コンピュータシステムの検証

コンピュータ化システム検証( CSV ) (欧州諸国ではコンピュータ化システム検証) は、規制対象 (例: 米国FDA 21 CFR Part 11 ^{[ 1 ]} ) のコンピュータ化システムをテスト / 検証 / 適格性評価し、紙ベースの記録と同様に安全で確実かつ信頼できる一貫性のある再現可能な方法で、設計されたとおりに正確に動作することを保証するプロセスです。これはしばしば「コンピュータ システム検証」と誤って呼ばれますが、PIC/S : 規制対象「GXP」環境におけるコンピュータ化システムのガイダンス 優良事例^{[ 2 ]}では、コンピュータ システムと制御される機能またはプロセスで構成されるコンピュータ化システムと、コンピュータの動作を制御するすべてのコンピュータ ハードウェア、ファームウェア、インストール済みデバイス、およびソフトウェアで構成され、したがってコンピュータ化システムの一部にすぎないコンピュータ システムとを明確に区別しています。 CSVは、製薬、ライフサイエンス、バイオテクノロジー業界で広く利用されており、ソフトウェアテストの近縁種と言えますが、より広範な範囲を対象とし、より形式的で文書化されたアプローチを採用しています。バリデーションプロセスは、バリデーション計画、システム要件定義、リスク評価、テストおよび検証活動、バリデーションレポート作成から始まります。その後、システムライフサイクルは運用フェーズに入り、規制規則に基づくシステム廃止とシステムデータの保持まで続きます。

同様に、欧州連合の医薬品に関する規則、第4巻、附属書11：コンピュータ化されたシステムは、 GMP規制活動の一部として使用されるすべての形態のコンピュータ化されたシステムに適用され、コンピュータシステム検証要素を定義しています^{[ 3 ]。}

CSVに関するベストプラクティスについては、GAMP 5ガイド：GxP準拠コンピュータ化システムへのリスクベースアプローチ（第2版）および関連ガイドに記載されています。

CSVは通常、計画を必要とする複雑なプロセスです。検証計画は通常、次の領域をカバーします。^{[ 3 ]}

• 範囲と検証戦略
• リスクベースのアプローチ
• 要件と用途
• 検証ライフサイクル
• 検証成果物およびドキュメント
• テスト戦略と受け入れ基準
• データ整合性およびコンプライアンス管理
• サプライヤーおよびシステム評価
• インフラストラクチャとIT環境
• 役割、責任、およびガバナンス
• 変更管理と構成管理
• 逸脱および問題管理
• リリースおよび検証の結論
• 定期的なレビューと検証済み状態の維持
• アーカイブと廃棄

CSVでは、コンピュータシステムアプリケーションの意図された用途を明確に規定する文書化されたシステム要件が必要です（付録11：コンピュータ化されたシステム、セクション6）^{[ 3 ]}。システム要件は、システム定義フェーズで収集され、文書化されます。これらの要件を反映するシステム定義成果物には、以下が含まれますが、これらに限定されません。

• ユーザー要件仕様書：意図された用途を実現およびサポートするためのシステムの機能要件と非機能要件を記載します。ユーザー要件は通常、重要な機能と「あれば良い」機能を区別するために優先順位が付けられます。
• 機能仕様書：ソフトウェアまたはアプリケーションの機能／特徴を規定するものです。機能仕様書は通常、ソフトウェア提供者／供給者またはソフトウェア開発チームによって作成されます。
• ハードウェア要件仕様：システムをサポートするために必要な最小限のハードウェア。

定義され文書化されたシステム要件は、データ整合性、（医薬品）製品の品質、および患者の安全性に対する潜在的なリスクを考慮したリスクベースのアプローチに従って検証する必要があります。これは、リスクベースのテストまたはレビュー/評価活動によって達成できます。機能要件は通常テスト可能ですが、非機能要件（システムの可用性など）は、多くの場合、主題専門家によるレビューと評価によって検証されます。^{[ 4 ] [ 5 ]}

CSVライフサイクル活動の一環として、本番使用​​のためのシステムのリリースは、潜在的に必要となるすべての引き渡し活動を含めて文書化する必要があります。^{[ 4 ] [ 5 ] [ 6 ]}

• システム所有権の企業／システム所有者への移転
• 正式な品質保証承認とGxP使用へのシステムリリース
• 検証概要レポートの完成と承認
• 検証済み文書セットの引き渡し（
• システム標準作業手順書（運用、保守、管理）の策定
• システム責任の定義
• エンドユーザー、管理者、およびサポート担当者のトレーニング
• プロジェクトチームから運用部門への知識移転
• 構成とシステムベースラインの転送
• 変更管理および構成管理プロセスのセットアップ
• 逸脱／インシデント管理手順の設定
• 定期的な見直しプロセスの確立
• バックアップ、復元、およびアーカイブ手順の確立
• データ整合性管理（監査証跡、アクセス制御など）の検証
• サプライヤー／ベンダーへの引き継ぎ（サポート契約、SLA、エスカレーションパス）
• インフラストラクチャの引き継ぎ（IT環境、ホスティング、セキュリティ管理）
• モニタリングとパフォーマンス管理（KPI／ログ記録）の定義
• アクセス管理およびユーザー管理手順の設定
• 事業継続／災害復旧プロセスの確立
• 検証トレーサビリティの移転
• 再検証／変更影響トリガーの定義
• 稼働開始準備完了確認（リリース基準を満たしました）
• ライフサイクル運用への移行（検証済み状態維持）
• 継続的な検証／監視の設定

• ガイダンス遵守規制情報

• EU GMP附属書11：コンピュータシステム