監査は3種類ある──見られる深さと頻度が違う
MESが対象になる監査は、実施主体で3つに分かれます。準備の設計は、この違いの理解から始まります。
| 種類 | 実施主体 | 頻度の目安 | MESについて見られる深さ | 特徴 |
|---|---|---|---|---|
| 内部監査 | 自社の品質保証・内部監査部門 | 年1回程度 | 手順どおり運用されているかの確認が中心 | 指摘は改善機会。外部監査の予行になる |
| 顧客監査 | 取引先（特に自動車・医薬・航空宇宙の顧客） | 新規取引時＋定期／問題発生時 | トレーサビリティの実演要求が多い。制限時間つき | 監査結果が受注に直結する |
| 当局査察 | 規制当局（PMDA、FDA、都道府県など） | 定期＋承認前＋無通告 | データインテグリティ・監査証跡・権限まで踏み込む | 指摘は法的な重みを持つ。無通告があり得る |
共通するのは、監査人が確認したいことが「記録が正しいか」から「記録を作る仕組みが信頼できるか」へ移っている点です。個々の製造記録を眺めるだけでなく、その記録は誰が変更できるのか、変更したら痕跡が残るのか、システムは検証されているのか、という仕組みへの質問が中心になります。機能としての監査証跡の要件は監査証跡の解説で、原則側はデータインテグリティ（ALCOA+）で扱っており、本記事はそれらを「聞かれたときに出せる」状態にする準備の話です。
なお、当局査察は規制産業の話ですが、内部監査と顧客監査は業種を問いません。非規制の機械加工や電子部品でも、自動車系顧客の工程監査でMESのトレーサビリティ実演を求められる場面は普通にあります。
常備品7点セット──監査が決まってから作る資料をゼロにする
監査対応の負荷を決めるのは、監査当日ではなく準備です。そして準備の負荷は、「監査のたびに作る資料」がどれだけあるかで決まります。目標は、依頼が来たら既存の文書を出すだけの状態です。経験上、次の7点を常備しておくと、どの種類の監査でも初日の要求の大半をカバーできます。
- システム概要書（1〜2枚）：MESの役割、対象工程、主要な連携先を図1枚で説明できる資料。監査人はまず全体像を求めます
- システム構成図と外部接続一覧：サーバ構成、ネットワーク、ERPや設備との接続。セキュリティ関連の質問の起点になります
- 権限一覧と付与・剥奪の手順:誰がどの操作をできるか、退職・異動時にアカウントがどう処理されるか。休眠アカウントの放置は最も見つけやすい指摘事項です
- 変更管理の台帳：稼働後の改修・設定変更の履歴と、各変更の承認記録。「このシステムは統制下にあるか」への直接の回答です
- バリデーション／テストの要約（規制産業）：詳細文書一式ではなく、検証の範囲と結論をまとめたサマリー。詳細は求められたら出します
- 教育記録：MES操作の教育を誰が受けたか。受講記録だけでなく実技確認の記録があると強い根拠になります
- 障害・逸脱の記録と対応履歴：システム障害時に記録がどう扱われたか（紙代替→事後入力の記録など）。隠すのではなく、統制された対応をしたことを示す資料です
この7点は、ドキュメント整備で述べた文書体系がそのまま母体になります。監査対応力とは、結局のところ文書と運用の平時の整備水準のことです。
当日の進め方──デモ要求には「運用している人」が答える
監査でMESが話題になったとき、対応の質を決める要素は2つあります。
第一に、実演（デモ）への備え。 「この製品ロットの製造記録を見せてください」「この材料ロットがどの製品に使われたか追ってください」という実演要求は、顧客監査ではほぼ確実にあります。ここで確認されているのは、機能の有無だけでなく所要時間と習熟度です。トレーサビリティ照会に30分かかり、操作できる人を探して連れてくる──この光景自体が「日常的に使われていない」という心証を与えます。対策は単純で、想定シナリオ（正引き・逆引きのトレース、監査証跡の表示、権限一覧の出力）を四半期に1回、時間を測って実演練習しておくことです。
第二に、答える人の選定。 システムの質問にベンダー資料の受け売りで答えると、少し掘られただけで止まり、心証を悪くします。原則は「その業務を実際に運用している人が答える」こと。監査証跡の質問には品質保証の運用担当が、権限管理には情シスの実務者が答え、分からないことは「確認して回答します」と持ち帰るのが正しい作法です。その場しのぎの曖昧な回答は、後で矛盾が見つかったときに個別の指摘より重い「信頼性への疑義」に発展します。
無通告査察があり得る規制産業では、「誰が対応するか」を当番として決めておくことも準備の一部です。キーパーソンの休暇中に査察が来る前提で、一次対応できる人を複数確保してください。
指摘への回答は「直しました」で終わらせない
監査後の対応で差がつくのは、指摘への回答の書き方です。たとえば「共用アカウントで実績登録が行われている」という指摘に「該当アカウントを削除しました」とだけ回答するのは、最も評価の低い形です。監査人が見たいのは、①事象の是正、②原因の分析（なぜ共用アカウントが作られ、使われ続けたのか）、③再発防止（アカウント発行手順の変更、定期棚卸しの導入）、④水平展開（他の工程・他のシステムに同じ問題はないか）の4点セットです。
MES関連の指摘は、システム設定で直せるもの（パスワードポリシー、証跡の保持期間）と、運用を変えないと直らないもの（承認の形骸化、教育の未実施）に分かれます。後者をシステム改修で糊塗しようとすると、次回監査で「仕組みは変わったが運用が変わっていない」というより深い指摘になって返ってきます。指摘の原因が要員の力量にあるなら教育記録と資格・力量管理の仕組みへ、文書の乖離にあるなら文書体系の更新トリガーへ、と根本側に手を入れる回答が、結果として監査対応を年々軽くします。
よくある質問
非規制業種です。ここまでの準備は過剰ではありませんか？
当局査察がない分、5番（バリデーション要約）は不要で、他の常備品も簡略化できます。ただし顧客監査は業種を問わず来ます。特に自動車・航空宇宙のサプライチェーンに入っている場合、顧客の要求水準は規制産業に近づいており、トレーサビリティの実演と変更管理の台帳は、非規制でも用意しておく価値が十分にあります。まず自社の主要顧客の監査チェックリストを入手し、MESに関わる項目だけ抜き出して常備品を設計するのが最短です。
監査でシステムの画面を直接操作させるよう求められたら、応じるべきですか？
監査人自身による操作は原則断り、自社の担当者が操作して画面を見せる形にします。読み取り専用の監査人用アカウントを用意している企業もありますが、その場合も付与範囲と期限を管理し、発行自体を記録に残してください。またスクリーンショットや帳票の提供を求められた場合は、自社の情報管理規程（秘密情報・他顧客情報の混入）を確認したうえで、提供物のリストを残します。協力的であることと、統制されていることは両立できますし、統制された断り方はむしろ良い心証を作ります。
電子記録について、監査人から21 CFR Part 11への適合を聞かれました。何を答えれば十分ですか？
Part 11適合は製品カタログの「Part 11対応」では答えになりません。聞かれているのは自社での実装と運用、具体的には①電子署名を使っている操作の範囲、②署名の一意性とパスワード管理、③監査証跡の有効化状態と保持期間、④証跡の定期レビューの実施状況です。特に③は、製品機能としては存在するのに設定で無効化されていた、という指摘が実際にあるポイントです。要求事項の全体像は21 CFR Part 11とMESの電子記録・電子署名で整理しています。
