2025年9月24日に何が確定したか
2025年9月24日、Federal Registerで最終ガイダンス「Computer Software Assurance for Production and Quality System Software」の入手可能性が公示されました。2022年9月のドラフト公開から約3年を経ての最終化です。ポイントは4つあります。
- 対象は医療機器の製造・品質システムで使用されるコンピュータおよび自動データ処理システム。MES、eDHR、QMS、LIMSなどの「製品そのものではないソフトウェア」が該当します
- 規制上の基礎は21 CFR Part 820。なお、Part 820自体も2024年2月の改正でISO 13485を組み込んだQMSR（Quality Management System Regulation）へ移行しています
- 21 CFR Part 11（電子記録・電子署名）にも言及しており、記録要件と切り離せない構成です
- 従来ガイダンス「General Principles of Software Validation」（2002年）のSection 6を置き換えます
最終版では、ドラフトに寄せられた意見を反映して定義の追加、テスト事例の拡充、ケーススタディの追加が行われました。FDAとEUの規制が逆方向に動いているという全体構図は、FDAは緩め、EUは締める──GxP MES規制の非対称で扱っています。本稿はその「FDA側」の各論です。
CSVからCSAへ──「テストの量」から「保証の質」へ
従来のCSV（Computer System Validation）の実務では、リスクにかかわらずスクリプト化されたテストケースを網羅的に作成・実行し、スクリーンショット付きの証跡を大量に残すことが事実上の標準でした。CSAはこれを「テストの量が保証を生むわけではない」と転換します。
| 観点 | 従来のCSV実務 | CSAの考え方 |
|---|---|---|
| 出発点 | 機能仕様の網羅 | intended use（意図された使用）と品質・患者リスク |
| テスト方式 | スクリプトテスト中心 | リスクに応じてスクリプト／非スクリプトを使い分け |
| 証跡 | 全ステップのスクリーンショット | 保証活動に見合う必要十分な記録 |
| ベンダーの活動 | 自社で再テスト | ベンダーのテスト・開発活動を活用して重複を避ける |
| 工数配分 | 全機能に均等 | 高リスク機能へ集中 |
重要なのは、CSAが「楽をしてよい」という話ではなく、低リスク領域の過剰テストをやめ、その分を高リスク領域の深い検証に振り向けるという工数の再配分だという点です。
リスク判定から記録までの4ステップ
ガイダンスの枠組みは、次の流れで運用されます。
MESに当てはめると、判定はおおむね次のように分かれます。
- 高プロセスリスク（不具合が品質・患者安全に直結）：電子バッチレコードの判定ロジック、規格値管理、電子署名、ラベル印字。→ スクリプトテストを維持
- 中〜低リスク（間接的、または人手のチェックが後段にある）：帳票レイアウト、照会画面、ダッシュボード、通知。→ 非スクリプトテスト（アドホック、エラー推測、探索的テスト）で足りる場合が多い
- ベンダー活動の活用：パッケージMESの標準機能については、ベンダーの開発・テスト実績を評価して自社テストの重複を減らせます
工数はどこで減り、どこで減らないか
CSAを適用したプロジェクトで実際に減るのは、主に低リスク機能のテストスクリプト作成・実行・証跡整備です。逆に、次の工数はむしろ増える可能性があります。
- リスクアセスメントの工数：機能ごとにintended useとリスクを文書化する前工程が重くなります。ここが雑だと、査察時に「なぜこの機能は非スクリプトなのか」を説明できません
- サプライヤ評価の工数：ベンダーのテストを活用するには、ベンダーの品質体制・テスト証跡を評価する手続きが必要です
- 高リスク機能の検証の深さ：再配分の結果、電子署名や判定ロジックには従来以上の検証が求められることがあります
つまりCSAの効果は「一律削減」ではなく、過去プロジェクトの実績をそのまま流用した見積もりが過大にも過小にもなりうるということです。バリデーション費用をSIerの見積もりで比較する際は、CSAを前提にしているかどうかで前提条件が揃っていない可能性があります。
CSAはあくまで医療機器の製造・品質システムを対象とするCDRH系のガイダンスであり、医薬品（CDER）側に同名のガイダンスがあるわけではありません。ただしGAMP 5第2版がリスクベースアプローチとして同じ方向を向いているため、製薬業界でも事実上の参照点になっています。この関係はGAMP 5第2版とISPE AI Guideの関係で整理しています。また、CSAが言及するPart 11の要求そのものは21 CFR Part 11とMESの電子記録・電子署名を参照してください。
よくある質問
CSAが最終化されたことで、既存MESの再バリデーションは必要ですか？
不要です。CSAは新しい義務を課すものではなく、既存要求（21 CFR 820)を満たすための保証活動の考え方を示すガイダンスです。既にCSVで検証済みのシステムをやり直す必要はありません。効果が出るのは、これからのバージョンアップ・変更管理・新規導入です。特に定期的なパッチ適用やマイナーアップデートの回帰テストは、リスクベースで軽量化できる代表的な領域です。
医薬品工場（医療機器ではない）のMESにもCSAは適用できますか？
CSAガイダンス自体は医療機器の製造・品質システムソフトウェアを対象としています。医薬品側に直接適用される文書ではありませんが、リスクベースの保証という考え方はGAMP 5第2版（2022年）と整合しており、製薬のCSV実務でも同じ方向の軽量化が国際的に進んでいます。ただし、EU向けにはAnnex 11改訂案（2025年7月公開）がセキュリティ・ID管理・監査証跡の要求を拡充しており、単純に「軽くする」だけでは通らない点に注意が必要です。
非スクリプトテストの証跡は何を残せばよいですか？
ガイダンスは、保証活動に見合った記録として、テストの意図（何を確認しようとしたか）、使用環境、実施者、結果、不具合と処置の要約を残すことを想定しています。全操作のスクリーンショットは要求されていません。ポイントは「後から第三者が、何をどこまで確認したのかを判断できること」です。社内SOPに非スクリプトテストの記録様式を定義しておくと、査察対応が安定します。
