GMP データインティグリティ クラウドシステム導入チェックポイント

はじめに
医薬、製薬、医療機器業界におけるGMP、GQP、GDP、GCP、GLP、GPSP、GVPなどなどGxP関連業務、Data Integrity(データインティグリティ)のクラウドシステム導入のためのチェックポイントを列挙しております。きれいに整理はできておりませんが、御参考になれば幸いです。

弊社では、GMP対応システム開発、RFP・URS作成、導入コンサルティングなどお引き受けしていますので、お気軽にご相談ください。

フィラーシステムズ GxPシステムサービスチーム
  • サプライヤアセスメントは実施したか?
    以下のサプライヤーに対して、システム選定時点で実施する。
    例)
    ・パッケージ開発サプライヤ(SAP)
    ・パッケージ導入サプライヤ(IT企業)
    ・ITインフラ(AWS)
    実地、文書についてはどちらでも良い
    参考資料
  • 導入システムが確かなものだという資料は揃っているか?
    サプライヤから資料を提出、収集して検討する
    例)利用規約、SLA
      品質管理基準、開発管理基準、運用管理基準
      文書管理規定、記録
      運用会社が取得している第3者認証
      要員管理、教育計画、記録など
      変更管理(バージョンアップ)の開示(運用・開発環境)
      運用体制(ハード、ソフトウェア)→データ変更・削除のリスクなど
      サプライヤからの委託先、その管理
  • システム利用規約を確認したか?
    入力データの取扱い・・運用会社がデータに触れる場合の確認
    サービスの停止・・・・サービスが停止される可能性の確認
    サービスの廃止・・・・サービス廃止される可能性の確認
    保証範囲・・・・・・・最終的なデータ保全は基本的に保証されない
    委託・・・・・・・・・第3者に開発、運用などを委託する可能性
  • システムのSLA(Service Level Agreement)サービス品質保証を確認したか?
    SaaS向けSLAガイドライン|経産省
    例)
    ・可用性
     サービス時間、計画停止予定通知、サービス稼働率、ディザスタリカバリ、
     重大障害時の代替手段、代替措置で提供するデータ形式、アップグレード方針
    ・信頼性
     平均復旧時間、システム監視基準、障害通知プロセス、障害通知時間、
     障害監視間隔、サービス提供状況の報告方法、ログ取得
    ・性能
     オンライン応答時間、バッチ処理時間、同時接続利用者数
    ・サポート
     提供時間帯(障害対応)、提供時間帯(一般問合)
    ・データ管理
     バックアップの方法、バックアップデータの保存期間、データ消去の要件
    ・セキュリティ
     公的認証取得の要件、第三者評価、情報取扱者の制限、情報取扱い環境、通信の暗号化レベル
  • マルチクライアントか?自社専用サーバーか。
    ネットワークも含めて、自社専用になっている方が説明しやすい
    マルチクライアントであったときは、データ混在などのリスクを検討
  • 利用するシステムは、SaaS、PaaS、IaaSのどれか
    簡単に記すると
    ・SaaS:利用するコンピュータ化システムも含めて。
        マネジメントシステムと呼ばれる
        正確にはマネジメントしてくれるシステム。。
     PaaS:ハードとOS
     IaaS:ハードだけ
  • システムカテゴリーはどのようにするか?
    サーバー上で稼働するシステムでカテゴリー3は非常に稀だと思われる
    ・カテゴリ3:構成設定なし
    ・カテゴリ4:構成設定あり(ワークフロー設定など)
    ・カテゴリ5:コーティングあり(スクリプト、SQLなど含む)
  • 物理的セキュリティ
    ・データセンターのおおよその所在地(激甚災害の場合の影響度把握)
    ・設備状況を確認したか
     例)サーバー配置、冷却装置、ネットワーク設備
    ・入退出管理はどの様になっているか
     例)入退出認証(人、時刻)、物品持込み持ち出しなどのシステム、記録
  • ネットワーク構成|ER/ES要件 オープンシステムか、クローズドシステムか

■クローズドシステム
システム内の電磁的記録に責任を持つ者によって、システムへのアクセスを管理されているシステム

ER/ES指針

というわけで
システムまでのネットワーク経路を専用線、VPN、IPアドレス固定などを実施が必要 

■オープンシステム
システム内の電磁的記録に責任を持つ者によって、システムへのアクセスを管理されていないシステム
電磁的記録が作成されてから受け取られるまでの間の真正性、機密性を確保するために必要な手段を適切に実施すること。追加手段には、電磁的記録の暗号化やデジタル署名の技術の採用などが含まれる。

ER/ES指針

 ということで
 だれでもログイン画面にアクセスできるようなシステムはオープンシステムと定義される。

  • システムのセキュリティは十分か?
    ・ID、パスワードの利用
    ・システムの利用は個人毎でのIDが必要
    ・2要素認証
    ・パスワードの定期的変更は推奨されない *1
  • 端末はGMP業務専用か?インターネットにアクセスできる端末か?
  • Data Integrity(データインティグリティ)観点といえば、ALCOAが原点。下記はALCOA-CCEA|アルコア-プラス
  • Attributable 帰属性|帰属/責任の所在が明確である。
    データの記録者が明確である。データを観測、記録、訂正した個人を特定することができる。
    監査証跡データにおいてもそのデータの帰属性を保証すること
  • Legible 判読性 判読/理解できる。
    誰もが間違いなく簡単に読み取ることができる。メタデータ(ラベル)とともにデータの保存が必要。また、テキスト以外の方法で保存されている情報やハードディスクが暗号化されているときは注意
    印刷ができるようにしておくのも一手。ただし、その印刷物は参照用という取り扱い。
  • Contemporaneous 同時性 同時である。
    データが発生してからできるだけ速やかに記録する。日付を遡って記録してはならない。
    システム時刻には注意。日常点検で自社標準時とのチェックを。(手記録用の時計などとの同期も)
  • Original 原本性 すべての原本も保存する。最初に記録したもの。複製物や転記したものではない。
    俗に言う「生データ」。機器間、システム間でデータ連携する場合はどれが原本と規定するか。CSVがなされた機器、システム間において、人間が関与せずに自動的に連携されるデータであれば、どれも生データと規定できる。。。かな?
  • Accurate 正確性 正確である。誤りがなく、完全である。
    システムが正しく動いていれば間違いないように思うが、小数点桁やアナログデータをどの精度でデジタル化するかという仕様を検討する際には、かなりの考慮が必要だと考えられる。
  • Complete 完全性 完結している。
  • Consistent 一貫性 矛盾がない。原資料内の記録に矛盾がない。他の原資料との矛盾がない。
    関連あるデータを一覧できる、その関連性も示してくれる様に工夫しておくべきです。品質試験毎に必要な試験データは揃っているのか?記載内容に漏れはないのか?その判定の基準となったものは揃っているか?実施、記錄時刻の整合性は取れているか?組織と承認者、実施者の関係性に整合性はあるか?
  • Enduring 耐久性、普遍性 永続的である。
    消去できない筆記具で記録する。紛失を避け、損傷や劣化が最小限である適切な環境で定められた期間、保存する。
    磁気や光メディアであっても品質劣化する可能性が高いので十分に注意が必要です。ただし、バックアップのバックアップなどとしていくと原本製の担保や、ほんとにリストアできるのかのテストなどかなりの手間がかかることが難しいところです。
  • Available when needed 要時利用可能 必要時に取り出せる。
    保存期間中を通して、必要なときに速やかに取り出せる。
    査察では30分以内に提出しないとワーニングレターが出る!などと噂を聞いたことがありますが、そこはデジタル化することでかなり利便性が上がることは間違いありません。ただし、その検索性には考慮が必要になると思います。会社の規模の拡大によって工場や組織が増えたり、変更されたりしますので、将来の展望も含めた検索条件を設定しましょう。また、全文検索が非常に役にたちます。しかも文書の中も合わせて検索してくれるツールがあれば最強です。
  • 個人情報管理
    基本的に自社の個人情報保護方針に従って取り扱う。
  • 監査証跡が取れるか|変更管理
    情報システムで実施された活動の記録。人の作業による活動、システムが自動で実施する活動のどちらにも適用されます。システムの情報を利用される場合にその事実そのままに記録されているか(真正性)が一番のポイント。基本的には情報を、登録、変更、削除する場合は、いつ、誰が、何を、理由を残すことです。変更前の記録、変更後の記録があれば一番わかりやすいといえます。
    ・自動的に取得できているか。
    ・開発、設定内容(運用会社、自社)・・・プログラム変更、インフラ変更など
    ・利用(自社)・・・・・・・・・・・・・ログイン、データ登録・変更、ダウンロード(参照は不要)
    ・運用(運用会社、自社)・・・・・・・・ユーザー登録、権限付与など
    ・変更削除等できないシステムになっているか
    ・「監査証跡の確認した」という記録が必要
    ・監査証跡レビューは、その承認ごとが推奨されている
    ・監査証跡は印刷可能のしておく
  • 時刻設定|タイムスタンプ
    ・時刻設定は自動で時刻サーバーなどで同期されているか
    ・時刻設定は手動で変更で来ないようになっているか
    ・日時、時刻は他の運用、システムと同期が取れているか
    ・時刻設定は日常点検などされているか
  • ワークフロー
    ・電子署名の要件を満たしているか→承認時にID、パスワード入力
    ・ワークフロー(ルート)はシステムに設定されているものを利用するようになっているか
    ・ルートを利用者が変更できないようになっているか
    ・運用中にルートに関わる内容に変更が出る場合の対応検討
     ルート変更、組織変更、申請者・承認者の異動
  • 文書管理
    ・1番最初からシステムに登録しているか?
     紙に記録してシステムに登録しているか?→生データの定義
    ・生データ(最初に記載されたデータ)が紙の場合は紙の保存が必要
  • 障害
    ・障害検知
    ・一時的に紙運用に戻すことを規定しておく。また、システム復旧時の対応も規定しおく。データの不正語など内容に手段が必要。オリジナル情報がシステムにしかなく、データが喪失している可能性も考えられる。また、紙管理となってしまった工程の内容をシステムに登録する手順も必要となる。
  • 冗長性
    ・スタンバイ(ホット、コールド)を確認する
  • バックアップ、リストア
    ・薬事法及び関連法規、関連通知が定める期間保存できるか
    ・バックアップとアーカイブとは異なる
     アーカイブ :一定期間を越えた、通常利用しないデータを別エリアに保管すること
           「ちょっと避けとく」という感じ
     バックアップ:データが破損などした場合に復元するためのデータ
            アーカイブデータのバックアップも必要である 
    ・バックアップ取得方法を確認する
     この単位でリストアできる範囲が決まる。
     例)テーブル単位、DB単位、システムまるごと、サーバーまるごと、複合
       単位(時間、日、月)、保存期間、保存媒体、保管場所
    ・バックアップが変更されないように保管されているか
    ・データはエディターなどで簡単に見れるものか(例:CSVとか)
    ・データが固有システムである場合、そのシステムをデータ保有期間は維持できるか
    ・メタデータ、監査証跡も含めて保管されているか
    ・バックアップは真正コピーという扱いになる
    ・サプライヤーのバックアップだけで良いか検討する
     システム以上の場合のみ利用されるもので、通常は利用者の都合ではリストアできない
     例)このテーブルだけ戻したいとか

    ・システム導入時には、バックアップ/リストアテストを実施する
    ・定期点検時などに毎年テスト実施が必要
  • 激甚災害対策
    ・システム再開の規定
    ・遠隔地バックアップ
  • システムをやめるとき(リタイヤメント)に
    ・データが取り出せるか?
    ・同システム中で削除できているか?確認書は提出いただけるか?
  • サプライヤ監査の実施
  • 日常点検の実施項目
    ・サーバ、システム稼働状況
    ・ネットワーク通信状態
    ・CPU使用率
    ・レスポンスタイム
    ・ディスク容量使用率
    ・OSログイン履歴
    ・DB確保容量使用率
    ・DB監査ログ
    ・バッチ処理結果
    ・サーバ、システムエラー監視
  • 自己点検の実施項目(例)
    ・日常点検の記録実施状況
    ・定期点検の記録実施状況
    ・変更管理運用の確認
    ・逸脱、是正処置運用の確認
    ・管理者、利用者の教育訓練の確認
  • 定期点検の実施項目(例)
    ・プログラムや構成の内容に不正な変更が加えられていないか
    ・定められた仕様通りのバージョンか
    ・バリデートされた状態が維持できているか
    ・変更管理(変更手続き、変更事項の検証、教育訓練、SOPの改訂等)、インシデント管理、日常点検
    ・セキュリティ管理(権限付与管理を含む)が適正に行われているか 
    ・定期的に交換するべき部品等が適切に交換されているか
    ・クロック、計測機器等の校正が行われズレの補正が行われているか
    ・自己点検の目的はGMPの観点から自社のGMP管理方針(品質マニュアル、各種手順書)、コンピュータ化システム管理規定を順守して適切な製造管理及び品質管理を確保しているか確認し、必要な場合品質マネジメントレビューを通してGMP体制(人、手順、機器、システム)の改善を勧めるために行うである
  • EXCELはGMP業務に利用できるのか?
    基本的に「できない」というのが弊社の見解です。
    ・誰が記載したか明確するのは難しい
    ・記載方法を完全に規定することが難しい
    ・記載された日時を限定するのが難しい
    ・簡単にコピーができる
    ・権限設定が難しい
    ・監査証跡が取れない
    ・データ破損の可能性がある
    などなど、前述したALCOAの原則に適合するのはできなくはないが、かなり難しいと考えています。

    また、FDAからもEXCELに関するワーニングレターが多数報告されています。

FDA WARNING LETTER
MARCS-CMS 588104 — 2019/12/5
Your firm failed to validate the Excel spreadsheet used to perform the assay calculation for your “(b)(4).” Your procedures lacked guidance on how to check and manually verify the calculation sheets. During the inspection, our investigator identified a calculation error within the spreadsheet. The incorrect formula for averaging the Internal Standard peak area was used.

https://www.fda.gov/inspections-compliance-enforcement-and-criminal-investigations/warning-letters/tismor-health-and-wellness-pty-limited-588104-12052019

FDA WARNING LETTER
MARCS-CMS 562382 —  2019/2/19

Your response noted the following corrective and preventive actions:holding GLP training for management;
・creating an Excel spreadsheet to document traceability;

・中略
・conducting staff training on labeling at the Annual GLP Refresher training session. 

https://www.fda.gov/inspections-compliance-enforcement-and-criminal-investigations/warning-letters/american-preclinical-services-562382-02122019

しかし!便利ですから、利用されているケースも多数あるようです。

出典

*1 総務省「国民のための情報セキュリティサイト:安全なパスワード管理」
*2 コンピュータ化システム適正管理 ガイドライン|CSV
*3 コンピュータ化システム適正管理 ガイドラインに関する質疑応答集(Q&A) 
*4 医薬品等の承認又は許可等に係る申請等における電磁的記録及び電子署名の利用について(ER/ES指針)
*5 PIC/S GMPガイドライン anex11  コンピューター化システム
*6 FDA 21CFR Part11(連邦法第21章第11条)
*7 FDA DIガイダンス(ドラフト)2016年4月15日Guidance for Indsutry Data Integrity and Compliance With CGMP
*8 MHRA GMP DIガイダンス(正式版)2015年3月MHRA GMP Data Integrity Definitions and Guidance for Industry March 2015
*9 MHRA GxP DIガイダンス(パブリックコメント用)2016年7月MHRA GxP Data Integrity Definitions and Guidance for Industry Draft version for consultation July 2016
*10 WHO DIガイダンス(正式版)2016年5月31Guidance on Good Data and Record Management Practices (GDRP)
*11 PIC/S GMP/GDP DIガイダンス(ドラフト)2016年8月10日GOOD PRACTICES FOR DATA MANAGEMENT AND INTEGRITY IN REGULATED GMP/GDP ENVIRONMENTS