EDC（電子的データ収集）、eConsent、症例管理、モニタリング支援——治験・臨床研究を支えるシステムを提供する事業者は、ISMSだけでは足りない要求に直面します。製薬企業や医療機関から求められるのは、情報セキュリティの証明に加えて、**「そのシステムで作られた記録が、規制当局に対して証拠として通用するか」**という別の保証だからです。
この保証を扱うのが ER/ES指針（電子記録・電子署名に関する指針）です。ISMSが「情報を守る仕組み」を扱うのに対し、ER/ES指針は「記録の証拠能力」を扱います。重なる部分は少なくありませんが、目的が違うため、ISMSの認証書を出しても製薬企業の監査は終わりません。
本記事では、治験システム事業者が押さえるべきER/ES指針の要求、監査証跡の設計、GCPとの関係、そしてISMS文書でどこまで賄えるかを整理します。
免責：本記事は一般的な情報提供です。ER/ES指針、GCP省令およびその運用の解釈は、厚生労働省・PMDAの公表資料が正本です。個別の試験・システムへの適用は、治験依頼者・実施医療機関および専門家にご確認ください。規格の要求事項の解釈は規格本文および認定機関・審査機関の公表資料が正本です。
治験・臨床研究システムに何が求められるか
この領域のシステムには、性質の違う3層の要求が同時にかかります。
| 層 | 求めるもの | 誰が確認するか |
|---|---|---|
| 情報セキュリティ | 機密性・完全性・可用性の維持 | 審査機関（ISMS審査）、委託元のセキュリティ監査 |
| 記録の信頼性（ER/ES） | 電磁的記録が真正で、読めて、保存されること | 治験依頼者の監査、規制当局の調査 |
| 臨床試験の実施基準（GCP） | 試験の実施と記録が基準に適合していること | 治験依頼者のモニタリング・監査、当局のGCP実地調査 |
システムを提供する事業者から見ると、顧客（治験依頼者）が当局から問われることに、自社が答えられる状態を用意するのが役割になります。当局の調査で「このデータはどう入力され、誰がいつ変更し、なぜ変更したのか」と問われたとき、その説明を成り立たせるのはシステム側の機能と記録です。
ここが一般的なBtoB SaaSと決定的に違う点です。顧客の規制対応の一部を、自社のシステムが担っているという構造になります。だからこそ、委託元は情報セキュリティのチェックシートに加えて、システムのバリデーション記録や監査証跡の仕様書を求めてきます。
ER/ES指針が求める3つの要件
厚生労働省は平成17年（2005年）に、承認申請等に係る電磁的記録および電子署名の利用についての指針を示しています。一般に ER/ES指針（Electronic Records / Electronic Signatures）と呼ばれるものです。
指針が電磁的記録に求める中核は、次の3要件です。
| 要件 | 意味 | システムで実現すること |
|---|---|---|
| 真正性 | 記録が正確で、作成責任者が明確で、故意・過失による改変が防止・検知できること | 個人単位のアカウント、権限管理、監査証跡、改変検知 |
| 見読性 | 必要なときに、内容を明瞭に読める形で出力・表示できること | 画面表示、帳票出力、当局提出形式へのエクスポート |
| 保存性 | 保存期間を通じて、復元可能な状態で保持されること | 媒体・形式の劣化対策、移行計画、バックアップとリストア |
この3つは、医療分野の電子保存でも共通して使われる枠組みです。ISMSの機密性・完全性・可用性とは対応しそうで、ずれます。
- 真正性は完全性に近いが、「誰が作成責任者か」という帰属の保証を含む点が違う
- 見読性はISMSに直接対応する概念がない。出力できることそのものが要求
- 保存性は可用性に近いが、数年〜十数年という長期の保存期間を前提にする点が違う
とくに保存性は、SaaS事業者にとって重い要求です。試験終了後も一定期間の保存が必要であり、その間にシステムの世代交代、データ形式の変更、事業者側の事業継続——いずれもリスクになります。サービス終了時のデータ返還・移管の条件を契約と手順の両方で決めておく必要があります。
電子署名を使う場合は、署名者の本人性、署名の対象と時点、署名の意味（承認なのか確認なのか）を記録できることが求められます。署名を「押しただけ」の状態にせず、何に対する意思表示なのかを記録に残す設計が要ります。
監査証跡に何を残すか
ER/ES指針対応の実装で中心になるのが監査証跡（audit trail）です。ここが弱いと、他がどれだけ堅牢でも監査で止まります。
監査証跡に必要な項目を整理すると次のとおりです。
| 項目 | 内容 | よくある不足 |
|---|---|---|
| 誰が | 個人を特定できる識別子 | 共有アカウントを使っており個人が特定できない |
| いつ | 日時（タイムゾーンと時刻同期の担保） | サーバ時刻がずれている／タイムゾーンが記録されていない |
| 何を | 対象のレコードと項目 | レコード単位でしか記録がなく、どの項目か分からない |
| どう変えたか | 変更前の値と変更後の値 | 変更後しか残しておらず、元の値が失われている |
| なぜ | 変更理由 | 理由欄が自由記述で空欄のまま運用されている |
| 記録の保護 | 監査証跡自体が改変・削除されないこと | 管理者権限で監査証跡を消せてしまう |
もっとも多い設計上の欠陥は、「変更前の値が残っていない」ことと「監査証跡を消せる権限が存在する」ことです。 後者は、システム管理者やベンダーの保守担当者が本番DBに直接アクセスできる構成で起きます。ISMSのアクセス制御でも特権IDの管理は論点ですが、治験システムでは**「消せないこと」自体が要求**になります。追記のみ可能な保存、分離した保存先、書き込み後の改変検知といった設計が必要です。
ログ管理の一般的な設計は ログ管理と監査証跡、特権IDの扱いは アクセス権限設計と特権ID管理 をご覧ください（いずれも医療機関向けの記事ですが、考え方は共通です）。
GCPとの関係とシステムベンダーの責任範囲
GCP（医薬品の臨床試験の実施の基準）は、治験の実施全体に対する基準です。治験依頼者と実施医療機関が守るもので、システムベンダーが直接GCPの名宛人になるわけではありません。しかし実務上、次の経路で影響を受けます。
- 治験依頼者が業務を委託する場合、委託先の管理責任は依頼者に残る。したがって依頼者は、ベンダーに対して自らの義務を果たせるだけの証明を求めます
- 治験関連記録の保存義務が依頼者・医療機関にある。システムが記録を保持している以上、保存義務の履行はシステムの機能と運用に依存します
- 当局の調査時にシステムの妥当性が問われる。「このシステムは意図したとおりに動作することが検証されているか」という問いに、ベンダーの検証記録が使われます
したがって、ベンダーが用意すべきものは次のように整理できます。
| 依頼者が負う義務 | ベンダーが用意するもの |
|---|---|
| 委託先の適切な管理 | 品質・セキュリティの体制説明資料、ISMS認証書、監査対応 |
| 記録の保存 | 保存期間・保存形式の仕様、データ返還・移管の手順、事業継続の説明 |
| データの信頼性の担保 | 監査証跡の仕様書、権限設計の説明、変更管理の記録 |
| システムの妥当性確認 | バリデーション計画・実施・報告の記録、リリースごとの検証記録 |
| 逸脱・不具合への対応 | インシデント／不具合の報告ルートと実績の記録、是正処置の記録 |
「バリデーション記録を求められて初めて作る」状態が最悪です。 リリースのたびに検証記録が積み上がっている状態を平常運転にしておかないと、監査の通知が来てから数か月分を遡って作ることになります。これはISMSの変更管理と統合できる領域なので、リリースプロセスの中に検証記録の作成を組み込むのが現実的です。
なお、臨床研究（人を対象とする生命科学・医学系研究）の場合は適用される規律が治験と異なります。研究の類型によって求められる手続や記録が変わるため、対象範囲を最初に確定させてください。
ISMSで賄える範囲と、賄えない範囲
本題です。ISMSを取得していれば、ER/ES指針対応のどこまでが済むのか。対応関係を整理すると次のようになります。
| ER/ES・GCP側の要求 | ISMSで賄える度合い | 補足すべきこと |
|---|---|---|
| アクセス制御・個人単位のアカウント | ほぼ賄える | 附属書Aのアクセス制御群がそのまま対応する |
| 権限の付与・変更・剥奪の記録 | ほぼ賄える | ISMSの運用記録をそのまま提示できる |
| 監査証跡の取得 | 部分的 | ログ取得は共通だが、変更前後の値と変更理由は製品要件。ISMSの管理策だけでは足りない |
| 監査証跡の改変防止 | 部分的 | ISMSのログ保護に加え、管理者でも消せない設計が要る |
| 真正性（作成責任者の明確化） | 部分的 | 電子署名の意味づけと記録は製品設計の領域 |
| 見読性（出力・表示） | 賄えない | ISMSに対応概念がない。製品機能として実装する |
| 保存性（長期保存・形式維持） | 部分的 | ISMSのバックアップ・可用性に加え、形式移行計画とデータ返還手順が要る |
| システムのバリデーション | 賄えない | ISMSの変更管理と接続できるが、検証の計画・実施・報告は別物 |
| 試験ごとの設定・データの分離 | 部分的 | ISMSのリスクアセスメントで扱えるが、テナント／試験単位の分離設計は製品要件 |
| 事業継続・データ返還 | 部分的 | ISMSのBCPに加え、契約上の返還条件を明記する |
結論としては、ISMSはER/ES対応の土台の半分を提供するが、記録の証拠能力に関わる部分は製品要件として別に作る必要があるということになります。逆に言えば、ISMSを整備しておけばアクセス制御・変更管理・委託先管理・インシデント対応といった共通基盤は流用でき、ER/ES固有の作業を監査証跡・見読性・バリデーションの3点に絞れます。
文書設計としては、ISMSの文書体系の下に「ER/ES対応方針」と「バリデーション手順」を個別文書として置き、共通の文書管理・教育・是正処置・内部監査に載せる構成が扱いやすくなります。この「共通層＋個別層」の考え方は SaMDとISMS・QMS（ISO 13485）の関係 と同じです。医療機関向けサービスも併せて提供している場合は ISMS文書と3省2ガイドライン対応文書の統合 も参照してください。適用範囲の切り方は ヘルスケア企業のISMS適用範囲設計、医療機関側の目線は 責任分界点の決め方 が参考になります。
まとめ
治験・臨床研究システム事業者が押さえるべき点は次のとおりです。
- この領域には**情報セキュリティ・記録の信頼性（ER/ES）・臨床試験の実施基準（GCP）**という性質の違う3層の要求がかかる
- ER/ES指針の中核は真正性・見読性・保存性。ISMSの機密性・完全性・可用性とは対応しそうでずれる
- 監査証跡は「誰が・いつ・何を・変更前後の値・なぜ」。管理者でも消せない設計が要求になる
- GCPの名宛人はベンダーではないが、依頼者の義務を果たすための証明をベンダーが用意することになる
- バリデーション記録はリリースプロセスに組み込む。求められてから遡って作るのは現実的でない
- ISMSは土台の半分を提供する。ER/ES固有の作業は監査証跡・見読性・バリデーションの3点に絞れる
ポテックはヘルスケア領域に特化してISMS認証取得を支援しています。治験システムのように規格外の要求が重なる領域では、ISMS文書を土台にして個別要求をどう積むかの設計が作業量を左右します。品質管理プロセスの構築支援やセキュリティに考慮したPM支援もオプションでご用意しています。
支援内容と料金は ISMS認証取得支援サービス を、個別のご相談は お問い合わせ をご覧ください。ISMS全体の見取り図は ISMS（ISO/IEC 27001）とは｜ヘルスケア企業のための完全ガイド にあります。
参考・出典
- 独立行政法人 医薬品医療機器総合機構（PMDA）
- 医薬品に関する情報｜厚生労働省
- e-Gov 法令検索
- 情報マネジメントシステム認定センター（ISMS-AC）
- ISO/IEC 27001 Information security management systems｜ISO
※ER/ES指針およびGCPに関する通知・運用は改定されます。適用範囲、求められる記録の粒度、保存期間は個別の試験・製品により異なります。最新の内容と個別の適用は厚生労働省・PMDAの公表資料および専門家にご確認ください。