承認者はレビューをしてはいけない

～レビューと承認、似て非なる二つの責任～
文書ワークフローでよく見かける誤解がある。「承認者は中身をきっちり読んで内容をレビューするものだ」――この前提に立つと、承認のプロセスはやがて崩壊する。本稿では、レビュー（review）と承認（approval）がなぜ別の責任なのかを整理し、ISO 13485:2016の文書管理、21 CFR 211.194(a)(8)の第二者確認、21 CFR 11.200(a)(3)の複数人協働という条文を確認したうえで、どこまでが規格要求で、どこからが筆者の実務的主張なのかを明確に区分して述べる。

レビューと承認は、別の責任である

正しい役割分担

レビュー（review）は、力量のあるレビュアーが文書の内容を逐一確認し、コメントを付け、誤りを指摘する作業である。

一方、承認（approval）はレビュアーがレビューを完遂し、付けられた全てのコメントが解決されたことを見届けて、「これなら問題ない」と判断する行為である。

承認者は中身を逐一読み返さない。読み返すべきはレビュアーであり、承認者が確認するのはレビューが正しく行われた事実そのものである。

なぜこの区別が重要か――ラバースタンプの発生機序

承認者にレビュー作業まで負わせれば、承認者は数百ページに及ぶ文書を毎回読破することになる。それは事実上不可能だ。

結果、起きるのが俗にいう「ラバースタンプ」である。表紙だけ持ってこさせ、機械的に判子を押す――これではレビューも承認も機能していない。

規格・規制は、何を要求しているのか

ここから先は、条文を確認しながら進めたい。規格が明文で要求していることと、筆者が実務上そうすべきだと主張していることを、混同してはならないからである。

ISO 13485:2016 4.2.4――「レビュー」と「承認」は並べて規定されている

ISO 13485:2016の4.2.4（文書の管理）は、必要な管理を定めた文書化された手順を確立することを求め、その筆頭に「発行前に、文書の適切性についてレビューし、承認すること」を挙げている。

ここで重要なのは、規格が「レビュー（review）」と「承認（approve）」という二つの動詞を並べて書いているという事実である。もし承認が内容確認そのものを意味するのであれば、二語を並べる必要はない。規格は、文書が発行される前に二つの異なる行為が経られることを想定している――と読むのが自然である。

21 CFR 211.194(a)(8)――第二者による確認

医薬品CGMPの世界では、より具体的な規定がある。試験室記録に関する21 CFR 211.194(a)(8)は、次を求めている。

ここでも「レビューされたことを示す署名」という構造になっている点に注目されたい。署名はレビューという行為が行われた事実を示すものであって、署名者が全文を再度読破したことを示すものではない。同様に、21 CFR 211.186は、マスタープロダクションレコードについて、作成した者の署名に加えて独立した第二の者による確認と署名を求めている。一人で完結させないという設計思想が、CGMPには一貫して流れている。

21 CFR 11.200(a)(3)――2人以上の協働という発想

電子署名の世界にも、同じ思想が現れる。21 CFR 11.200(a)(3)は、生体認証によらない電子署名について次を求めている。

これは直接には「なりすまし防止」の要求であるが、その根底にあるのは「一人だけでは完結させない」という職務分離（segregation of duties）の思想である。この条項の意味については「Part 11 の共謀要件」で詳述している。また、署名が何を意味するのかを明示せよという要求については「電子署名の意味の表示」を参照されたい。

規格要求と筆者の主張を、きちんと分ける

レビューと承認を分けて運用するための実務的なコツ

レビュー時に付けたコメントと、Wordファイルの変更履歴を、決して消してはならない。消してしまうと、承認者がレビューの完遂を確認する手段が失われる。

承認依頼を受けた際「レビューコメントと変更履歴を見せてください」と要求できる状態を保つ。ないなら、承認できない。これが承認者としての健全な防衛線である。

1. レビューコメントを消さない解決済みのコメントは「解決済み」としてマークするにとどめ、削除しない。誰が何を指摘し、どう解決したかが追跡できる状態を保つ。
2. 変更履歴を残す変更履歴をすべて反映して「きれいな文書」にしてから承認に回すのは、承認者から判断材料を奪う行為である。クリーン版とマークアップ版の双方を承認者に提示する。
3. レビュアーを文書に明記する誰がレビューしたかを記録し、その者の力量が当該分野に対して十分であることを教育訓練記録で裏づけられるようにしておく。力量の考え方は「力量の4要素」を参照。
4. 未解決コメントがある文書は承認に回さない「後で直す」を許すと、承認の意味が消える。ワークフロー上、未解決コメントがゼロでなければ承認ステップに進めない設計にする。
5. 承認できない場合の差し戻し経路を用意する承認者が「レビュー記録がないので承認できない」と返せる正式な経路を、手順書に定めておく。この経路がなければ、承認者は押すしかなくなる。

承認とは「自分が責任を取る」という意思表示である

規制要件では文書管理を要求し、文書は発行前に承認を受けることを定める。承認とは「自分が責任を取る」という意思表示であり、成果主義という原則に照らせば、結果に対して責任を負える状態でなければ承認してはならない。

レビュー記録という根拠なしに承認した文書は、後で何かあった時、承認者個人の判断責任が問われる。「読んでいなかった」という弁明は、承認署名の前では通用しない。

だからこそ、承認者はレビューが機能していることを確認するという、自分にしかできない仕事に集中すべきなのである。AIが生成した文書を承認する場面でも、構図はまったく同じである。この点は「AIは副操縦士、あなたは機長」で詳述している。

レビューは、品質確保であると同時に育成の装置である

加えて、レビュー作業そのものが部下の育成機能を持つ。

力量のあるレビュアーが「ここを直しなさい、ここを改善しなさい」とコメントを付けることで、起草者は次の文書をより良い形で書けるようになる。レビューは品質確保の機能であると同時に、組織の力量底上げの装置でもある。承認者がレビュー機能まで奪ってしまえば、この育成サイクルも止まる。

教育と訓練の違い、そして「現場で指導することによる力量向上」の位置づけについては「教育と訓練は違う」もあわせてお読みいただきたい。なお、ベテランが手順書から離れていく現象については「ベテランほど間違える」で扱っている。

承認者と起草者の間に、必ずレビュアーを置く――これが文書管理の鉄則である。