[書籍]GxP領域でのクラウド利用における CSV実施／データインテグリティ対応

 

3極薬事規制要件／規制当局の期待

​GxP対応における業務プロセスの電子化にあたって，昨今ではクラウドコンピューティングの利用の場面が多くなってきている。そうしたシステムへの対応の際に必要となる手順書や関連文書，およびそれに伴う記録に対するデータインテグリティ対応が重要な焦点になってきているのは，ご承知のとおりである。

また，クラウドコンピューティング利用の際には，規制対象組織はクラウドベンダーやデータセンター等の外部委託業者を利用することになるが，その場合の適切な業者管理の方法等についても気になるところである。クラウドコンピューティング利用の際における，データの信頼性確保，つまりデータインテグリティ対応，および外部委託業者管理の適切な方法について説明する。特に，最近の日本の規制当局の期待を表した動きの一つとして改正された「GMP 省令」と，電子的規制対応に関する世界の規制当局の期待がわかる「PIC/S Annex11」内容を紹介する。

---

 

電子データ(電子記録)への対応

規制対応業務プロセスにおいて，クラウドコンピューティング等の電子システムの利用に際しては，電子的に生成されるデータの運用・管理が重要になる。電子データ（電子記録）に関する規制対応に関しては，1997年に発出されたFDA（アメリカ食品医薬品局）のPart111）の規制要件の対応が必要となる。

電子記録の運用・管理に関して期待される規制要件について振り返る。

これまで手作業で行っていた業務プロセスを電子化し，生成されるデータ自体も電子データにすることにより様々なメリットがあることは言うまでもない。正確で迅速な処理ができる，情報の伝達が容易である，データの保管に場所を取らない等はすぐに思いつくところであろう。では一方で，電子化にすることによるリスクはどうなのだろうか。

---

 

クラウドサービスの利用形態と利用時の留意点

※＜IaaS＞＜PaaS＞＜SaaS＞クラウドサービス利用時の留意事項※

クラウドサービスを利用する際，セキュリティやデータの管理，コスト，契約条件，サポートなど留意すべき事項があるが，GxP 分野においては，それら一般的な留意事項以外にコンピュータ化システムバリデーション（CSV：Computerized System Validation）や電子記録・電子署名規制など，規制当局が示すガイドラインや規制などに対応をしなければならない。

---

 

クラウドを利用する際のリスクやその対策

GxP 分野では，データの信頼性が求められ，データのセキュリティとプライバシーが非常に重要である。

クラウドプロバイダが適切なセキュリティ対策を実施しているかどうかを確認する必要がある。データの暗号化，アクセス制御，監査ログの確保などのセキュリティ対策が不十分な場合，GxP 要件に適合することが難しくなる。また，GxP 分野では，データの所在地と制御が重要な場合もある。クラウドプロバイダがデータをどこに保存し，データの物理的な配置場所がどのように管理されているかを確認する必要がある。特定の国や地域でデータの保存が要件とされる場合，その要件を満たすための制御や管理が必要である。

21 CFR Part 11に代表される電子記録に関する規制やガイドラインでは，データのバックアップを必須事項としている。クラウドプロバイダが提供するバックアップ機能や復旧手順がGxP 要件に適合しているかを確認する必要がある。GxP 分野では，システムのバリデーションや変更管理が必要である。クラウドプロバイダがシステムのバリデーションや変更管理のプロセスを適切に実施しているかを確認する必要がある。

---

 

クラウド利用時の利用形態別CSVアプローチ

GxP 業務でコンピュータシステムを利用する場合はコンピュータ化システムバリデーション（CSV）を行う必要がある。これはクラウドでも例外ではないが，クラウドのCSV について丁寧に記載されたガイダンスはない。このため一般の規制対象企業では，システムベンダーのいうままにCSVを行ってはないだろうか。CSV に対する戦略を立てて，社内のガバナンスを利かせて，効率的に取組むことによりCSV だけでなく，システム全体が見える化できるのである。本章ではクラウドにおいてCSV を行う際の留意点を述べ，さらに利用形態（IaaS，PaaS，SaaS）に分けたCSV アプローチを考えてみたい。

クラウドサービスと一口にいっても，これまでにも述べてきたように多種多様である。IaaS，PaaS，SaaS という利用形態の違いもあるし，SaaS だけを取ってもクラウド事業者のサプライチェーンの形態もそれぞれ違いが出てくる。したがって，クラウド利用時のCSVアプローチといっても多種多様であり，定番のバリデーションやクオリフィケーションはなく，それぞれのクラウドサービスに合った方法を考えていく必要がある。

---

 

クラウド基盤適格性評価計画書（USR）作成

GxP 分野においてクラウドを利用したシステムは，システムの構築，構成においてクラウド基盤（クラウドサービス）を利用しているというだけで，システムの信頼性を確保するためにコンピュータ化システムバリデーションは必須で実施が求められる。一方，クラウド利用システムは，クラウドプロバイダが提供するクラウド基盤が使用され，機能している。そのため，システムを利用するユーザーはクラウド基盤そのものに対しても，要求仕様（URS）を作成したり，適格性評価を行ったりする必要がある。

クラウド基盤を利用したシステムであってもバリデーションが求められる業務で使用する場合は，URS の作成は必須である。URS 作成の考え方は，オンプレミスの場合と同様で，システムの目的，適用範囲・適用規制要件，関連文書，システム全体への要求事項，機能要件，データ管理に関する要件，セキュリティに関する要件，クラウドプロバイダへの要件などを検討し，URS としてまとめる。

---

 

FDA 査察対応 ・指摘事項

クラウドであるプラットフォーム基盤（Platform）の上に，ITメーカーが対象となるDMS などのソフトウエアを配置し，ユーザーに提供していることになる。クラウド系ITシステムをユーザーが導入・維持・管理・拡張（企業内の多部門に展開する場合）するとなると，ユーザー（企業）はソフトウエア提供メーカーと契約を結ぶことになるが，基盤であるプラットフォームを提供しているメーカーとユーザー間で直接契約を結ぶことはない。即ち，プラットフォーム部分の適切な管理・運用に関する情報を，ユーザーは的確・適時に入手できる環境を構築することが非常に重要である。クラウド系IT システムのFDA 査察対応を考えると，ソフトウエア供給メーカー及びプラットフォーム供給メーカーに対する管理体制の構築が非常に重要である。