Part 11は「古い規則」ではなく「現役の基礎」
21 CFR Part 11（Electronic Records; Electronic Signatures）は1997年に施行された、FDA規制下の電子記録・電子署名の要件です。四半世紀を経ても廃止も全面改訂もされておらず、2025年9月24日に最終化されたFDAのCSA（Computer Software Assurance）ガイダンスも、記録要件の参照先としてPart 11に言及しています。つまり「新しいガイダンスが出たからPart 11は気にしなくてよい」は誤りで、保証活動の考え方（CSA）と記録・署名の要件（Part 11）は層が違います。CSA側の解説はFDA CSAでバリデーション工数はどう変わるかを参照してください。
条文は短く、構造は明快です。MESとの対応で読むと次のようになります。
| 条文 | 内容 | MESでの実装 |
|---|---|---|
| §11.10 | クローズドシステムの管理（バリデーション、監査証跡、アクセス制限、権限、教育訓練など） | 監査証跡機能、ユーザー・権限管理、記録のコピー出力 |
| §11.30 | オープンシステムの追加管理（暗号化等） | クラウドMES・外部接続時の通信・保管の暗号化 |
| §11.50 | 署名の表示（署名者名・日時・意味） | 承認画面と帳票への署名情報の表示 |
| §11.70 | 署名と記録の結合（切り離し・流用の防止） | 署名と対象レコードのシステム的な紐付け |
| §11.100 | 電子署名の一般要件（一意性、本人確認） | ユーザーIDの個人一意性、共有アカウント禁止 |
| §11.200 | 電子署名の構成要素（ID＋パスワード等2要素） | 署名時の再認証、連続署名時の要件 |
| §11.300 | ID・パスワードの管理 | パスワードポリシー、失効・棚卸し |
2003年ガイダンスが引いた「執行裁量」の線
Part 11対応が混乱しやすい最大の理由は、2003年9月のFDAガイダンス「Part 11, Electronic Records; Electronic Signatures — Scope and Application」が、条文の一部について執行裁量（enforcement discretion）──つまり当面は執行しないという運用──を宣言したまま今日に至っていることです。執行裁量の対象は次の4領域です。
- バリデーション（§11.10(a)）：Part 11固有の要求としては執行しない。ただし基礎規則（predicate rule：cGMPやQSR）がバリデーションを要求する場合はそちらで必要
- 監査証跡（§11.10(e)等）：同様に、Part 11固有としては執行しないが、基礎規則の記録要件から実質的に必要になる
- レガシーシステム：1997年8月20日より前に運用されていたシステム
- 記録のコピー（§11.10(b)等）
ここで誤読してはいけないのは、執行裁量は「監査証跡が不要になった」という意味ではないことです。要求の根拠がPart 11から基礎規則（cGMP・QMSR）側へ移っただけで、電子で品質記録を作る以上、監査証跡もバリデーションも実務上は必要です。一方、電子署名の要件（§11.50〜11.300）には執行裁量が及んでおらず、Part 11の中で今も最も「条文どおり」に見られる領域です。
MESで実装すべきものの優先順位
以上を踏まえると、米国向け工場のMESでPart 11起点の実装は、次の優先順位になります。
- 個人一意のユーザーIDと共有アカウントの排除（§11.100）。現場端末の共有ログインが残っている工場は、ここが最初の壁になります
- 電子署名の3要素──署名の意味の表示、署名者・日時の表示、記録との結合（§11.50・11.70）。実装の詳細は承認ワークフローと電子署名で解説しています
- 監査証跡──誰が・いつ・何を・（要求される場合は）なぜ変更したかの改ざん不能な記録。設計論は監査証跡──規制産業で最初に見られる機能を参照してください
- 記録の保存とコピー提出──保存期間を通じた可読性と、査察時に電子コピーを渡せること
- アクセス権限と教育訓練の記録
電子バッチレコード（eBR・eDHR）を導入する場合、これらはその前提機能になります。また、Part 11が守ろうとしているものの本質はデータインテグリティであり、ALCOA+原則との対応はデータインテグリティ（ALCOA+）をMESでどう担保するかで扱います。
EU向け拠点との両立──Part 11だけ見ていると足りない
グローバル展開では、Part 11適合だけでは不十分です。EUのAnnex 11は2025年7月公開の改訂案で5ページから19ページへ拡充され、セキュリティ、ID・アクセス管理、監査証跡レビューへ要求が広がりました。Part 11が1997年から動いていないのに対し、EU側は要求を積み増している──この非対称の全体像はFDAは緩め、EUは締める──GxP MES規制の非対称で整理しています。両地域に出荷する工場では、Part 11を満たす設計をEU改訂案の水準まで引き上げておくのが、二度手間を避ける実務解です。
よくある質問
紙に印刷して署名すれば、Part 11の対象外にできますか？
2003年ガイダンスの整理では、電子システムを使っていても、紙の記録を正とし電子は単なる入力手段という運用（いわゆるハイブリッド運用）なら、Part 11の適用範囲を限定できる場合があります。ただしMESを導入して紙を正にし続けるのは、導入効果の大半（リアルタイム性、Review by Exception）を放棄する選択です。移行期の暫定策としては成立しますが、恒久運用として設計すべきではありません。
クラウドMESの場合、Part 11で追加の考慮はありますか？
条文上は、外部からアクセス可能な構成が§11.30のオープンシステムに該当するかの検討と、該当時の暗号化等の追加管理が論点になります。実務上はむしろ、クラウドベンダー側の変更管理（自動アップデート）と自社のバリデーション状態の維持、データ保管場所と保存期間、契約終了時の記録エクスポートが重要です。これらは条文よりもベンダー評価と契約の問題であり、SLAと併せて調達段階で詰める必要があります。
生体認証やSSOでの電子署名は認められますか？
§11.200は、生体認証に基づかない電子署名にはID・パスワード等の2つの識別要素を要求し、生体認証に基づく署名はそれが本人にしか使えないよう設計されていることを求めています。生体認証・SSO自体は排除されていません。確認すべきは、SSO環境でも署名時の再認証が要求どおり機能するか、認証基盤の障害時に署名運用がどう継続するかという実装・運用側の論点です。
