GAMP 5 セカンドエディションへの影響

2022年に公開されたGAMP 5第2版。「何が変わったのか」「手順書を作り直すのか」ーーその戸惑いに、要点をひとつだけ持ち帰る形で答える。
GAMP 5は、GxP分野のコンピュータ化システムに広く用いられている、リスクベースの業界実践ガイドである。

ISO/IECのような正式な国際規格ではなく、ISPE（国際製薬技術協会）が発行する業界のグッドプラクティスガイドという位置付けだ。その第2版が2022年に公開され、現場では「何が変わったのか」「今の手順書を作り直すべきか」という戸惑いが続いてきた。結論から言えば、リスクベースという基本思想や、ICH Q9に沿った品質リスクマネジメントの考え方が大きく変わったわけではない。骨格は保たれたまま、技術環境と開発手法の変化に合わせて付録が更新された版と捉えるのが適切である。

まず目を引く、追加された付録

第2版では、近年の技術潮流を扱う付録が新設・拡充された。新設されたのは、アジャイル開発（D8）、ソフトウェアツール（D9）、分散台帳＝ブロックチェーン（D10）、ITインフラ（M11）、そしてクリティカルシンキング＝批判的思考（M12）である。加えてAI／機械学習やクラウド、オープンソースといった話題が、既存の付録を横断する形で新たに反映された。

中でも象徴的なのが、クリティカルシンキングの付録である。決められた文書を機械的に量産するのではなく「このシステムは患者安全・製品品質・データインテグリティにどう影響するのか」を自らの頭で問い、保証活動を重要なリスクへ集中させるーー第2版はそうした姿勢を支える考え方を示している。

静かに姿を消した付録

一方で、旧版で独立していた「機能仕様（Functional Specification／D2）」は廃止され、その内容は要求事項を扱う付録（D1「要求事項の明確化」）へ統合された。

かつてはユーザー要求と機能仕様を別々の文書に切り分けていたが、第2版では要求事項を扱う一連の作業として整理された形だ。
これは、成果物の名称や文書の「数」を一律に維持することよりも、システム・開発手法・リスクに応じて要求事項を適切に定義し、それが満たされたことを確かめられることを重んじるーーその姿勢の表れといえる。アジャイル開発との親和性が高い整理ではあるが、統合の理由をアジャイルだけに帰すのではなく、あくまでリスクと目的に応じた合理化と理解しておきたい。

▼用語のワナ：「検証」という訳語

Verificationは一般に、規定された要求事項が満たされていることを、客観的証拠によって確認する活動を指す（仕様どおりに正しく作られたかの確認）。一方Validationは、意図した用途や使用目的に関する要求事項が満たされていることを確認する概念である。日本語では前者を「検証」、後者を「妥当性確認」と訳すことが多いが、両用語の定義や適用範囲は参照する規格・ガイダンスによって異なる。

訳語だけで判断せず、原文の定義と文脈を確認することが重要である。

筆者コメント

この訳語については、VerificationとValidationの区別を実務上どう表現するかという観点から、慎重な検討が必要だと考えている。規格の翻訳では、言葉一つが実務の解釈を左右し得るーーこれは現場で繰り返し実感してきた点である。

「GAMP 6」ではなく「第2版」とされたことをどう読むか

以下はISPEが版番号の決定理由を公式に説明したものではなく、第2版の変更内容に基づく筆者の解釈である。
近年FDAが示すCSA（Computer Software Assurance）を、まったく新しい概念だと捉える向きもある。CSAは、医療機器の製造および品質マネジメントシステムで使用されるソフトウェアを対象に、リスクに基づいて自動化への信頼を確立し、必要な領域へ保証活動の厳格さを重点配分するアプローチである。

その方向性はGAMP 5のリスクベースアプローチと親和性が高い。ただし、CSAガイダンスの直接の適用範囲（医療機器）と、医薬品を含むGxPコンピュータ化システム一般への応用とは区別して論じる必要がある。
GAMP 5は初版からリスクベースの思想で書かれていた。

リスクが高い領域へ保証活動を重点的に配分し、低リスク領域ではそのリスクに見合った効率的な保証手法を選択するーーこの考え方は最初から中核にあった。だからこそ、基本フレームワークを大きく変える必要はなく、技術内容を更新した「第2版」で足りた。全面的に異なる枠組みへの移行というより、既存のリスクベース思想を現在の技術環境へ適用するための改訂と読むことができる。

第2版が問うているのは、手順書の分厚さでも、文書やテストの量そのものでもない。各保証活動の目的とリスクとの関係を「なぜこの検証をするのか」と自分の言葉で説明でき、システムの意図した用途に対する信頼を客観的な証拠で示せるかーーその一点である。ツールが変わっても、リスクベースという背骨は、第2版でも維持されているのである。

出典：ISPE「GAMP(R) 5 Guide 2nd Edition」（2022）。付録構成の変更（アジャイルD8・ソフトウェアツールD9・分散台帳D10・ITインフラM11・クリティカルシンキングM12の新設、D1「要求事項の明確化」等の大幅更新、D2「機能仕様」の廃止・D1への統合を含む。AI／MLやクラウド等は既存付録を横断して反映）。FDA「Computer Software Assurance for Production and Quality System Software」（最終ガイダンス、2025年9月）。

この分野の解説動画