バリデーションの必要性の評価（リスク評価）

URSにもとづき、リスク評価を行う。リスク評価にはCompliance Assessment（規制要件調査）を含め、ユーザの要求するシステムはSafety（安全性）Efficacy（有効性）Quality（品質）に直接的または間接的に影響するかを判定しなければならない。
つまりGXPデータを扱うシステムであるか否かを判定する。
これにより、導入するコンピュータシステムが規制の範囲内に入るか否かを決定する。
またシステムの重要性、複雑性、規模の評価を行う。
特に重要性の評価の中では、システムが動作しなかった場合や、不具合が起きた場合などのリスクを評価する。
例えば、システムが1日停止した場合や不具合があった場合、災害によりシステムがクラッシュした場合などの業務に対するインパクトを評価する。この評価結果にもとづいて、CSVの程度が決定される。
筆者はリスク評価は、QAUが実施することが望ましいと考えている。