Excelを使用する場合の管理留意点

多くの企業や組織において、Microsoft Excelは最も身近で汎用性の高いツールとして広く活用されている。しかし、その手軽さゆえに、データ管理における重要なリスクが見過ごされがちである。とりわけ製薬・医療機器の品質保証部門では、Excelファイルが試験結果の集計、逸脱の一覧、教育訓練記録、設備の点検記録など、規制当局に提示することになる記録として使われていることが少なくない。本稿では、Excelを業務で使用する際に押さえるべき管理上の留意点を「真正性・証跡管理」「タイムスタンプの保護」「セキュリティ環境」の三原則に整理したうえで、第4の柱としてGxP（規制対象記録）としてのExcelの扱いを新たに加えて解説する。

はじめに――「一般業務のExcel」と「規制対象記録のExcel」を分けて考える

Excelの管理留意点を論じるとき、しばしば二つの異なる文脈が混ざる。ひとつは、契約書・見積書・在庫管理表といった一般業務における文書管理の文脈である。もうひとつは、GMP・QMS・GLP・GCPといった規制の下で「保存が義務づけられた記録」をExcelで作成・保存する文脈である。

前者では「誤操作を防ぐ」「最新版がわかる」といった実務上の便益が主眼となる。後者では、当局査察において「この記録が作成された時点から不適切に改変されていないことを、どうやって示すのか」という一点が問われる。要求水準はまったく異なる。

本稿は前半（第1〜第3の柱）で一般業務としてのExcel管理を扱い、後半（第4の柱）でGxP領域固有の要求を扱う。両者の境界を意識しながら読み進めていただきたい。

第1の柱　データの真正性確保と証跡管理

Excelの最大の特徴は、データの修正が容易である点である。この利便性は業務効率を高める一方で、意図的・偶発的を問わず改ざんのリスクを孕んでいる。データの真正性を確保するためには、技術的な保護措置と適切な運用ルールの両面からアプローチする必要がある。

紙と電子――証拠能力をめぐる誤解を正す

従来、「紙に印刷して保管すれば安心」という考え方が一般的であった。しかし、法的な観点から見ると、印刷物と電子データの証拠能力に本質的な差はない。むしろ、適切に管理された電子データは、印刷物よりも高い証拠価値を持ち得る。

ただし、この「持ち得る」を「持つ」と読み替えてはならない。電子データが優位に立つのは、真正性を担保する技術的措置が実際に講じられている場合に限られる。ファイルをフォルダに置いただけの状態では、むしろ紙よりも脆弱である。以下、旧稿で「電子データの優位性」として挙げられてきた4点を、成立条件とともに整理し直す。

誤解1：「ファイルにタイムスタンプが自動記録されるから証拠能力がある」

これは飛躍である。OS（ファイルシステム）が記録する作成日時・更新日時は、ファイルの属性にすぎず、書き換えることができる。PCのシステム日時を変更して保存すれば、実際とは異なる日時が刻まれる。管理者権限があれば属性を直接書き換えることもできる。

本稿の後段「タイムスタンプを損なう行為」で述べるとおり、OSのタイムスタンプは容易に失われ、容易に偽装できる。したがって「タイムスタンプが自動記録される」ことは、証拠能力の根拠にはならない。証拠として意味を持つのは、ファイルの外側にある第三者的な記録――クラウドサービス側のバージョン履歴、テナントの監査ログ、時刻認証局が付与する信頼できるタイムスタンプ――である。

誤解2：「電子署名法第3条により『二段の推定』が適用される」

この記述は、二つの点で整理が必要である。第一に、「二段の推定」という語は、本来は民事訴訟法上の議論を指す。民事訴訟法第228条は文書の成立について次のように定める。

この第4項による推定に、「本人の印章による印影があれば、本人の意思に基づく押印と事実上推定される」という判例法理が重なることで、押印→本人の意思に基づく押印の推定→文書全体の成立の真正の推定、という二段構えの推定が働く。これが「二段の推定」の本来の意味である。

第二に、電子署名法第3条は、これとは別の条文として独立に電磁的記録の成立の真正の推定を定めている。

条文を読めばわかるとおり、第3条の推定が働くには「本人だけが行うことができる」電子署名が実際に行われていることが要件である。単にExcelファイルをクラウドに保存しただけでは、この要件を満たさない。「電子データだから電子署名法第3条で守られる」という理解は誤りである。

なお、現行の民事訴訟法では、電磁的記録に記録された情報の証拠調べについて第231条の2・第231条の3が置かれており、第231条の3第1項は、書証の規定を準用するにあたって第228条第4項を明示的に準用の対象から除いている。押印による推定の規律をそのまま電磁的記録に持ち込むことはできない、という立法上の整理である。電磁的記録については電子署名法第3条が受け皿となる、と理解するのが素直であろう。

誤解3：「アクセスログにより、誰がいつファイルにアクセスしたかを追跡できる」

これは、記録される条件を明示しなければ誤りとなる。ローカルPCやファイルサーバー上のファイルについて、誰が読んだかは既定では記録されない。Windowsでファイル／フォルダのアクセス監査を行うには、まずグループポリシー等で「オブジェクト アクセスの監査」を有効化したうえで、対象のファイルまたはフォルダに監査エントリ（SACL）を設定する必要がある。マイクロソフトの手順書は次のように明記している。

加えて、同ページは「ファイルおよびフォルダーの監査はNTFSドライブでのみ設定できる」「セキュリティ ログのサイズには上限があるため、監査対象は慎重に選ぶこと」とも述べている。つまりローカル環境では、設計して初めて記録されるのであって、放っておいて記録されるものではない。

これに対し、Microsoft 365（OneDrive／SharePoint）に置かれたファイルについては、テナント側で統合監査ログが記録される。ただし保持期間には制限がある。Microsoft Purview の監査ログ保持は、Audit（Standard）で既定180日（2023年10月17日より前に生成されたログは90日）、Audit（Premium）の既定ポリシーでExchange・SharePoint・OneDrive・Microsoft Entra の監査レコードを1年保持し、追加ライセンスにより最長10年まで延長できる、とされている。GxP記録の保存年限（後述のとおり数年〜十数年に及ぶ）と比べれば、既定の保持期間では到底足りないことがわかる。

誤解4：「ハッシュ値により、改ざんされていないことを技術的に証明できる」

ハッシュ値は強力な道具だが、それ単独では何も証明しない。ハッシュ値による完全性検証が成り立つのは、「正しいハッシュ値」が改ざんの手が及ばない場所に保管されている場合に限られる。ファイルと同じフォルダにハッシュ値をテキストで置いておけば、両方を書き換えれば済んでしまう。

したがってハッシュ値を証跡として使うには、少なくとも次のいずれかが必要である。

• 信頼できる第三者による保管：時刻認証局（TSA）が発行する時刻認証（タイムスタンプトークン）に、対象データのハッシュ値を封入する
• 改変不能な台帳への記録：追記のみ可能な（イミュータブルな）ログ基盤にハッシュ値を書き出す
• 権限分離された別系統の保管：ファイルの編集権限を持つ者がアクセスできない領域に、ハッシュ値の一覧を保持する

なお、電子署名法第2条第1項第2号は電子署名の要件として「当該情報について改変が行われていないかどうかを確認することができるものであること」を挙げており、改変検知の仕組み自体は法が想定するところである。しかし、その仕組みを自前で成立させるには上記の裏付けが要る、というのが実務上の要点である。

技術的証跡の成立条件――整理表

そして印刷物についてであるが、印刷物はこれらの技術的証跡を持たないため、証拠としての価値で劣る場合があり得る。ただし「劣る」と断定はできない。紙には、割印・訂正印・筆跡といった別種の検証手段があり、また電子と紙のどちらが優位かは保管の実態に依存する。印刷物は視覚的な確認が容易であり、電子データの補助として活用する価値は依然としてある。重要なのは媒体の優劣ではなく、どちらの媒体でも「作成時点から不適切な改変がないこと」を示せる仕組みを持つことである。

実務的な保護機能とその限界

Excelには、データの真正性を確保するための機能が複数搭載されている。これらを適切に組み合わせることで、誤操作による改変のリスクは相当程度低減できる。ただし、いずれも「悪意ある改ざんを防ぐ」水準には達しない、という前提で使う必要がある。

読み取り専用設定の三方式

確定版ファイルには読み取り専用設定を適用すべきである。設定方法は次の三つがある。

これらの設定により、複数人での同時編集による競合や、誤操作による上書きを防止できる。ただし三方式のいずれも、「うっかり」を防ぐ機能であって「悪意」を防ぐ機能ではない。真に編集を封じたいのであれば、後述するアクセス権限管理（そもそも書き込み権限を与えない）と組み合わせる必要がある。

「変更履歴の記録」機能は、現行のExcelでは推奨できない

ここは、旧来の解説から最も大きく改める必要がある箇所である。

Excelの「変更履歴の記録（Track Changes）」機能は、かつては内部統制上の有力な手段と考えられていた。有効にすると、セルの値の変更・追加・削除が記録され、変更者・変更日時・変更前後の値を追跡でき、変更箇所がハイライト表示され、変更を承認または却下でき、パスワード保護と組み合わせることもできた。

しかしこの機能は、レガシーの「ブックの共有（Shared Workbook）」機能に紐づくものであり、現行のExcelでは既定でリボンから外されている。マイクロソフトは次のように説明している。

この機能を使うには、ファイル→オプション→クイック アクセス ツールバー（またはリボンのユーザー設定）で「リボンにないコマンド」から「変更履歴の記録（Track Changes）（Legacy）」を明示的に追加する必要がある。既定で存在しない機能を、内部統制の前提に置くべきではない。

さらに、記録される内容と保持期間にも重大な制約がある。

代替手段――「変更内容（Show Changes）」とバージョン履歴

では現行のExcelで変更の追跡を行うにはどうすればよいか。二つの手段がある。

1. 「変更内容（Show Changes）」機能ブックがOneDriveまたはSharePointに保存され、共同編集が有効になっている場合に、校閲タブの「変更内容」から直近の変更を一覧できる。過去60日分まで参照でき、誰が・どこを・いつ変更したか、および変更前の値を確認できる。ただし対象は限定的で、マイクロソフトは「グラフ・図形その他のオブジェクトの編集」「ピボットテーブルの操作」「書式の変更」「セルや範囲の非表示、フィルター」は表示されないとしている。また「買い切り版や古いバージョンのExcelで行われた編集は追跡できず、変更ウィンドウの内容も消去される」とされている。
2. バージョン履歴60日を超える変更については、OneDrive／SharePointのバージョン履歴を参照する。こちらが実質的な主役となる。ただし後述するとおり、バージョン履歴には件数上限と自動間引きがあり、記録の保存手段としてそのまま使うことはできない。

証跡管理の運用モデル

以上を踏まえ、Excelを業務記録に用いる場合の運用モデルを示す。

データ入力時

• OneDrive／SharePoint上の標準フォーマットに入力する（ローカル保存を禁止する）
• 自動保存とバージョン履歴が有効になっていることを確認する
• 重要なマイルストーンでは、バージョンに手動でコメントを付す、または別途スナップショットを取得する
• 入力規則・数式の保護により、想定外の値や数式の破壊を防ぐ

ファイル保存時

• アクセス権限が設定済みの適切なフォルダに保存する
• 確定版は読み取り専用に設定し、あわせて書き込み権限そのものを外す
• 重要データには書き込みパスワードを追加設定する（補助的手段として）

定期管理

• バージョン履歴により変更を追跡する（ただし保持上限を把握しておく）
• バックアップの取得状況を定期的に確認する
• 監査ログを定期的にレビューする（異常検知の設定を含む）
• 四半期ごとにアクセス権限の棚卸しを行う
• 保存年限が監査ログ・バージョン履歴の保持期間を超える記録については、別途エクスポートして保管する

重要なのは、紙への印刷に頼るのでも、Excelの内蔵機能に頼るのでもなく、ファイルの外側に証跡を持つ体制を構築することである。

第2の柱　タイムスタンプの保護

Excelファイルには、作成日時や更新日時といったタイムスタンプ情報が付随している。運用上、これは版の前後関係を判断する手がかりになる。ただし前節で述べたとおり、これ自体は証拠にはならない。ここでは「運用上の手がかりを失わないための管理」として整理する。

タイムスタンプが示すもの・示さないもの

タイムスタンプを損なう行為

1. ファイルのコピー＆ペーストファイルをコピーして別の場所に貼り付けると、コピー先では新たに作成日時が記録され、元の作成時期がわからなくなる。更新日時は保持されるため情報が完全に失われるわけではないが、時系列の起点は失われる。
2. 別名保存の繰り返し「見積書_最終版.xlsx」「見積書_最終版2.xlsx」のように別名保存を繰り返すと、どれが真の最終版かわからなくなり、タイムスタンプの連続性が失われる。加えて、旧版が独立したファイルとして残るため、誤って旧版を使う事故が起きる。
3. システム日時の変更PCのシステム日時を変更してファイルを保存すると、実際とは異なるタイムスタンプが記録され、記録の信頼性が完全に失われる。これは技術的にきわめて容易であり、OSのタイムスタンプを証拠として扱えない最大の理由である。
4. メール添付による受け渡し添付ファイルを保存し直した時点で、受信側では新しい作成日時が記録される。版管理の観点でも、メール添付は「最終版の混乱」を生む主要因である。

適切な管理方法

「移動」でタイムスタンプが保持されるのは、同一ボリューム内に限られる

「コピー＆ペーストではなく『移動』を使えばタイムスタンプは保持される」という説明を目にすることがあるが、これは条件付きでしか正しくない。

同一ボリューム内の移動は、ファイルの実体を動かさずディレクトリエントリを付け替える操作であるため、タイムスタンプは維持される。しかしボリュームをまたぐ移動は、実体としてはコピーと削除である。Windows APIの仕様は次のように明記している。

つまりボリューム間の移動では、作成日時が移動時点のものに置き換わり得るうえ、アクセス権限（セキュリティ記述子）も引き継がれない。更新日時とアクセス権限とでは挙動が異なる点にも注意が要る。「移動なら安全」と一律に考えず、同一ボリューム内かどうかを必ず確認するべきである。

robocopy の正しい理解

大量のファイルやフォルダを扱う場合、Windows標準の robocopy コマンドが有効である。ただし、どのオプションで何が保持されるのかを正確に把握しておく必要がある。マイクロソフトの公式リファレンスに基づいて整理する。

バージョン履歴の既定値と、その落とし穴

Microsoft 365環境では、OneDrive／SharePoint上のファイルに自動的にバージョン履歴が記録される。「誰が、いつ」変更したかがシステム側に記録され、任意の過去バージョンへ復元できる。ローカルファイル管理と比べれば、格段に信頼性が高い。

既定値について、マイクロソフトは次のように述べている。

したがって「既定で500バージョンまで」という理解は、組織レベルの初期設定としては正しい。ただし、実務上は次の点に注意しなければならない。

• この500は「メジャーバージョン」の数である。マイナーバージョン（ドラフト）を作成するかどうか、いくつ保持するかは、ライブラリ／リスト単位の設定であり、組織レベルの設定では制御されない。組織レベルのバージョン制限が適用されるのはドキュメントライブラリ（リストテンプレートの基本型が1のもの）のみである。
• 既定値は変更されている可能性が高い。マイクロソフトは現在「自動（Automatic）」設定を推奨しており、これを選ぶと古いバージョンが間引かれる。自動設定のアルゴリズムは公式に説明されており、「最初の30日間は500件の上限内ですべてのバージョン」「30〜60日は毎時のバージョン」「60〜180日は毎日のバージョン」「180日以降は毎週のバージョン」を保持し、その間のバージョンは削除される。「すべての変更が残る」わけではない。
• 上限超過で削除されたバージョンは、ごみ箱を経由しない。マイクロソフトは「この削除ワークフローは通常のごみ箱をバイパスし、削除されたバージョンはごみ箱から復元できない」と明記している。
• 保持ポリシー（Retention）やeDiscovery ホールドの対象となっている項目については、ライブラリのバージョン制限が無視される。逆に言えば、記録として長期に残したいのであれば、バージョン履歴の設定ではなく保持ポリシーで守るのが正しい設計である。
• バージョン履歴の変更操作自体（組織・サイト・ライブラリの制限変更、バージョンの一括削除など）は、Microsoft Purview の監査イベントとして記録される。

ファイル名のルール化

システムによる自動管理が難しい環境では、ファイル名自体に日付を含めるルールを定めることが有効である。

• 形式例：YYYYMMDD_文書名_版番号.xlsx
• 日付は必ずゼロ埋めの8桁とし、区切り文字を使わない（ソート順が日付順と一致するため）
• 「最終版」「確定版」「_new」「_v2最新」といった語を用いない。相対的な語は、時間が経つと必ず矛盾する

ただし、Microsoft 365環境ではバージョン履歴機能があるため、別名保存を繰り返す必要性は大幅に減少している。ファイル名ルールは、あくまでバージョン管理システムを使えない環境における次善策と位置づけるべきである。

第3の柱　セキュリティで保護された環境での管理

Excelファイルには、機密情報や個人情報が含まれることが多い。適切なセキュリティ対策なしに管理すると、情報漏洩や不正アクセスのリスクが高まる。

物理的・論理的セキュリティ対策

アクセス制限のある環境での保管

重要なExcelファイルは、次のような環境で管理すべきである。

• 入室制限のあるサーバールーム
• アクセス権限が管理されたネットワークドライブ
• 暗号化されたクラウドストレージ（OneDrive／SharePoint等）

ローカルPCのデスクトップや個人フォルダに重要ファイルを保存することは避けるべきである。特にOneDrive／SharePointへの移行は、次の理由から推奨される。

• アクセス権限の詳細な設定が可能
• 自動バージョン履歴による変更追跡
• テナント側の監査ログの自動記録
• DLP（Data Loss Prevention）による機密情報保護
• 条件付きアクセスによるセキュリティ強化
• 保持ポリシー・レコード管理との連携

バックアップ戦略――3-2-1ルールとその拡張

従来、バックアップのベストプラクティスとして「3-2-1ルール」が広く推奨されてきた。

• 3つのコピーを保持する
• 2種類の異なる媒体に保存する
• 1つは別の場所に保管する

近年のランサムウェア攻撃の高度化を受けて、これを拡張した「3-2-1-1-0ルール」が提唱されている。

• 3つのコピーを保持する
• 2種類の異なる媒体に保存する
• 1つは別の場所に保管する
• 1つはオフライン／イミュータブル（不変）なコピーとする（追加）
• 0エラーでの復元確認を定期的に実施する（追加）

ランサムウェアはバックアップを狙う

従来のランサムウェアは、業務データを暗号化することで身代金を要求していた。しかし近年のランサムウェアは、バックアップデータ自体を標的にするようになっている。ネットワークに接続されたバックアップは、業務データと同様に暗号化される危険性がある。

このため、次の対策が不可欠である。

• オフラインバックアップ：ネットワークから物理的に切り離されたバックアップを保持する
• イミュータブルストレージ：一度書き込まれたデータを変更・削除できないストレージを使用する
• 定期的な復元テスト：バックアップが本当に復元可能かを定期的に検証し、その結果を記録する
• バックアップ管理系の権限分離：業務システムの管理者権限とバックアップの削除権限を同一人物に集中させない

デジタルセキュリティ対策

パスワード保護の適切な使用と限界

Excelには、ファイル・シート・セル単位でのパスワード保護機能がある。

• ファイルパスワード：ファイルを開く際にパスワードを要求する（実際にファイル全体が暗号化される）
• シート保護：特定のシートの編集を制限する
• ブック保護：シートの追加・削除・並べ替えなどの構造変更を制限する
• セルのロック：特定のセルのみ編集可能にし、数式や重要データを保護する

ここで決定的に重要なのは、これらのうち「シート保護」「ブック保護」「セルのロック」はセキュリティ機能ではないという点である。マイクロソフト自身が明言している。

実際、シート保護やブック保護は、.xlsx ファイル（実体はZIPアーカイブ）を展開してXMLを編集すれば解除できる。解除ツールも多数流通している。したがってシート保護は、「誤って壊さないための柵」と理解すべきであって、改ざん防止策ではない。

ファイルパスワードによる暗号化は、これらとは性質が異なり実際に暗号化が行われる。ただし旧形式との差が大きい。マイクロソフトは、バイナリ形式（.doc／.xls／.ppt）の暗号化にはRC4が使われており推奨されないこと、暗号化が必要な場合はOpen XML形式（.docx／.xlsx／.pptx）で保存することを推奨している。Open XML形式では、既定でAES（256ビット鍵長）・SHA-2・CBCによる暗号化が行われるとされている。

まとめると、機密性の高いデータには次の対策を併用する必要がある。

• 旧形式（.xls）を廃し、Open XML形式（.xlsx）に統一する
• OneDrive／SharePointのアクセス権限管理と組み合わせる（そもそも権限のない者にファイルを届けない）
• DLP（Data Loss Prevention）機能や秘密度ラベルによる保護を活用する
• シート保護を「セキュリティ対策」として手順書に書かない（誤った安心を生むため）

アクセス権限の管理

SharePointやOneDrive for Businessを使用する場合、適切なアクセス権限設定が極めて重要である。

• 最小権限の原則：必要な人にのみ、必要な権限を付与する
• 定期的な権限レビュー：退職者や異動者の権限を速やかに削除する
• 共有リンクの管理：期限付きリンクの活用、組織外共有の制限を行う
• 条件付きアクセス：特定のデバイスや場所からのアクセスのみを許可する
• 職務分離：記録を作成する者と、記録を承認する者、システムを管理する者を分ける

最後の「職務分離」は、GxP領域では特に重要である。作成者が自らの記録を承認できる構成は、それ自体が指摘対象となり得る。この点については当社記事「承認者はレビューをしてはいけない」もあわせて参照されたい。

第4の柱　GxP／規制対象記録としてのExcel

ここからが本稿の核心である。ここまで述べてきた管理策は、一般業務においては十分に有効である。しかし、GMP・QMS・GLP・GCPの下で保存が義務づけられた記録をExcelで扱う場合には、要求水準が一段上がる。

21 CFR Part 11 は「Excelだから適用外」ではない

まず、しばしば見られる誤解を正しておきたい。「Excelは業務システムではないからPart 11の対象外である」という理解は誤りである。Part 11の適用範囲は、ソフトウェアの種類ではなく記録の性質で決まる。

ここでいう「FDAの規則に定められた記録要求」が、いわゆる予測規則（predicate rule）である。医薬品であれば21 CFR Part 211、医療機器であれば21 CFR Part 820（QMSR）などがこれにあたる。したがって判定は次の順序で行う。

1. 予測規則が、その記録の作成・保存を要求しているか要求していなければ、Part 11の問題は生じない。単なる社内の計算メモであれば対象外である。
2. その記録を電子形式で作成・保存・提出しているか紙で作成し、紙で保存しているならPart 11の対象ではない（予測規則の要求は当然に適用される）。Excelで作成して電子ファイルのまま保存しているなら、対象になる。
3. 紙に印刷したものを「正式な記録」としているかFDAの「Part 11 – Scope and Application」ガイダンス（2003年8月）は、Part 11の範囲を狭く解釈する方針を示し、バリデーション・監査証跡・記録の保存・記録の複製に関する要求について執行裁量を働かせるとしている。ただし予測規則の要求そのものは全面的に執行するとも明言している。「印刷すればPart 11を回避できる」という運用が成り立つかは、印刷物が真に完全な記録たり得るか（ダイナミックな内容を静的な紙が保持できるか）に依存し、安易に依拠すべきではない。

【要点表】§11.10 の各要求 × Excel単体で満たせるか × 代替手段

21 CFR §11.10 は、クローズドシステムにおいて講じるべき手続と管理を(a)から(k)まで列挙している。これをExcelに当てはめると、何が本質的な限界なのかが明確になる。

監査証跡――ここがExcelの本質的な限界である

§11.10(e) の原文をあらためて掲げる。

この一文には、Excelでは満たしがたい要素が四つ含まれている。

もっとも、規制当局も「監査証跡を持たない仕組みが直ちに一切許されない」とまでは述べていない。PIC/Sのデータインテグリティ指針（PI 041-1、2021年7月1日発効）は、監査証跡機能を持つソフトウェアを選定・更新すべきことを求めたうえで、次のようにも述べている。

したがって実務的な落としどころは、次のようになる。

1. 記録の重要度を評価するその記録が品質・安全性・有効性の判断にどう影響するかで、要求される管理水準を決める。
2. 代替措置を定め、文書化する二次確認（ダブルチェック）の手順、印刷物への署名、バージョン履歴のレビュー手順などを規程に明記し、実施記録を残す。
3. 移行計画を持つ「代替措置で当面しのぐ」ことと「恒久的にExcelで足りる」ことは別である。監査証跡機能を持つシステムへの移行計画を、期限とともに文書化しておく。

監査証跡そのものの考え方と、査察での見られ方については、当社記事「ER/ES指針査察のいま――電子記録と監査証跡」もあわせて参照されたい。

スプレッドシートのバリデーション

Excelを規制対象記録に用いる場合、計算式やマクロを含むシートはコンピュータ化システムの一部としてバリデーションの対象となる。§11.10(a) が求める「バリデーション」はここに効いてくる。

MHRAのGXPデータインテグリティ指針は、バリデーションについて「意図した用途に対する（for intended purpose）」ものでなければならないとし、ベンダーが提供する検証データだけを、システムの構成や利用者の意図した用途から切り離して受け入れることは容認されないと述べている。表計算シートの場合、ベンダー（マイクロソフト）が提供するのはExcelというアプリケーションであって、自社が組んだ数式・マクロ・入力規則は自社の責任範囲である。

実務上、少なくとも次を確認・記録する必要がある。

• 数式の検証：既知の入力に対して期待どおりの出力が得られるか（境界値・異常値を含む）
• 丸め・桁の扱い：表示上の丸めと内部値の差、有効数字の扱い
• 参照範囲：行の挿入・削除で参照がずれないか。相対参照・絶対参照の妥当性
• 入力規則：想定外の値が入らないこと。空白セルが計算に与える影響
• 保護の設定：数式セルがロックされ、意図せず上書きされないこと
• マクロ（VBA）：ソースコードの版管理、変更管理、テスト記録
• 再現性：同じ入力から同じ出力が得られること（揮発性関数や外部参照に注意）

バリデーションの深さをどう決めるかについては、ISPEのGAMPが示すソフトウェアのカテゴリ分類の考え方が広く参照されている。市販ソフトをそのまま使う場合と、設定・カスタマイズを施す場合と、独自にコードを書く場合とで、求められる検証の範囲が変わる、という枠組みである（GAMPの刊行物は有償頒布のため、本稿では概念の参照にとどめ、逐語の引用は行わない）。表計算シートは、単純な入力表であれば軽く、複雑な数式やマクロを含めば重くなる、と理解しておけばよい。

また、FDAは2026年2月3日付で「Computer Software Assurance for Production and Quality Management System Software」を最終ガイダンスとして発出しており、これは2025年9月24日発出の「Computer Software Assurance for Production and Quality System Software」に取って代わるものである（名称が “Quality System” から “Quality Management System” へ変更されている点に注意）。リスクベースで検証の労力を配分する考え方を示すものであり、表計算シートの検証範囲を決める際の参考になる。CSV／CSAとGAMP 5の関係については、当社記事「ER/ES実践講座 続報――CSV／GAMP 5／CSA／データインテグリティ」も参照されたい。

データインテグリティ（ALCOA+）とExcel

データインテグリティの原則としてよく知られるALCOA／ALCOA+について、MHRAの指針は次のように定義している。

Excelで管理された記録が指摘を受けやすいのは、主として次の属性である。

MHRAの指針は、記録の形式を「静的（static）」と「動的（dynamic）」に区別し、動的な記録は利用者と記録内容との対話的な関係を許すものだと説明している。Excelファイルはまさに動的な記録であり、印刷して静的な形にした時点で、再計算・並べ替え・元データへの遡及といった性質が失われる。「印刷して保管すればよい」という運用が原本性の観点で問題視されるのは、この点による。

PIC/Sの指針は、データがローカルドライブに一時保存されることのリスクにも触れ、「ローカルのコンピュータ化システム上にデータを一時保存することは、データが削除または改ざんされる機会を生む。これは特に『スタンドアロン』（非ネットワーク）システムの場合にリスクが高い」と述べている。Excelファイルを個人PCのデスクトップに置く運用は、まさにこの類型にあたる。

データインテグリティの3要素、およびメタデータの位置づけについては、当社記事「データインテグリティ保証の3要素」「メタデータとは何か」もあわせて参照されたい。

厚生労働省 ER/ES指針の三要件

国内では、平成17年4月1日付・薬食発第0401022号「医薬品等の承認又は許可等に係る申請等における電磁的記録及び電子署名の利用について」（いわゆるER/ES指針）が、電磁的記録の要件を定めている。その適用範囲は、承認・許可等に係る申請等に提出する資料として電磁的記録・電子署名を利用する場合、および原資料その他法令により保存が義務づけられている資料として電磁的記録・電子署名を利用する場合である。

同指針は、監査証跡について「監査証跡が自動的に記録され、記録された監査証跡は予め定められた手順で確認できることが望ましい」としている。Part 11 §11.10(e) が「shall（〜しなければならない）」で規定するのに対し、ER/ES指針は「望ましい」という表現を用いている点は、日米の要求水準の差として押さえておくとよい。ただし「望ましい」だからやらなくてよい、という読み方は査察の実務では通用しない。真正性の要件（作成・変更・削除の責任の所在が明確であること）を満たす手段として、実質的に監査証跡が求められることになるからである。

QMS省令・GMP省令における記録の管理

国内の省令レベルでも、記録の管理は明確に要求されている。条文を確認する。

注目すべきは第2項の「完全性の確保」の定義である。省令自身が「当該記録が正確であり、記録が作成された時点から不適切な改変がない状態を保つこと」と定義している。これはまさにデータインテグリティの要求であり、Excelファイルについて「作成された時点から不適切な改変がない」ことを、どうやって示すのかという問いに、企業は答えなければならない。

あわせて、文書（記録ではなく手順書等）の管理については同令第8条（品質管理監督文書の管理）が、改訂状況の識別、改訂版の利用可能性、廃止文書の誤用防止などを求めている。Excelの様式（テンプレート）は品質管理監督文書に該当し得るため、こちらの管理下にも入る点に注意が必要である。

医薬品側のGMP省令も同様である。

「記録に欠落がないよう継続的に管理する」「不整合がないよう継続的に管理する」――これがExcelファイルの散在した状態で成立するかは、率直に考えてみるべきである。同令第20条第1項第3号は、原則として作成の日から5年間（製品の有効期間に1年を加算した期間が5年を超える場合は、教育訓練に係る記録を除き、その期間）の保管を求めており、原薬については第22条がさらに長期の保管を定めている。この年限は、Microsoft 365の監査ログの既定保持期間（Standard 180日／Premium 1年）をはるかに超える。

改正GMP省令の運用については、当社記事「改正GMP省令 2026年版アップデート」もあわせて参照されたい。

いつExcelをやめるべきか――移行の判断基準

以上を踏まえ、規制対象記録についてバリデーション済みシステムへの移行を検討すべき状況を整理する。

1. 記録が「品質判断」に直結している出荷判定、逸脱の評価、規格適合性の判断など、製品品質に直接影響する記録。監査証跡の欠如が致命的になる。
2. 承認ワークフローが必要である作成者・確認者・承認者の三者が関与する記録。Excelでは職務分離と署名の結合を実現できない。
3. 電子署名を要する21 CFR §11.50（署名の明示事項：署名者の氏名・署名の日時・署名の意味）および §11.70（署名と記録の結合）を満たす必要がある場合。Excelでは不可能である。この点は当社記事「電子署名の3つの明示事項」に詳しい。
4. 複数部門・複数拠点にまたがる版の分岐が構造的に発生する。単一の真実の情報源（single source of truth）を維持できない。
5. 大量のトランザクションを扱う行数の増加とともに、数式の破壊・参照ずれ・手作業の誤りが指数的に増える。
6. 保存年限が長い監査ログ・バージョン履歴の保持期間を超える年限が必要な場合。エクスポートと長期保管の仕組みが別途必要になる。

逆に、次のような場合はExcelを使い続ける合理性がある。設備の日常点検の集計表（原本は別にある）、教育訓練の受講状況の一覧（署名は別紙）、傾向分析のための二次加工――いずれも原本が別に存在し、Excelはその二次的な集計・可視化に用いられているケースである。この区別を明確にし、手順書に「何が原本か」を明記することが、実務上きわめて重要である。

内部統制におけるExcel管理の課題と対策

まず、J-SOXについての事実関係を整理する

もっとも、実施基準がExcelに言及していないことは、Excelでの内部統制運用が問題ないことを意味しない。基準は内部統制の基本的要素のひとつとして「ＩＴへの対応」を掲げ、これを「ＩＴ環境への対応」と「ＩＴの利用及び統制」から成るものとしている。そして「ＩＴの利用及び統制は、導入されているＩＴの利便性とともにその脆弱性及び業務に与える影響の重要性等を十分に勘案した上で、評価されることになる」と述べている。Excelの「脆弱性」を勘案して評価せよ、というのが基準の立場であると読むのが素直であろう。

また、ＩＴに係る業務処理統制の評価項目として、実施基準は「入力情報の完全性、正確性、正当性等が確保されているか」「エラーデータの修正と再処理の機能が確保されているか」「マスタ・データの正確性が確保されているか」「システムの利用に関する認証・操作範囲の限定など適切なアクセス管理がなされているか」を例示している。Excelでこれらを満たせるかを一つずつ点検すれば、限界はおのずと見えてくる。

Excel単体運用の限界

証跡が残らない問題

Excel単体では、「誰が、いつ、何を」変更したかを確実に記録することが困難である。特にローカルPCで管理されているExcelファイルでは次の問題が生じる。

• アクセスログが記録されない（既定では監査が有効になっていないため）
• 変更履歴を後から改ざん・消去できる（機能をオフにすれば全履歴が消える）
• ファイルのコピーや削除が追跡できない
• ファイル名を変えて別物として保存されても検知できない

これにより、監査時に「やったことを証明できない」状態に陥り、説明責任を果たせなくなる。

改ざんが容易な問題

• ファイルのコピーや変更が簡単である
• タイムスタンプの操作が可能である（システム日時の変更で足りる）
• シート保護・ブック保護は、マイクロソフト自身が「セキュリティ機能ではない」と述べている
• 旧形式（.xls）の暗号化はRC4に依存しており、マイクロソフトも推奨していない
• ハッシュ値による完全性確認が運用として定着していない

属人的な運用の問題

• 個人PCに保存され、組織として管理できない
• バージョン管理が担当者の判断に依存する
• 担当者不在時に業務が継続できない
• 退職時にファイルが失われる
• 複雑な数式やマクロの意図を、作成者以外が理解できない（保守不能に陥る）

Excel運用の最低限要件

システム環境の要件

1. OneDrive／SharePoint上での管理ローカルPC保存を禁止し、クラウド環境で一元管理する。
2. バージョン履歴の有効化と設定の把握変更の追跡可能性を確保する。あわせて組織の版数上限・自動間引きの設定を把握し、記録の保存年限と突き合わせる。
3. アクセス権限の適切な設定最小権限の原則に基づく権限管理。共有アカウントを廃し、個人を識別できるようにする。
4. 監査ログの取得と保持テナントの監査ログを有効にし、必要な保持期間を確保する。既定の保持期間で足りない場合はエクスポートと外部保管を設計する。
5. 保持ポリシーによる保護法定保存年限のある記録には保持ポリシー（またはレコード宣言）を適用し、バージョン制限による自動削除の対象外とする。

運用ルールの要件

1. 原本の定義「何が原本か」を手順書に明記する。Excelが原本なのか、機器出力が原本でExcelは二次加工なのかを曖昧にしない。
2. 確定版の読み取り専用設定と権限剥奪意図しない変更を防止する。設定だけでなく、書き込み権限そのものを外す。
3. 定期的な監査ログ・バージョン履歴のレビュー異常なアクセスや説明のつかない変更を検知する。レビューの実施記録を残す。
4. 変更理由の記録重要な変更については、変更理由と変更者を別途記録する。Excelが記録してくれない以上、手順で補うしかない。
5. バックアップと復元テスト3-2-1（拡張版を含む）の考え方に沿って設計し、復元テストの結果を記録する。
6. 定期的な棚卸し不要ファイルを削除し、保管対象を明確にする。ただし保存義務のある記録を誤って削除しないよう、削除前の確認手順を定める。

システム化への移行

これらの要件を満たしても、Excel単体には前述の限界がある。次の場合は専用システムへの移行を検討すべきである。

• 複数部門にまたがる業務プロセス
• 承認ワークフローが必要な業務
• 大量のトランザクションを処理する業務
• 高度な監査証跡が必要な業務（GxP記録は原則としてここに入る）

専用システムとしては、ワークフローシステム、内部統制専用ツール、ERP（統合基幹業務システム）、クラウド型業務管理システム、そしてGxP領域であればバリデーション済みのeQMS／LIMS／MESといった選択肢がある。

Excel管理の自己診断チェックリスト

自組織のExcel管理体制を確認するため、次のチェックリストを活用されたい。

デジタル管理項目

• □ OneDrive／SharePointでのファイル管理が実施されているか
• □ バージョン履歴が有効化されており、その上限と間引き設定を把握しているか
• □ 「変更履歴の記録（レガシー）」に依存した運用が手順書に残っていないか
• □ 読み取り専用設定を確定版ファイルに適用しているか（あわせて書き込み権限を外しているか）
• □ ファイルのコピー＆ペーストではなく、移動や参照を使用しているか。ボリュームをまたぐ移動の挙動を理解しているか
• □ ファイル名に日付や版番号を含めるルールが定められているか（バージョン管理システムがない場合）

内部統制項目

• □ 「誰が、いつ、何を」変更したかを追跡できる仕組みがあるか
• □ 監査ログの自動記録と定期レビューが実施されているか。保持期間は保存年限を満たしているか
• □ 改ざん検知の仕組み（ハッシュ値等）があり、ハッシュ値自体が保護されているか
• □ 監査時に証跡を迅速に提出できる体制があるか
• □ 重要な変更時には変更理由と変更者を記録しているか
• □ 定期的に棚卸しを行い、不要ファイルを削除しているか（保存義務の確認手順を伴うか）

GxP／規制対応項目

• □ そのExcelファイルが予測規則（predicate rule）の要求する記録に該当するかを判定しているか
• □ 「何が原本か」が手順書に明記されているか
• □ 数式・マクロを含むシートについて、意図した用途に対するバリデーションを実施し、記録を残しているか
• □ 監査証跡が実現できない部分について、代替措置（二次確認等）を定め、文書化しているか
• □ ALCOA+の各属性について、Excel運用上の弱点を評価しているか
• □ 共有アカウントでファイルが開かれていないか（帰属性の確保）
• □ 保存年限を通じて真正性・見読性・保存性が確保される計画があるか
• □ バリデーション済みシステムへの移行計画を、期限とともに文書化しているか

セキュリティ項目

• □ アクセス制限のあるフォルダやドライブで管理されているか
• □ 機密情報を含むファイルには適切な保護が設定されているか
• □ 旧形式（.xls）が残っていないか
• □ シート保護を「セキュリティ対策」として手順書に記載していないか
• □ アクセス権限の定期レビューが行われているか
• □ DLP（Data Loss Prevention）機能や秘密度ラベルが活用されているか
• □ 条件付きアクセスポリシーが設定されているか

ランサムウェア対策項目

• □ 3-2-1（拡張版を含む）のバックアップ設計になっているか
• □ オフライン／イミュータブルバックアップがあるか
• □ バックアップからの復元テストを定期的に実施し、記録しているか
• □ バックアップデータへのアクセス制御は適切か（権限分離がなされているか）
• □ ランサムウェア検知の仕組みがあるか

今後の展望――Excelを取り巻く環境の変化

クラウド化による管理の進化

Microsoft 365の普及により、Excelもクラウドベースでの利用が主流になりつつある。これにより、データ管理の質は確実に向上している。

自動バージョン履歴

OneDrive／SharePoint上のExcelファイルには、自動的にバージョン履歴が保存される。過去のバージョンに遡って確認・復元が可能となり、ローカル管理と比べれば信頼性は大きく向上する。手動でのバージョン管理や別名保存の必要性も減少した。ただし、繰り返しになるが、上限と自動間引きがある。

リアルタイム共同編集

複数人が同時に編集できる機能により、メール添付でのファイル共有が不要になり、「最終版」の混乱が解消される。変更が即座に反映されるため、作業効率は大きく向上する。ただし共同編集は、レガシーの「変更履歴の記録」を提供しない。マイクロソフトも「共同編集は変更を追跡する機能を提供しない」旨を述べている。共同編集への移行は、証跡の観点では「別の手段（変更内容ペインとバージョン履歴）へ移る」ことを意味する。

監査ログの自動記録

誰がいつアクセスし、何を変更したかがテナント側で自動的に記録され、トレーサビリティが確保される。ただし保持期間の設計は自社の責任である。「クラウドにしたから証跡性は自動的に満たされる」という理解は誤りである。

AIとの統合による新たな可能性と、その注意点

AIがExcelに統合されつつあり、次のような機能が実用化されている。

• データクリーニング（重複削除、形式統一）
• トレンド識別と予測分析
• 複雑な関数の自動生成
• テキスト分析
• グラフとピボットテーブルの自動生成
• 異常値の検出

利用条件

これらの機能を利用するには、契約上の条件がある。法人向けにはMicrosoft 365 Copilotのライセンス（有料アドオン）が必要である。個人向けについては、Microsoft 365 Personal／Familyの契約者に月60のAIクレジットが付与され、Word・Excel・PowerPoint・Outlook等の各アプリケーションで消費される。クレジットは毎月1日にリセットされ、上限に達した場合は上位プランへの切り替えが必要となる。

COPILOT関数について

セルに自然言語のプロンプトを書いてAI処理を行う「COPILOT関数」が提供されてきたが、この関数について、マイクロソフトは「2026年9月14日以降、COPILOT関数は利用できなくなる」と告知している。Copilot in Excel（サイドペイン）が一般提供されており、同様のAI処理に対応するとされている。

そしてGxP／内部統制の観点から、はるかに重要なのは次の記載である。マイクロソフトは同関数について「COPILOT uses AI and can give incorrect responses（COPILOTはAIを使用しており、誤った応答を返すことがある）」と明記し、正確性が求められる用途、法的・規制上の意味を持つ用途、財務報告に用いることを避けるよう案内している。さらに「同じ引数であっても、数式の結果が時間の経過とともに変わることがある」ため、一貫性が必要なら値に変換することを推奨している。

セキュリティの最新動向

ゼロトラストアーキテクチャ

従来の境界防御（組織内は安全、外部は危険という考え方）から、ゼロトラスト（すべてのアクセスを検証する）への移行が進んでいる。Microsoft 365では、条件付きアクセスポリシー、MFA（多要素認証）の必須化、デバイスコンプライアンスチェック、リスクベース認証といった機能によりこれを実現している。

DLP（Data Loss Prevention）の活用

DLPは、機密情報の自動検知と保護を実現する機能である。Excelファイルに含まれる個人情報や機密情報を自動的に検知し、外部共有の自動制限、ダウンロード制限、ポリシー違反の自動通知、機密情報のマスキングといった保護措置を講じる。

Excelは便利なツールである。その便利さを否定する必要はない。しかし、便利さと「記録としての信頼性」は別の軸にある。この二つを混同したまま重要な記録をExcelに委ね続けることこそが、最大のリスクである。各組織の業務特性と記録の重要度に応じて、本稿で示した論点を一つずつ点検し、実効性のある管理体制を構築されることを期待する。