知っておくべき3つの基本用語

CSV（コンピュータ化システムバリデーション）やデータインテグリティの世界に足を踏み入れると、多くの人がまず「言葉の壁」にぶつかる。カタカナ用語が飛び交い、似た言葉が別の意味で使われるからである。しかし安心してほしい。

最初に押さえるべき用語は、実はごく少ない。今回は、すべての土台となる「バリデーション」「アシュアランス」「リスク」の3語を、その歴史的な成り立ちとともに整理する。

1バリデーション＝「正しく動くこと」の証明

バリデーション（Validation）とは、システムや設備が「あらかじめ定めた要求事項や意図した用途を満たす結果を、一貫して得られること」を、客観的な証拠によって確立し、文書化する活動である。頭の中で「たぶん大丈夫」と思うだけでは足りない。要求仕様を定め、その仕様どおりに動くことをテストし、記録として残す。

この一連の流れがバリデーションである。ポイントは「証明」という言葉にある。ただし、それは導入時に一度テストして終わり、というものではない。

運用のなかで妥当な状態を保ち、変更があれば影響を評価し、必要に応じて再確認するーーこうしたライフサイクル全体を通じた維持まで含めて、初めて「正しく動くことが証明されている」と言えるのである。だからこそバリデーションでは、対象が意図した用途や要求事項を満たしていることを客観的な証拠によって示し、その状態が適切に維持されていることを、後から第三者（監査員や査察官）にも説明できるようにする必要がある。

2アシュアランス＝「保証」

アシュアランス（Assurance）は「保証」と訳される。バリデーションが「正しく動くことを証明する活動」だとすれば、アシュアランスは「対象が意図した用途に適合し、信頼できることについて、十分な確信を得る」ことを指す、より広い概念である。テストという一つの活動だけでなく、要求事項・設計・リスク評価・供給者活動・運用・変更管理から得られる証拠を総合して確信を形成しようという考え方だ。

近年この言葉が重視されているのには理由がある。CSVの実務では、テストや文書作成が目的化しがちだという課題が指摘されてきた。そこで、文書の量ではなく、意図した用途とリスクに応じた保証活動によってソフトウェアへの信頼を確立するという発想を明確にするために、Assurance（保証）という語が前面に出てきたのである（詳しくは後述する）。

3リスク＝「危害の発生可能性と重大性の組合せ」

リスク（Risk）とは、正式には「危害が発生する確率と、その危害の重大性との組合せ」を指す（ICH Q9(R1)）。つまり、危害がどの程度発生し得るかと、発生した場合の影響がどれほど重大かを組み合わせて捉える考え方である。本稿では初学者向けに、まず「もし故障したら、製品品質・患者安全・記録の完全性にどれだけ影響するか」という重大性の側面に着目して説明するが、実務では危害の発生可能性と重大性を基本としてリスクを評価する点を押さえておきたい。

すべてのシステムを同じ労力で検証するのは現実的でない。だからこそ、リスクの大きいものには手厚く、小さいものには軽く、というメリハリをつける。その判断の物差しがリスクである。したがって、リスクは「壊れやすさ」だけでも「壊れたときの影響の大きさ」だけでも決まらない、という点に注意したい。

3語の関係を一言で

リスクに基づいて「どこに、どの程度の力を注ぐか」を決め、バリデーションを含む適切な保証活動によって、対象が意図した用途に適合するという確信、すなわちアシュアランス（保証）を形成する。3語は独立した用語ではなく、相互に関連し合っているのである。

用語／ひとことで言うと／問いかけるとバリデーション／正しく動くことを証明し、維持する／「仕様どおり動き、その状態が保たれていると言えるか？」アシュアランス／保証（信頼できるという確信）／「これからも信頼し続けられるか？」リスク／危害の発生可能性と重大性の組合せ／「どの程度起こり得て、起きた場合の影響はどれほど重大か？」

筆者のワンポイント ー 40年、現役の現場から

これらの用語は、それぞれ異なる背景を持ちながら、医薬品・医療機器の品質保証の発展とともに重要性を増してきた。40年にわたって現役のコンサルタントとして現場に立ち会ってきた経験から言えるのは「用語は暗記するものではなく、なぜその概念が必要とされるのかという背景とセットで理解するもの」ということである。経緯を知れば、用語同士がバラバラの点ではなく、一本の線として体系的につながって見えてくる。そうなれば、初めて出会う用語であっても「これは要するにバリデーション系の話だな」「これはリスクの物差しの話だな」と、自分の頭で位置づけられるようになる。

CSVからCSAへ

この3語の関係を理解するうえで、近年の動向を分かりやすく示す例の一つが、CSV運用の見直しとCSAの登場である。ひとことで言えば、次のように捉えると腑に落ちる。

形骸化したCSV運用＝「書類をそろえることが目的になりやすい」
　　　　　　↓
CSAの考え方＝「意図した用途とリスクを考え、必要十分な証拠に集中する」

注意したいのは、CSV（Computer System Validation）という手法そのものが「書類づくりを目的とするもの」だという意味ではない、という点である。問題は、運用が形骸化した結果、手順書とテスト記録という「書類」をそろえること自体が目的化し、リスクの高低にかかわらず一律に大量の文書をつくってしまう場面が生まれたことにあった。これに対してCSA（Computer Software Assurance）は、「まず意図した用途とリスクを考える。

影響の大きいところに保証活動を集中し、小さいところは合理的に軽く済ませる」という発想である。つまり、書類の量で証明するのではなく、どこが重要かを考え抜いたうえで、リスクに見合った証拠へ集中する。FDAは、CSVの正式な改称としてではなく、Assurance（保証）とリスクベースの考え方を強調する概念としてCSAを打ち出した。

今回の3語のうち「リスク」と「アシュアランス」が近年ことさら強調されるのは、この転換を反映しているからにほかならない。なお、CSAでも意図した用途・リスク分析・実施者や実施日・問題への対応・受入れ結論といった適切な記録は当然に必要であり「文書を減らす方法」ではなく「価値の低い作業を抑え、リスクに見合った証拠に力を注ぐ方法」と理解するのが正確である。この考え方は、いまや正式な規制の潮流でもある。

米国FDAは、医療機器の製造及び品質マネジメントシステムで使用されるソフトウェアを対象に、2025年9月にCSA最終ガイダンスを発出した。その後、新しい品質マネジメントシステム規則（QMSR）への整合などを反映した改訂版「Computer Software Assurance for Production and Quality Management System Software」が2026年2月3日に発出され、2025年版を置き換えている。このガイダンスは、ソフトウェアの意図した用途とリスク（製品品質・患者安全・記録の完全性への影響）に基づき、必要十分な保証活動を選択して信頼を確立するアプローチを示すものである。

適用範囲はあくまでFDAの医療機器分野の動向であり、医薬品GMPを含むCSV全般に一律に及ぶ方針ではない点には留意したい。とはいえ、CSAが示す「形式的に文書を増やすのではなく、意図した用途とリスクを考え、必要な証拠に集中する」という発想は、他の規制分野における保証活動を考えるうえでも参考になる。ただし、具体的な適用に当たっては、それぞれの分野で適用される規制やガイドラインを確認する必要がある。この「書類で証明」から「考えて証明」へという視点を頭に入れておけば、これから学ぶ数多くの用語や要求事項も、迷わず位置づけられるはずである。

出典・参考：
FDA: Computer Software Assurance for Production and Quality Management System Software（最終ガイダンス、2026年2月3日／2025年9月24日版を置き換え）
ICH Q9(R1) Quality Risk Management（リスク＝危害の発生確率と重大性の組合せ）

この分野の解説動画