21 CFR Part 11が生まれた経緯

21 CFR Part 11 は、電子記録と電子署名を紙の記録・手書き署名と同等に扱うための基準を定めた規則である。1997年3月20日に Federal Register に公示され（62 FR 13430–13466）、同年8月20日に施行された。しかしこの規則は、FDA が業界を締め上げるために作ったものではない。紙でなければ認めないという当時の運用に音を上げた製薬業界自身が、FDA に働きかけて作らせた規則である。本稿では、制定に至る手続の年表ではなく、「なぜ業界がそれを求めたのか」という動機と、当時の実務がどうなっていたのかを、官報 preamble の原文に即して追う。

1990年代初頭の医薬品業界：紙に埋もれる現場

1990年代初頭の医薬品製造現場を想像してほしい。製造記録、品質管理データ、分析結果、承認サイン——これらすべてが紙で管理されていた。巨大な書類保管庫には何十年分もの記録が積み上げられ、特定の記録を探し出すだけで半日かかることも珍しくなかった。

誤解してはならないのは、当時すでにコンピュータは現場に入っていたということである。製造装置は自動化され、分析機器はデジタルデータを出力し、在庫や試験結果はデータベースで管理されていた。技術的には、記録を電子的に作り、電子的に承認し、電子的に保管することは十分可能だった。

それにもかかわらず、最終的にはすべてを紙に印刷し、手書きで署名し、ファイリングする必要があった。理由は単純である。FDA の規制が要求していたのは「記録」と「署名」であり、当時の FDA には電子的な記録や署名を受け入れる判断基準が存在しなかったからである。この点について、FDA 自身が最終規則の preamble で率直に述べている。

「二重運用」という当時の日常

この状況は、製薬企業にとって二重の負担を生み出していた。デジタル技術によってより正確で効率的なデータ管理が可能になっているにもかかわらず、規制上の要件がそれを妨げていたのである。現場では次のようなことが起きていた。

• データは電子、証拠は紙。分析機器が出力したデータはコンピュータ上にあるが、規制上の記録として通用するのは印刷した紙のほうだった。同じ情報が二つの媒体に存在し、しかも「正」は紙のほうだった。
• 検索は人力。データベースに入っている情報であっても、査察官に提示するのは書庫から探し出した紙である。ある期間のロット記録を横断的に見たいという要求に対して、保管庫を漁る以外の方法がなかった。
• 署名のためだけの印刷。承認行為を成立させるためだけに電子データを紙に出力し、そこにペンでサインをする。署名が済めば、その紙が原本になる。
• 保管コストの累積。記録の保存期間は品目によって数年から数十年に及ぶ。紙は減らず、書庫は増え続けた。

FDA が1994年の規則案に寄せられた意見を整理した箇所には、この時代の空気を伝える細部が残っている。FDA は規則案について電子メールでの意見提出を試験的に受け付けたが、実際に電子メールで届いた意見はわずか1件だった。ただし FDA は、これを「業界に電子メールを送る能力がなかったため」とは考えていない。というのも、同じ時期に規則案の本文を電子メールで送ってほしいと要求した者は198名おり、そこには米国外からの要求も含まれていたからである（62 FR 13434）。技術は既にあり、公式な手続だけが紙に縛られていた——当時の構図がよく表れている。

1991年、業界はFDAに何を求めたのか

この矛盾に最初に声を上げたのは、規制当局ではなく製薬企業自身であった。最終規則の preamble は、その始まりを次のように記録している。

ここで注意すべき点が二つある。

第一に、業界が求めたのは「新しい規制を作ってくれ」ということではなかった。原文が言っているのは「既存の CGMP 規則のもとでペーパーレス記録システムをどう受け入れられるようにするか（how they could accommodate paperless record systems under the current CGMP regulations）」である。出発点は、新規立法の要求ではなく、既にある規則の枠内で電子化を成立させる方法を探る相談だった。

第二に、この会合の主体は「製薬業界の関係者（members of the pharmaceutical industry）」であって、特定の業界団体名は preamble に記されていない。元記事にあった「複数の業界団体と企業が要望を始めた」という記述は方向としては誤っていないが、1991年時点で具体的にどの団体が動いたのかは、この一次資料からは特定できない。本稿ではそのため団体名を書かない。

FDA はこの相談を受けて省内に Task Force on Electronic Identification/Signatures（電子識別／署名タスクフォース）を設置し、全プログラム領域で統一的に電子署名・電子記録を受け入れる方法の検討に入った。その下部組織である Electronic Identification/Signature Working Group が1992年2月24日付の報告書で ANPRM（事前規則制定通知）の公表を勧告し、ここから正式な規則制定手続が動き出す。

誰が意見を出したのか

1994年の規則案に寄せられた49件の意見について、FDA はその内訳を明示している。この数字は、Part 11 が製薬業界だけの規則ではないことを示している。

出典：62 FR 13430。意見提出期限は1994年11月29日。

業界は何を主張し、FDAはどう応じたか

ここが本稿の核心である。Part 11 の preamble には、業界が電子化の利点として何を挙げ、FDA がそれをどう受け止めたかが記録されている。抽象論ではなく、原文に何が書かれているかを見る。

業界が挙げた利点

FDA は、規則案に対する意見の中で業界が挙げた便益を次のように列挙している。

注目すべきは、この一覧に「電子署名は紙の署名より不正に強い（reduced vulnerability of electronic signatures to fraud and abuse）」という主張が含まれていることである。業界は、電子化を単なる効率化ではなくデータインテグリティの向上策として位置づけていた。

さらに、ある意見は紙のシステムに対する電子システムの優位を4点に整理している（62 FR 13431）。

1. 高度な検索自動化されたデータベースにより、紙の記録を人手で探す必要がなくなる。
2. 多面的な参照同じ情報を複数の観点から見ることができる。
3. 傾向の把握トレンド、パターン、挙動を判定できる。
4. 誤綴じの回避人為的ミスによる当初および事後の綴じ間違いを避けられる。

FDAの応答——便益は認める、しかし条件が要る

FDA はこれらの主張を否定していない。むしろ正面から認めている。

また FDA は同じ箇所で、この規則制定を「生産的なパートナーシップの表れ（representative of a productive partnership）」と評し、規則の形成に業界からの広範な意見と協働があったことを明記している。実際、複数の意見が「この規則案は、ANPRM に対して業界が提出した提案の多くを取り入れており、技術的課題の解決における当局と業界の協力の好例である」と述べていた。

主張と応答の対照

業界の主張と FDA の応答を、preamble の記述に基づいて突き合わせると次のようになる。FDA が「反対した」のではなく、「認めたうえで条件を付けた」構図であることが読み取れる。

FDAが本当に懸念していたこと

FDA が慎重だった理由は、規制当局としての責務からくるものである。医薬品の安全性と有効性を保証する記録には、絶対的な信頼性が求められる。では preamble は、電子化の何を危険とみなしていたのか。原文は「紙と電子の違い」という切り口で整理している。

電子記録は「一時的な表示」にすぎない

この一節は、Part 11 のほぼすべての要求事項の源泉である。監査証跡（§11.10(e)）、アクセス制限（§11.10(d)）、権限チェック（§11.10(g)）は、いずれもここで指摘された性質への対処として設けられた。

紙は「時間と空間に固定された」記録である

FDA は対比として、紙の記録の性質を次のように描いている。

規制影響分析の箇所でも、FDA は同じ趣旨をより具体的に述べている。「紙の記録の変更を示す科学的手法は多数存在するが（紙質の分析、消去の痕跡、筆跡鑑定など）、これらの手法は電子記録には適用できない」（62 FR 13464）。紙には物理的な証拠が残るが、ビットには残らない——これが FDA の出発点だった。

署名は「貸せる」し「失くせる」

電子署名についても、FDA は紙との差異を明快に述べている。手書き署名は「貸与」や「紛失」によって容易に危殆化することはないが、ID とパスワードの組合せに基づく電子署名は貸与も紛失もできる。逆に、他人の手書き署名を書こうとすれば実行は難しく、それを検知する調査技法も長年蓄積されている。一方で「多くの電子署名は比較的容易に偽造でき、その偽造手法はほとんど検知不可能である」（62 FR 13433）。

ここから、電子署名を2要素以上で構成する要求（§11.200(a)(1)）や、他人がその電子署名を使おうとすれば2名以上の協働（collaboration）を要する設計にするという要求（§11.200(a)(3)）が導かれた。この条項の趣旨についてはなぜ2人以上の共謀が必要とされたのかで詳しく扱っている。

なぜ「規則」でなければならなかったのか

FDA がガイドラインではなく規則を選んだ理由は、寄せられた意見そのものが示していた。preamble は、規則が必要であることを裏づける実例として次を挙げている（62 FR 13432）。

• ある意見は、上司が部下の署名を記録から削除して自分の署名に置き換えることを認めるべきだと主張した。FDA は、上司が部下の行為を追認する署名を付すこと自体は問題にしないとしつつ、元の署名を削除する行為は改ざんとみなすと応じた。
• 複数の意見が、電子署名はパスワードのみで足り、パスワードは一意である必要はなく、子どもやペットの名前など私生活に由来する語を使ってよく、変更は2年ごとで十分だと主張した。FDA は、そうした運用ではパスワードが危殆化する可能性が大きく高まり、なりすましや改ざんが長期にわたって継続する危険があるとして退けた。

そのうえで FDA は「したがって、電子署名の受入れ可能な特性を記述する執行可能な規則が必要と思われる」と結論している。1990年代半ばのセキュリティ観念の水準を伝える記録でもある。

長期保存という宿題

電子記録の長期保存の難しさも、この時点で既に論点になっていた。ただしこれは FDA が一方的に懸念を表明したというより、§11.10(c)（記録保存期間を通じた正確かつ即時の検索を可能にする保護）に対して業界が実務上の困難を訴え、FDA が応答したという形をとっている。

ある企業は「自社はおよそ3年ごとにシステムを更改しており、この要件を満たすには旧システムを保持し続けなければならなくなる」と述べた（62 FR 13446 付近、コメント71）。FDA は、更改時にデータ変換の手段を用意していれば旧ハードウェア・旧ソフトウェアを保持し続ける必要は必ずしもない、と応じた。ただし「旧記録を新システムで読める形式に変換できない場合には、旧式化し置き換えられたシステムを保持することを意味する場合がある」とも述べている（62 FR 13439）。この問題は現在も解けていない。詳細は電子記録の長期保存が困難な理由を参照されたい。

できあがった規則は何を求めたのか

最終的に制定された Part 11 の骨格を、条文に即して確認しておく。条文原文は eCFR の 21 CFR Part 11 で参照できる。

電子記録の要件（Subpart B）

閉鎖系システム（§11.10）に求められる管理は、次の6つを含む。

開放系システム（§11.30）については、閉鎖系の管理に加えて、記録の真正性・完全性・機密性を確保するための文書の暗号化や適切なデジタル署名標準の使用といった追加措置が求められる。

§11.10(a) の条文に「conclusively（決定的に）」の語がないことに注目してほしい。前述のとおり、これは規則案から意見を受けて削除された語である。業界の主張が条文を実際に動かした、数少ない目に見える痕跡のひとつである。

電子署名の要件（Subpart C）

• 一意性と本人確認（§11.100）。各電子署名は1個人に固有であり、他者に再利用・再割当てされてはならない。組織は電子署名を付与する前に当該個人の身元を検証しなければならない。
• 署名の明示事項（§11.50）。電子記録への署名には、署名者の印字された氏名、署名を実行した日付と時刻、および署名に付随する意味（照査、承認、責任、著作など）を含めなければならない。この3点については電子署名の3つの明示事項で詳述している。
• 記録との結合（§11.70）。電子署名および電子記録に付された手書き署名は、通常の手段では切り離し・複写・移転して電子記録を偽造できないよう、それぞれの記録に結合されていなければならない。
• 2要素と協働要件（§11.200）。生体認証に基づかない電子署名は、識別コードとパスワードのように2つの相異なる識別要素を用いなければならない。また、他者がその電子署名を使おうとすれば2名以上の協働（collaboration）を要するよう管理・実行されなければならない。
• ID／パスワードの管理（§11.300）。組合せの一意性維持、定期的な失効または改訂、紛失・盗難時の失効手続、不正使用の防止と検知・報告、トークン等の初期および定期的な試験。

バリデーション

電子システムは、意図したとおりに機能することを検証するため、適切なバリデーションを実施する必要がある。これはシステムの設計段階から運用、保守に至るまで、全ライフサイクルにわたって適用される。

preamble は、ここでいうバリデーションの意味を FDA の1987年「Guideline on General Principles of Process Validation」に接続している。同ガイドラインはバリデーションを「特定のプロセスが、あらかじめ定められた仕様および品質特性を満たす製品を一貫して生み出すことについて、高度の保証を与える文書化された証拠を確立すること」と定義しており、§11.10(a) の「consistent intended performance（一貫した意図された性能）」という表現は、性能があらかじめ定めた設計仕様に基づくこと（したがって “intended”）を指す（62 FR 13445）。バリデーションという概念がそもそもなぜ生まれたのかについては、バリデーション概念の歴史的背景～1970年代の薬害事件から学ぶを参照されたい。

Part 11 は既存規則を置き換えたわけではない

ある意見は、医療機器については当時の CGMP 規則 §820.195 が既に自動データ処理を扱っているのだから Part 11 の適用を除外すべきだと主張した。FDA はこれを退け、§820.195 の条文——「製造または品質保証の目的で自動データ処理が使用される場合、不正確なデータの出力、入力、およびプログラミングの誤りを防止するための適切なチェックを設計し実施しなければならない」——を引いたうえで、「この条項は、電子署名、記録の改ざん、電子記録への FDA のアクセスといった、Part 11 が扱う多くの論点を扱っていない」と述べた（62 FR 13436）。Part 11 は既存の CGMP 規則を補完するものであって、置き換えるものではない。

制定後に何が起きたか

21 CFR Part 11 の施行は、製薬業界に大きな変革をもたらした。企業は既存のシステムを見直し、新たな要件に適合させるための投資を行った。初期段階では多くの企業が対応に苦慮した。既存システムの改修、新規システムの導入、従業員の教育訓練、手順書の整備など、取り組むべき課題は山積みであった。

その一方で、効果も実感されるようになった。データの検索性向上により査察対応の時間が短縮され、監査証跡の自動記録によってデータの信頼性が向上した。紙の記録管理から解放されることで、従業員はより価値の高い業務に集中できるようになった。

しかし同時に、規則の解釈が企業によって大きく異なり、過剰な対応を行うケースが広がった。前述のとおり、FDA の規制影響分析は「業界に純費用は生じない」と結論していた。任意の制度であり、便益が費用を上回ると判断した企業だけが電子化を選ぶはずだ、という論理である。ところが実際には、「Part 11 に適合しなければ既存の電子システムを使い続けられない」という理解が広がり、適合コストが規則の想定を超えて膨らんだ。この乖離は、規則本体の欠陥というより、規則の射程がどこまで及ぶのかが明確でなかったことに起因する。

FDA は2003年8月、Part 11 の適用範囲を明確化するガイダンス「Part 11, Electronic Records; Electronic Signatures — Scope and Application」を発行し、リスクベースアプローチの考え方を示した。すべての電子記録に一律の厳格な管理を求めるのではなく、記録の重要性に応じて適切なレベルの管理を行うべきである、という方針である。

その後の展開は次のとおりである。

• クラウド・モバイルへの対応。2010年代に入り、クラウドコンピューティングやモバイル技術の進化に伴って新たな技術的課題が生じ、FDA は継続的にガイダンスを更新している。
• 臨床試験領域のガイダンス。FDA は2024年10月、「Electronic Systems, Electronic Records, and Electronic Signatures in Clinical Investigations: Questions and Answers」を最終化した（2024年10月2日公示）。デジタルヘルス技術（DHT）を用いて臨床試験データを遠隔取得する場合の取扱いに独立の節が割かれている。
• CSA への転換。FDA は2022年9月13日に Computer Software Assurance（CSA）のドラフトガイダンスを公示し、2025年9月24日に最終化、さらに2026年2月3日に改訂版を発出した。改訂に際して表題が “Production and Quality System Software” から “Production and Quality Management System Software” へ変更されている（docket FDA-2022-D-0795）。従来の Computer System Validation（CSV）からリスクベースのソフトウェア保証へというパラダイムシフトである。経緯はCSAガイダンス発出までの長い経緯、用語の転換の意味はなぜ「バリデーション」から「アシュアランス（保証）」へ変わったのかで扱っている。

世界への波及

21 CFR Part 11 の制定は米国内にとどまらず、各国・地域の規制に影響を与えた。ただし各制度の成り立ちは同じではないため、正確に区別しておく。

欧州：EU GMP Annex 11

欧州では EU GMP Annex 11（Computerised Systems）がコンピュータ化システムを扱う。ここで注意すべきは所管である。Annex 11 を含む EudraLex Volume 4 を発行しているのは欧州医薬品庁（EMA）ではなく、欧州委員会（European Commission）である。2011年版 Annex 11 の文書冒頭には “EUROPEAN COMMISSION / HEALTH AND CONSUMERS DIRECTORATE-GENERAL” と明記されている。EMA は起草に関与する立場であって、発行主体ではない。

現行版は改訂第1版（revision 1）であり、発効日は2011年6月30日である（2011年版本文に “Deadline for coming into operation: 30 June 2011” と記載）。文書が revision 1 である以上、先行版が存在することは確実だが、その初出年を特定できる一次資料は確認できなかったため、本稿では年を断定しない。

2025年には改訂に向けた意見募集が行われた（2025年7月7日から10月7日まで）。ただし対象は Annex 11 単独ではなく、GMP ガイドライン第4章、Annex 11、および新設の Annex 22（Artificial Intelligence）の3点セットである。Annex 11 の改訂ドラフト本文（全19ページ）に “artificial intelligence” は0件であり、AI を扱うのは新設の Annex 22 のほうである。クラウドサービスの利用増大とサイバーセキュリティについては Annex 11 ドラフトが扱っている。最終化の時期については、欧州委員会の意見募集ページに予定日の記載がなく、確認できなかった。

日本：ER/ES指針とe-文書法

日本では2005年（平成17年）4月1日、厚生労働省医薬食品局長通知「医薬品等の承認又は許可等に係る申請等における電磁的記録及び電子署名の利用について」（薬食発第0401022号、いわゆる ER/ES指針）が発出された。同指針は電子記録に求められる要件を3つの観点から整理している。

出典：薬食発第0401022号「3.1 電磁的記録の管理方法」。この3要件の詳細は真正性・見読性・保存性とはで扱っている。

制度面では、e-文書法が電子化の法的基盤となった。同法は2本立てで、通則法が「民間事業者等が行う書面の保存等における情報通信の技術の利用に関する法律」（平成16年法律第149号）、整備法が「同法の施行に伴う関係法律の整備等に関する法律」（平成16年法律第150号）である。いずれも2004年11月19日に成立し、同年12月1日に公布、2005年4月1日に施行された。これを受けて平成17年厚生労働省令第44号「厚生労働省の所管する法令の規定に基づく民間事業者等が行う書面の保存等における情報通信の技術の利用に関する省令」が2005年3月25日に公布され、薬事法（現・医薬品医療機器等法）に基づく文書の電子化が可能となった。

今後の展望

医薬品業界は、さらなるデジタルトランスフォーメーションの波の中にある。人工知能（AI）、機械学習といった新技術が品質管理や製造プロセスに導入されつつある。21 CFR Part 11 が築いた電子記録管理の基盤は、こうした新技術の導入を支える土台となっている。AI による異常検知、予測的品質管理、リアルタイムのデータ分析——これらはすべて、信頼できる電子記録システムが先にあってはじめて成立する。

規制当局自身もデジタル化を進めている。電子申請、データの電子提出など、当局と企業の間のやり取りも電子化が進んだ。1997年の規則が「FDA が受け入れる電子提出の種類を公開ドケットに登録する」という仕組みから始めたことを思えば、隔世の感がある。

ただし、Part 11 が生んだ論点のうち、いくつかは四半世紀を経てなお解けていない。電子記録の長期保存、紙と電子の併存、そして「どこまでが Part 11 の射程なのか」という問いである。それらについてはPart 11の4つの解けない課題で扱う。