2025年7月、規制の重心が「バリデーション」から動いた
EU GMPのAnnex 11（コンピュータ化システム）は、現行版が2011年1月改訂のもので、EudraLex Volume 4 に収載されています。分量は約5ページ、内容の中心はバリデーションでした。この15年間、日本を含む多くの国のGxP MESプロジェクトは、この構成を前提に「バリデーション文書をどれだけ作るか」を最大の論点として進んできました。
その前提が変わります。2025年7月7日、欧州委員会はAnnex 11の改訂案、新設Annex 22（人工知能）、Chapter 4（文書化）改訂案をパブリックコメント用に公開しました（意見提出期限は2025年10月7日）。
分量が4倍になったこと自体より、何に紙幅が割かれたかが重要です。ECA Academyの整理によれば、改訂案は医薬品品質システム、リスクマネジメント、要員教育、サプライヤ管理、データ処理、電子署名、アーカイブを網羅し、重点は「セキュリティ」「アイデンティティ／アクセス管理」「監査証跡」に置かれています。
これは実務的には次の意味を持ちます。従来は「バリデーション文書を積めば通った」領域が、「システムが日々どう統制されているか」を問われる領域に移った。監査証跡は、その統制を証明する唯一の技術的手段です。だからこそ、規制産業のMES選定で最初に見られる機能なのです。
なお同じ時期、FDAは逆方向に動いています。2025年9月24日にFederal Registerで公示されたComputer Software Assurance（CSA）最終ガイダンスは、リスクベースのアプローチと非スクリプトテストを公式に認めました。この非対称についてはFDAは緩め、EUは締めるで詳しく扱っています。
監査証跡が技術的に満たすべきこと
米国側の要求は明確です。21 CFR Part 11 の §11.10(e) は、電子記録を作成・変更・削除したオペレータの操作について、「secure, computer-generated, time-stamped audit trails（安全で、コンピュータが生成し、タイムスタンプの付いた監査証跡）」を求め、変更が従前の情報を隠さないこと、記録本体と同じ期間保持され、FDAのレビューとコピーに供せることを規定しています。
この条文を実装要件に落とすと、監査証跡の1レコードが持つべき項目は次の7つになります。
| 項目 | 内容 | よくある不備 |
|---|---|---|
| Who | 実行した個人の一意な識別子 | 共有アカウント、サービスアカウント経由の更新 |
| What | 対象レコードの識別子と項目名 | テーブル名しか残らず業務的な意味が分からない |
| When | 変更時刻（タイムゾーンを含む） | サーバのローカル時刻のみ。夏時間で順序が壊れる |
| 旧値 → 新値 | 変更前後の値の両方 | 新値のみ保存し、前の値が復元できない |
| Why | 変更理由 | 自由文で「修正」とだけ入力される |
| 操作種別 | 作成／変更／削除／署名／無効化 | 論理削除が「変更」として記録され追えない |
| 不変性の担保 | 事後変更・削除ができないこと | 管理者権限でDBから直接編集できてしまう |
「When」については補足が必要です。複数拠点のMESでは、UTCで保存し、表示時にサイトのタイムゾーンへ変換するのが唯一安全な設計です。ローカル時刻で保存すると、夏時間の切り替え日に1時間の重複または欠落が生じ、証跡の時系列が壊れます。これは理論上の話ではなく、実際に監査で指摘される不備です。
なお、FDAが2003年9月に発行した「Part 11, Electronic Records; Electronic Signatures — Scope and Application」ガイダンスは、監査証跡についてリスク評価にもとづく判断を推奨し、一定の範囲で執行裁量（enforcement discretion）を示しています。ただし同ガイダンスは、根拠規則（predicate rule）が日時と事象の順序の記録を要求している場合には、それに従う必要があることを明示しています。「Part 11のガイダンスがあるから監査証跡は不要」という読み方は成立しません。
設計で決めること
1. 何を監査証跡の対象にするか
これが最大の設計判断です。よくある2つの極端は、どちらも失敗します。
- 全テーブル・全項目を対象にする：データ量が業務データの数倍になり、性能が劣化し、そして何よりレビューが不可能になります。年間数百万件の証跡は誰も見ません
- 重要な画面だけ対象にする：画面を経由しない更新（バッチ処理、API、インタフェース連携）が漏れます
正しい出発点は、GxPインパクト評価にもとづくデータ項目の分類です。製品品質・患者安全・データインテグリティに影響する項目を特定し、その項目を持つエンティティに対して、経路を問わず（画面・API・バッチのいずれからでも）証跡が残る実装にします。経路ではなくデータで決めるのが原則です。
2. 理由コードを構造化する
「Why」を自由文で入力させると、9割が「入力ミス」「修正」で埋まり、傾向分析ができなくなります。理由コードのマスタを持ち、コード＋補足コメントの2フィールドにするのが実務解です。コード体系は10〜20個程度に抑え、「入力誤り」「機器からの取り込み失敗」「上長指示による訂正」「規格変更の遡及適用」のように、後で件数を数える意味があるものにします。
3. 監査証跡レビューの方式を決める
改訂案が監査証跡を重視するということは、証跡を作るだけでなく、定期的にレビューする運用まで求められるということです。ここを設計に含めていないプロジェクトが非常に多く見られます。
レビュー方式は3つあります。
- 全件レビュー：バッチリリース前に当該ロットの証跡を全件確認。件数が少ない工程でのみ現実的
- 例外レビュー：あらかじめ定義した「レビュー対象イベント」（規格値の手修正、承認済み記録の変更、権限昇格など）だけを抽出して確認
- サンプリング＋トレンド：定期的に抽出レビューし、理由コードの件数トレンドを監視
規制当局が期待する水準に対して現実的なのは 2 を主、3 を従とする設計です。そしてこの「レビュー対象イベント」の定義は、MESの機能として実装しておく必要があります。SQLを書ける人が四半期に一度抽出する運用は、監査で必ず脆弱性を突かれます。
4. 保持期間・アーカイブ・可読性
監査証跡は記録本体と同じ期間保持する必要があります。医薬品では製品によって10年以上になり、MESのオンラインDBに置き続けると性能が持ちません。したがってアーカイブ設計が必須ですが、ここに落とし穴があります。
アーカイブしたデータを、10年後に「人が読める形」で取り出せるか。MESのバージョンが3世代進み、テーブル構造が変わったあとで、当時の証跡をどう表示するのか。実務的な解は、アーカイブ時点で業務的な意味を保持した形式（人が読めるレポートまたは自己記述的なデータ形式）に変換して保管することです。DBのダンプをテープに置くだけの設計は、監査対応として機能しません。
よくある実装の失敗
失敗1：管理者アカウントが監査証跡を編集できる。 これは設計の欠陥として最も重い部類です。データベース管理者権限で証跡テーブルを更新できる状態は、証跡全体の信頼性を否定します。証跡テーブルへの直接アクセスを制限し、権限を持つ操作自体を別系統でログする必要があります。
失敗2：インタフェース経由の更新に証跡がない。 ERPから製造指図が更新される、測定器から値が自動取り込みされる。こうした経路の証跡が抜けているケースは非常に多い。自動更新も「システムアカウントによる操作」として証跡を残すのが正解です。
失敗3：削除を物理削除で実装した。 記録の削除が可能な設計そのものを見直す必要があります。GxP環境では物理削除は原則として実装せず、無効化（void）と理由記録で扱います。
失敗4：証跡は残っているがレビューされていない。 監査で「証跡はありますね。では過去1年のレビュー記録を見せてください」と言われて出せない。これは技術ではなく運用設計の不備ですが、指摘としては同じ重さで扱われます。
失敗5：MESの証跡と周辺システムの証跡が突合できない。 MES、LIMS、DMS、ERPがそれぞれ独立した証跡を持ち、時刻同期もされていない。全システムをNTPで同一時刻源に同期させ、UTCで記録することは最低条件です。データインテグリティ全般の考え方はデータインテグリティ（ALCOA+）で扱います。
製品による実装差と、デモで確認すべきこと
監査証跡は「機能があるか」ではなく「どう実装されているか」で差が出ます。規制産業向けに実績のある製品（PAS-X MES、MasterControl Manufacturing Excellence、Opcenter Execution Pharma、DELMIA Apriso、Solumina など）は、いずれも監査証跡を持ちますが、次の点は製品ごとに大きく異なります。
- 証跡の対象範囲を設定で変更できるか（項目単位で対象/対象外を選べるか、コードの改修が必要か）
- 業務単位に束ねられているか（1つの承認操作が1レコードか、10レコードに分解されるか）
- レビュー用の検索・抽出UIが標準であるか（「承認後に変更された記録」を1クリックで出せるか）
- 理由コードのマスタを持てるか
- アーカイブと復元の手順が製品として定義されているか
デモで確認すべき具体的な依頼は1つで足ります。「承認済みのバッチレコードの測定値を1つ修正し、その操作の監査証跡を、レビュー担当者が使う画面で表示します。」この1連の操作で、上の5点はほぼすべて可視化されます。カタログで「Part 11対応」と書かれていることは、この操作ができることを意味しません。
よくある質問
監査証跡はどれくらいのデータ量になりますか？
工程と対象項目の設計次第ですが、対象を絞った設計で業務データの1〜3倍、無選別に取ると10倍を超えることも珍しくありません。設計時には、想定日次トランザクション数×対象項目数から年間レコード数を試算し、5年・10年後のテーブルサイズとレビュー時の検索応答時間を見積もってください。この試算をしていないと、稼働2年目に性能問題として顕在化します。MESのデータ量設計はMESが持つべきデータと、持つべきでないデータでも扱っています。
非規制産業でも監査証跡は必要ですか？
規制要求としては不要ですが、実務価値は十分にあります。品質問題の原因調査で「いつ誰がこの規格値を変えたのか」が追えるかどうかは、調査工数を桁で変えます。ただし規制産業と同じ水準（全項目・不変性の厳密な担保・定期レビュー）は過剰です。非規制産業では、マスタ変更・規格値変更・判定の手動オーバーライド・実績の事後修正の4つに絞るのが費用対効果の高い設計です。
電子署名と監査証跡は、どう違うのですか？
監査証跡は「システム内で何が起きたか」の記録で、原則としてユーザーの意識的な操作を必要としません。電子署名は「その内容に責任を負うという意思表示」であり、署名の意味の表示、識別、記録との結合が要求されます。監査証跡は電子署名の操作も記録しますが、逆に監査証跡が電子署名の代わりにはなりません。両者は別の要件です。詳しくは承認ワークフローと電子署名で扱います。
- Drafts of EU GMP Guideline Annex 11, Annex 22 and Chapter 4 released for comment（ECA Academy / GMP Compliance、2025年7月7日）
- EudraLex Volume 4 — GMP guidelines（Annex 11 Computerised Systems、2011年1月改訂）（European Commission）
- 21 CFR Part 11 — Electronic Records; Electronic Signatures（eCFR）
- Part 11, Electronic Records; Electronic Signatures — Scope and Application（FDA、2003年9月）
- Computer Software Assurance for Production and Quality System Software（Federal Register、2025年9月24日）
規制がMESに求めるもの
FDA CSA、EU GMP Annex 22、DPP。規制の改訂はそのままMESの要件になる 全68本
- 自動車製造のMES導入、Catena-Xとバッテリーパスポートが変える完成車工場の記録
- 医薬品製造のMES導入、Annex 11改訂とeBRが変えるバリデーションの前提
- 医療機器製造のMES導入、eDHRとUDIを軸にEU MDR改正とFDA CSAを読む
- QMSとは？「仕組み」と「ソフトウェア」の2つの意味を持つ言葉
