21 CFR Part 11への準拠：実際に求められる要件とは

重要ポイント

• 21 CFR Part 11への準拠は、テクノロジーそのものではなく、システムを取り巻く管理策（バリデーション、アクセス制御、監査証跡）によって実現されます。「本質的に」準拠している製品は存在しません。
• この規則の要点は、記録に対するすべての操作に、氏名、タイムスタンプ、理由が伴うということです。紙がない場合でも同じです。
• Part 11はHIPAAではありません。HIPAAは医療データのプライバシーとセキュリティを規定するのに対し、Part 11はFDA規制対象の記録および署名の完全性とトレーサビリティを規定します。一方を満たしていても、もう一方を満たしているとは限りません。
• Part 11は1997年から施行されており、製薬、バイオテクノロジー、医療機器、臨床関連の組織にとって、現在も中核的な要件です。

‍

21 CFR Part 11への準拠は、単一のテクノロジーが備える特性ではありません。電子記録が信頼できることを証明するための管理策の集合であり、バリデーション済みのシステム、アクセス制御、そしてすべての操作を特定の個人、タイムスタンプ、理由に結び付ける監査証跡が含まれます。FDA（米国食品医薬品局）は、製品がPart 11に準拠していると認証することはありません。システムを取り巻くセーフガードに責任を負うのは、そのシステムを使用する組織です。そのため、同じソフトウェアを使っていても、準拠しているのは一方の企業だけ、ということが起こり得ます。

‍

21 CFR Part 11とは？

21 CFR Part 11は、電子記録と電子署名をどのように管理しなければならないかを定めたFDAの規則であり、製薬、バイオテクノロジー、医療機器、臨床研究などのFDA規制対象業界に適用されます。電子記録とは、電子的な形式で作成、変更、保守、保管、取得、または送信されるあらゆるデータを指し、電子署名とは、手書き署名に相当する電子的なものを指します。目的は、電子記録と電子署名を、紙とインクによる記録と同じくらい信頼でき、追跡可能なものにすることです。この規則は1997年3月20日に公表され、1997年8月20日に発効しました。それから30年近くが経った現在も、引き続き有効です。21 CFR Part 11の条文はeCFRで確認できます。

‍

21 CFR Part 11への準拠には、実際に何が必要ですか？

この規則は3つのサブパートで構成されていますが、実務上の21 CFR Part 11の要件は、短いチェックリストに集約できます。覚えやすい捉え方は、紙がなくても、すべての操作に氏名、タイムスタンプ、理由が伴うということです。監査証跡とは、作成、編集、削除のすべてについて、タイムスタンプとユーザーを紐付けて残す記録であり、これを可能にするものです。

‍

‍

21 CFR Part 11は誰に適用されますか？

Part 11は、必要な記録を電子的に保管している、または手書き署名の代わりに電子署名を使用しているFDA規制対象の組織に適用されます。適用範囲は部門ではなく記録によって決まります。規制対象の組織がFDA規制対象の電子文書を作成、保管、または送信した時点で、その文書を扱うシステムが適用対象になります。送信システムも含まれるため、Fax.Plusのような安全なオンラインFAXサービスで規制対象の文書を送受信する場合は、監査証跡とアクセス制御を備えた運用が必要になります。この規則の適用範囲の広さについては、FDAが適用範囲と適用に関するガイダンスで説明しています。

‍

21 CFR Part 11とHIPAAの違いは何ですか？

この2つはしばしば混同されますが、その違いは重要です。HIPAA（Health Insurance Portability and Accountability Act：医療保険の携行性と責任に関する法律）は、保護対象保健情報（PHI）のプライバシーとセキュリティを保護します。PHIとは、対象事業者が取り扱う、個人を特定できる健康データのことです。21 CFR Part 11は、FDA規制対象の電子記録と電子署名の完全性とトレーサビリティを保護します。HIPAAで一般的に用いられる文書がBusiness Associate Agreement（BAA）で、ベンダーが貴社に代わってPHIを取り扱うことを認める契約です。両者は異なる課題を解決するものであり、一方を満たしていても、もう一方を満たしているとは限りません。

‍

‍

21 CFR Part 11への準拠に向けた進め方

コンプライアンスは、購入できるラベルではなく、実証できる管理策の集合として捉えましょう。実際には、ベンダー文書を備えたバリデーション済みシステム、アクセス制御と一意のユーザーアカウント、完全な監査証跡、一意で検証済みの電子署名、そして定められた記録保存期間が必要です。根拠を示せない主張は、誇張せず控えめに表現してください。規制当局が評価するのは、主張する内容ではなく、示すことのできる内容だからです。

‍

よくある質問

‍

21 CFR Part 11はいつ発効しましたか？

最終規則は1997年に公布され、1997年8月20日に発効しました。現在も有効であり、FDA規制対象の電子記録および電子署名に引き続き適用されます。

‍

21 CFR Part 11は誰に適用されますか？

必要な記録を電子的に作成、変更、保守、保管、取得、または送信する、あるいは手書き署名の代わりに電子署名を使用する、FDA規制対象の組織（製薬、バイオテクノロジー、医療機器、臨床業務など）に適用されます。

‍

21 CFR Part 11の目的は何ですか？

その目的は、電子記録と電子署名を紙と同等に信頼できるものにし、FDA規制対象の記録が正確で、帰属が明確で、改ざんを検知できるものとして信頼できるようにすることです。

‍

導入しただけで「21 CFR Part 11に準拠」できる製品はありますか？

いいえ。コンプライアンスは、製品そのものではなく、管理策とシステムのバリデーションおよび運用方法によって成り立ちます。ベンダーはPart 11への対応を支援できますが、準拠していることを実証する責任は利用する組織にあります。

‍

電子署名は21 CFR Part 11に準拠できますか？

各署名が1人に固有であり、本人確認が行われ（多くの場合は2要素認証）、署名に署名者の氏名、日時、署名の理由が記録されていれば、電子署名はPart 11への対応に役立ちます。特定のツールが要件を満たすかどうかは、その設定とバリデーションの方法によって決まります。

‍

21 CFR Part 11の下でクラウドソフトウェアを使用できますか？

はい。システムがバリデーションされ、アクセスが管理され、監査証跡が完全であり、ベンダーが自組織のバリデーション作業を裏付ける文書を提供している場合、クラウドソフトウェアをPart 11の下で使用できます。