切に実施することで、検査リスクが軽減され、調査が迅速化され、データ整合性の体制が向上します。

1) 第11部の範囲：実際に何が行われているのか

Part 11は、プレディケートルールで要求されている紙の記録や手書きの署名の代わりに、電子記録または電子署名が使用される場合に適用されます。多くの組織は、あらゆる電子記録を「Part 11データ」として扱うことで、Part 11の適用範囲を過度に広げています。一方、この規則は「品質システム」にのみ適用されると想定することで、適用範囲を狭めている組織もあります。検査官は通常、電子記録が規制対象の意思決定、すなわちリリース、処分、調査、変更、承認をサポートする分野に焦点を当てます。

スコープ設定の実践的な方法は、(1)規制対象となる意思決定を裏付ける記録、(2)それらを誰が作成/変更/承認するか、(3)それらをどのシステムに保存するか、(4)監査および調査中に組織が依拠する「真実」とは何かを一覧化することです。このスコープ設定作業は、意図された用途とリスクに追跡可能である必要があり、通常はCSV（コンプライアンスベースドサマリー）に文書化されます。

2) 検査官が実際にパート11をテストする方法

検査官は、多くの場合、実演と記録のサンプリングを通じてPart 11を評価します。そのパターンは一貫しており、記録（バッチ記録、逸脱、変更、検査結果、トレーニング、校正、リリース決定）を選択し、誰がそれを作成したか、誰が承認したか、何が変更されたか、そして変更が管理されたかどうかを遡及的に追跡します。テストの目的は、「システムに監査証跡があるか」ではなく、「監査証跡が重要な記録について信頼できる履歴を作成しているか」です。

以下の表は、典型的な検査官の調査と、組織が迅速に示す必要があるものをまとめたものです。

この論文の残りの部分では、チームがポリシーで主張する内容ではなく、検査官がデモンストレーションを通じてテストする内容に重点を置いて、これらの調査を実際の管理と障害モードに分類します。

3) アイデンティティとアクセス：誰が何をしたかを証明する

パート11はアイデンティティから始まります。組織が特定の個人に帰属する行動を証明できない場合、記録の信頼性は崩壊します。検査官は、アカウントの作成方法、アクセスの承認者、役割の割り当て方法、共有アカウントの有無、役割の変更や退職時にアクセスがどのように削除されるかなどを頻繁に質問します。

IDおよびアクセス制御は、多くの場合、ユーザーアクセス管理とロールベースアクセスによって実装されます。防御可能な体制には、文書化されたプロビジョニング、定期的なアクセスレビュー、および特権ロールのガバナンスが含まれます。セッション制御（タイムアウト）も頻繁にテストされます。資格情報タイムアウト制御を参照してください。

4) 監査証跡:何が、いつ、なぜ変更されたかを証明する

監査証跡の動作は、Part 11における最も一般的なエスカレーションポイントの一つです。検査官はしばしばデモンストレーションを求めます。重要なフィールドを編集し、システムがどのように変更を記録し、その後どのようにその履歴を取得するかを示す必要があります。また、監査証跡を無効化、フィルタリング、上書き、またはパージできるかどうかについても質問されることがあります。

GxP関連の監査証跡は、安全で、タイムスタンプが付与され、帰属可能であり、必要に応じて古い値と新しい値の両方を含んでいる必要があります。また、保護されたフィールドに変更が加えられた場合は、変更の理由も記録する必要があります。監査証跡（GxP）を参照してください。

監査証跡の信頼性は、データの完全性と密接に関係しています。監査証跡の動作が明確に説明できない場合、組織は、検査官がデータの完全性およびALCOA+に準拠した記録の信頼性に関する概念の検証を強化すると想定すべきです。

5) 電子署名：意味、意図、拘束力

検査官は電子署名を単なる「ボタン」以上のものとして扱います。署名に意味があるかどうか、そして署名された時点で記録内容と結びついているかどうかを検査します。検査官はしばしば、署名が何を意味するのか（レビュー、承認、検証、リリース）、署名者はどのように認証されているのか、そして署名後に記録が変更された場合はどうなるのかを尋ねます。

電子署名を使用する場合、組織は署名の意味、記録上の署名の表示方法、認証手順、および署名と署名済み記録バージョンの関連付けを示すことができなければなりません。電子署名を参照してください。

6) 修正、手直し、そして管理された編集

実際の運用では修正が必要です。検査官は「修正なし」を期待していません。修正には透明性があり、帰属が明確で、適切に管理されていることを期待しています。重要なのは、修正によって元のエントリが維持され、変更理由と承認がリスクに見合っているかどうかです。

一般的なエスカレーションのトリガーとしては、サイレント上書き、規制対象レコードの削除、権限を持つユーザーによる正当な理由のない編集などが挙げられます。内部演習では、制御された編集動作を実演する必要があります。具体的には、レコードの選択、値の修正、監査証跡の表示、変更理由の表示、必要に応じてレビューまたは承認の表示、そして修正されたレコードを後で取得する方法を示します。

7) 時間、タイムスタンプ、クロックの整合性

タイムスタンプの整合性はしばしば過小評価されます。検査官は、システム時間の管理方法、時刻同期の有無、タイムゾーンの処理方法、そして時刻のずれが発生した場合の対応について質問することがあります。また、システム間の連携が関係する場合は、システム間でタイムスタンプを比較することもあります。

防御可能な態勢には、定義されたタイムソース、明確なタイムゾーン表示ルール、そしてレコードのライフサイクル、エクスポート、監査証跡全体を通してタイムスタンプの動作が一貫しているという証拠が含まれます。タイムスタンプが分かりにくかったり一貫性がなかったりすると、レコードの再構築は物語的なものになり、物語は証拠にはなりません。

8) 記録の保存、検索、エクスポート

検査官は、記録を迅速かつ完全に取得できるかどうかをしばしば検証します。「後で取得できます」という回答は説得力に欠けます。組織が迅速な対応を求められる場合（状況によっては24時間以内の記録回答が求められることもあります）、取得能力は実用的な管理手段となります。

保存期間は明確に定義し、遵守させる必要があります。検索時には、誰が、何を、いつ、承認、監査証跡履歴、および関連する記録といったコンテキストを保持する必要があります。アーカイブおよび保存に関する要件は、記録の保存／アーカイブの項で頻繁に議論されています。エクスポートによって意味が失われてはなりません。監査履歴が失われたCSVファイルは、公式記録とは同等ではありません。

9) 検証証拠：「適切」とはどのようなものか

検査官がすべてのテストスクリプトを要求することは稀です。彼らが求めるのは、意図された使用目的、リスクベースの範囲、制御サーフェスが機能する証拠、検証済みの状態を維持する変更管理など、一貫性のある検証根拠です。最も優れたプログラムは、CSVの原則とGAMP 5などのガイダンスに準拠した簡潔な証拠パッケージを示すことができます。

Part 11では、検証の証拠として、アクセス制御、監査証跡の動作、電子署名の動作、保持、手続きガバナンスといった制御面が重視されます。検証にはネガティブテスト（禁止されたアクションの試行）を含める必要があります。ネガティブテストは、予防措置の最も強力な証拠となるためです。

10) 手順管理検査官は依然として

パート11は技術的な内容だけではありません。検査官は、手続きが技術的管理策を裏付けているかどうかを定期的に評価します。一般的な手続き上の期待事項としては、アクセス権限設定プロセス、定期的なアクセスレビュー、トレーニング／コンピテンシーの文書化、インシデント対応、必要に応じて監査証跡のレビュー、変更管理ガバナンスなどが挙げられます。

繰り返し発生する弱点の一つに特権アクセスがあります。管理者がガバナンスなしに構成の変更、ユーザーの作成、重要な設定の変更を行える場合、技術的制御の信頼性は失われます。特権ロールを誰が保有できるか、いつ使用できるか、使用状況の確認方法、例外の文書化方法などを明確に定義した手順が必要です。

11) インターフェースと統合:境界障害モード

統合は、検査においてしばしばギャップが見つかる領域です。なぜなら、「誰が何をしたか」が分散化してしまうからです。ID、ステータス、タイムスタンプが複数のシステムにまたがると、監査証跡が断片化してしまう可能性があります。検査官は、特定のデータ要素の記録システムがどのシステムなのか、またシステム間で不一致が生じた場合にどのように照合処理が行われるのかを尋ねることがあります。

防御可能な統合パターンには、各データ要素の明確な所有権、定義されたインターフェース契約、エラー処理、および調整メカニズムが含まれます。マスターデータの整合性が基盤となる場合は、マスターデータの同期を参照してください。

12) 検査ドリル：社内で実行できる10のテスト

Part 11への準備状況を把握する最も早い方法は、検査官の行動をシミュレートした訓練を実施することです。各訓練は迅速に実行可能で、得られた証拠は、物語的な再構成なしに独立して提示できるものでなければなりません。

13) 実装ロードマップ

Part 11への対応態勢の改善は、技術の追加だけで済むことはほとんどありません。多くの場合、制御面を強化し、証拠の取得を容易にすることが目的です。以下のロードマップは、不要なオーバーヘッドを発生させることなく、迅速に防御力を向上させることを目的としています。

最後に

Part 11への対応は、日常的な運用体制です。検査官は、電子記録が記述的な再構成なしに信頼できるか、署名が意味を持ち、かつ拘束力があるか、監査証跡が完全かつ安全か、そしてアクセスと変更が適切に管理されているかを質問することで、これを検証します。これらの管理策を迅速に実証できる組織は、検査期間が短縮され、対象範囲が狭まり、調査が迅速化される傾向があります。

関連する定義については、本稿全体にリンクされている用語集ページ（21 CFR Part 11、監査証跡、電子署名、ユーザーアクセス管理、データ整合性、CSVなど）を参照してください。これらの参照は任意です。本稿で説明する運用モデルは、意図的にベンダーに依存しないように設計されています。