火曜日の朝、一本の電話がかかってきた。内陸部（Inland Empire）にある食品 3PL のクライアントの品質保証マネージャーは、疲れ切った声だった。FDA の調査官が 2 日間施設に滞在し、ずっと一点に立ち返っていた——温度逸脱記録だ。それは倉庫事務所のパソコン上の共有スプレッドシートにあった。現場の誰もがパスワードを知っていた。「3 月の記録を誰が変更したのかと聞かれたんです」と彼女は言った。「答えられませんでした」。
21 CFR Part 11 のすべてが、この一本の電話に詰まっている。この規制は、紙の記録簿を捨てろと言ったことは一度もない。求めているのは、電子化した瞬間から、電子記録が紙と同じくらい信頼できなければならないということ——いや、むしろそれ以上だ。なぜなら、それを証明しなければならないからだ。
Part 11 は、FDA の電子記録・電子署名に関する規則で、1997 年 3 月 20 日に最終版が公表され、1997 年 8 月 20 日に施行された。FDA が規制するあらゆる産業——食品、医薬品、生物製剤、医療機器——に適用される。FDA の規則が要求する記録が電子的に保管される場合、または手書き署名が電子署名に置き換えられる場合だ。食品倉庫にとっては、温湿度記録、入荷検査、害虫管理記録、教育訓練記録、出荷承認が、紙を離れてシステムに入る瞬間に該当する。
多くの運営者が誤解している点はここだ。Part 11 はデジタル化を強制しない。紙は今でもまったく問題ない。しかし、電子記録を保管するなら、同じ信頼性の基準を満たさなければならず、求められたときにそれを実証しなければならない。
この規制は実際何を求めているのか？
法律用語を剥ぎ取れば、Part 11 が求めるのは 4 つだ。第一に、システムバリデーション：システムが期待通りに動作し、正確に動作し、無効または改ざんされた記録を検出できることを示せなければならない。市販ソフトウェアも例外ではない——ベンダーのバリデーション文書が必要で、なければ自ら作る。
第二に、監査証跡。11.10(e) 条は明示的だ：電子記録を作成・変更・削除した「誰」の、セキュアでコンピュータ生成のタイムスタンプ付き記録。変更は以前の記録を隠してはならない——つまり上書きは不可、バージョン追加のみだ。監査証跡は記録そのものと同じ期間以上保管し、FDA の閲覧とコピーに供さなければならない。率直に言えば、すべての変更は痕跡を残し、その変更をした本人がそれを消せないということだ。
第三に、アクセス制御：権限のある人だけがシステムに入り、データを変更し、記録に署名できる。第四に、電子署名：11.50 条の下では、署名の表示は署名者の氏名、署名の日時、署名の意味（レビュー、承認、または実行）を示さなければならない。11.70 条の下では、署名は記録に恒久的にリンクされ、切り貼りで他に付け替えることができないようにしなければならない。
早めに重要な区別がある。それは、どれだけの作業を引き受けるかを決めるからだ：閉鎖系（closed system）と開放系（open system）だ。閉鎖系とは、自組織がアクセスを管理するもの——自社の WMS、自社の温度監視プラットフォームなどだ。ほとんどの食品倉庫は完全に閉鎖系の領域にあり、11.10 条が適用される。開放系とは、アクセスの管理が自分の手にないもの——公共のインターネット経由で顧客や規制当局に送信される記録など——で、11.30 条が暗号化とデジタル署名の要件を上乗せする。支出を始める前に、自分がどちらかを確認すること。特定の要件に迷ったら、FDA の公式ガイダンスか規制顧問に相談すること——ベンダーの営業担当は真実の情報源ではない。
監査証跡は実際に何を記録しなければならないのか？
監査証跡を読む調査官は 4 つの問いを発する。誰が、いつ、何をし、その前はどうだったか。新しい記録にはエントリー。アラーム閾値の変更には、変更前の値と変更後の値の両方を残したエントリー。削除された記録にはエントリー。そして証跡は行為者から独立していなければならない——作業者がそれを切ったり、編集したり、削除したりできない。タイムスタンプにはタイムゾーンが必要で、各デバイスの時計のずれに任せるのではなく、信頼できる時刻源に同期しなければならない。
ここが食品倉庫が最も痛い目に遭うところで、失敗はいつも驚くほど凡庸だ。私はある冷凍倉庫で、技術的には監査証跡がある温度システムを見たことがある——ただし導入時にオフになったまま、誰も 2 年間気づかなかった。古典的なのは全員管理者アクセスだ。冷凍庫のアラーム閾値が摂氏マイナス 18 度からマイナス 15 度に変わったのに、十数人が admin でログインしていたため誰が変えたのか誰も言えなかった。次はタイムスタンプだ。サーバーは UTC、運用は太平洋時間で、エクスポートされた記録はどれも説明のつかない午前 3 時のエントリーばかり。そして最大の元凶はスプレッドシートだ。誰でも編集でき、誰が何を変えたか記録のない共有 Excel の温度記録は、査察では最初からお話にならない。弁護の余地はない。
電子署名は本当に「承認」ボタンをクリックするだけなのか？
いいえ。チェックボックスは何も証明しないし、Part 11 は署名を法的重みのある本人確認の表明として扱う。3 つの条件が満たされなければならない。第一に、唯一性：署名はちょうど一人の人に属する。シフト全員がリリース承認に使う共有の「supervisor」ログインは署名システムではない——芝居だ。調査官が「このロットを誰がリリースしたのか」と聞き、答えが「そのときシフトにいた誰か」だったら、その査察は悪い方向に進んでいる。
第二に、署名時点での本人確認——パスワード、バッジタップ、生体認証。クリックしているのが名指しの本人であることを証明することが要点だ。第三に、署名の意味は明確で記録されなければならない。レビュー、承認、実行は 3 つの異なる行為だ。同じ人が同じロットをレビューして承認すると、職務分離について質問される。
共有アカウントは食品倉庫業界の疫病だ。私がカリフォルニア州オンタリオで管理していた 8 万平方フィートのコールドチェーン施設では、現場のすべてのハンディが「warehouse」でログインしていた——誰にとっても便利で、監査では弁護不能だ。Part 11 ギャップ評価で最初にしたことは、その習慣を潰すことだった。一人一アカウント、退職した日には無効化、パスワードは四半期ごとにローテーション。約一週間は不評だった。でも次に調査官が「入荷検査に誰が署名したのか」と聞いたとき、システムは氏名、タイムスタンプ、意味を示した。それで会話は終わる。
紙やスプレッドシートから始めるなら、実際にうまくいく順序はこうだ。ステップ 1、ギャップ評価：保持している記録をすべてリストアップする——温湿度、入荷検査、害虫管理、教育訓練、リリース——そして紙か、スプレッドシートか、システムかに分類する。一つでも見逃すと、後でそれが自分を見つけ出す。ステップ 2、システム選定：すべてのベンダーに 3 つの質問をする。監査証跡はオフにできるか？オフになったらそれが分かるか？バリデーション文書を提供できるか？3 つ全部に答えられないベンダーは失格だ。
ステップ 3、SOP の書き換え：「どう記録するか」を「システムでどう記録するか」に変え、アクセス権限表を文書化する——誰がデータを入力できるか、誰がレビューできるか、誰が閾値を変更できるか、誰が記録を削除できるか。一つの表、曖昧さなしだ。ステップ 4、教育訓練：署名が何を意味するかを教育し、署名には責任が伴うことを明示する。ステップ 5、少なくとも 1 サイクル全て——1 か月と言ったところ——紙と電子を並行運用し、両方が一致して初めて紙を廃止する。紙を早く廃止すると、システム障害時に何も残らない。
調査官の立場で考えてみてほしい。彼らはシステムの値段には興味がない。関心は 3 つだ。記録が改ざんされたか、誰が改ざんしたか、タイムスタンプに辻褄が合うか。彼らはその場で、目の前で、システムから記録を出させる。エクスポートできない？問題だ。エクスポートしたファイルが化けている？問題だ。エクスポートが画面表示と合わない？もっと大きな問題だ。記録の完全性は、FDA の 483 観察事項リストに毎年のように載る。規制が珍しいからではない。あまりにも多くの倉庫が、「記録すること」と「弁護できること」を混同しているからだ。
明日からできる 5 つのこと。第一に、温度スプレッドシートをコピーして一つの数字を変え、自問すること。誰が気づくだろうか、そしてそれが自分だと誰が分かるだろうか。第二に、システムの管理パネルにログインして、監査証跡が実際にオンになっているか確認する。第三に、共有アカウントを数えて書き出す。第四に、サーバーと端末のタイムゾーン設定を確認する——すべてだ。第五に、アクセス権限表を描く：アラーム閾値を変更できるのは誰か、記録を削除できるのは誰か、リリースに署名できるのは誰か。この 5 つが終われば、倉庫が Part 11 コンプライアンスからどれだけ遠いか、そしてギャップを埋めるのにいくらかかるかが正確に分かる。
英語版からの翻訳。内容に相違がある場合は英語版を優先します。
