製薬業界の案件で気をつけたい規制とセキュリティのルール｜医薬品医療機器等法・GxP・ER/ES指針・CSV

製薬業界の案件で押さえておきたいルールは、医薬品医療機器等法とGxPの省令、電磁的記録と電子署名の指針（ER/ES指針）、コンピュータ化システム適正管理ガイドライン（CSVガイドライン）、医療用医薬品の情報提供のルール、個人情報保護法の5つです。どれも、フリーランスが自分で解釈して当てはめるものではなく、取引先が決めた手順書や作業のルールを通じて、日々の作業に表れます。

大事なのは、条文を覚えることより、取引先の手順が「なぜそうなっているか」を知り、迷ったときに自分で決めずに確かめることです。この記事では、2026年10月時点で厚生労働省、医薬品医療機器総合機構（PMDA）、e-Gov法令検索で確認できた内容をもとに、ルールと実務での注意点を整理します。個別の判断が必要な場合は、取引先の担当部門や専門家にご相談ください。

土台になる医薬品医療機器等法と省令

法律の目的と、データに求められること

医薬品医療機器等法（医薬品、医療機器等の品質、有効性及び安全性の確保等に関する法律）は、第1条で、医薬品等の品質、有効性と安全性の確保、使用による保健衛生上の危害の発生と拡大の防止のために必要な規制を行うことなどを目的に掲げています。

ITの作業に関わりが深いのは、承認申請の資料の扱いです。同法第14条第3項は、承認を受けようとする者は、品質、有効性と安全性に関する資料を添付して申請しなければならず、一定の医薬品では、その資料は厚生労働省令で定める基準に従って集められ、作られたものでなければならないと定めています。

この基準について、同法の施行規則第43条（申請資料の信頼性の基準）は、GLP・GCP・GPSPの各省令に定めるもののほか、次のことを求めています。

• 資料は、調査や試験で得られた結果にもとづき正確に作られていること
• 品質、有効性や安全性を疑わせる結果が得られた場合は、それも検討・評価され、資料に記載されていること
• 資料の根拠になった資料は、承認の可否の処分の日まで保存されていること（保存が著しく困難なものを除く）

治験や非臨床試験のデータを扱うシステムで、記録の正確さや保存が厳しく問われるのは、こうした規定が背景にあるためです。

販売後の副作用などの報告（同法第68条の10）を支える安全性情報のシステムについては、製薬業界のIT案件の記事で触れています。

GxPの省令と、GMP省令の記録の信頼性

研究、治験、製造、販売後のそれぞれの段階には、GLP・GCP・GMP・GQP・GVP・GPSPなどの省令があります。省令の名前と対象の業務の対応は製薬業界の業務知識の記事で一覧にしています。

製造の領域で押さえておきたいのは、GMP省令（医薬品及び医薬部外品の製造管理及び品質管理の基準に関する省令）の記録の規定です。PMDAの掲載ページによると、この省令は平成16年厚生労働省令第179号で、直近では令和3年厚生労働省令第90号で一部改正されています。第20条第2項は、手順書と記録について、次のような業務を指定した者に行わせることを求めています。

• 作るべき手順書や記録に欠落がないよう、継続的に管理すること
• 内容が正確であるよう、継続的に管理すること
• 他の手順書や記録と不整合がないよう、継続的に管理すること
• 欠落や不正確、不整合が分かった場合は、原因を究明し、是正措置と予防措置をとること

記録の抜けや食い違いを防ぐ仕組みと運用を作ることが、製造・品質のシステムの案件の目的になります。

電磁的記録と電子署名：ER/ES指針

指針の位置づけと適用範囲

厚生労働省は、平成17年4月1日付けの通知「医薬品等の承認又は許可等に係る申請等における電磁的記録及び電子署名の利用について」（薬食発第0401022号）で、電磁的記録と電子署名を使うときの要件を示しています。一般にER/ES指針と呼ばれます。

通知では、申請や届出、報告などで提出する資料と、その原資料や、法令で保存が求められている資料に電磁的記録や電子署名を使う場合に適用するとしています。

電磁的記録に求められる3つの要件

指針は、電磁的記録を扱うシステムが、コンピュータ・システム・バリデーションによって信頼性を確保されていることを前提に、次の3つを求めています。

真正性の確保のために、セキュリティの規則と手順を文書にして実施すること、作成者を識別できるようにし、変更したときは変更前の情報も残して変更者を識別できるようにすること、バックアップの手順を文書にして実施することなどが示されています。監査証跡（コンピュータが自動で日時を刻む一連の操作の記録）を自動で残し、定められた手順で確認することが望ましいともされています。保存性では、他の媒体や方式に移した後も3つの要件を保つことが求められています。

電子署名の要件

電子署名については、各個人を特定できる唯一のものとし、他の人に再使用・再割当てしないこと、署名された記録には署名者の氏名、署名の日時、署名の意味（作成・確認・承認など）を明示すること、署名を対応する記録と結びつけ、通常の方法では削除やコピーができないようにすることなどが示されています。

ITの作業にどう表れるか

ER/ES指針の要件は、システムの機能と運用の手順の両方に表れます。

• 作業者を識別できるよう、ユーザーIDと権限が個人ごとに割り当てられる
• データの変更は監査証跡に残り、後から誰が何を変えたかを追えるようにする
• データを直接書き換える作業は、手順と承認を経て行い、記録を残す
• データの移行では、移行の前後で内容が保たれていることを確かめて記録する

手順なしにデータベースを直接直すことは、記録の真正性を損なうおそれがある点に注意が必要です。

システムの検証：コンピュータ化システム適正管理ガイドライン

ガイドラインの対象

厚生労働省は、平成22年10月21日付けの通知（薬食監麻発1021第11号）で「医薬品・医薬部外品製造販売業者等におけるコンピュータ化システム適正管理ガイドライン」を示し、平成24年4月1日から適用しています。対象は、GMP省令やGQP省令が適用される医薬品・医薬部外品の製造販売業者や製造業者などが、その業務に使うコンピュータ化システムです。

ガイドラインには、対象になるシステムの例として、出荷の判定と記録、製造の指図と記録、製造工程の制御や管理、原料や製品の在庫管理、試験装置の制御と試験データの保存、品質に影響する空調や水などの設備の制御、管理文書の作成と管理などが挙げられています。一方で、電卓や表示だけの機器、GQP・GMPの業務に使わない市販のワープロや表計算のソフトなどは対象外とされています。

治験や研究など、このガイドラインの対象外の領域のシステムをどのように検証するかは、取引先の手順書で確かめます。

カテゴリとライフサイクル

ガイドラインは、ソフトウェアを次のカテゴリに分け、カテゴリに応じて各段階の作業を決めるとしています。カテゴリ2は、国際的な指針（GAMP5）との整合を考えて設けていません。

システムの一生は、開発、検証、運用管理、廃棄の段階で捉えられます。運用管理では、セキュリティ（アクセス管理やIDの管理）、バックアップと復元、影響の評価を含む変更管理、逸脱やトラブルの管理、教育訓練、定期的な自己点検などが求められます。廃棄でも、データの移行やセキュリティを含む計画と記録が必要です。また、電磁的記録と電子署名を扱うシステムは、ER/ES指針の要件も満たす必要があるとされています。

外部の作業者も管理の対象になる

ガイドラインは、開発の初期に供給者（システムを作る側）を評価し、リスクに応じて監査を行う場合があることや、供給者の作業を製造販売業者などの責任者が管理することを示しています。外部から参画するフリーランスも、取引先の管理のもとで作業し、記録を残すことを求められると考えておくと、手順の意味がつかみやすくなります。

情報提供のルール：広告規制と販売情報提供活動ガイドライン

営業・MR支援の領域では、情報提供の活動に関するルールがシステムの要件に表れます。

医薬品医療機器等法第66条は、医薬品などの名称、製造方法、効能、効果や性能について、虚偽または誇大な記事を広告・記述・流布することを禁じています。第68条は、承認を受けていない医薬品について、名称や効能などに関する広告をしてはならないと定めています。

厚生労働省は、平成30年9月25日付けの通知（薬生発0925第1号）で「医療用医薬品の販売情報提供活動に関するガイドライン」を示し、平成31年4月1日から適用しています。対象は、製造販売業者、その委託先・提携先の企業、医薬品卸売販売業者で、MRやメディカル・サイエンス・リエゾンなど名称や所属にかかわらず、雇用する全ての者に適用するとしています。ガイドラインは、資材を使う前に、担当部門から独立した監督部門の審査を受けること、口頭で説明した内容を含む業務記録を作って保管することなどを求めています。

資材や活動の記録のシステムでは、この審査と記録の流れが要件の土台になります。配信する内容を自分の判断で変えることは避けてください。

個人情報：治験や副作用の情報の扱い

治験や副作用の情報、医療関係者への情報提供の記録には、個人情報が含まれます。個人情報保護法第2条第3項は、病歴などを含む個人情報を「要配慮個人情報」とし、取扱いに特に配慮を要するものと位置づけています。

フリーランスとして気をつけたいのは、テストや調査のために本番のデータを手元に写す、取引先が認めていない保存先にデータを置く、といった場面です。データの持ち出しや加工のルールは、取引先の手順と契約で決まります。業務で個人情報を扱うときの契約と注意点は個人情報を扱う業務委託の記事、事業者として守ることは個人情報保護法の記事で整理しています。病院や診療所で患者の情報を扱う場合のルールは、医療業界の規制の記事をご覧ください。

ルールを実務に落とすチェックリスト

参画の前後で、次の点を確かめておくと安心です。

1. 対象の基準を確かめる：担当するシステムがGxPのどの基準の対象か、対象外か
2. 手順書を読む：変更管理、逸脱の管理、検証の文書、本番環境での作業の手順。取引先の規程に従う必要があるかの考え方は取引先の規程の記事で整理しています
3. 権限と記録を確かめる：自分のIDと権限、監査証跡に残る操作、共用IDの扱い
4. 作業の端末と場所を確かめる：貸与PCを使うか、自宅から本番環境に接続してよいか。注意点は貸与PCの記事と自宅のセキュリティの記事にまとめています
5. データの扱いを確かめる：本番データをテストに使ってよいか、匿名化の手順はあるか
6. 終了時の扱いを確かめる：文書とデータの返還・廃棄の方法と、実績として話してよい範囲。秘密の範囲は秘密保持契約の記事をご覧ください

よくある質問

ER/ES指針やCSVガイドラインは、フリーランスにも守る義務がありますか？

これらは、製薬会社などが記録やシステムを管理するための要件として示されたもので、外部の作業者に直接の義務を定めたものではありません。ただし、取引先がこれにもとづいて手順書を定めている場合、契約や取引先の規程を通じて、その手順に従うことが求められます。どの手順が適用されるかは、取引先にご確認ください。

治験のシステムにも、CSVガイドラインが当てはまりますか？

CSVガイドラインの対象は、GMP省令やGQP省令が適用される業務に使うシステムです。治験のシステムでも、申請資料やその原資料を電磁的記録で扱う場合はER/ES指針が関わり、施行規則の申請資料の信頼性の基準も背景にあります。具体的にどう検証するかは、取引先の手順書で定められているため、参画時に確かめてください。

本番データを直接直してほしいと頼まれました。応じてよいですか？

製薬の案件では、記録の変更に作業者の識別や変更の記録が求められることが多く、手順を経ない直接の修正は、記録の信頼性を損なうおそれがあります。依頼を受けたら、取引先の変更や逸脱の手続きに沿った作業かどうかを確かめ、承認や記録の手順が決まっていない場合は、作業の前に担当者に確認してください。判断に迷う場合は、取引先の品質保証の部門に相談するのが確かです。