SaaS型システム導入時のCSVの進め方

株式会社イーコンプライアンス

はじめに（この回答の読み方）

本回答は、GxP業務（GMP・GQP・GVP・GCP等、規制対象業務）でクラウド型文書管理システムを導入しようとしている品質保証部門・IT部門のご担当者を想定しています。

CSVを初めて担当される方は、まず次の順序でお読みください。

1. 第0章「よくある失敗例」 — 何を避けたいのかを知る
2. 「結論（先に要点）」の表 — 質問への直接の回答
3. 第6章「標準的な進め方」 — 全体の流れをつかむ
4. その後、必要な章を辞書的に参照

第0章 まず「よくある失敗例」から

CSVは書類作成が目的ではありません。次のような事態を防ぐために行います。

結論（先に要点）

この表が、ご質問3点（①どこまで実施するか ②GAMP 5カテゴリ ③ベンダーオーディットと成果物）への直接の回答です。

1. 前提：SaaSでも「責任は自社」

1-1. まず「GxP適用性評価」を行う

CSVの深さを決める前に、そのシステムがどの規制に関わるかを評価します。

この評価結果を文書として残すことが、後の「なぜこの深さで良いのか」の説明根拠になります。

1-2. 責任の所在に関する規制上の根拠

• 厚生労働省「医薬品等の製造販売業者等におけるコンピュータ化システム適正管理ガイドライン」（平成24年4月1日 薬食監麻発0401第2号）では、業務を委託する場合も製造販売業者等が責任を負うことが前提とされています。
• EU GMP Annex 11（Computerised Systems）第3項「Suppliers and Service Providers」 では、第三者（サプライヤ／サービスプロバイダ）を利用する場合、正式な合意文書（契約・品質取決め）を締結し、サプライヤの適格性評価を実施することが求められています（EudraLex Volume 4 – 欧州委員会）。
• PIC/S PI 041「Good Practices for Data Management and Data Integrity」 でも、外部委託・クラウド利用時の管理責任について言及されています（PIC/S公式サイト）。
• 米国では 21 CFR Part 11（電子記録・電子署名）が該当します（eCFR: 21 CFR Part 11）。
  • ※ Part 11は単独で適用されるのではなく、GMP（21 CFR Part 210/211）やQMSR（21 CFR Part 820）など基礎となる規則が記録の作成・保存を求めている場合に、その電子化に付随して適用されます。「Part 11だけ見ればよい」という誤解にご注意ください。
• 医療機器の場合：
  • QMS省令（平成16年厚生労働省令第169号）第5条の6は、主として製造工程に用いるソフトウェアのバリデーションを求める規定です。文書管理システムがこれに直接該当しない場合もあります。

💡 よくある誤解 「ベンダーがバリデーション済みと言っているので、そのまま使える」 → 誤りです。 ベンダーが実施できるのは「製品としての検証」まで。貴社の業務要求（URS）を満たすかの検証（PQ）と、貴社設定の妥当性確認は貴社の責任です。

2. GAMP 5 におけるカテゴリ分類

2-1. カテゴリの基礎

この表は、「システムのどの部分に、どれだけ検証の手間をかけるか」を判断する出発点です。

※ ISPE GAMP 5（A Risk-Based Approach to Compliant GxP Computerized Systems, Second Edition, 2022）による分類。
※ カテゴリ2については、GAMP 5 第2版への改訂に伴いソフトウェアカテゴリとしては使用されなくなり、旧カテゴリ2に相当するもの（ファームウェア等）はカテゴリ1・3等に整理・統合されました。

2-2. SaaS型文書管理システムの場合

[ カテゴリ1相当 ] クラウド基盤（IaaS/PaaS、OS、DB）
        ↑ ベンダー／クラウド事業者の責任範囲（自社は「評価」で担保）
[ カテゴリ4     ] 文書管理アプリケーション本体（設定で運用に適合）
[ カテゴリ5     ] 追加開発したカスタムワークフロー、API連携、帳票 ← 該当時のみ

参考： GAMP 5 第2版では、ITインフラおよびITサービス（クラウドを含む）に関する付属書が拡充されており、SaaS利用時は「アプリケーションの検証」と「ITサービス管理の評価」を分けて考える構成になっています。

判定の目安

この表は、貴社の使い方に応じて検証の重点をどこに置くかを決めるためのものです。

⚠️ 注意：GAMP 5 第2版では「カテゴリを機械的に当てはめて文書量を決める」ことを推奨していません。システム全体を1つのカテゴリに押し込めず、機能・コンポーネントごとに評価し、リスクに応じて検証の深さを決めてください。

2-3. 参考：CSA（Computer Software Assurance）的アプローチ

FDAは 2022年に CSA ドラフトガイダンス "Computer Software Assurance for Production and Quality System Software" を公表しました（本回答作成時点では最終版の発出状況を最新情報でご確認ください）。

CSAの考え方は、従来型CSVと矛盾するものではなく、次のようなメリハリの付け方を提案するものです。

SaaS導入では、ベンダー側が担保している部分をCSA的に合理化し、自社設定・自社業務の部分に労力を集中するのが実務的です。

3. ベンダーオーディット（サプライヤアセスメント）の要否

3-1. 「要否」ではなく「深さ」で考える

EU GMP Annex 11 第3.2項では、サプライヤの適格性評価とリスクアセスメントに基づき、監査の必要性を判断する旨が示されています。つまりリスクベースです。

3-2. 判断マトリクス（目安）

この表は、「どの程度までベンダーを調べるべきか」の深さを決めるための目安です。

3-3. 文書管理システムの一般的な位置づけ

SOP・製造指図記録・品質記録などのGxP原本（Raw Data）を電子的に保持し、電子署名を運用するなら、通常は「中〜高」に該当します。したがって、

• ✅ サプライヤ質問票による書面評価は、GxP用途であれば実質的に必須
• ✅ 可能な限りリモート監査（Webミーティング形式の監査）を実施
• ✅ 実地監査が困難な場合は、第三者監査報告書の購入・共有や業界共同監査の活用も現実的な選択肢

3-4. 第三者認証の使い方と限界

CSVとISO認証は目的が異なります。 CSVは「GxP業務に対する妥当性の確認」、ISO認証は「一般的なセキュリティ・品質マネジメント体制の証明」です。代替関係ではなく補完関係として活用してください。

👉 認証は「入口の足切り」として有用ですが、それだけでサプライヤアセスメント完了とはできません。 認証範囲（Scope Statement）が今回導入するサービスと同一か、必ず確認してください。

3-5. 監査で必ず確認すべきSaaS特有項目

• クラウド基盤（AWS/Azure/GCP等）は誰か。サブプロセッサ（再委託先）の管理体制
• データセンターの物理的所在国（データローカライゼーション、越境移転、日本の個人情報保護法／GDPR）
• バージョンアップの頻度・通知タイミング・顧客の拒否権の有無（後述）
• リリース時の回帰テスト（レグレッションテスト：既存機能が壊れていないか確認する試験）実施証跡の提供可否
• 監査証跡（Audit Trail：誰がいつ何をしたかの自動記録）の仕様：改変不可性、時刻同期（NTP）、エクスポート可否、変更理由の記録可否
• バックアップ／リストア方針、リストアテストの実施実績
• インシデント管理、可用性実績（SLA達成率）
• 規制当局査察時の対応協力条項（当局が査察に来た際にベンダーが協力するか）
• 契約終了時のデータ返還形式と削除証明（出口戦略）
• 開発プロセス（SDLC）、変更管理、構成管理の成熟度

4. 作成すべき成果物一覧

厚労省ガイドラインの文書体系に沿って整理します。ただし、すべてを独立した文書として作る必要はありません。

⚠️ リスクベースで調整してください

• 小規模・低〜中リスクのシステムでは、「バリデーション計画書＋リスクアセスメント」を1文書に統合、「IQ/OQ報告書」をまとめるなど、統合が可能です。
• 統合・省略する場合は、その判断根拠をバリデーション計画書に明記してください。「なぜこの深さで十分と判断したか」を説明できることが重要です。

4-1. 計画・評価フェーズ

4-2. 仕様・設計フェーズ

4-3. 検証フェーズ

IQ/OQ/PQを一言でいうと：

4-4. 運用フェーズ（SOP整備）

厚労省ガイドラインの「第4 運用管理」に対応します。

5. SaaS特有の要注意ポイント（実務上の落とし穴）

① 継続的アップデート（Continuous Delivery）への対応

SaaSはベンダー都合で年数回〜毎月のバージョンアップが行われます。これがCSV最大の課題です。

対策：

1. 契約時に「事前通知期間（例：30日前）」「リリースノート提供」「サンドボックス（検証用）環境の提供」を要求する
2. 変更影響度評価のフローを事前にSOP化（軽微／中／重大の3段階など）
3. 回帰テストスクリプト（クリティカル機能に絞った短縮版）を準備し、アップデート毎に実施
4. 可能ならテスト自動化を検討

「バージョンアップされたことに気づかず、監査証跡の仕様が変わっていた」という事例は珍しくありません。

② データの所在と越境移転、査察時のアクセス性

GxPデータが海外に保存される場合、以下を事前に確認してください。

• 査察時の閲覧環境：PMDA・都道府県のGMP/GQP調査時に、その場で画面提示・データ出力ができるか（VPN接続、ビューア環境、回線障害時の代替手段）
• タイムゾーン：監査証跡のタイムスタンプがUTC表示か日本時間表示か。査察時に誤解を招かないよう変換ルールを明確に
• 個人情報：治験関連文書、安全性情報（PV）など個人情報・要配慮個人情報を含む文書を扱う場合、個人情報保護法（越境移転規制）、GDPR、さらに臨床研究であれば倫理審査委員会の承認内容との整合も確認が必要です

③ 監査証跡（Audit Trail）

ER/ES指針（「医薬品等の承認又は許可等に係る申請等における電磁的記録及び電子署名の利用について」平成17年4月1日 薬食発第0401022号）および EU GMP Annex 11 第9項で要求されます。

• 誰が・いつ・何を・なぜ変更したか（変更理由の記録可否は重点確認項目）
• 管理者でも改変・削除できないこと
• 人が読める形式でレビュー・エクスポートできること

⚠️ ER/ES関連通知はその後の改正・関連事務連絡が出ています。 適用にあたっては、厚生労働省・PMDAの最新の通知・Q&Aを必ずご確認ください。

④ 電子署名

社内承認に電子署名を用いる場合、ER/ES指針の要求（署名者氏名・日時・署名の意味の表示、署名と記録のリンク）および Part 11 Subpart C を満たすか、画面キャプチャで証拠化してください。

⑤ マルチテナント環境

他社データとの論理的分離、自社テナントの設定変更が他テナントの影響を受けないことを確認します。

⑥ 規制動向：EU GMP Annex 11 改訂（重要）

2025年に、EU GMP Annex 11（コンピュータ化システム）およびChapter 4（文書化）の改訂ドラフト、ならびにAI／機械学習を対象とする新Annex 22ドラフトがパブリックコンサルテーションに付されました（欧州委員会 パブコメページ）。

ドラフトでは、クラウドサービス（SaaS/PaaS/IaaS）を明示的に対象範囲に含め、以下が強化される方向で議論されています。

• サービスプロバイダとの責任分界の明確化と正式合意（SLA・品質取決め）
• 監査権の確保
• データの返還・可搬性（出口戦略）
• 継続的な変更管理・構成管理

本回答で述べたSaaS特有の注意点は、この改訂の方向性と整合しています。最終版の内容・施行時期は確定していませんので、必ず最新情報をご確認ください。

6. 標準的な進め方（タイムライン例）

各ステップに 【必須】（GxP用途なら省略不可）と 【リスクに応じて】 を付記しました。

【企画】  1. GxP適用性評価／ER・ES適用判定 ................【必須】
          2. クラウド利用可否の社内方針確認 ................【必須】
            ↓
【選定】  3. URS作成（← ここを飛ばさない）..................【必須】
          4. サプライヤアセスメント
             ・質問票による書面評価 ........................【必須】
             ・リモート／実地監査 ..........................【リスクに応じて】
          5. 品質取決め・SLA締結 ...........................【必須】
            ↓
【計画】  6. リスクアセスメント／バリデーション計画書 ......【必須】
※ 統合可
            ↓
【構築】  7. 設定仕様書作成 → 設定実装 .....................【必須】
          8. トレーサビリティマトリクス作成 ................【リスクに応じて】
            ↓
【検証】  9. IQ → OQ → PQ .................................【必須】
             ・データ移行検証 ..............................【移行がある場合必須】
            ↓
【移行】 10. SOP整備・教育訓練 → バリデーション報告書 ......【必須】
             → 本番リリース
            ↓
【運用】 11. 変更管理・監査証跡レビュー・定期レビュー（年1回）【必須】

小規模・中リスクの場合の簡略版イメージ

ポイント： URSとサプライヤアセスメントは契約前に着手してください。契約後に「Part 11／ER/ES要件を満たさない」と判明しても手遅れです。

7. 参考規制・ガイドライン

8. まとめ

1. まずGxP適用性評価から。 GxP記録を扱うならSaaSでもCSVは必須。責任は自社にあり、ベンダーへの委任は不可。
2. GAMP 5 カテゴリ4が基本。 ただしコンポーネント単位・リスクベースで柔軟に判断。カテゴリは「文書量を決める公式」ではありません。
3. ベンダーオーディットは「深さ」をリスクで決める。 GxP用途なら書面評価は実質必須、GxP原本を扱うなら監査を推奨。ISO 27001／SOC 2は補助材料であり、ギャップ分析が必要。
4. 成果物はリスクベースで統合・簡略化可。 ただし URS・設定仕様書・PQは自社の聖域。簡略化した場合はその根拠を文書化。
5. 最大の運用リスクは「ベンダー主導のアップデート」。 契約段階で事前通知・サンドボックス・リリースノートを確保し、回帰テストの仕組みを作ることが成功の鍵。
6. 規制は動いています。 EU Annex 11／Annex 22改訂ドラフト、FDA CSA、日本のER/ES関連通知の最新動向をウォッチしてください。

個別のご相談について

本回答は一般的な考え方を整理したものです。実際の適用範囲は、取り扱う記録の種類（GMP/GQP/GVP/GCP等）、対象市場（日本／米国／欧州）、システムの重要度によって大きく変わります。

• URS・バリデーション計画書のテンプレート整備
• サプライヤ質問票の作成、ベンダー監査の代行・同行
• SaaS向けCSV／CSA（Computer Software Assurance）体制構築支援
• 継続的アップデートに対応した変更管理SOPの設計

につきましては、株式会社イーコンプライアンスまでお気軽にご相談ください。貴社のリスクプロファイルに合わせた、過不足のない実務的な進め方をご提案いたします。

■ 関連するセミナー・書籍等のご案内

• CSVポリシー、ガイドライン、SOP作成支援コンサルテーション — 変更管理SOPやベンダーオーディット手順を含め、貴社の体制に合わせた文書整備をご支援します。