改ざんの真の定義

「改ざん」と聞けば、多くの人は故意の不正を思い浮かべる。しかし医薬品・医療機器のデータインテグリティ（Data Integrity）の枠組みにおいて、規制当局が問題とするのは「結果としてデータの信頼性が損なわれた状態」そのものである。本稿では、規制文書の条文に立ち返って「改ざん」の射程を整理し、正当な訂正との境界、そして過失や事故までもが患者安全性の観点から重大な事象として位置づけられる理由を論じる。

ー 過失もまた、改ざんと同等に重大視される

「改ざん」と聞いて、多くの人がまず思い浮かべるのは、誰かが故意にデータを書き換える、明確な悪意をともなう不正行為であろう。

日本語の辞書的定義においても、改ざんは「文書などを故意に書き直すこと」と説明されることが多い。しかし、医薬品および医療機器の品質保証の世界、とくにデータインテグリティ（Data Integrity）の枠組みにおいては、状況はこれと異なる。

故意であるか過失であるかを問わず、データの完全性・正確性・信頼性を損なう行為は、規制上「データインテグリティ不適合（DI不適合）」として、故意の改ざんと同等の重みをもって扱われうるのである。

本篇では、改ざんの「真の定義」を改めて整理し、なぜ過失や事故、ケアレスミスまでもが患者安全性の観点から重大な事象として位置づけられるのか、そして製造現場・品質管理部門は何をなすべきかを論じる。

「改ざん」の一般的なイメージと規制上の定義

日常的な「改ざん」の語感

日常用語としての「改ざん」は、強い悪意を伴うニュアンスを持つ。文書の偽造、データの捏造、不利な結果の隠蔽といった、明確な意図のもとに行われる不正行為が想起される。

実際、医薬品業界においても、過去に公表された重大事案の多くは、組織的・意図的な不正として広く知られている。ただし、個別事案の事実関係については、FDA Warning Letterや査察指摘（Form FDA 483）といった一次情報を参照されたい。

そのため、現場の担当者がデータの取り扱いを誤ったとき「自分は改ざんなどしていない」「悪意はなかったのだから問題ないはずだ」と考えてしまうのは、ある意味で自然な反応であるとも言える。

規制当局が示すデータインテグリティの定義

しかし、規制当局の視点はこれとは異なる。PIC/Sが2021年7月1日に発効させたPI 041-1「Good Practices for Data Management and Integrity in Regulated GMP/GDP Environments」は、データインテグリティを次のように定義している。

ここで強調すべきは、「故意か否か」「悪意があるかどうか」が定義要素として登場しないという点である。

米国FDAが2018年12月に最終版として発出した「Data Integrity and Compliance With Drug CGMP: Questions and Answers（Guidance for Industry）」も、データインテグリティを「データの完全性（completeness）、一貫性（consistency）、および正確性（accuracy）」として説明しており、悪意の有無を要件としていない。英国MHRAが2018年3月に公表した「’GXP’ Data Integrity Guidance and Definitions」も同様の立場をとる。

日本においても、PMDAが「データインテグリティについての期待値」を公表するなど、これら国際的なフレームワークに整合する形で運用が進められている。

すなわち、規制の世界において重視されるのは「結果としてデータの信頼性が損なわれた状態」そのものであり、行為者の動機は二次的な要素にとどまる。意図的な不正（falsification）も、過失によるDI不適合（data integrity lapse）も、ともに是正対象として真摯に扱われるのである。この点について、PIC/S PI 041-1は次のように明言している。

条文はどこまで「意図」を問うているのか

「改ざん」を論じるうえで、規制条文が実際にどのように書かれているかを確認しておくことは有益である。以下では、米国連邦規則集（CFR）の主要条項を確認する。

21 CFR Part 11 §11.10(e)――監査証跡

電子記録の統制を定める21 CFR Part 11のうち、監査証跡を要求しているのが§11.10(e)である。

注目すべきは、この条文が求めているのが「誰が、いつ、何をしたか」の客観的記録であって、「なぜしたか」「悪意があったか」ではないという点である。条文は行為者の内心を問うていない。問われているのは、それ以前に記録された情報が不明瞭にされていないかという一点である。

「意図」が現れる唯一の条項――§11.10(j)

Part 11のなかで「falsification（偽造）」という語が現れるのは、実は§11.10(j)だけである。

ここでも「偽造」は抑止すべき対象として言及されるにとどまり、違反成立の要件として「意図」が定義されているわけではない。電子署名の意味づけ（署名の表示事項）については、電子署名に付すべき表示事項およびPart 11が求める「共謀」要件もあわせて参照されたい。

医薬品GMPの記録要求

改ざんと「正当な訂正」を分かつもの

ここで実務上もっとも問い合わせが多いのが、「では、記録を直してはいけないのか」という点である。答えは明確に「否」である。正当な訂正は、規制文書が明示的に認めている手続きである。分かれ目は、意図の有無ではなく、手続きの有無にある。

紙記録における「一本線で抹消し、理由・イニシャル・日付を付す」という原則は、電子記録における§11.10(e)の「それ以前に記録された情報を不明瞭にしてはならない」という要求と、まったく同じ思想に立っている。媒体が変わっても原則は変わらないのである。この点は、紙の記録と電子記録はどちらが重要かでさらに詳しく論じている。

過失による「改ざん」：現場で起こりうる事例

過失による改ざんは、現場では「ミス」「うっかり」「事故」として処理されがちである。しかし、それらが結果的にデータの信頼性を損なう以上、規制当局はこれを改ざんと同等に扱う場合がある。以下、代表的な事例を挙げる。

1. 上書き保存による原データの消失電子データを編集する際、元のデータを保存せずに新しい値で上書きしてしまうケースである。監査証跡（Audit Trail）が機能していない、あるいは無効化されているシステムでは、誰がいつ何をどう変更したかが追跡できない。これは、ALCOA+原則における「Original（原本性）」「Attributable（帰属性）」を同時に損なう典型例である。
2. コピーペーストによる転記ミス表計算ソフトを用いて試験データを集計する際、誤った範囲のセルをコピーしてしまったり、貼り付け先を一行ずらしてしまうといったミスは、現場で頻繁に起こりうる。本人にはまったく悪意がないが、結果として記録される数値は事実と異なるものとなる。これは、データの正確性（Accurate）を損なうため、データインテグリティ不適合に該当しうる事象である。
3. 単位変換・桁数の取り扱いミスmgとμg、mLとLの取り違え、あるいは小数点以下の桁数の入力ミスは、製造記録や試験記録において深刻な結果を招きうる。とくに患者用量に直結する数値の場合、過失による誤記がそのまま臨床的リスクへとつながる可能性がある。
4. システム時刻設定の不備PCの時計が正しく設定されていない、あるいはタイムゾーンの設定が誤っていることにより、本来の測定時刻と記録された時刻が乖離する場合がある。これはALCOA+における「Contemporaneous（同時性）」を満たさない記録となり、規制上は不適合とみなされる。
5. デフォルト値の上書き忘れ測定機器に前回の測定値が残ったまま新たな測定を実施し、出力された報告書にそのデフォルト値がそのまま転記されるケースである。当事者は気づかないが、記録された値は実際の測定結果を反映していない。これもまた、結果としてデータインテグリティ不適合と判定されうる事例である。

なぜ過失も「改ざん」とみなされるのか

患者の視点に立つ規制哲学

医薬品・医療機器規制の根本にある価値は「患者安全」である。この視点に立つとき、データの誤りが故意によるものか過失によるものかは、患者にとってほとんど意味を持たない。

患者にとっては、自分が服用する薬の純度試験データが意図的に改ざんされたものであっても、ケアレスミスにより誤って報告されたものであっても、被るリスクは同じである。

むしろ、過失の場合は「どこが、どのように間違っているのか」が把握されていない分、リスクの所在が不透明であり、結果としてより深刻な危険を内包しうる。意図的な不正であれば、調査によって不正の範囲を特定できる可能性がある。しかし、無自覚な過失は、見過ごされたまま製品が市場に流通することにつながりかねない。

ALCOA+原則と完全性の評価

データインテグリティを担保する基本原則として、ALCOA+が国際的に採用されている。PIC/S PI 041-1は、これを「紙と電子の双方に適用される基本原則」として整理している。

この原則は、データの「信頼性」を客観的に評価するための枠組みである。ALCOA+原則は、行為者の意図を問わない。原則を満たさない記録は、故意による偽造であろうと過失による誤記であろうと、等しく不適合と判定される。この客観性こそが、ALCOA+が国際標準として機能している理由でもある。

品質システムの欠陥としての位置づけ

規制当局は、過失による改ざんを「個人のミス」として片付けず、「品質システムの欠陥」として捉える傾向にある。すなわち、ミスが発生しうる手順、ミスが検出されない仕組み、ミスを許容する文化こそが本質的な問題であるという認識である。

この視点は、ICH Q9(R1)（品質リスクマネジメント）にも通底する考え方であり、ヒューマンエラーを単独の事象として扱うのではなく、システム全体のリスクとして評価することを求めている。ICH Q9(R1)は2023年1月にStep 4に到達し、日本ではPMDAのICHガイドライン一覧に掲載されているとおり、2023年8月31日付け通知（薬生薬審発0831第1号・薬生監麻発0831第2号）により「品質リスクマネジメントに関するガイドライン」の改正として国内適用されている。

また、PIC/S PI 041-1は、社内でデータインテグリティ上の逸脱が見つかった場合、品質システムにおける他の逸脱と同様に取り扱い、問題の範囲と根本原因を特定したうえで是正し、予防措置を実施することを求めている（6.7項）。個人の懲罰で幕引きにする対応は、この要求を満たさない。

実務における対策

ここからは、過失による改ざんを防ぐために、現場で取りうる具体的な対策を整理する。

1. 技術的対策

GxP電子記録を取り扱うシステムにおいて、監査証跡（Audit Trail）の有効化と定期的なレビューは、事実上必須の要件となっている。前掲のとおり21 CFR 11.10(e)は、適用対象となる電子記録について、安全で、コンピュータにより自動生成される、タイムスタンプ付きの監査証跡を要求している。

EU GMP Annex 11の第9項も、リスク評価に基づきGMP関連の変更・削除に関する監査証跡を構築するとともに、変更理由の記録、可読性の確保、定期的レビューを求めている。

加えて、入力値の妥当性チェック、二重入力照合、自動演算によるヒューマンエラーの削減、システムによる権限分離など、技術的なエラー予防策の導入が有効である。

2. 手順と教育による対策

SOP（標準作業手順書）においては、データ取り扱いの具体的手続きを明文化する必要がある。特に「修正が必要となった場合の手続き」を規定し、修正前のデータが消去されない仕組みを構築することが肝要である。

教育の場面では、「悪意なく行ったミスもデータインテグリティ不適合となりうる」「規制対応の場面では、故意の改ざんと過失によるDI不適合は、いずれも重大な事象として扱われる」という認識を、全従業員に浸透させる必要がある。ここでの目的は担当者を萎縮させることではなく、むしろデータの取り扱いに対する敬意と責任感を育むことにある。この論点は、「意図した変更」とは何かでさらに掘り下げている。

3. ミスを報告できる文化の醸成

過失が発覚した際に、それを隠さず正直に報告できる組織文化（Just Culture）の醸成は、最も重要な対策の一つである。なぜなら、ミスの隠蔽こそが、過失を真の意味での「改ざん」へと変質させるからである。

PIC/S PI 041-1も第6章において、組織的な要因がデータインテグリティ管理の成否を左右するとし、「データインテグリティに関する透明性とオープンさを促進する文化」の重要性を明示している。

「ミスは罰しない、しかし隠蔽は厳しく扱う」という方針を組織内で明確に示し、報告者を保護する仕組みを整備することが、長期的なデータインテグリティの基盤となる。こうした仕組みが実際に機能しているかを確かめる場が内部監査である。内部監査の目的もあわせて確認されたい。

今後の展望

データインテグリティに関する規制要件は、今後さらに精緻化していくと見込まれる。とくに、AIや機械学習を活用したデータ解析が現場に浸透するにつれ、入力データの信頼性の重要性は、これまで以上に高まると考えられる。「Garbage In, Garbage Out」の格言が示すとおり、過失による誤りであっても、AIシステムにとっては「真実のデータ」として処理されてしまうからである。

また、リアルワールドデータ（RWD）やリアルワールドエビデンス（RWE）の活用が進む中で、医療現場で発生する偶発的な記録ミスもまた、規制判断に影響を及ぼす可能性が指摘されている。データの源流における品質管理、すなわち「最初の一歩」での正確性の担保は、これからの時代において、その重要性をいっそう増していくと見られる。

患者安全という最優先の価値を守る道は、「改ざん」という言葉の射程を正しく理解し、悪意の有無にかかわらずデータの信頼性を守り抜くという、地味ではあるが極めて本質的な営みの中にこそ存在するのである。