定義：ISPEが発行する「規制ではない」業界標準

GAMP 5は、国際製薬技術協会（ISPE）が発行するGxP規制下のコンピュータ化システムに関するリスクベースアプローチのガイドです。初版のGAMPガイドは1990年代に英国で生まれ、第5版（GAMP 5）が2008年に発行されました。現行版は2022年7月発行の第2版（GAMP 5 Second Edition、404ページ）です。ISPEは、初版の原則と枠組みを維持したまま、付録をブロックチェーン、AI／機械学習、クラウド、オープンソースソフトウェアに広げたと説明しています。重要なのは、GAMP 5自体は法規制ではないことです。FDAの21 CFR Part 11やEU GMP Annex 11といった規制要求を、どういう方法論で満たすかを示す「業界の共通言語」であり、当局査察でも事実上の参照枠組みとして通用します。

誤解されやすい点：「準拠」という言葉の中身

「GAMP 5準拠のMES」という表現には注意が必要です。GAMP 5はソフトウェアを次のカテゴリに分類し、カテゴリごとに検証の深さを変えます。

カテゴリ内容検証の深さ
カテゴリ1インフラソフトウェア（OS・DB等）最小
カテゴリ3設定なしで使う既製品小
カテゴリ4設定して使う既製品中〜大
カテゴリ5個別開発ソフトウェア最大

MESパッケージは通常カテゴリ4（構成設定製品）ですが、アドオンやカスタム開発部分はカテゴリ5として扱われ、検証負荷が跳ね上がります。つまり「GAMP 5準拠」はベンダーの製品性質の説明にすぎず、導入時の検証工数は自社がどれだけカスタマイズするかで決まるのです。また、GAMP 5第2版は、経験を持つ担当者がクリティカルシンキングで各場面に合う進め方を選ぶことを求めており、FDAのCSA（Computer Software Assurance）の議論にも触れています。「GAMP 5だから重厚長大な文書が必須」という理解は、すでに古くなっています。

第2版の変更点：CSA・Annex 11改訂案とどう関係するか

ISPEの説明によると、第2版で変わった点は次の4つです。

  • 担当者のクリティカルシンキング：経験のある担当者が状況に応じて進め方を選ぶことを強調しています
  • サプライヤの活用：サービスプロバイダの重要性を認め、規制対象企業がサプライヤの知見・経験・文書を最大限使うことを促しています
  • 反復・漸進型の開発：仕様化と検証の進め方は「本質的に直線的ではない」として、イテレーション型の開発を許容しています
  • ツールと自動化：ソフトウェアツールの活用を、統制と品質を高めライフサイクルのリスクを下げる手段として位置づけています

GAMP 5と並んで名前が挙がる2つの動きは、対象と立場が違います。混同しやすいので並べます。

GAMP 5 第2版FDA CSAガイダンスEU GMP Annex 11 改訂案
発行元ISPE（業界団体）FDA（CDRH・CBER）欧州委員会（EudraLex Volume 4）
性格業界ガイド。法規制ではない拘束力のない推奨（Nonbinding Recommendations）現行は2011年1月版。改訂は意見募集を経て確定待ちの案
対象GxP規制下のコンピュータ化システム全般医療機器の生産・品質マネジメントシステムのソフトウェア医薬品GMPのコンピュータ化システム
時点2022年7月2025年9月24日に公示、2026年2月3日付で同名称を改めた版が発行2025年7月7日に草案公開、意見募集は同年10月7日まで

FDAのCSAは、検証の負担を「リスクに対処するのに必要な分以上にしない」という最小負担の考え方を取り、リスクに基づくテスト、スクリプトなしテスト、開発者・サプライヤ・クラウド事業者が行った検証活動の活用を挙げています。ガイダンスの脚注は、テスト手法や検証アプローチの参考資料としてGAMP 5第2版を名指ししています。対象は医療機器であり、医薬品のMESにそのまま適用される文書ではない点に注意が必要です。製薬の現場では、同じ考え方を参考にしつつ、EU Annex 11やFDAのPart 11を根拠に検証を組み立てます。

Annex 11改訂案は、ECAアカデミーの報道によると、現行の5ページから19ページに拡大され、17章と用語集で構成されます。範囲の大きい項目の上位はセキュリティ、ID・アクセス管理、適格性評価・バリデーション、監査証跡、サプライヤ・サービス管理の順で、重心がバリデーションからセキュリティと監査証跡へ移っています。欧州委員会のEudraLexのページには、本稿の確認時点で2011年1月版が現行として載っています。改訂案がGAMP 5をどう参照するかは、確認できた資料の範囲では分かりませんでした。

実務でこの用語が出てきたら確認すべきこと

  • カテゴリの切り分け：提案構成のうちどこまでが標準機能（カテゴリ4）で、どこからがカスタム（カテゴリ5）か。バリデーション費用見積もりの根拠がここにあります
  • サプライヤ評価：GAMP 5はベンダーの品質システムを活用して検証を軽くする考え方を取ります。ベンダー側のテスト証跡を流用できるかを確認します
  • AI機能の扱い：AI検査や予測機能を使うなら、GAMP 5第2版の付録（AI／機械学習）と、2025年7月発行のISPE GAMP AIガイド（290ページ）が参照先になります

深く知る

GAMP 5に「認証」はありますか？

ありません。GAMP 5はガイドであり、ISOのような第三者認証制度は存在しません。「GAMP 5認証取得済み」という表現が出てきたら、その意味（自己宣言なのか、監査を受けたのか）を確認すべきです。

GAMP 4以前との違いは何ですか？

GAMP 5（2008年）で「一律の検証」から「リスクベースの検証」へ転換し、第2版（2022年）でクラウド・アジャイル・AIに対応しました。現在GAMP 4を参照する実務上の理由はありません。

gamp5とは何ですか？

国際製薬技術協会（ISPE）が発行する、GxP規制下のコンピュータ化システムをリスクベースで検証するための業界ガイドです。現行は2022年7月発行の第2版で、法規制ではありません。FDAの21 CFR Part 11やEU GMP Annex 11が求める内容を、どう満たすかの進め方を示します。

gamp5のカテゴリとは何ですか？MESはどれに当たりますか？

ソフトウェアを性質で分け、検証の深さを変えるための区分です。MESパッケージは通常カテゴリ4（設定して使う既製品）で、アドオンや個別開発の部分はカテゴリ5として扱います。区分は製品名ではなく、導入時の構成で決まります。

この記事のテーマ
#規制対応#医薬品
この特集について

規制がMESに求めるもの

FDA CSA、EU GMP Annex 22、DPP。規制の改訂はそのままMESの要件になる　全73本

  1. Tulipの10月6日発表を想定工場の1時間に置く──7つの新機能はどの場面に効くか
  2. ISO 9001の要求事項をMESに写像する、品質マネジメント電子化の設計図
  3. ライフサイエンス企業の54%が1年内にサイバー攻撃、Rockwellが「常時査察対応」を提言（2026年10月）
  4. DPPの欧州規格8本が出そろう、MESが書くのは識別子・データキャリア・署名の3本（2026年9月）
特集の記事をすべて見る →

この記事を書いた人

株式会社サオス

株式会社サオス MESソリューション部

DELMIA Apriso を中核とした MES / 製造DX の導入・運用・人材育成を手がけるITコンサルティング企業。ISO 9001:2015 / ISO 27001:2022 認証取得。 日本・中国・米国で製造業のMES導入を手がけた実務者が、欧米・中国の一次情報にあたって書いています。

運営者情報　編集方針　株式会社サオスのサイト