コンピュータ化システム適正管理ガイドラインに基づく 調査方針

Presentation on theme: "コンピュータ化システム適正管理ガイドラインに基づく 調査方針"— Presentation transcript:

1 コンピュータ化システム適正管理ガイドラインに基づく 調査方針

2 ガイドライン調査の背景① 本年４月１日より、当該ガイドラインが適用とされた。
また、当該ガイドラインの適用に先立ち、 昨年１１月及び本年２月に 当該ガイドラインの説明会を開催したところ。

3 ガイドライン調査の背景② 当該ガイドラインの説明会等に基づき 各業者においては、ガイドラインの適用に向けて、各種手順書等の整備をされていると 期待している。 そのため、現在の対応状況等を含め、調査に伺うものである。

4 ガイドライン調査のスケジュール　① ７月３０日まで　システム台帳事前提出 （後ほど説明） ８月中　システム台帳薬務課確認 ９月～　立入調査

5 ガイドライン調査の方法 システム台帳の確認結果を踏まえ、 調査の２週間前を目安として 調査実施通知を発出
調査は、基本２名で実施する。 （製造所の規模等により、多少増がある）

6 ガイドライン初回調査の最重点項目 以下の内容の整備状況 ①システム台帳の整備 　　（管理対象システム把握） ②コンピュータ化システム管理規定の整備 ③運用管理基準書の整備 ④組織体制 平成２４年４月１日以降に導入したシステムがある場合は、その開発・検証業務 平成２４年４月１日以降に廃棄したシステムがある場合は、その廃棄業務

7 ガイドライン初回調査の重点項目 ガイドライン初回調査その他確認項目
運用管理業務・文書及び記録の管理の実施 ①運用管理業務 ②標準操作手順書の整備 ③文書及び記録管理の実施 ガイドライン初回調査その他確認項目 すでに導入したシステムの開発・検証業務の実施状況

8 システムの信頼性を保証する 基本的な考え方
コンピュータが正しい手順で開発され、検証され、運用されて初めて正しい結果が得られる。 ライフサイクルを通して、信頼性を保証することが重要 開発 検証 運用 廃棄 コンピュータ化システムのライフサイクル

9 「正しく開発」 適切な品質保証システムに基づき開発されている 文書化された手順に基づいている 適切な計画 計画のとおりに開発されている
適切な変更管理が行われている レビュー、承認は適切にされている 適切に文書化及び記されている 　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　等

10 「正しく検証」 適切な品質保証システムに基づき実施されている 適切な手順で検証されている 計画のとおり検証されている
検証の結果は正しいか、期待された結果が得られているか 期待された結果が得られない場合、適切な是正措置がとられているか レビュー、承認は適切にされているか 　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　等

11 「正しく運用」 要員の教育訓練は適切に実施されているか 運用の計画・手順は適切か 計画のとおりに運用されているか
セキュリティ対策はとられているか 変更は適切に管理されているか システムトラブルの際の措置は適切か 運用の結果は定期的にレビューされているか 　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　等

12 ライフサイクルを通した活動が信頼性を保証＝ＧＭＰ
正しく開発、正しく検証、正しく運用 教育訓練 ユーザー要求仕様 ＰＱ 運用 検証 ＤＱ 機能仕様 ＯＱ 変更管理 検証 検証 設計仕様 ＩＱ 定期的レビュー 検証 供給者監査 システム開発 ソフトウェア・モジュール・コーディング ハードウェア作製と組付け、ソフトウェア導入 ハードウェア試験、機器試験 システムテスト 受入試験 廃棄 ライフサイクルを通した活動が信頼性を保証＝ＧＭＰ

13 ガイドラインの構成 １．総則（１．１目的、１．２コンピュータ化システムの取扱い、１．３カテゴリ分類） ２．適用の範囲
３．コンピュータ化システム管理規定　（１）システム台帳 （２）開発業務、検証業務及び運用管理業務における責任体制と役割） 運用管理基準書 ４．開発業務 ５．検証業務 ６．運用管理業務 開発計画書の作成 要求仕様書の作成 システムアセスメント 機能仕様書の作成 設計仕様書の作成 プログラム作成・PGテスト システムテスト 受入試験 バリデーション計画書の作成 設計時適格性評価（ＤＱ） 据付時適格性評価（ＩＱ） 運転時適格性評価（ＯＱ） 性能適格性評価（ＰＱ） バリデーション報告書の作成 標準操作手順書の作成 保守点検 バックアップ・リストア 逸脱（システムトラブル）の管理 教育訓練 ７．自己点検 ８．コンピュータシステムの廃棄 ９．文書及び記録の管理　　１０．用語集

14 ガイドラインの復習① システム台帳とは・・・ ガイドラインの管理対象のシステムを適切に管理するため、このガイドラインの対象となるコンピュータ化システムを登録するもの。 記載事項としては システム名称、管理番号、バリデーション対象の有無（カテゴリ分類）、システムの担当者等がある。 　　　　　　　　　　　　　　　　　　　（ガイドライン通知より引用）

15 ガイドラインの復習② システム台帳（例） 　　　　　　　　　　　 　　　　　　　　　　　　　　　　　　　（昨年１１月説明会より）

16 ガイドラインの復習③ カテゴリ分類表 カテゴリ 内容 １ 基盤ソフト
・カテゴリ３以降のアプリケーションが構築される基盤となるもの（プラットフォーム） ・運用環境を管理するソフトウェア ３ 構成設定していないソフトウェア 商業ベースで販売されている既製のパッケージソフトウェアで、それ自体は業務プロセスに合わせて構成設定していないもの（実行時のパラメータの入力のみで調整されるアプリケーション等は本カテゴリに含まれる） 製造設備、分析機器、製造支援設備等に搭載されるシステム 単独のコンピュータシステム ４ 構成設定したソフトウェア ユーザの業務プロセスに合わせて構成設定したソフトウェア（アプリケーション上で動作するマクロ等を含む）。 但し、プログラムを変更した場合はカテゴリ５とする。 ５ カスタムソフトウェア 業務プロセスに合わせて設計され、プログラムされたソフトウェア （アプリケーション上で動作するマクロ等を含む）

17 ガイドラインの復習④ カテゴリ分類表（システム例） カテゴリ システムの例 １ 基盤ソフト ・ＯＳ ・データベースエンジン
・ＯＳ　　　　　　　　　　　　　・データベースエンジン ・プログラム言語　　　　　 ・統計管理パッケージ ３ 構成設定していないソフトウェア ・パッケージソフトウェア ・既製のラダーロジック（ＰＬＣ） ・既製のファームウェアアプリケーション ・既製の製造設備、　分析機器、製造支援設備、 　及びそれらに搭載されたシステム ４ 構成設定したソフトウェア ・ＬＩＭＳ　・データ収集システム ・ＳＣＡＤＡ　・ＥＲＰ　・ＭＲＰⅡ　・ＤＣＳ ・ＥＤＭＳ（文書管理システム） ・倉庫管理システム ５ カスタムソフトウェア ・ＩＴアプリケーション ・プロセスアプリケーション ・カスタムロジック（ＰＬＣ） ・カスタムファームウェア

18 ガイドラインの復習⑤ カテゴリ分類対応例（抜粋） カテゴリ リスク評価 ＵＲＳ ＦＳ ＣＳＶ計画・報告 ＤＱ ＩＱ ＯＱ ＰＱ 運用手順
文書管理 １ 基盤ソフト ◎ － *1 ◎*2 ３ 構成設定していない ｿﾌﾄｳｪｱ ○*3 ◎*3 ４ 構成設定したｿﾌﾄｳｪｱ ○ ５ カスタムソフトウェア ◎：必須　　○：システムアセスメントの結果による（基本的には必要） △：システムアセスメントの結果による（基本的には省略）　　－：省略可能 *1アプリケーションに合わせ作成、実施 *2設置の確認、バージョン・製造番号の記録 *3製造設備、分析機器、製造支援設備等に搭載されるシステムにおいては、設備の適格性確認に合わせてシステムの機能を検証することで差し支えない。この場合改めてＣＳＶとして実施する必要はない。単純なシステムに関しては校正で代用することも可。

19 ガイドラインの復習⑥ ・電卓、電子時計、表示のみの電磁はかり等、 カテゴリ分類表（続き） ガイドラインの対象外
　商業ベースで販売されている汎用の機器 ・製造記録の作成や出荷判定等のＧＱＰ省令及びＧＭＰ省　　 令に係る業務に使用されない市販のワープロソフト、表計算ソフト等で、社会一般で広く利用されているパッケージソフトウェア及びＰＣ。なお、それらソフトにより製造記録の作成や出荷判定等のＧＱＰ省令及びＧＭＰ省令に係る業務に使用する場合は、本ガイドラインの対象とせず、バージョン番号、ＰＣの機種番号、製造番号の記録等をシステム台帳登録することで良い。

20 ガイドラインの復習⑦ ガイドライン対象外の図式化 電卓、電子時計、表示のみの電磁はかり等、 商業ベースで販売されている汎用の機器
システム台帳 登録不要 ＧＭＰで管理 市販のワープロソフト、表計算ソフト等で、社会一般で広く利用されているパッケージソフトウェア及びＰＣ ＧＱＰ及びＧＭＰに係る業務に使用されない場合 システム台帳 登録不要 ＧＱＰ及びＧＭＰに係る業務に使用する場合 （製造記録の作成や出荷判定等） システム台帳登録 ・バージョン番号 ・ＰＣの機種番号 ・製造番号等

21 ガイドラインの復習⑧ ガイドラインで求める文書の位置づけ・・・ 製造販売業者等ごとに必要な文書 システムごとに必要な文書
コンピュータ化システム 管理規定 開発計画書 要求仕様書 ・・・ 運用管理基準書 標準操作手順書 廃棄計画書 （本年２月説明会より）

22 ガイドラインの復習⑨ ｺﾝﾋﾟｭｰﾀ化システム管理規定に必要な事項 （１）ｺﾝﾋﾟｭｰﾀ化システムの開発、検証及び 　　運用管理に関する基本方針 ①目的 ②適用範囲 ③システム台帳の作成 ④基本的な考え方 　・ソフトウェアのカテゴリ分類 　・製品品質に対するリスクアセスメント 　・供給者アセスメント 　・開発、検証及び運用段階で実施すべき項目等 　・コンピュータシステムの廃棄に関する事項 （本年２月説明会より）

23 ガイドラインの復習⑩ ｺﾝﾋﾟｭｰﾀ化システム管理規定に必要な事項（続き） （２）開発業務、検証業務及び運用管理業務における責任体制と役割 （３）開発業務、検証業務及び運用管理業務で作成すべき文書及びその管理方法 （４）開発業務、検証業務及び運用管理業務の業務完了の確認及び承認の手続き （本年２月説明会より）

24 ガイドラインの復習⑪ 運用管理基準書に必要な事項 （１）運用に関する組織体制と役割 　①組織 　②運用責任者 （２）コンピュータ化システムの操作 （３）保守点検管理 　①日常点検事項 　②定期点検事項 　③保守点検を専門業者に委託する場合の　　 　　取決め事項 （本年２月説明会より）

25 ガイドラインの復習⑫ 運用管理基準書に必要な事項（続き） （４）セキュリティ管理 　①データの入力、修正、削除等に関する 　　担当者のアクセス権限の設定と不正 　　アクセス防止 　②識別構成要素の管理 　③ハードウェア設置場所への立入制限 （５）バックアップ及びリストア （本年２月説明会より）

26 ガイドラインの復習⑬ 運用管理基準書に必要な事項（続き） （６）変更の管理 　①変更の計画、承認の手順 　②変更の影響評価 　③その他、変更に必要な事項 （本年２月説明会より）

27 ガイドラインの復習⑭ 運用管理基準書に必要な事項（続き） （７）逸脱（システムトラブル）の管理 　①逸脱（システムトラブル）発生時の対応の 　　ための組織等 　②逸脱（システムトラブル）の原因の究明 　　及び影響評価 　③再発防止対策 　④回復措置 　⑤システム停止後の再開手順及び再開時の確認 　　事項 　⑥その他逸脱の管理に必要な事項 （本年２月説明会より）

28 ガイドラインの復習⑮ 運用管理基準書に必要な事項（続き） （８）担当者の教育訓練 （９）自己点検 （本年２月説明会より）

29 保守点検管理 日常点検事項 定期点検事項 保守点検を専門業者に委託する場合の取決め事項 保守点検の項目や頻度を科学的に設定し、標準操作手順書に規定する。 本項では、基本的な考え方を記載する。 （本年２月説明会より）

30 保守点検管理 保守点検を専門業者に委託する場合の取決め事項 ・外部の専門業者により点検すべき事項に関する基本方針を記載 ・自社での校正と委託者の校正を区別 ・個々の契約にて、期間、対応窓口等を定めることを規定する。 →委託を行っても、 　　　　　　　　　　最終責任は製造販売業者等 （本年２月説明会より）

31 セキュリティ管理 アクセス権限の設定 不正アクセスを防止するためのログイン権限の設定等
識別構成要素（ＩＤ＋ＰＷ等）の適切な管理 ＰＷの定期的な変更、流出防止、移動時の管理等 ハードウェア設置場所への立入制限 必要に応じてハードウェア設置場所の施錠や入退室記録等 システムの信頼性の確保 （重要なデータ（記録、設定値等）が変更、削除されないようにする必要がある）

32 バックアップ及びリストア システムの信頼性の確保 （何らかの障害発生時に備える） データ バックアップ リストア バックアップの方法
適切な記憶媒体、 更新頻度、保管 場所、保管期間等 あらかじめ文書化 リストアの方法 リストア後の再開 方法（確認手順）等 あらかじめ文書化 定期 障害復旧時 バックアップデータ

33 変更の管理 （１）変更の影響を評価 必要に応じて再バリデーションを実施 （２）標準操作手順書の変更 （３）変更内容の周知（教育訓練）
（１）変更の影響を評価 　　　必要に応じて再バリデーションを実施 （２）標準操作手順書の変更 （３）変更内容の周知（教育訓練） （４）変更の記録の作成

34 逸脱（システムトラブル）の管理 （１）影響評価と原因究明、再発防止措置
（２）逸脱（システムトラブル）発生後にコンピュータ化システムの運用を再開する場合には、復帰稼働が適切に行われていることを確認すること。 （⇒予め手順を定めておくとよい） （３）逸脱管理の記録の作成と保管

35 システムの廃棄 ①データの保存 （真正性、見読性、保存性の確保） ②セキュリティ（機密性の確保） コンピュータシステムの廃棄計画書
　（１）責任者及び担当者 　（２）廃棄対象とするコンピュータシステム 　（３）データの移行に関する事項 　（４）セキュリティに関する事項 　（５）コンピュータシステムの廃棄方法 　（６）廃棄完了の判断基準 廃棄記録の作成

36 責任者 ガイドラインで求められる責任者（例） 責任者 ポイント 運用責任者
運用責任者が、開発責任者・検証責任者・廃棄責任者を兼務することもできる。ただし、運用責任者がシステムのすべてを開発する場合は、開発責任者と検証責任者の兼務はできない。 開発責任者 開発業務が必要な場合、導入するコンピュータ化システムの開発計画書で開発責任者を指名する旨をコンピュータ化システム管理規定に定めるか、導入予定の有無に係らず、予め開発責任者を指名する。 検証責任者 検証業務が必要な場合、導入するコンピュータ化システムの開発計画書で検証責任者を指名する旨をコンピュータ化システム管理規定に定めるか、導入予定の有無に係らず、予め検証責任者を指名する。製造業者の場合、コンピュータ化システムに関するバリデーション計画書及び報告書はバリデーション責任者の承認を得ること。

37 責任者 ガイドラインで求められる責任者（例） 責任者 ポイント 変更管理責任者 （※１）
既存のＧＭＰ／ＧＱＰの変更管理責任者がコンピュータ化システムに対する変更管理の責務を負う。（注） 逸脱管理責任者 既存のＧＭＰの逸脱管理責任者がコンピュータ化システムに対する逸脱管理の責務を負う。（注） 製造販売業者の場合、逸脱管理責任者を新たに指名する必要がある場合がある。 教育訓練責任者 既存のＧＭＰ／ＧＱＰ教育訓練責任者がコンピュータ化システムに対する教育訓練の責務を負う。（注） 自己点検責任者 既存のＧＭＰ／ＧＱＰ自己点検責任者がコンピュータ化システムに対する自己点検の責務を負う。（注） （※１）ガイドラインでは、「あらかじめ指定した者」とされているが、 　　　便宜上責任者として記載

38 責任者 ガイドラインで求められる責任者（例） 責任者 ポイント 廃棄責任者
廃棄するコンピュータ化システムごとに指名する旨をコンピュータ化システム管理規定に定めるか、廃棄予定の有無に係らず、予め廃棄責任者を指名する。 システム担当者 コンピュータ化システムごとにシステム担当者を指名する旨をコンピュータ化システム管理規定に定める。 機器類等のＰＬＣ等に関しては、機器類の担当者をシステム担当者とする旨をコンピュータ化システム管理規定に定める方法もある。 （注）ＣＳＶガイドラインでは、運用責任者が変更、逸脱、教育訓練の責任者の指定を行うことを求めている。一方、ＧＭＰ／ＧＱＰ省令では、製造業者／製造販売業者が前記責任者の指名を行うことを求めている。そのため、前述のように責任者を設置する場合、コンピュータ化システム管理規定等にコンピュータ化システムに関する変更、逸脱、教育訓練の責任と権限をＧＭＰ／ＧＱＰの各責任者に委譲する旨（または、運用責任者が、変更、逸脱、教育訓練の責任者の指定権限をＧＭＰ／ＧＱＰでの変更、逸脱、教育訓練の責任者の指名者に移譲）の記載が必要である。