監査証跡レビューの頻度の決め方：リスクベースの考え方

ただ、監査証跡は「取っているだけ」では機能しません。記録を残す仕組みがあっても、誰も見ていなければ、不適切な変更やデータの選り好みを見逃します。ここで必要になるのが監査証跡レビュー監査証跡を人が確認し、不適切な変更やデータの選り好みがないかを検証する運用。です。

実務でつまずくのは「レビューをやる」かどうかではなく、その先です。何を・いつ・どのくらいの頻度で見るのか——ここを一律に決めてしまうと、重要な記録の見落としと、些末な記録への過剰な労力が同時に起きます。手がかりになるのがリスクベースの考え方で、ALCOA+の中での位置づけや、バッチ照査との関係、そして21 CFR Part 11とEU GMP Annex 11コンピュータ化システムに関するEU GMPの付属書。監査証跡の定期的なレビューなどを求める。が求めていることを踏まえると、頻度の落としどころが見えてきます。データインテグリティ記録が正確で完全・改ざんされていないことを保証する考え方で、ALCOA+などの原則で健全性を管理します。詳しく →全体の枠組みはデータインテグリティ、GMP医薬品を一定の品質で安全に造るために守るべき製造・品質管理の基準（適正製造規範）です。詳しく →の土台はGMPの基礎もあわせてご覧ください。

ALCOA+の中での監査証跡レビューの位置づけ

データインテグリティの原則としてよく使われるのがALCOA+です。もとのALCOA（Attributable＝帰属明確、Legible＝判読可能、Contemporaneous＝同時記録、Original＝原本性、Accurate＝正確）に、Complete（完全）、Consistent（一貫）、Enduring（永続）、Available（利用可能）を加えた枠組みで、FDA・EMA・MHRA・WHO・PIC/Sなど主要な当局が広く参照しています。

監査証跡いつ誰が何をしたかを記録し、改ざんや削除ができないようにした操作履歴。記録の信頼性を支える。は、このうち特にAttributableとOriginalを技術的に支えます。誰が記録したかを結び付け、元の記入を後の変更で覆い隠さないことを、システム側で担保するためです。ただ、監査証跡が「存在する」ことと、それが「機能している」ことは別物。記録が改ざんや選択的削除を含んでいないかは、人が見て初めて確かめられます。

つまり監査証跡レビューは、ALCOA+を紙の上の原則で終わらせず、実際のデータに対して検証する行為だと言えます。 監査証跡レビューは、ALCOA+を運用として成立させる検証ステップ です。

何をレビューするか：すべてを等しく見ない

監査証跡には、品質に直結する変更もあれば、そうでない操作ログも混ざります。ログイン・ログアウトの履歴、機器の通信ログ、装置の稼働状態、アラート記録——これらは量が多く、一律に精読するのは現実的ではありません。だからこそ、見る対象に優先順位を付けます。

FDAのデータインテグリティに関するQ&Aガイダンスでも、重要データ（クリティカルデータ）試験結果や規格判定、製造パラメータなど、製品品質や適合判定に直接効くデータ。に変更を加えた監査証跡は各記録とともにレビューし、記録の最終承認の前に確認することが示されています。一方、機器の稼働状態や通信ログ、アラート記録などは、リスクに応じた頻度でのレビューが適切な例として挙げられています。

実務では、次のような軸で対象を切り分けると整理しやすくなります。

• 重要データの変更⁠：試験結果、規格判定、製造パラメータ、積分の再処理など、製品品質や適合判定に直接効くもの。記録の承認前に必ず見ます。
• 設定・権限の変更⁠：メソッドやシーケンス、ユーザー権限、システム時刻など、データの信頼性の土台を左右するもの。
• 運用ログ⁠：ログイン履歴、稼働状態、通信ログなど。量が多く品質への直接影響が小さいものは、頻度を落として傾向を見ます。

頻度の決め方：リスクベースで根拠を残す

頻度をどう決めるか。多くの現場で悩む問いに対して、FDAは二つの考え方を示しています。

一つは、監査証跡のレビュー頻度を、対応するデータのレビュー頻度に合わせるという考え方です。cGMPで特定のデータのレビュー頻度が定められているなら、そのデータに関わる監査証跡も同じ頻度で見る、という揃え方です。もう一つは、頻度が規制で明示されていない場合に、自社のプロセスの理解とリスク評価工程や製品に潜在するリスクの種類・発生可能性・影響度を系統的に特定・分析し、優先的に管理すべき項目を決定する手続き。にもとづいて頻度を決めるという考え方。リスク評価では、データの重要度、変更を防ぐ管理策の有無、製品品質への影響などを見ます。

大切なのは、頻度を決めた根拠を文書として残すことです。リスクベースリスクの大きさに応じて管理の濃淡や頻度を決める考え方。監査証跡レビューの頻度決定に用いる。は「頻度を下げてよい口実」ではなく、「なぜその頻度で十分と判断したか」を説明できる状態を指します。査察で問われやすいのは、頻度の数字そのものより、その頻度に至った論理と一貫性です。

表はあくまで考え方の例であり、実際の頻度は自社のシステム構成とリスク評価にもとづいて決めます。 頻度は数字を先に決めるのではなく、リスク評価の結論として導く ものです。

バッチ照査との関係：承認前に組み込む

監査証跡レビューは、独立した別作業として切り出すより、既存の記録レビューやバッチ照査製造・試験記録を照査して製品の出荷可否を判断する作業。監査証跡レビューを組み込む。の流れに組み込むほうが機能します。FDAも、重要データの変更を捉えた監査証跡は各記録とともに、記録の最終承認の前にレビューすることを求めています。

これはバッチ照査と自然につながります。製造や試験の記録を照査して出荷可否を判断する際、その記録の裏付けとなる電子データの監査証跡も同じタイミングで確認する、という組み立てです。記録の値は妥当に見えても、その値が何度か再処理された末のものだったり、規格外試験結果が規格の範囲を外れること。原因調査の対象になる。の結果が消されていたりすることがある——それを監査証跡が教えてくれます。

EU GMP Annex 1無菌医薬品の製造に関するEU GMPの付属書。汚染管理戦略などを求める無菌製造の基準。1は、監査証跡を判読可能な形で出力でき、定期的にレビューされることを一般的な要件として求めています（電子記録による出荷判定製造したロットを規格に照らして出荷の可否を決める判断。有効期間の短い製品では時間との戦いになる。でQPが出荷前に監査証跡を確認する運用は、これを踏まえた実務慣行です）。監査証跡を人が読める形式で出力できることは、レビューを回すための前提条件です。承認のワークフローにレビューを埋め込んでおけば、「後でまとめて見る」ことによる抜けを防げます。

Part 11とAnnex 11が求めていること

電子記録を扱う以上、監査証跡は法規制の要求そのものでもあります。米国の21 CFR Part 11では、11.10(e)で、電子記録を作成・変更・削除する操作の日時を、独立して記録する安全な（改ざんされにくい）コンピュータ生成のタイムスタンプ付き監査証跡を求めています。記録の変更が以前の記録を覆い隠してはならず、監査証跡は対象の電子記録と同等以上の期間保存し、当局のレビューに供せる必要があります。

EU側のAnnex 11コンピュータ化システムに関するEU GMPの付属書。監査証跡の定期的なレビューなどを求める。では、GMPに関わる変更や削除を捉える監査証跡を備え、変更・削除の理由を残すこと、そして監査証跡を判読可能な形で定期的にレビューすることが品質システムの一部として位置づけられています。監査証跡をすべてのシステムに一律で義務づけるのではなく、その実装は文書化されたリスク評価にもとづく、という整理がされている点も特徴です。とはいえ、重要記録に関わるほぼすべての場面で監査証跡は期待されると考えるのが安全です。

両者に共通するのは、「記録を残す仕組み」と「それを人がレビューする運用」の両輪を求めている点です。 Part 11もAnnex 1無菌医薬品の製造に関するEU GMPの付属書。汚染管理戦略などを求める無菌製造の基準。1も、監査証跡の生成だけでなく定期的なレビューまでを要求している と理解しておくと、運用設計を外しにくくなります。

まとめ

監査証跡レビューは、ALCOA+を実際のデータに対して検証する運用ステップです。すべてを等しく精読するのではなく、品質判定に効く重要データの変更を確実に押さえ、運用ログは頻度を落として傾向を見る——この濃淡の設計が要になります。

頻度は数字から決めるのではなく、対応するデータのレビュー頻度に合わせるか、プロセス理解とリスク評価から導き、その根拠を文書に残します。レビューを独立作業にせず、記録の承認前・バッチ照査の流れに組み込むことで、抜けを防げます。21 CFR Part 11とEU GMP欧州の医薬品製造・品質管理の基準。第1章の品質システムのなかでPQRの実施を求めている。 Annex 11は監査証跡の生成とレビューの両方を求めており、これはデータインテグリティ全体の設計と一体で成り立ちます。全体像はデータインテグリティ、規制の土台はGMPの基礎もあわせてご確認ください。

参考文献

• FDA, Data Integrity and Compliance With Drug CGMP: Questions and Answers — Guidance for Industry
• FDA, 21 CFR Part 11, Electronic Records; Electronic Signatures
• EMA, EudraLex Volume 4, EU GMP Annex 11: Computerised Systems
• MHRA, 'GXP' Data Integrity Guidance and Definitions
• PIC/S, PI 041, Good Practices for Data Management and Integrity in Regulated GMP/GDP Environments