Compliance Policy Guide 7153.17とは

医薬品・医療機器業界において、FDA（米国食品医薬品局）による規制への準拠は企業活動の根幹をなす。電子記録・電子署名を規定する FDA 21 CFR Part 11（以下、Part 11）の執行に関わる文書として、Compliance Policy Guide（CPG）7153.17がある。本稿では、CPG 7153.17の正確な位置づけと歴史的経緯を整理した上で、そもそもCPGとはどういう性格の文書なのか、そして実務者はCPGをどう読めばよいのかを解説する。あわせて、Part 11において特に重要とされる3つの技術的要件を、条文番号を確認しながら整理する。

CPG 7153.17とは何か

CPG 7153.17の正式名称は「Enforcement Policy: 21 CFR Part 11; Electronic Records; Electronic Signatures」である。その名称が示すとおり、これは執行方針（Enforcement Policy）を示したコンプライアンスポリシーガイドであり、査察の手順を定める「査察マニュアル（Inspection Guide／Compliance Program）」とは異なるカテゴリーの文書である。

すなわち、「FDAがどこを見るか」ではなく、「FDAが見つけたものをどう判断するか」を定めた文書と理解するのが正確である。Part 11に完全準拠していない状況が発見された場合に、FDAが規制措置（Warning Letter、輸入警告、差止など）に踏み切るかどうかを、ケースバイケースでどう判断するか――その判断枠組みを、FDA職員向けに示したものだ。

「7153.17」と「Sec. 160.850」――2つの番号は同じ文書を指す

CPGを調べようとすると、必ず番号体系の壁にぶつかる。CPGには旧番号（7153.17 のような「4桁.2桁」形式）と現行のセクション番号（Sec. 160.850 のような「3桁.3桁」形式）の2系統が存在し、文献によってどちらか一方だけが書かれていることが多いためである。

つまり「CPG 7153.17」と「CPG Sec. 160.850」は同一文書の別番号である。現在のFDAは Sec. 番号で運用しており、CPG Manual は製品分野ごとに章立てされている。たとえば「Chapter 1 – General」には全分野に共通する一般事項が、「Chapter 3 – Devices」には医療機器分野のCPGが収録されている。Sec.番号の上位桁がこの章立てに対応しており、Sec. 160.850 は一般事項（Chapter 1）に属する文書であった。

そもそもCompliance Policy Guide（CPG）とは何か

CPG 7153.17を正しく位置づけるには、CPGという文書類型そのものを理解しておく必要がある。この点は撤回の有無に関係なく、いまも変わらず有効な知識である。

CPGは「FDA職員向けの内部方針文書」である

CPGは、Compliance Policy Guides Manual に収録される文書群であり、第一義的にはFDAの査察官・コンプライアンス担当官に対して、規制の解釈と執行戦略を統一するために発出される内部方針文書である。同時に一般にも公開されており、業界側もこれを読むことができる。

ここで極めて重要なのは、CPGが法的拘束力を持つ規則ではないという点である。FDAのガイダンス文書には一貫して次の趣旨の但し書きが付されている。

つまり、CPGに書かれていることを守らなかったからといって、それ自体が違法となるわけではない。違法性の根拠となるのはあくまで連邦食品・医薬品・化粧品法（FD&C Act）と、それに基づく規則（21 CFR）――いわゆる predicate rule ――である。CPGは、その法令をFDAがどう運用するかの「運用解」を示したものにすぎない。

Guidance for Industry との違い

実務者が混同しやすいのが、CPGと「Guidance for Industry」の違いである。両者はいずれも法的拘束力を持たないガイダンス文書だが、想定読者と機能が異なる。

なお、近年のCPGには「Guidance for Industry and FDA Staff」と副題が付されるものもあり、両者の境界は運用上やや曖昧になっている。

CPG 7153.17が示していた4つの判断基準

CPG 7153.17は、Part 11への不適合が発見された場合に規制措置を追求するかどうかを、次の4点を総合して判断するとしていた。

1. 逸脱の性質と範囲逸脱が多数にわたる場合、当局の監査を妨げる場合、あるいはデータや電子システムの完全性（integrity）を損なう場合に、より重大とみなされる。
2. 製品品質・データインテグリティへの影響データに不整合が生じているにもかかわらず監査証跡が存在しない、運用上の管理策が不十分である、といった状況が重大な懸念事項とされた。
3. 是正措置の適切性と迅速性手続的な管理策がすでに整備されていることを前提に、準拠達成までの合理的なタイムテーブルが示されているかが問われた。
4. コンプライアンス履歴過去に違反歴がある企業に対しては、不整合や無許可の変更についてより厳しい目が向けられた。

この4点は、現在のFDAの執行判断の考え方とも本質的に通じている。「逸脱の重大性 × データへの影響 × 是正の姿勢 × 過去の履歴」という掛け算で判断されるという構図は、CPGが撤回された今日でも実務感覚として有効である。

なぜ撤回されたのか

CPG 7153.17が撤回された背景には、Part 11の要件に対する解釈が過度に広範になっていたことへの懸念がある。1997年8月20日の施行後、業界からは次のような問題点が繰り返し指摘された。

• 電子技術の使用を不必要に制限している
• 規則策定時に想定されていなかった水準のコンプライアンスコストを課している
• 公衆衛生上の利益を提供せずにイノベーションを阻害している

これを受けFDAは、2003年2月25日公示の官報（68 FR 8775）において、「Part 11, Electronic Records, Electronic Signatures — Scope and Application」ドラフトガイダンスの公表とあわせ、CPG 7153.17および既発出のPart 11ドラフトガイダンス4件（バリデーション、用語集、タイムスタンプ、電子記録の保守）の撤回を告知した。

撤回後の現在――Part 11の執行はどうなっているか

2003年9月の「Scope and Application」ガイダンスにより、FDAはPart 11の適用範囲をより狭く解釈する方針へと転換した。同ガイダンスが示した執行方針の骨格は次のとおりである。

ここで見落としてはならないのが、執行裁量はPart 11の条文に対してのみ働き、predicate rule（先行規則）上の義務には及ばないという点である。たとえば監査証跡について、Part 11 §11.10(e) の執行が控えられたとしても、CGMP（21 CFR Part 211、Part 820）が求める記録の作成・保持義務は一切減じられない。実務上、データインテグリティ関連の指摘がPart 11単体ではなくCGMP違反として構成されることが多いのは、この構造による。

なお、臨床試験領域については、Part 11の適用に関する考え方を整理した「Electronic Systems, Electronic Records, and Electronic Signatures in Clinical Investigations: Questions and Answers」が別途発出されている。臨床データを扱う場合はこちらもあわせて参照されたい。

Part 11における3つの重要要件

CPG 7153.17は撤回済みであるが、同文書が対象としたPart 11自体は現在も有効な規則である。以下では、Part 11において特に重要とされる3つの技術的・手続き的要件を、条文番号を確認しながら解説する。

1. 監査証跡（Audit Trail）の完全性 ― §11.10(e)

監査証跡とは、システム上で行われた操作――データの作成・変更・削除――を自動的に記録する機能である。21 CFR §11.10(e) は次のように定める。

「誰が」「いつ」「何を」変更したかが追跡可能であり、かつ変更前の値が消えずに残ることが基本要件である。これが担保されない場合、データインテグリティの観点から重大な問題とみなされる。前述のとおり、Part 11単体よりもCGMPなどのpredicate ruleとの組み合わせで指摘されるケースが実務上は多い。

2. アクセス制御と電子署名の運用 ― §11.10(d)(g)・Subpart C

Part 11は電子署名を紙の手書き署名と同等の法的効力を持つものとして認める一方で、その真正性を担保するための条件を課している。主な条文は次のとおりである。

実務上は、ユーザーIDとパスワードの適切な管理、退職者アカウントの速やかな無効化、共有アカウントの禁止といった運用面が問われることが多い。これらは技術的な設定だけでなく、SOPとして手続き化され、教育訓練の記録が残っているかどうかも重要な評価ポイントとなる。詳細は当社記事「電子署名の3つの明示事項」および「なぜ2人以上の共謀が必要とされたのか」もあわせて参照されたい。

3. システムバリデーションの実施と維持 ― §11.10(a)

21 CFR §11.10(a) は、対象システムが意図したとおりに動作することを科学的に証明する「バリデーション」を要求している。条文が挙げる確保すべき事項は、正確性（accuracy）・信頼性（reliability）・一貫した意図された性能（consistent intended performance）・無効または変更された記録を識別する能力の4点である。

バリデーション計画書（VMP）・適格性確認（IQ／OQ／PQ）・バリデーション報告書といった一連の文書はPart 11に明示されていないが、業界のベストプラクティス（GAMP等）として広く採用されている手法である。システムのバージョンアップや環境変更があった際の再バリデーション実施と、変更管理記録の整備も、継続的な準拠の観点から欠かせない。バリデーション概念の成り立ちについては「バリデーション概念の歴史的背景～1970年代の薬害事件から学ぶ」で詳しく述べている。

いま参照できる主要なCPGの例

CPG 7153.17は撤回されたが、CPGという文書群そのものは現在も更新・追加されている。医薬品・医療機器の実務者にとって参照価値の高いものをいくつか挙げる（表題はFDAサイトの掲載名による）。

実務者はCPGをどう使うか

CPGは法的拘束力を持たない。しかし、だからといって読む価値がないわけではない。むしろ逆である。CPGを読むと、FDAが何を問題視し、どの水準を超えたら執行に踏み切るのか――その「閾値」が見える。これは規則の条文を読んでいるだけでは決して得られない情報だ。

具体的な活用の仕方は次のとおりである。

1. 自社のリスク評価に組み込む該当領域のCPGを読み、FDAが「重大」とする逸脱類型を自社の内部監査チェック項目に反映する。
2. 是正措置計画の説得力を高めるCPGは是正措置の「適切性と迅速性」を判断材料に挙げている。回答書には、根本原因分析と現実的なタイムラインを明記する。
3. Compliance Program とセットで読むCPGが「判断基準」なら、Compliance Program は「査察手順」である。両者を突き合わせることで、査察で何を見られ、それがどう評価されるかが立体的に把握できる。
4. 引用前に必ず現況を確認するCPGは撤回・改訂されうる。社内文書やFDAへの回答書で引用する場合は、その都度FDAサイトで現況を確認する。CPG 7153.17を「現行の根拠」として引用してしまう誤りは、実際にしばしば見られる。

重要なのは、これらの要件を形式的に満たすことではなく、データの信頼性を組織の日常的な文化として根付かせることである。FDAが最終的に評価するのは、書類の整合性ではなく、現場における実質的な管理の実態である。規制の変遷を正確に把握しながら、実効性のある品質管理体制を構築していくことが、今日の規制環境を生き抜く鍵となるであろう。