COTS（Commercial Off the Shelf）の扱い方

「Configurableか」ではなく「どう構成設定したか」

COTSとは、市販の既製ソフトウェアを指す。ExcelやWordのような汎用ソフトから、LIMSやEDMSといった業務パッケージまでが該当する。よくある誤解は二つある。

1. 「市販品であり多数のユーザーが使っているのだから検証は不要である」ーーEU GMP Annex 11のPrincipleは「アプリケーションはバリデートされるべき」と明記し、21 CFR 11.10(a)も、予測規則で要求される記録を電子形態で扱う閉鎖系システムにバリデーションを求めている。
2. もう一つは「パッケージ製品はすべてGAMP 5のカテゴリ4であり、重い検証が必要である」というもの。

いずれも極端であり、過剰なバリデーションと不足したバリデーションの双方を招く。

GAMP 5第2版は、ソフトウェアを・カテゴリ1（インフラストラクチャ・ソフトウェア）・カテゴリ3（構成設定しない製品）・カテゴリ4（構成設定した製品）・カテゴリ5（カスタムアプリケーション）に分類する（カテゴリ2は廃止）。この分類は製品名や製品タイプで一義的に決まるものではなく、その製品を自社でどのように実装したかーー構成設定・カスタマイズの有無と程度——に基づく。Configurable（構成設定可能）な製品であっても、既定の構成設定や実行時パラメータの範囲にとどめて使うのであれば、カテゴリ3として扱う余地がある（ただしカテゴリ3でも、意図した用途に対する検証とリスクに応じた供給者評価は必要である）。

すなわち出発点の問いは「Configurableかどうか」ではなく「実際にどのような構成設定を行ったか」である。ここの混同が、現場の混乱の大半を占めている。もっとも、第2版はカテゴリ3〜5を明確な境界のない連続体とし、カテゴリはリスクベース判断における一因子にすぎないとしている。設定の性質と複雑さ、システムのGxPインパクト、新規性が、実際の検証範囲を決める。

もう一つの軸が用途である。同じExcelでも、教育訓練の受講記録を集計するだけであれば、品質試験データに比べてリスクは相対的に低い。一方、品質試験の生データを規格判定に用いるのであれば、アクセス制限（21 CFR 11.10(d)、Annex 11第12.1項の明確な要求）、リスク評価に基づく監査証跡（Annex 11第9項。

11.10(e)についてFDAは2003年ガイダンスで執行裁量を示している）、そしてALCOA+の確保が問われるハイリスク用途となる。なおスプレッドシートは、Excel本体ではなくその上に作り込んだ表計算アプリケーションとして評価する。標準関数の単純計算で検算できるものはカテゴリ3〜4相当だが、マクロ（VBA）等のカスタムコードを含めばカテゴリ5相当として扱われるのが一般的である。

現場での感覚も参考になる。造粒機や打錠機の組込制御ソフトは、業務プロセスに合わせた構成設定の余地が比較的小さい場合がある。ただし機種によってはアラーム限界値、ユーザー権限、バッチレポート、上位システムとのインターフェースが構成設定可能であり、PLCにカスタムロジックがあればカテゴリ5相当の要素も含む。

一方LIMSやEDMSは、ワークフロー・権限設定・承認ルート・規格値マスタの構成設定を伴うのが通例であり、その妥当性確認そのものが検証の中心となる。コンピュータ化システムは通常、異なるカテゴリの構成要素の組み合わせから成る。全体を単一カテゴリに割り当てず、構成要素ごとに評価する姿勢が求められる。

実務上求められるのは、この判断過程を文書として残すことである。1.想定用途とGxPインパクト2.構成設定の性質と内容3.供給者の品質体系の評価結果（Annex 11第4.5項）を記録し、そこから導かれる検証範囲を説明できる状態にしておく。Annex 11第4.1項が求めているのはGAMPのカテゴリ番号ではなく、リスク評価に基づく検証範囲そのものの正当化である。

カテゴリはその説明を組み立てるための業界標準のツールにすぎない。意味を持つのは番号ではなく、その番号を選んだ論理である。

出典 1. ISPE GAMP 5（Second Edition, 2022）Appendix M4。有償・著作権保護資料であり、カテゴリの正式名称・定義およびスプレッドシートの扱いは原典で確認のこと。「カテゴリ3〜5は連続体」「カテゴリはリスクベースアプローチの一因子」はISPEの公開解説による。

2. 21 CFR Part 11（11.1(b)、11.10(a)(d)(e)、11.30。11.10は閉鎖系システムを名宛人とする）／FDA “Part 11 — Scope and Application”（2003年）／EudraLex Vol.4 Annex 11（2011年版。Principle、4.1、4.5、9、12.1）／同 Part I Chapter 2（2.11）。

Annex 11は2025年7月7日に改訂ドラフトが公開されたが、2026年8月時点で適用されているのは2011年1月版である。3. 国内GMPにおける直接の根拠は、コンピュータ化システム適正管理ガイドライン（平成22年10月21日 薬食監麻発1021第11号）。ER/ES指針（平成17年4月1日 薬食発第0401022号）の適用範囲は申請等の資料及び保存義務資料である。

4. ALCOA+（帰属性・判読性・同時性・原本性・正確性＋完全性・一貫性・永続性・利用可能性）はMHRA Rev.1（2018年）、WHO TRS 1033 Annex 4（2021年）、PIC/S PI 041-1（2021年）等で共通して用いられる原則。／確認日：2026年8月3日

この分野の解説動画