電子署名は3つの部品でできている
「うちのMESは電子署名に対応しています」という説明は、それだけでは何も意味しません。電子署名の要件は、次の3つの独立した部品に分解できるからです。製品によって、3つのうち1つか2つしか実装されていないことがあります。
① 署名の意味（signature manifestation）
署名が「作成」なのか「レビュー」なのか「承認」なのかが、署名の表示に含まれていること。21 CFR Part 11 の §11.50 は、電子署名を含む記録の表示に、署名者の氏名、署名の日時、そして署名に紐づく意味（review、approval、responsibility、authorship など）を含めることを求めています。「承認しました」というログだけでは足りず、記録を印刷・表示したときにその3つが見えなければなりません。
② 本人の識別（identification components）
§11.200 は、バイオメトリクスによらない電子署名について、2つ以上の識別要素（一般にはIDとパスワード）を使うことを求めます。ここに、実装で見落とされやすい重要な規定があります。
同一の連続したシステムアクセス期間中に一連の署名を行う場合、最初の署名は全要素を使って実行し、以降の署名は、本人だけが実行可能な少なくとも1つの要素を使って実行する。連続アクセス期間中でない署名は、毎回全要素を使う。
つまり「1画面で20件の検査結果を承認するのに、20回ID＋パスワードを入力させる」実装は要求水準を超えており、現場の反発を招くだけです。逆に「一度ログインしたら以降ボタン1つ」は要件を満たしません。連続セッションの定義と、2回目以降に何を求めるかを設計で決める必要があります。
③ 記録との結合（signature/record linking）
§11.70 は、電子署名と手書き署名が、それぞれの電子記録に結合され、通常の手段では切り離し・複製・転写できないことを求めます。実装上は、署名レコードを独立したテーブルに置くだけでは不十分で、対象レコードの内容のハッシュや版番号を署名時点で取り込み、後から対象が変わったら署名が無効になる（あるいは検出できる）構造にしておく必要があります。
EUと米国で要求の形が違う
日本のプロジェクトでは「Part 11対応」だけが議論されがちですが、EU向けの製造所を持つ場合は Annex 11 も同時に見る必要があります。両者は矛盾しませんが、要求の書き方が違います。
| 観点 | 21 CFR Part 11（米国） | EU GMP Annex 11 |
|---|---|---|
| 位置づけ | 独立した規則（21 CFR Part 11）。条文レベルで要件を規定 | GMPガイドラインの付属書。原則を示し、詳細はリスクベースで判断 |
| 署名の記述 | §11.50（意味の表示）、§11.70（結合）、§11.100〜11.300（識別・管理）と細かく分かれる | 電子署名の項で、記録への恒久的な結合と日時の記録を要求 |
| ID・アクセス管理 | §11.10(d)（システムアクセスの限定）、§11.300（IDとパスワードの管理） | 2025年7月7日公開の改訂案で大幅に拡充。5→19ページ、17章となり、セキュリティとID／アクセス管理が重点の1つに |
| 現行版の時期 | 1997年制定。2003年9月に適用範囲のガイダンス発行 | 現行版は2011年1月改訂。改訂案は2025年7月7日公開、意見提出期限2025年10月7日 |
実装上の含意は明快です。Part 11は「署名の作り方」を細かく規定し、Annex 11改訂案は「誰がその署名を行える状態にあるか（権限とアクセス管理）」を強く問う。両方を満たすには、署名機能だけでなく、ロール設計・権限付与の承認履歴・アカウントのライフサイクル管理まで含めて設計する必要があります。詳細は21 CFR Part 11 とMESの電子記録・電子署名でも扱います。
承認ワークフローの設計判断
1. 直列か並列か、そして「並列の完了条件」
承認者が複数いる場合、直列（順番に回す）と並列（同時に依頼する）で運用の速度がまったく違います。品質・製造・保全の3部門承認が必要な逸脱処理を直列にすると、平均リードタイムは各部門の待ち時間の和になります。並列にすれば最大値で済みます。
並列を採用するなら、完了条件を明示的に決める必要があります。全員必須（AND）なのか、いずれか1名（OR）なのか、N名中M名（定足数）なのか。これを製品が表現できるかは、選定時に確認すべき項目です。多くのMESのワークフローは直列前提で作られており、並列は「同一ステップに複数の承認者を割り当てる」形でしか表現できないことがあります。
2. 職務分離（SoD）をどこで担保するか
「作成者と承認者は別人であること」は、ほぼすべての品質システムが要求します。しかし実装では次の3つのレベルがあります。
- ロールで担保：作成ロールと承認ロールを別に定義し、両方を1人に付与しないよう運用で管理する
- インスタンスで担保：システムが「この記録の作成者と同一人物は承認できない」と実行時に判定する
- 無担保：画面上は可能で、監査証跡を見れば分かる
規制環境で求められるのはインスタンスで担保です。中小規模の工場では夜勤帯に1人しかいないという現実があるため、SoDを厳格にすると業務が止まります。この場合は「代替承認者の事前指定」と「事後レビュー」を組み合わせた設計にし、その設計自体をSOPとして文書化しておきます。運用でカバーすること自体は問題ではなく、文書化されていないことが問題です。
3. 代理署名と権限委譲
休暇・出張時の代理承認は必ず必要になります。設計で決めるべきは次の3点です。
- 代理を事前に登録するのか、その場で委譲するのか（規制環境では事前登録が原則）
- 代理者の署名に「代理である」ことが記録に残るか（本人の代わりに本人IDで署名するのは論外）
- 委譲の有効期間が設定でき、期間終了で自動的に切れるか
「本人がパスワードを教えて代わりに押してもらう」という運用は、規制産業では即座に重大指摘になります。そしてこれは規制のためだけでなく、責任の所在を守るために本人のためでもあります。
4. オフライン時とタイムアウト
現場端末がネットワークから切れているとき、署名は成立しません。署名は必ずサーバ側で検証・記録される必要があるため、オフラインでのキューイングは原則として不可です。オフライン運用を許容するなら、「署名を要する操作は行えない」という設計にし、代わりにデータ入力だけをキューイングします。
セッションのタイムアウトも設計項目です。§11.10(d) が求めるシステムアクセスの限定を満たすため、無操作時のタイムアウトは必須ですが、短すぎると作業中にログアウトされて記録が失われます。実務的には、入力中の内容を保持したままロックし、パスワード再入力で復帰する設計が現場の受容性が高い方法です。
よくある実装の失敗
失敗1：承認後に対象データが変更できる。 前述の結合が実装されていないと起きます。承認済み記録の変更を許すなら、署名の自動失効と再承認をセットで実装します。
失敗2：ワークフローだけを外部のBPMツールに切り出した。 承認状態がMESの外にあると、「承認されるまで次工程に進ませない」という実行時の制御ができなくなります。承認の状態はMES側に持ち、通知や画面はどこに置いても構いません。
失敗3：逸脱時のバイパス経路が設計されていない。 緊急出荷などで通常フローを飛ばす必要が生じたとき、設計されたバイパスがないと、現場は「システム外で承認して後から入力する」という最悪の運用を発明します。バイパス自体を、より上位の承認と理由記録を伴う正規の経路として実装するのが正解です。不適合処理との関係は不適合管理とCAPAで扱います。
失敗4：承認対象の粒度が細かすぎる。 1つのバッチレコードに30箇所の署名欄がある設計は、現場が形骸化した押印作業に慣れてしまう原因になります。署名は「責任の単位」で置き、それ以外は記録（監査証跡）で担保するのが正しい配分です。監査証跡の設計は監査証跡で詳しく扱っています。
製品による実装差
規制産業向けの実績がある製品（PAS-X MES、MasterControl Manufacturing Excellence、Opcenter Execution Pharma、DELMIA Apriso、Solumina など）は、Part 11 の3要素を標準で備えています。差が出るのは次の点です。
- 連続セッション署名の扱い：2回目以降の要求を設定で変更できるか（毎回全要素／1要素／設定不可）
- 並列承認と定足数：AND/OR/N of M を設定で表現できるか
- SoDの実行時判定：同一人物の作成・承認をシステムが拒否できるか
- 署名の失効：対象レコードの変更時に署名が自動失効するか、警告だけか
- オフライン時の挙動：署名操作を明示的に禁止するか、キューイングしてしまうか
汎用MESに規制産業のワークフローを載せる場合、上の5点のうち複数がカスタム開発になることが多く、その分バリデーション範囲も増えます。製品選定の段階で、この5点を機能一覧ではなくデモで確認することが、後工程の工数を大きく左右します。
よくある質問
電子署名にICカードや生体認証を使ってもよいですか？
使えます。§11.200 はバイオメトリクスによる電子署名を、当人以外が使用できないことを保証する設計であれば認めています。ICカードのみの運用は「持っているもの」1要素だけになるため、通常はカード＋PINの2要素にします。現場では手袋の上から操作できるICカードの利便性が高く、パスワード入力より運用が安定する傾向があります。ただしカードの貸し借りは共有アカウントと同じ問題を生むため、カード貸与の管理規程が別途必要です。
承認ワークフローの実装は、MESの標準機能とカスタム開発のどちらが安全ですか？
規制産業では標準機能を強く推奨します。理由はバリデーションの範囲です。製品標準の署名機能はベンダー側の検証成果物を利用できますが、カスタム実装は自社で全面的に検証責任を負います。フローの分岐条件やタイミングが標準で表現しきれない場合でも、まず業務側をどこまで標準に寄せられるかを検討します。ワークフローのカスタマイズは、バージョンアップのたびに再検証を要する負債として積み上がります。
承認済み文書の配布と、MES上の承認は別物ですか？
別物です。文書管理システム（DMS）で承認された作業標準書が、MESの現場端末で有効化されるまでには、通常もう1段の「発効（effective）」という状態があります。承認即発効にすると、深夜に承認された改訂が翌朝のシフトに突然現れて現場が混乱します。承認と発効を分離し、発効日時を指定できる設計にするのが実務的です。詳しくは仕様・文書管理で扱います。
- 21 CFR Part 11 — Electronic Records; Electronic Signatures（eCFR）
- Part 11, Electronic Records; Electronic Signatures — Scope and Application（FDA、2003年9月）
- Drafts of EU GMP Guideline Annex 11, Annex 22 and Chapter 4 released for comment（ECA Academy / GMP Compliance、2025年7月7日）
- EudraLex Volume 4 — GMP guidelines（European Commission）
規制がMESに求めるもの
FDA CSA、EU GMP Annex 22、DPP。規制の改訂はそのままMESの要件になる 全68本
- 自動車製造のMES導入、Catena-Xとバッテリーパスポートが変える完成車工場の記録
- 医薬品製造のMES導入、Annex 11改訂とeBRが変えるバリデーションの前提
- 医療機器製造のMES導入、eDHRとUDIを軸にEU MDR改正とFDA CSAを読む
- QMSとは？「仕組み」と「ソフトウェア」の2つの意味を持つ言葉
