21 CFR Part 11とは？

製薬や医療機器などの規制産業でMESを導入する際、避けて通れないのが電子記録・電子署名の規則「21 CFR Part 11」への対応です。基礎から選定ポイントまで整理します。

MES（製造実行システム）とは？製造現場で果たす役割

MES（製造実行システム）とは、製造現場で生産プロセスを監視・制御するためのソフトウェア・ベースのソリューションです。製造業のオペレーション管理においては、ERP（統合基幹業務システム）などの計画・制御システムと、実際の製造オペレーションとをつなぐ「ブリッジ」として機能します。

MESの主な目的は、原材料から完成品に至る製造プロセス全体をリアルタイムで監視し、その履歴を正確にデータ化することです。機械やセンサー、作業者などさまざまなソースからデータを収集し、生産状況の正確な最新情報を提供します。特に製薬業界のMESは、厳密な規制の遵守を前提に設計されています。バッチ追跡や系統図、適正製造基準（GMP）の順守といった製造プロセス全体を追跡し文書化します。電子バッチ記録やリアルタイム品質管理を重視している点も特徴です。

21 CFR Part 11とは？FDAが定める電子記録・電子署名の規則

21 CFR Part 11の概要と制定の背景

21 CFR Part 11とは、米国FDA（米国食品医薬品局）が1997年に発行した、電子署名（ES）・電子記録（ER）に関する規則です。趣旨は、「コンピュータシステムが一定の要件を満たしていれば、電子記録や電子署名も紙の記録・手書き署名と同等の信頼性を持つ」と認める点にあります。

制定の背景には、1990年代の製薬業界の事情があります。当時すでに試験データや製造記録の電子化が進んでいましたが、電子署名が正式に認められておらず、「電子記録をわざわざ印刷して署名する」という手間が生じていました。電子記録には改ざんやなりすましのリスクもあったため、その信頼性を証明する要件として本規則が設けられたのです。

引用元：興和オプトロニクス「21 CFR Part11とは？」（https://robotics.kowa-opt.co.jp/what-21-cfr-part11）

Part 11の構成（Subpart A・B・C）

21 CFR Part 11の条文は、Subpart A・B・Cという3つのパートで構成されています。Subpart A（一般規定）は序文のような位置づけで、規則の目的や用語の定義、適用範囲（Scope）と実施（Implementation）も含まれます。Subpart B（電子記録）は、電子記録の作成・管理に関するルールで、バリデーションや監査証跡、アクセス制御などシステムが備えるべき技術的・管理的要件が定められています。Subpart C（電子署名）では、電子署名の方式や管理方法、本人確認の要件（IDコードとパスワードのような、2つの識別要素）が説明されています。

なぜMES導入で21 CFR Part 11対応が重要なのか

MESが扱う製造記録の多くが、そのまま21 CFR Part 11の適用対象になります。同規則が適用されるのは、FDAの規制によって「保存や提出が義務付けられているすべての電子記録と電子署名」です。GxP業務のほぼすべてが、デジタルの形で記録される限りこの規制の対象となります。

たとえばGMP領域では製造指図書や工程内検査記録書、品質保証における変更管理・逸脱管理・CAPA・教育訓練記録などが対象です。GLPの試験実施計画書や電子実験ノート、GCPの電子症例報告書（eCRF）なども含まれます。MESはこうした記録を一元的に扱う中核システムであるからこそ、電子記録・電子署名の信頼性確保は特定部門だけの課題ではなく、組織全体で取り組むべきテーマとなります。

21 CFR Part 11でMESに求められる主要要件

監査証跡（Audit Trail）

監査証跡は、データの作成・変更・削除の履歴を記録する仕組みです。具体的には「いつ、誰が、何を、なぜ」操作したかを、システムの操作者が変更・削除できない形で、自動的に記録できることが求められます。特にデータの修正時には、修正前と修正後の両方の情報を保存し、元の記録を上書きしない管理が必要です。この設定を利用者が「オフ」にしたり、内容を編集・削除したりできてはなりません。MESを選定する際は、この監査証跡機能が備わっているかを必ず確認しましょう。

電子署名とアクセス制御

電子署名には、手書き署名と同等の信頼性を担保する役割があります。署名が付与された記録には「署名者の氏名」「署名の日時」「署名の意図（作成・確認・承認）」が求められ、電子署名は個人に固有であり、他者への再割り当てや使い回しは厳格に禁止されています。認証はIDとパスワードの組み合わせや生体認証など、2つの識別要素を用いる方式が重要です。

アクセス制御では、データにアクセスできる人を許可された特定の個人に限定します。居室の入退室管理などの物理的セキュリティと、固有IDとパスワード・職務分離などの論理的セキュリティを両立させることが必要です。

バリデーション（CSV）とデータの長期保存

バリデーションとは、「ユーザーの要求どおりにシステムが稼働する」と証明する作業で、コンピュータ化システムバリデーション（CSV）とも呼ばれます。監査証跡や真正コピー、電子署名などの必要機能が正しく搭載され、正常に動くかを要求仕様書などに基づいてテスト・検証します。一度開発して終わりではなく、定期的な検証も欠かせません。

また、データは必要な期間、検索可能な状態で保存されなければなりません。アーカイブやバックアップにより別媒体へ移し、人為的ミスや災害によるデータ消失を防ぎながら長期保存することが重要です。

21 CFR Part 11対応MESの選定・導入ポイント

電子バッチレコード（EBR）機能で製造記録を一元化する

21 CFR Part 11対応のMESを選ぶうえで、まず着目したいのが電子バッチ記録（EBR）機能です。EBRをデジタル化することで、紙による管理の手間やミスを削減できます。1997年に施行された21 CFR Part 11（日本では厚労省のER/ES指針）により電子記録・電子署名を紙記録・手書き署名と同等と認めた結果、Part 210〜211 が要求するバッチ記録を電子形式（EBR）で作成・保存できるようになりました。

EBRは、タイムスタンプ付きの監査証跡や電子署名、セキュリティ機能などにより、記録の正確性と信頼性を高めます。バッチの日付、使用機器や原材料の情報、工程内検査結果、各工程を確認した担当者の識別情報などを一元的に残せる点が、コンプライアンス強化につながります。

引用元：マスターコントロール「電子バッチ記録（EBR）ソフトウェア」（https://www.mastercontrol.co.jp/manufacturing/batch-records/）

システム導入だけで終わらせない運用設計と現場教育

高機能なシステムを導入しても、それだけで規制対応が完了するわけではありません。多くの企業が陥る落とし穴は「高機能なシステムを導入すれば終わり」と考えてしまうことです。どんなに優れた監査証跡機能があっても、誰もレビューしていなければ、改ざんや誤操作を放置していることになりかねません。

そこで重要になるのが、現場教育と運用定着です。GMPで求められるデータのライフサイクル全体にわたる完全性・一貫性・正確性を保証する体制を整え、従業員がAIの分析結果やMESを理解し問題なく使いこなせるよう教育する必要があります。評価と改善を継続できる環境づくりが、導入効果を左右します。

要件の「背景」を理解してMESを選ぶ

MESと21 CFR Part 11への対応は、単なる規制遵守ではなく、製造データの信頼性を組織全体で保証する取り組みです。選定時には監査証跡・電子署名・アクセス制御・バリデーションといった要件を確認しつつ、なぜその機能が必要なのかという背景を理解することが欠かせません。システム導入後も運用設計と現場教育を継続し、規制対応と業務効率化の両立を目指しましょう。