改ざんの真の定義 ー 過失もまた、改ざんと同等に重大視される

「改ざん」と聞けば、多くの人はまず、誰かが故意にデータを書き換える悪意ある不正行為を思い浮かべる。しかし医薬品・医療機器の品質保証、とりわけデータインテグリティ（Data Integrity）の枠組みにおいては、故意であるか過失であるかを問わず、データの完全性・正確性・信頼性を損なう行為はデータインテグリティ不適合（DI不適合）として、故意の改ざんと同等の重みをもって扱われうる。本稿では、規制文書が「意図」を要件としていないことを条文レベルで確認し、過失や事故、ケアレスミスがなぜ患者安全の観点から重大な事象として位置づけられるのか、そして製造現場・品質管理部門は何をなすべきかを論じる。

「改ざん」の一般的なイメージと規制上の定義

日常的な「改ざん」の語感

日常用語としての「改ざん」は、強い悪意を伴うニュアンスを持つ。文書の偽造、データの捏造、不利な結果の隠蔽といった、明確な意図のもとに行われる不正行為が想起される。日本語の辞書的定義においても、改ざんは「文書などを故意に書き直すこと」と説明されることが多い。

実際、医薬品業界において過去に公表され広く知られた重大事案の多くは、組織的・意図的な不正として報じられてきた。そのため現場の担当者が、データの取り扱いを誤ったときに「自分は改ざんなどしていない」「悪意はなかったのだから問題ないはずだ」と考えてしまうのは、ある意味で自然な反応であるとも言える。

規制文書は「意図」を要件としていない

規制当局の視点は、日常語の語感とは異なる。ここで重要なのは、主要な規制文書のいずれも、不適合の成立要件として「故意であること」を要求していないという事実である。以下、条文・原文にあたって確認する。

PIC/S PI 041-1（2021年7月1日発効）

PIC/S（医薬品査察協定・医薬品査察共同スキーム）が2021年6月1日に採択し、同年7月1日に発効させたガイダンス「PI 041-1 Good Practices for Data Management and Integrity in Regulated GMP/GDP Environments」は、第6章「Organisational influences on successful data integrity management」の6.1.6項において、次のように明記している。

「not limited to fraud or falsification」という一文は、本稿の主題そのものである。規制当局が問題としているのは行為者の動機ではなく、データの信頼性が損なわれうる状態それ自体なのである。

21 CFR Part 11 §11.10(e)

米国FDAの電子記録・電子署名規則である 21 CFR Part 11 の §11.10(e) は、監査証跡の要求に続けて、次の一文を置いている。

ここでも「意図的に不明瞭にしてはならない」とは書かれていない。結果として先行記録が不明瞭になれば、それだけで要求違反である。上書き保存によって原データが失われた場合、担当者に悪意がなくとも、この条項の要求は満たされていない。

興味深いのは、同じ §11.10 のうち、falsification（偽造）という語が明示的に登場するのは (j) 号（電子署名の下で行った行為に対する個人の責任を定めた文書方針を確立し遵守すること。記録および署名の偽造を抑止するため）のみであるという点である。すなわち Part 11 は、偽造の抑止を別途 (j) 号で扱ったうえで、(e) 号では意図を問わない客観要件を課していると読むのが自然である。

21 CFR §211.194（試験検査記録）

医薬品CGMPの中核条項である 21 CFR §211.194(a) は、試験検査記録に「確立された規格および基準への適合を保証するために必要なすべての試験から得られた完全なデータ（complete data）」を含めることを求め、(a)(4) では「各試験の過程で得られたすべてのデータの完全な記録（a complete record of all data secured in the course of each test）」を要求している。

ここにも「意図的に省略してはならない」という限定はない。望ましくない結果を意図的に除外した場合も、うっかり転記を忘れた場合も、「complete data ではない」という結論は同一である。さらに (a)(8) は、原記録が正確性・完全性・基準適合性の観点からレビューされたことを示す第二者の署名を求めており、これは過失を検出するための仕組みにほかならない。

日本の GMP省令 第20条第2項

日本においても同様である。GMP省令（平成16年厚生労働省令第179号）は、令和3年改正で第20条（文書及び記録の管理）に第2項を新設し、手順書等および記録について「欠落がないよう」「正確な内容であるよう」「他の手順書等及び記録の内容との不整合がないよう」継続的に管理すること、および欠落・不正確・不整合が判明した場合には原因を究明し所要の是正措置および予防措置をとることを求めている。

この改正の趣旨について、施行通知（令和3年4月28日 薬生監麻発0428第2号）は、第20条関係において「手順書並びに記録の信頼性（いわゆるデータ・インテグリティ）の確保に係る業務について規定するものである」と説明し、その具体的内容として「混同、転記ミス、データのコピーエラーその他作業上の過誤を防止する措置をとる」ことを例示している。条文にも通知にも、「故意の場合に限る」という限定は一切存在しない。

過失によるDI不適合：現場で起こりうる典型例

過失によるDI不適合は、現場では「ミス」「うっかり」「事故」として処理されがちである。しかし、それらが結果的にデータの信頼性を損なう以上、規制当局はこれを改ざんと同等に扱う場合がある。代表的な事例を、損なわれるALCOA+要素とともに整理する。

いずれの事例も、意図的な不正とはまったく異なる経路で発生している。しかし記録の状態だけを見れば、故意に改変された記録と区別がつかない。査察官の前に置かれるのは動機ではなく記録であり、記録は動機を語らない。

なぜ過失も「改ざん」と同等に扱われるのか

1. 患者にとって、動機は無関係だから医薬品・医療機器規制の根本にある価値は患者安全である。この視点に立つとき、データの誤りが故意によるものか過失によるものかは、患者にとってほとんど意味を持たない。純度試験データが意図的に改ざんされたものであっても、ケアレスミスにより誤って報告されたものであっても、患者が被るリスクは同じである。PIC/S PI 041-1 の6.1.8項も、DI不備の帰結が患者安全に直接影響し、組織と製品への信頼を損なうと述べている。
2. 過失のほうが範囲を特定しにくい場合があるから意図的な不正であれば、調査によって不正の範囲・時期・関与者を特定できる可能性がある。しかし無自覚な過失は、そもそも「起きたこと」が認識されていないため、リスクの所在が不透明なまま製品が市場に流通することにつながりかねない。この意味で、過失はより深刻な危険を内包しうる。
3. ALCOA+原則が意図を評価軸に含まないからデータの信頼性を客観的に評価する枠組みであるALCOA+（Attributable, Legible, Contemporaneous, Original, Accurate に Complete, Consistent, Enduring, Available を加えたもの）は、行為者の意図を問わない。原則を満たさない記録は、故意による偽造であろうと過失による誤記であろうと、等しく不適合と判定される。この客観性こそが、ALCOA+が国際標準として機能している理由でもある。
4. 当局が「個人のミス」ではなく「品質システムの欠陥」と見るから規制当局は、過失によるDI不適合を「個人のミス」として片付けず、「品質システムの欠陥」として捉える傾向にある。すなわち、ミスが発生しうる手順、ミスが検出されない仕組み、ミスを許容する文化こそが本質的な問題であるという認識である。この視点は ICH Q9（品質リスクマネジメント）にも通底し、ヒューマンエラーを単独の事象としてではなくシステム全体のリスクとして評価することを求めている。

実務における対策

ここからは、過失によるDI不適合を防ぐために現場で取りうる具体的な対策を整理する。三つの層は相互に補完し合う関係にあり、いずれか一つだけでは十分ではない。

1. 技術的対策――ミスを生まない仕組み

GxP電子記録を取り扱うシステムにおいて、監査証跡の有効化と定期的なレビューは事実上必須の要件となっている。前述のとおり 21 CFR §11.10(e) は、適用対象となる電子記録について、セキュアかつコンピュータ生成のタイムスタンプ付き監査証跡を要求している。

欧州においては、EU GMP Annex 11「Computerised Systems」（現行版は2011年1月改訂）の第9項が、リスク評価に基づきGMP関連の変更・削除に関する記録（システム生成の監査証跡）を構築すること、監査証跡が可読な形式で入手・変換可能であり定期的にレビューされることを求めている。なお、Annex 11 については改訂案が欧州委員会のパブリックコンサルテーションに付されているため、最新の状況を確認されたい。

加えて、入力値の妥当性チェック、二重入力照合、自動演算によるヒューマンエラーの削減、システムによる権限分離といった技術的なエラー予防策の導入が有効である。適正にバリデートされた電子記録が紙より信頼性が高いとされるのは、まさにこうした予防機構を組み込めるからである。

2. 手順と教育による対策――ミスを検出する仕組み

SOP（標準作業手順書）においては、データ取り扱いの具体的手続きを明文化する必要がある。特に「修正が必要となった場合の手続き」を規定し、修正前のデータが消去されない仕組みを構築することが肝要である。PIC/S PI 041-1 の8.7項は、紙記録の訂正について「変更すべき箇所を一本線で消す」「訂正の理由を明確に記録する」「イニシャルと日付を記入する」「元のデータが判読可能で不明瞭になっていないこと（修正液の使用や上書きは不可）を確認する」といった具体的な期待値を示している。

教育の場面では、「悪意なく行ったミスもDI不適合となりうる」「規制対応の場面では、故意の改ざんと過失によるDI不適合は、いずれも重大な事象として扱われる」という認識を、全従業員に浸透させる必要がある。ここでの目的は担当者を萎縮させることではなく、むしろデータの取り扱いに対する敬意と責任感を育むことにある。

3. ミスを報告できる文化の醸成――隠蔽を防ぐ仕組み

過失が発覚した際に、それを隠さず正直に報告できる組織文化（Just Culture）の醸成は、最も重要な対策の一つである。なぜなら、ミスの隠蔽こそが、過失を真の意味での「改ざん」へと変質させるからである。

「ミスは罰しない、しかし隠蔽は厳しく扱う」という方針を組織内で明確に示し、報告者を保護する仕組みを整備することが、長期的なデータインテグリティの基盤となる。WHO TRS 1033 Annex 4「Guideline on data integrity」（2021年）も、逸脱・誤り・欠落およびDI不備の透明かつオープンな報告を支える品質文化を確立・維持・継続的に改善する環境を提供することが上級経営陣の責任であるとし、データの偽造が判明した場合には適切な即時措置をとるべきとしている。

今後の展望

データインテグリティに関する規制要件は、今後さらに精緻化していくと見込まれる。とくに、AIや機械学習を活用したデータ解析が現場に浸透するにつれ、入力データの信頼性の重要性はこれまで以上に高まると考えられる。「Garbage In, Garbage Out」の格言が示すとおり、過失による誤りであっても、AIシステムにとっては「真実のデータ」として処理されてしまうからである。

また、リアルワールドデータ（RWD）やリアルワールドエビデンス（RWE）の活用が進むなかで、医療現場で発生する偶発的な記録ミスもまた、規制判断に影響を及ぼす可能性が指摘されている。データの源流における品質管理、すなわち「最初の一歩」での正確性の担保は、これからの時代においてその重要性をいっそう増していくと見られる。

関連記事

• 改ざんの真の定義――「改ざん」という語の定義そのものを規制文書から読み解く
• 意図した変更とは――正当な変更と不適切な改変を分ける境界
• データインテグリティ保証の3要素――保証の全体構造
• メタデータとは何か――監査証跡が「メタデータ」として果たす役割
• 紙と電子、どちらが原本か――ハイブリッド運用における原本の特定
• なぜ電子記録は適正にバリデートされれば紙より信頼性が高いのか
• なぜ2人以上の共謀が必要とされたのか――電子署名の管理要件の背景
• 電子署名の3つの明示事項――§11.50 が求めるもの
• データインテグリティを脅かす事象の8割とは――脅威の分類と実態
• なぜデータインテグリティが重要なのか――重要性の根拠
• 端末チェックとは何か――§11.10(h) が求める具体的コントロール

患者安全という最優先の価値を守る道は、「改ざん」という言葉の射程を正しく理解し、悪意の有無にかかわらずデータの信頼性を守り抜くという、地味ではあるが極めて本質的な営みの中にこそ存在するのである。