グローバルへの波及（PIC/S・GAMP・EU MDR）

リスクベースという一つの思想が、医薬品から医療機器へ、そして世界標準へ

「コンピュータ化システムをどう検証するか」ーーこの問いと、筆者はかれこれ四十年付き合ってきた。新卒で入社したのはコンピュータ会社で、そこで米国から来た女性コンサルタント、Dr. Teri Stokesに師事し、CSV（Computer System Validation／コンピュータ化システムバリデーション）の手ほどきを受けた。彼女が繰り返し説いたのは、検証の手順そのものではなく「なぜ検証するのか」という思想であった。その思想がいま、世界規模で大きく書き換えられようとしている。

その震源地が、PIC/S（医薬品査察協定・医薬品査察協同スキーム）およびEUのGMPガイドライン「アネックス11（Annex 11）」である。アネックス11とは、医薬品の品質管理（GMP）において、コンピュータ化システムをどう管理・検証すべきかを定めた付属文書だ。初心者には「製薬版・システム管理のルールブック」と考えてもらえばよい。

現行版は2011年に作られたわずか5ページの文書だが、欧州委員会とPIC/Sは2025年7月7日、このアネックス11の改訂案を、新設のアネックス22（AI）や改訂された第4章とともに公表し、同年10月7日まで合同で意見募集（パブリックコメント）を行った。改訂案は17章・19ページへと一気に拡張されており、十数年ぶりの全面改訂となる。正式な発効時期は最終版の公表を待って確認すべきだが、2026年中の最終化を見込む向きもある。

改訂版で初めて正面から扱われるのが、サイバーセキュリティ、データインテグリティの原則（ALCOA+）、そしてAI（新設のアネックス22）である。中でも実務に効くのは、検証の考え方が米国FDAの「CSA（Computer Software Assurance／コンピュータソフトウェア保証）」と通じる方向にある点だ。

FDAは2026年2月にCSAの最終ガイダンスを発出している。CSAとは、医療機器の製造や品質マネジメントシステム（QMS）で使うソフトウェアについて、その信頼性をリスクに応じて確立する考え方である。眼目は「文書を減らすこと」そのものではなく、製品品質・患者安全・データインテグリティに影響する機能へ、検証の厳格さを重点的に配分することにある。

従来のCSVが、重要度を問わず一律に分厚い試験記録を積み上げる作業へ堕しがちだったのに対し、CSAはまず「これは何のために動き、どこが危ないのか」を考えることを求める。Dr. Teri Stokesが四十年前に説いた「なぜ検証するのか」が、いま制度の言葉として戻ってきたのである。

注目すべきは、このリスクベースの発想がGMP（医薬品製造）の枠を越えて広がっていることだ。医療機器の世界でも、EU MDR（欧州医療機器規則）、QMSの国際規格ISO 13485、ソフトウェアライフサイクルを定めるIEC 62304に、同じ遺伝子ーー「一律ではなく、リスクに応じて資源を配分せよ」ーーが浸透している。医薬品も医療機器も、ソフトウェアの検証という同じ課題に直面し、同じ答え（リスクベース思考）へと収斂しつつあるのだ。

これが本稿の主題「グローバルへの波及」である。一つの思想が分野の壁を越え、世界共通の作法になりつつある、と捉えるとよい。もっとも、制度上は別枠である点に注意したい。

FDAのCSAは主に医療機器の製造・QMSソフトウェアを対象とし、EUのアネックス11は医薬品GMP上のコンピュータ化システムを対象とする。法令としての守備範囲は異なる。それでも根底に同じリスクベースの発想が流れているーー本稿が「波及」と呼ぶのは、この通底する考え方のことである。

ここからは筆者の私見である。日本のCSV対応は、世界の潮流からやや遅れていると感じている。国内で広く参照される「コンピュータ化システム適正管理ガイドライン」は2010年に発出されたもので、あくまで一つの比喩だが「GAMP 4.5」とでも呼びたくなる、新旧いずれにも振り切れない立ち位置にある。

GAMPとは製薬システム検証の事実上の世界標準であり、現行はリスクベース思考やクリティカルシンキングを取り込んだ第5版（GAMP 5）の第2版（2022年）まで進んでいる。国際的にはこのGAMP 5第2版やFDA CSAのように、リスクベース・ライフサイクル管理をより前面に出す流れが強まっているのと対照的だ。そして筆者の経験では、国内の現場ではなお、この国内ガイドラインを基準に確認される場面が少なくない。世界が「考える検証」へと重心を移すなか、国内の入口には旧来のチェックリスト発想がなお根強く残るーーこの落差こそ、日本企業が直視すべき現実だと考えている。

この落差は、二重の罠を生む。国内ガイドラインだけに最適化した企業は、いざ海外展開やグローバル査察に臨んだとき、求められる思想の高さに足をすくわれる。逆に、世界標準ばかりを見て国内の査察実務を軽んじれば、足元の国内対応でつまずく。

賢明なのは、両者の底に流れる共通の背骨ーーALCOA+、リスクベース、ライフサイクル管理ーーを理解し、文書の厚さではなく考え方で勝負することだ。記録を分厚く積むほど、守るべき約束は増える。Dr. Teri Stokesが四十年前に遺した教えは、いまも色あせない。バリデーションとは書類仕事ではなく、思考の作法なのである。

この分野の解説動画