バリデーションの概念はどう変わったか
「バリデーション」という言葉は、製薬・医療機器業界において長く使われてきた。しかし、その意味は時代とともに大きく変化している。特に、FDA（米国食品医薬品局）が1997年に施行した21 CFR Part 11（電子記録・電子署名規則）は、バリデーションの概念そのものを根底から問い直す契機となった。
本稿では、Part 11施行前後でバリデーションの定義がどのように変化し、なぜ全米の分析機器がその対象として再認識されることになったのかを解説する。
そもそも「バリデーション」とは何か
バリデーション（Validation）とは、ある製造プロセスやシステムが、あらかじめ定めた仕様・基準を一貫して満たすことを、客観的な証拠によって確認・証明する活動である。
製薬業界では古くから、製造工程の再現性や製品品質の均一性を保証するためにバリデーションが求められてきた。たとえば、錠剤の打錠工程や滅菌プロセスが代表的な対象である。この段階では、バリデーションはあくまで「モノを作るプロセス」の信頼性確認という位置づけにとどまっていた。
Part 11施行以前：「動けばよい」時代のバリデーション
Part 11が施行される以前、コンピュータ化システムのバリデーション（CSV：Computer System Validation）は存在していたものの、その焦点は主に「機能の正確性」にあった。
- 入力した数値が正しく計算されるか
- データが正しく保存されるか
- 機器が仕様どおりに動作するか
このような確認が中心であり、「誰が」「いつ」「何を」操作したかという操作履歴の記録は、必須要件とはされていなかった。換言すれば、「正しく動いていれば、バリデートされている」という考え方が支配的であった。
Part 11が変えたもの：監査証跡の義務化
1997年8月に施行されたFDA 21 CFR Part 11は、電子記録と電子署名の信頼性確保を目的とする規則である。この規則の中で特に重要なのが、監査証跡（Audit Trail）の要件である。
Part 11では、GxP（Good Practice）に関連する電子記録を扱うシステムに対して、以下が求められる。
- 監査証跡の自動生成：記録の作成・変更・削除を自動的に記録すること
- 変更の追跡可能性：誰が、いつ、何を変更したかを追跡できること
- 記録の改ざん防止：監査証跡そのものが上書き・削除できない仕組みであること
ここで重要な概念の転換が生じた。監査証跡を持たないシステムは、それがいかに正確に動作していても「バリデートされた状態にない」と定義されるようになったのである。
「バリデート状態」の再定義：機能性から完全性へ
Part 11施行以前の「バリデーション」は、機能の正確性（Functional Accuracy）の証明であった。しかし施行後は、記録の完全性（Data Integrity）が不可欠な要素として加わった。
観点 /Part 11以前 /Part 11以降
———————————————————————————–
バリデーションの焦点 /機能の正確性 /機能の正確性＋記録の完全性
————————————————————————
監査証跡 /任意・非必須 /必須要件
————————————————————————————
未記録操作の扱い/容認されることもあった/ノンバリデート状態とみなされる
————————————————————————————
バリデート状態の条件/仕様どおりに動作する/仕様どおりに動作し、かつ全操作が追跡可能である。
この変化は、バリデーションを「機能テストの結果」から「継続的な信頼性の証明」へと昇華させるものであった。
なぜ全米の分析機器が対象となったのか
Part 11の適用範囲が明確化されるにつれ、業界に大きな衝撃をもたらしたのが「分析機器への適用」という問題であった。
HPLCやGCといった高速液体クロマトグラフ、ガスクロマトグラフをはじめとする分析機器は、測定データを電子的に生成・保存する。FDAの解釈によれば、こうしたGxP対象業務で使用される電子記録を生成するシステムはすべてPart 11の適用範囲に含まれる。
これが意味することは深刻であった。すなわち
- 監査証跡機能を持たない旧来の分析機器ソフトウェアは、「バリデートされていない」状態にあると見なされる
- 全米の製薬・医療機器メーカーが保有する無数の分析機器が、対応を迫られることになる
- 機器メーカーは監査証跡機能を持つソフトウェアへの移行・アップグレードを余儀なくされる
この状況は、業界全体に「コンプライアンスの再検討」という大波を引き起こした。
FDAによる適用範囲の「現実的な調整」
Part 11施行後、あまりに広範な適用によって業界の混乱が深刻化したため、FDAは2003年に「Scope and Application」と題したガイダンスを発出し、リスクベースアプローチ（Risk-Based Approach）による運用を示した。
このガイダンスでは、すべての電子記録に対して画一的な対応を求めるのではなく、記録の重要度や改ざんリスクに応じた優先順位付けが容認された。また、レガシーシステムに対しても、執行優先度に基づく柔軟な対応が容認されるようになった。
ただし、これはPart 11の要件が緩和されたことを意味しない。あくまでも「何から優先して対応するか」の考え方を示したものであり、監査証跡の必要性という根本的な要件は維持されている。
現代への教訓：バリデーションは「証明」ではなく「維持」である
Part 11がもたらした最も大きな概念の変化は、バリデーションを「一度行えば完了する証明行為」から「継続的に維持すべき状態」へと転換させた点にある。
現在のGxP規制環境において、バリデート状態とは以下の三要素が揃って初めて成立する。
- 機能の正確性：システムが仕様どおりに動作していること
- 記録の完全性：操作履歴が改ざん不可能な形で保存されていること
- 継続的な管理：変更管理や定期レビューを通じてバリデート状態が維持されていること
これは、ALCOA+原則（Attributable, Legible, Contemporaneous, Original, Accurate、およびComplete, Consistent, Enduring, Available）にも通じる考え方であり、データインテグリティの根幹をなすものである。
まとめ
Part 11の施行は、単なる電子記録の規制ではなかった。それは「バリデーションとは何か」という問いへの根本的な再定義を業界全体に迫るものであった。
監査証跡を持たないシステムはノンバリデート状態であるという定義は、全米の分析機器を含むあらゆるGxP関連システムに対して「記録の見えない化」を許容しないというFDAの強いメッセージであった。
今日のコンプライアンス担当者にとって重要なのは、バリデーションを「過去に実施した証明書」として捉えるのではなく、「現在進行形で維持すべき状態」として日々の業務に組み込んでいくことである。その視点こそが、Part 11が私たちに遺した最大の教訓といえるであろう。
