Manufacturing Chemist に、規制下の環境で使うソフトウェアが更新されたとき、FDAのガイダンスと GAMP 5 が製薬企業に何を求めるのかを検討する記事が掲載された。筆者は Original Software の CEO、Carl Andrews 氏。記事の見出しは「誰も語らないコンプライアンスの負担」だ。
導入後も続く更新とバリデーション
コンピュータ化システムバリデーション（CSV）は導入時の作業として語られやすいが、ソフトウェアは導入後も、機能追加のバージョンアップ、不具合修正のパッチ、セキュリティ更新、OS・データベース・仮想化基盤・ブラウザといった基盤側の変更で変わり続ける。
従来のオンプレミス型では、いつ更新するかを自社で決められた。クラウド提供のSaaS型では更新の時期も内容も供給者が決め、使う側は更新の通知を受け取る立場になる。
リスクに基づく再テスト範囲の設定
パッチのたびに全機能を再テストすれば資源が持たず、何もしなければバリデートされた状態の根拠を示せない。GAMP 5 の考え方は、変更内容がどの機能に影響しうるかを評価し、GxPへの影響で切り分け、影響範囲に応じて回帰テストの範囲を決めるものだ。
供給者側のテストや品質システムを評価したうえで、自社の作業の根拠として組み込むこともできる。供給者管理と受入試験でCoAに依拠する条件を整えるのと同じ組み立てだ。近年のFDAの方向性（Computer Software Assurance の考え方）も、リスクの高いところに検証の労力を集中させるほうへ寄っている。
実務の確認ポイント更新時の判断記録と自動テストにおける留意点
査察では、この更新で何が変わったか、どの機能に影響しうると判断したか、なぜその範囲のテストで足りると考えたか、結果がどこに残っているか、判断者がその権限を持っていたかが問われる。リスクベースの品質マネジメントや傾向監視（OOT）と同様、範囲を絞ってよいと判断した根拠を残しておく必要がある。
テストを自動化する場合は、自動テストが正しく判定していることの示し方、実行結果のデータインテグリティと監査証跡、画面や仕様の変更に伴うスクリプトの保守を確かめておきたい。費用は導入時だけでなく、運用期間全体で見積もることになる。
※ 本ページは公開情報（Manufacturing Chemist の記事）をもとにしたProglenth編集部による整理です。ガイダンスの具体的な要求事項・適用範囲は一次情報および各当局の文書をご確認ください。