EDCを利用した治験講座　その3

EDCを利用した治験で問題が起きる場所は、システムの中ではなく人の運用にある。IDの貸し借り、権限のない者による代行入力、監査証跡を確認しないままの署名。いずれも設計では防ぎきれない。本連載の最終回である第3回では、医療機関側の運用に焦点を当て、あわせて令和6年7月1日のGCP省令Q&A（事務連絡）で整理された、クラウド保存・システム移行・リモートSDV・電磁的方法による契約といった近年の論点を確認する。第1回では規制の全体像を、第2回ではPMDAの適合性調査とEDC管理シートを扱った。

1. 医療機関側で確認されること

PMDAが公表している「EDC調査チェックリスト（医療機関用）」は、治験依頼者用に比べて構成が簡素である。医療機関側で確認されるのは、大きく「ユーザー管理」と「データの保存」の2点に集約される。

電子症例報告書の作成・修正・署名という行為そのものは医療機関側で行われるにもかかわらず、その調査項目は治験依頼者用に置かれている。これは、EDCの環境（システム、権限設定、教育訓練）を治験依頼者が用意するためであり、環境面の責任を依頼者に求める整理である。ただし、環境が整っていることと、それが適切に使われることは別である。記録の保存責任と、入力・署名の適切性に対する責任は、医療機関側にあるという原則は変わらない。

2. アカウントは個人に帰属する

2.1 「施設で1つのID」はあり得ない

過去の適合性調査では、IDとパスワードを医療機関ごとに1つと誤解した事例、資格のない者に入力を代行させていた事例、同等以上の権限を持つユーザであれば代わりに入力してよいと誤解した事例が報告されてきた。近年PMDAが公表している指摘事例でも、治験責任医師・治験分担医師・治験協力者以外の医療機関側担当者にアカウントが交付され実際に入力していた例、治験依頼者側の担当者が医療機関側のアカウントを利用してデータを入力・修正していた例が挙げられている。

この点について、令和6年7月1日の事務連絡「医薬品の臨床試験の実施の基準に関する省令の質疑応答集（Q&A）について」は、明確な回答を示している。

この問いは「治験責任医師等がID及びパスワードを失念する可能性を踏まえ、他の担当者に管理させてよいか」というものである。忘れるかもしれないから預ける、という現場の事情に対しても、回答は否である。代替入力行為はなりすましであり、電子記録の真正性を最も直接的に損なう。

2.2 IDの交付方法にも要件がある

同Q&Aは、管理権限をメールで交付することの可否についても回答している。治験依頼者の責任の下で交付することは可能であるが、交付先のメールアドレスを記録に残すこと、利用許可者以外が確認できるグループメールの利用を避けること、所属機関や公的機関が発行する本人しか確認できないメールアドレスへ交付することが求められている。それ以外の機関が発行したアドレスへ交付する場合は、本人のみが確認でき普段から使用しているアドレスであることを事前に本人へ確認し、その記録を残すこととされている。

かつて、IDとパスワードの発行時に受け手である医療機関側が趣旨を理解できていない事例が報告されていた。交付の方法まで具体化されたのは、そうした事例の蓄積の結果である。

3. 教育訓練は「操作の説明」ではない

治験依頼者による教育訓練は、スタートアップミーティング等で実施することが多い。参加できなかった治験責任医師等には、担当モニターから個別に実施することになる。ここで押さえておきたいのは、教育（education）と訓練（training）の違いである。教育は受講者全員が同一のカリキュラムで受講するもの、訓練は役割や理解度に応じて個別に指導または自習するものである。前者は教育記録でまかなえるが、後者はモニタリング報告書等に記録しておく必要がある。

教育訓練の中身として最も重要なのは、EDCの操作方法ではない。ユーザ認証、電子署名、監査証跡といった、電子記録の信頼性に直結する事項である。集合教育で扱うべき内容の骨格を以下に示す。

なお、パスワードの文字数・有効期限・変更頻度といった具体的な設定値は、所属機関や提供者のセキュリティポリシー、および参照する技術基準によって変化する。教育資料に固定値を書き込む場合は、実際のシステム設定と一致しているかを試験開始時に必ず確認されたい。実態と異なる説明資料は、それ自体が調査時の指摘対象になり得る。

4. 電子症例報告書の写しの交付と保存

GCPでは、治験責任医師が症例報告書の写しを保存することとされている。EDCを利用する場合、電子症例報告書は治験依頼者側が先に入手することになるため、依頼者が写しを作成して医療機関へ提供する運用となる。この写しは、依頼者側による事後の改ざんに対する抑止としても機能する。

媒体については、記述の更新が必要である。かつては光ディスクに書き込んで手渡す運用が一般的であり、記事によっては「CD-Rドライブを備えたパソコンとAcrobat Readerを常備すること」といった説明がなされていた。現在は、依頼者のクラウド等システムを介した提供や、医療機関の文書管理基盤への格納が広く行われている。媒体が変わっても要件は変わらない。すなわち、保存期間中いつでも、規制当局の調査や治験責任医師のレビュに応じて、人が読める形式で出力できることである。読み出しに必要な装置とソフトウェアを保存期間中維持できるか、という観点で媒体を選定すべきである。

また、原資料の複写を電磁的記録として保存する場合には、「保証付き複写」の考え方が適用される。前掲のGCP Q&A（A15）は、これを「使用媒体によらず、元の記録からの複写物で、元の記録の背景、内容及び構成を説明するデータを含め、同一の情報を有することが保証された（すなわち、日付入り署名が記入された又はバリデートされた過程により作成された）もの」と説明し、複写物の真正性・保存性・見読性についても考慮すべきとしている。元の文書を廃棄できるのは、この要件を満たす場合に限られる。カラーの紙の原資料は原則としてカラーで保存すべきであり、やむを得ず白黒で電磁的記録として保存する場合は、情報の欠落がないことを事前に確認することとされている（A16）。

5. クラウド保存、退避、システム移行

治験関連文書を電磁的記録として保存する際の留意事項は、平成25年7月1日付け厚生労働省医薬食品局審査管理課 事務連絡「治験関連文書における電磁的記録の活用に関する基本的考え方について」に示されている。その後の実務の広がりを受け、令和6年7月1日のGCP Q&Aが、クラウド等システムからの退避や、電子データ処理システムの移行について具体的な考え方を示した。

特に重要なのが、旧システムを廃棄する場合の取扱いである。Q&Aは、旧システムの全てのデータ（利用者の管理権限に関するデータ、収集対象データ、監査証跡等を含む）を漏れなく移行又は退避する方法として、次の3つを示している。

いずれの方法でも、旧システム及び新システムが有するデータの内容に関する記録、データ移行手順に関する記録、適切に移行されたことを確認した記録が必要である。EDCのリプレースやサービス終了は必ず訪れる。契約時点で、データの返還形式（監査証跡を含むか）、移行の支援範囲、費用負担を取り決めておくことが、後年の負担を大きく左右する。

6. モニタリングと契約の電子化

医療機関がクラウド等システムにアップロードした原資料の電磁的記録を参照してSDVを実施することは可能とされている。ただし、必要な原資料が全てアップロードされない可能性や、電磁的記録を作成してからSDVが実施されるまでに原資料の追加・修正が行われる可能性を踏まえ、適切なモニタリング方法を検討する必要がある。オンサイトモニタリングと中央モニタリング等を含む柔軟な方法が許容されており、方法は治験依頼者と実施医療機関が協議して決定する。リモートSDVを受け入れる際の原資料の提示方法については、セキュリティの確保と個人情報の保護を含め、医療機関側が検討する必要があるとされている点に注意されたい。

また、GCP省令第39条の2に基づく医療機関と委託先との契約は、同令第12条第2項から第5項までの規定を準用して電磁的記録により締結することが可能である。ただし、いずれかの当事者から電磁的方法によらない旨の申出があった場合はこの限りではない。

7. 説明と同意の電子化

被験者への説明と同意の取得についても、電磁的方法を用いる手続が整理されている。「治験及び製造販売後臨床試験における電磁的方法を用いた説明及び同意に関する留意点について」（令和5年3月30日付け 薬生薬審発0330第6号・薬生機審発0330第1号）に従って手続を行う場合、説明を行った治験責任医師等及び被験者となるべき者による日付の記載に代えて、情報通信システムが発行するタイムスタンプを用いることが差し支えないとされている。ただし、出力されるタイムスタンプの日付が、同意文書に記載すべき日付になっていることを治験責任医師等が保証しなければならない。

ここでも構図は同じである。技術による自動化は認められるが、その出力が意図した意味を持つことを人が保証する責任は残る。EDCの監査証跡についても、eConsentのタイムスタンプについても、「システムが自動で記録するから安心である」と考えた時点で信頼性の保証は途切れる。

8. 責任はどちらにあるのか

EDCを利用した治験では、環境を用意するのが治験依頼者、実際に記録を作成するのが医療機関という分業になる。この分業が、責任の所在をあいまいにしやすい。整理すると次のようになる。

電子症例報告書の写しを受領する際、「治験依頼者が作成したものだから間違いないだろう」と考えるのは適切ではない。悪意がなくとも人為的ミスは起こり得る。受領時に内容を確認したうえで受領書に署名すれば、その内容について責任を負うことになる。記録の保存責任は、あくまでも医療機関にある。

9. 2026年時点で取るべき対応

EDCは、導入して終わりの道具ではない。規制文書は更新され、システムは版を上げ、担当者は入れ替わる。連載を通じて繰り返し述べてきたとおり、要件と手順書と記録の3点が結びついている状態を維持し続けることが、信頼性保証の本体である。