GAMP5とは何か？製薬業界のコンピュータ化システムバリデーションを徹底解説

製薬や医薬品業界を中心に、GxP（GMP・GLP・GCPなど、医薬品等の品質や信頼性に関わる規制の総称）のもとでコンピュータ化システムを導入・運用する際の代表的な業界ガイドが「GAMP5」です。2022年7月に第2版が発行されたことに加え、2025年には欧州でEU GMP Annex 11（コンピュータ化システム）の改訂案と、AIを対象とする新しいAnnex 22の案が公開協議にかけられ、米国ではFDAのCSAガイダンスが最終化されました。こうした動きを受け、リスクベースアプローチに基づくバリデーションのあり方が改めて注目されています。

本記事では、GAMP5の定義やソフトウェアカテゴリ分類から、リスクベースアプローチの考え方、第2版の変更点、各国規制との関係まで、製薬業界向けAIプラットフォームを提供するJAPAN AIが解説します。

GAMP5とは？

GAMP5（GAMPはGood Automated Manufacturing Practiceの略、5は版の番号）とは、ISPE（International Society for Pharmaceutical Engineering）が発行する、GxPコンピュータ化システムの適合性確保とバリデーションに関する業界ガイドです。正式な書名は「ISPE GAMP® 5 Guide: A Risk-Based Approach to Compliant GxP Computerized Systems」です。意図した用途への適合性を、リスクに応じたライフサイクル活動と客観的証拠によって確保するための考え方を示しています。

製薬・医療機器業界では、製造管理や品質管理にさまざまなコンピュータ化システムが使用されています。これらのシステムが正しく動作し、データの信頼性が確保されていることを検証するプロセスがCSV（コンピュータ化システムバリデーション）です。GAMP5は、このCSVを効率的かつ効果的に実施するための考え方と具体的なアプローチを提供するフレームワークで、最も広く参照されている業界ガイドの一つです。

GAMP5の初版は2008年に発行されました。以来、製薬業界における品質マネジメントの共通言語として広く活用されてきました。その後、技術環境の変化や規制当局の期待の進化に対応するため、2022年7月に第2版（GAMP5 2nd Edition）が発行されています。

GAMP5の根底にある考え方は、品質リスクの大きさに応じてバリデーションの程度を調整するリスクベースアプローチです。この考え方により、限られたリソースを効果的に配分し、患者安全・製品品質・データインテグリティに影響するシステムや機能に重点的な検証を行うことが可能です。

GAMP5とGMP・GLP・GCPの関係

GAMP5は、GMP（Good Manufacturing Practice：医薬品の製造管理および品質管理の基準）だけでなく、GLP（Good Laboratory Practice：非臨床安全性試験の実施の基準）やGCP（Good Clinical Practice：医薬品の臨床試験の実施の基準）を含む、GxP領域で参照できる業界ガイドです。適用対象と必要な保証活動は、使用目的や規制対象データへの影響、各領域の法令・ガイドラインに基づいて判断します。

それぞれのGxP領域におけるGAMP5の関わりは、次のとおりです。

• GMP領域：製造実行システム（MES）やERPシステム、ラボ情報管理システム（LIMS）など、医薬品の製造・品質管理に関わるシステムのバリデーションにGAMP5が活用されます。医薬品の品質を左右するコンピュータ化システムの信頼性を担保する役割を果たしています。
• GLP領域：非臨床試験で使用されるデータ収集・解析システムのバリデーションにGAMP5の考え方が適用されます。試験データの信頼性確保のために、システムの適格性を検証することが求められます。
• GCP領域：臨床試験データの管理に使用されるEDC（Electronic Data Capture）システムやIRT（Interactive Response Technology）などのバリデーションにGAMP5が参照されます。

GAMP5はGxP規制下のコンピュータ化システムに横断的に参照されます。ただし、GLPではOECD GLP文書No.17、GCPではICH E6（R3）、国内では「医薬品等の承認又は許可等に係る申請等における電磁的記録及び電子署名利用のための指針」（ER/ES指針）など、領域ごとの要件もあわせて確認する必要があります。

GAMP5のソフトウェアカテゴリ分類

GAMP5のソフトウェアカテゴリ分類は、ソフトウェアの性質に応じた評価の着眼点を示す枠組みです。リスク評価と組み合わせることで、効率的なバリデーション計画を立てられます。

GAMP5では、ソフトウェアをカテゴリ1・3・4・5の4つに分類しています。なお、GAMP4ではカテゴリ2（ファームウェア）が存在していましたが、GAMP5（2008年の初版）でカテゴリ分類が改訂され、カテゴリ1・3・4・5の4分類で運用されるようになりました。以下の表に、GAMP5のカテゴリ分類の全体像をまとめます。

※ISPE GAMP5および国内ガイドラインをもとに作成。

ソフトウェア名だけで分類せず、複数カテゴリの構成要素を区別します。実際のシステムでは、1つのシステムの中に複数のカテゴリが混在します。たとえばHPLCのクロマトデータシステム（CDS）では、OSはカテゴリ1、CDS本体は処理メソッドや権限、監査証跡などの設定を行うためカテゴリ4として扱うのが一般的で、ユーザーが独自に作成した計算式やレポートテンプレートは別に評価します。

カテゴリ1（基盤ソフトウェア）

カテゴリ1は、OS（オペレーティングシステム）やデータベース管理ソフトウェア、ネットワーク管理ソフトウェアなどの基盤ソフトウェアが該当します。サーバーやネットワーク機器などのハードウェアは、ITインフラの適格性確認・構成管理の対象として別に扱います。

基盤ソフトウェアでは、サプライヤの品質管理・テスト情報を評価したうえで、使用する版・構成の適切性や、対象システムの動作を支える基盤としての適格性をリスクに応じて確認します。インストール、バージョン、構成等の確認に加え、対象アプリケーションとの組合せで必要な評価を行います。稼働後も、アクセス管理やパッチ・変更管理、バックアップ・復元等をリスクに応じて維持する必要があります。

インフラストラクチャのバージョンやパッチ適用状況はシステム全体の安定性に影響するため、構成管理の観点で正確な記録を維持することが求められます。

カテゴリ3（構成設定していないソフトウェア）

カテゴリ3は、業務プロセスに合わせた構成設定をせずに使用する既製ソフトウェアが該当します。実行時のパラメータ入力によって調整するものも含まれ、該当性は製品名ではなく実際の構成・使用方法に基づいて判断します。

構成設定を加えずにそのまま使用するため、意図した用途での動作確認が主な検証内容です。ただし、GxP業務で使用するスプレッドシートは、使い方によってカテゴリの評価が変わる点に注意が必要です。表計算ソフト本体の標準機能による四則演算や平均・標準偏差など、電卓代わりの計算にとどまる場合はカテゴリ3として扱えます。一方、IF関数などで条件分岐させる処理を組み込んだテンプレートはカテゴリ4、マクロを組んだ場合はカテゴリ5が評価の目安です。

このように、表計算ソフト本体と、利用者が作成した数式・テンプレート・マクロ等は分けて評価します。計算結果の正確性や入力値、セル・版の管理、データ保護等を、使用目的と構成・変更内容に応じて検証・管理する必要があります。

カテゴリ4（構成設定したソフトウェア）

カテゴリ4は、ユーザーが自社の業務プロセスに合わせて構成設定（コンフィギュレーション）を行って使用するソフトウェアが該当します。LIMS、ERP、MES、電子品質マネジメントシステム（eQMS）などでも、GxPに影響する業務・機能・データを特定したうえで、構成要素と構成設定・カスタム開発の実態に応じて分類・評価します。

構成設定した内容の仕様化と検証が追加の着眼点です。具体的には、設定内容の仕様化や、設定どおりに動作するかの確認（構成設定テスト。従来の適格性評価ではOQに相当）、実際の業務フローに沿って要求を満たすかの確認（要求テスト。従来の適格性評価ではPQに相当）などが求められます。

カテゴリ4のバリデーションで特に重要なのは、サプライヤが提供する標準機能とユーザーが行った構成設定の明確な区別です。サプライヤの品質管理記録・テスト証拠を評価して重複試験を抑えつつ、標準機能を含む実際の使用目的・構成・インターフェースへの適合性を確認します。追加検証は、構成設定部分と未充足の重要要件等に重点配分することで、効率的な検証が実現できます。

カテゴリ5（カスタムソフトウェア）

カテゴリ5は、特定の業務プロセスのために独自に設計・プログラムされたカスタムソフトウェアや、標準製品に独自のプログラム変更を加えた部分等が該当します。

カテゴリ5では独自設計・プログラムに伴う不確実性を考慮し、設計レビューやコード管理、各レベルのテスト等をリスクに応じて計画します。ユーザー要求仕様（URS）の作成から、機能仕様（FS）、設計仕様（DS）等を対象システムと開発方法に応じて整備し、単体テスト・結合テスト・システムテスト・受入テストに至るまで、ソフトウェアのライフサイクルにわたる検証が求められます。ソースコードの管理やレビューも含まれるため、開発プロセスの可視化とトレーサビリティの確保が不可欠です。

GAMP5のリスクベースアプローチ

GAMP5のリスクベースアプローチは、品質リスクの大きさに応じてバリデーションの程度を調整し、限られたリソースを患者安全と製品品質に直結する領域へ重点配分するための中核的な方法論です。

リスクベースアプローチとは何か

リスクベースアプローチとは、患者の安全や製品品質、データインテグリティに対するリスクが高いシステムや機能ほど重点的にバリデーションリソースを配分し、リスクが低いものには簡素な対応を行う手法です。

CSV実務では、リスクに見合わない一律の文書作成や重複試験が生じる場合があります。GAMP5は、ICH Q9の品質リスクマネジメントに整合する考え方を採用しており、現在の実務では2023年に改訂されたICH Q9（R1）も併せて参照し、リスク相応の活動・文書化を検討します。その前提として、GAMP5は対象となる製品とプロセスを理解することを重視しています。第2版では、従来からのリスクベースの枠組みを維持しつつ、クリティカルシンキングと現代的な手法の適切な活用が強調されています。

GAMP5は、品質リスクマネジメントを次の5つのステップで進める方法を示しています。

1. 初期リスク評価とシステムへの影響の判定：システムがGxPに影響するか、どの程度影響するかを判断する
2. 患者安全・製品品質・データインテグリティに影響する機能の特定：要求仕様や業務プロセスをもとに、影響する機能を洗い出す
3. 機能ごとのリスク評価と管理策の特定：危害の重大性・発生可能性・検出性を評価し、必要な管理策を決める
4. 管理策の実施と検証：設計・設定・手順などで管理策を実施し、テストなどで効果を確認する
5. リスクの見直しと管理策の監視：運用中も、変更・逸脱・定期レビューに合わせてリスク評価と管理策を見直す

このプロセスでは、リスク評価の結果を文書化し、バリデーション戦略の根拠として残すことが重要です。リスクベースアプローチを適用することで、形式的な文書作成に費やしていた工数を、実質的な品質保証活動に振り向けられます。

カテゴリごとのバリデーション工数の違い

前章で解説したGAMP5のカテゴリ分類とリスクベースアプローチは、密接に関連しています。カテゴリによって、一般的に必要となるライフサイクル活動やバリデーションの着眼点は異なります。

たとえば、カテゴリ1の基盤ソフトウェアは、広範に普及しており、サプライヤ情報の評価と適格性確認を中心に対応します。一方、カテゴリ5のカスタムソフトウェアは、ユーザー固有の要件に基づいて開発されるため不確実性が高く、設計からテストまで各段階での検証が求められます。

ただし、カテゴリだけでバリデーションの範囲が決まるわけではありません。同じカテゴリ4のシステムであっても、GxP業務で使用する機能の範囲やデータの重要度によってリスクは異なります。まず使用目的やGxP影響、適用要件を特定し、業務プロセス、重要データ・機能、カテゴリ、サプライヤ情報等を踏まえて活動を決定します。カテゴリ分類は評価要素の一つであり、最終的なバリデーション範囲はリスク評価の結果によって個別に判断しましょう。

GAMP5とCSVの関係

GAMP5とCSV（コンピュータ化システムバリデーション）の関係は、CSVが「何を行うか（活動そのもの）」であるのに対し、GAMP5が「どのように行うか（方法論・フレームワーク）」を示す関係にあります。CSVはコンピュータ化システムが意図したとおりに正しく動作し、データの信頼性が確保されていることを、ライフサイクルを通じて検証・維持する活動の総称であり、GAMP5はこのCSVを実施するための実践的な業界ガイドです。

GAMP5のVモデルと検証の対応

GAMP5では、仕様と検証を対応づけるVモデルが代表的な考え方として示されています。そして第2版では、アジャイルなどの反復型開発にも対応したアプローチが明記されています。Vモデルとは、開発工程（左側）と検証工程（右側）を対応づけたフレームワークで、各開発段階の成果物に対して対応するテストが設計される体系です。

Vモデルの具体例として、国内の「コンピュータ化システム適正管理ガイドライン」（別紙1）では、仕様と適格性評価の対応関係が次のように示されています。

• ユーザー要求仕様（URS）↔ 性能適格性評価（PQ）
• 機能仕様（FS）↔ 運転時適格性評価（OQ）
• 設計仕様（DS）↔ 据付時適格性評価（IQ）等

IQは設計・設置仕様等に照らして据付・インストールを確認し、OQは必要な機能・性能を、PQ等は実際の使用条件でユーザー要求への適合を確認します。独自ソフトウェアの設計・ロジックは、設計レビューや単体・結合・システムテスト等でも確認し、要件との追跡可能性を確保します。この対応関係は機械的な一対一対応や不要な重複活動を前提とするものではなく、リスクに応じた適切な検証計画を立てるための枠組みです。

一方、GAMP5第2版は、システムのライフサイクル活動を記述する際にIQ/OQ/PQのような従来の医薬品プロセスバリデーション用語を使用しないとしており、従来用語との関係は参考として整理するにとどめています。GAMP5では、仕様に対応する検証を「要求テスト」「機能テスト」「構成設定テスト」などと呼びます。たとえばカテゴリ4では、ユーザー要求仕様↔要求テスト、機能仕様↔機能テスト、構成設定仕様↔構成設定テストという対応になり、カテゴリ5ではさらに設計仕様↔結合テスト、モジュール仕様↔モジュールテストが加わります。

実務では、自社が従うガイドラインの用語（IQ/OQ/PQ）とGAMP5の検証の呼び方の対応を、バリデーション計画書の段階で整理しておくと、後の混乱を防げます。

出典:厚生労働省「医薬品・医薬部外品製造販売業者等におけるコンピュータ化システム適正管理ガイドラインについて」（平成22年10月21日 薬食監麻発1021第11号）
出典:ISPE「GAMP 5 Guide 2nd Edition」

GAMP5 第2版（2nd Edition）の変更点

GAMP5第2版は、2022年7月にISPEが発行した改訂版であり、初版の基本原則と枠組みを維持しつつ、技術内容と実践方法を更新した内容です。初版発行から14年間の技術環境の変化、規制当局の期待の進化、そして業界の実務経験の蓄積を踏まえています。

主な変更点は、クリティカルシンキングの重視やCSAの動きとの関連付け、サプライヤ・サービスプロバイダの関与の重視、アジャイルなど反復型開発への対応、ソフトウェアツール・自動化の活用、データインテグリティ関連ガイドとの連携です。付録ではAI/ML、クラウド、ブロックチェーン、オープンソースといった新しいトピックも扱われています。

主な変更点について詳しく解説します。

• クリティカルシンキングの重視
• CSA（Computer Software Assurance）の考え方との関連
• データインテグリティを確保するプロセス

出典:ISPE「GAMP 5 Guide 2nd Edition」

クリティカルシンキングの重視

GAMP5第2版で特に重視されているのが、知識と経験を持つ専門家（SME）による「クリティカルシンキング（批判的思考）」です。クリティカルシンキングは第2版で新たに持ち込まれた考え方ではなく、より強調されるとともに、専用の付録（付録M12）が追加されました。

初版の時点でもGAMP5は規模やリスクに応じた対応を勧めていましたが、業界の実務では、CSVが形式的なチェックリストのように運用される傾向がありました。テスト手順をあらかじめ細かく記述し、その手順どおりに実行するだけの作業になってしまうケースです。第2版では、「なぜこのテストが必要なのか」「このドキュメントは本当に品質向上に寄与しているのか」を常に考えるクリティカルシンキングを求めています。

具体的には、あらかじめ手順を細かく記述したスクリプトテストと、テスト担当者の専門的知見に基づく非スクリプトテスト（探索的テストなど）の使い分けが推奨されています。非スクリプトテストでは、テスト担当者がシステムの挙動を観察しながら柔軟にテストシナリオを展開するため、スクリプトテストでは発見しにくい問題を検出できます。過度なドキュメント作成から脱却し、実質的な品質向上に資する活動への注力が第2版の目指す方向性です。

CSA（Computer Software Assurance）の考え方との関連

GAMP5第2版のもう一つの大きな方向性が、CSA（Computer Software Assurance）の考え方との関連です。

CSAは、バリデーション要件を満たすための手法をよりリスクベースにした考え方です。FDAは、機能等の不具合が安全性を損なうと予見される品質問題につながるかを踏まえ、high process risk（高プロセスリスク）とnot high process risk（非高プロセスリスク）を区別します。保証活動・テスト方法はリスクに応じて選択し、高プロセスリスクでも非スクリプトテストが適する場合があります。これにより、形骸化した文書作成から実質的な保証活動へ重点を移すことを目指しています。

第2版は、FDAが2010年代後半から業界と進めていたCSAの取り組みを踏まえて書かれています。その後FDAは2022年9月にガイダンス案を公表し、2025年9月24日に「Computer Software Assurance for Production and Quality System Software」を最終化し、2026年2月3日に「Computer Software Assurance for Production and Quality Management System Software」で置き換えました。このガイダンスは、医療機器の生産・品質マネジメントシステムに関わるソフトウェア（21 CFR Part 820対象）に対して、CSAに基づくリスクベースの品質保証アプローチを推奨するものです。なお、このガイダンスは非拘束的な推奨（Contains Nonbinding Recommendations）であり、適用法令を満たす別の方法も認められます。GAMP5第2版の方向性とFDA CSAガイダンスはリスクベース・クリティカルシンキングなどの点で整合しており、医療機器業界を中心にCSAに基づくアプローチへの関心が高まっています。

出典:FDA「Computer Software Assurance for Production and Quality Management System Software」

データインテグリティを確保するプロセス

GAMP5第2版では、データインテグリティ（データの完全性・正確性・一貫性・信頼性の確保）に関するISPE/GAMPガイドとの関係が明確にされ、表計算等のエンドユーザーアプリケーションや監査証跡に関する考慮事項が更新されています。

データインテグリティの管理の基本になるのが、規制当局のガイダンスや、GAMP Records and Data Integrity GuideなどのISPE関連ガイドで用いられるALCOA+の原則です。ALCOA+は、以下を求める原則です。

• Attributable（帰属性）
• Legible（判読性）
• Contemporaneous（同時性）
• Original（原記録または真正なコピー）
• Accurate（正確性）
• Complete（完全性）
• Consistent（一貫性）
• Enduring（必要な保存期間を通じた記録の保持）
• Available（必要な保存期間中の利用可能性）

システムのライフサイクル全体を通じて、データの作成・処理・レビュー・報告／使用・保管／検索・廃棄の各段階でデータインテグリティが維持されるよう、技術的な対策と運用上の管理を組み合わせたアプローチが求められます。

たとえば、リスクに応じた監査証跡の記録・レビュー、権限と変更の管理、関連メタデータを含む記録の保持、バックアップと復元可能性の確認を組み合わせます。保存期間中の見読性・検索性・利用可能性を確保し、システム廃止・移行後も必要な記録を保持する必要があります。データインテグリティの確保は、バリデーション時の一回限りの対応ではなく、システム運用期間を通じた継続的な管理活動として位置づけましょう。

GAMP5と各国規制の関係

GAMP5と各国規制の関係において重要なのは、GAMP5自体は法的拘束力を持つ規制文書ではないものの、各国の規制当局が求めるコンピュータ化システムの管理要件と密接に関連しており、実質的な業界標準として機能している点です。

• 日本の規制（PMDA/厚労省）
• 米国FDAの規制
• 欧州の規制（欧州委員会/EMA等）

日本の規制（PMDA/厚労省）

日本における医薬品・医薬部外品分野でのGAMP5の位置づけは、厚生労働省が2010年に発出した「医薬品・医薬部外品製造販売業者等におけるコンピュータ化システム適正管理ガイドライン」（薬食監麻発1021第11号、2012年4月1日適用開始）との関係で理解できます。

同ガイドラインは、医薬品・医薬部外品のGQP・GMP業務におけるコンピュータ化システムの適正管理を定めており、リスクに応じた管理やソフトウェアカテゴリに関する考え方が示されています。GAMP5のリスクベースアプローチやカテゴリ分類との親和性が高く、日本国内でCSVを実施する際には医薬品・医薬部外品について同ガイドラインに準拠し、2021年改正GMP省令で明確化されたデータインテグリティ要件もふまえたうえで、GAMP5を実務の指針として活用するのが一般的です。また、日本は2014年7月にPIC/S（医薬品査察協定・医薬品査察協同スキーム）に加盟しており、PIC/SのGMPガイドラインやデータインテグリティに関するガイダンス（PI 041）も実務でよく参照されます。

PMDAや都道府県によるGMP適合性調査においても、コンピュータ化システムのバリデーション状況は確認対象です。調査に備え、使用目的、アセスメント、検証・運用管理の根拠と記録を説明できる状態にしておきましょう。

出典:厚生労働省「医薬品・医薬部外品製造販売業者等におけるコンピュータ化システム適正管理ガイドライン」（薬食監麻発1021第11号）
出典:PIC/S「Members」

米国FDAの規制

米国では、医薬品のcGMP（21 CFR 211.68）や医療機器のQMSR（21 CFR Part 820、2026年2月2日施行）などの基礎規則（プレディケートルール）に基づく管理要件をまず確認します。対象となる記録を電子的に扱う場合などには21 CFR Part 11の適用を評価し、バリデーションやアクセス制御、監査証跡等の必要な管理を行います。FDAの適用範囲・執行裁量のガイダンスも併せて参照する必要があります。GAMP5は、これらの規制要件を満たすための実践的なフレームワークとして広く活用されています。

さらに、FDAが2025年9月に最終化し、2026年2月にQMSR対応版で置き換えたCSAガイダンスは、医療機器の生産・品質マネジメントシステム用ソフトウェアに関して、GAMP5第2版の方向性と整合するリスクベースアプローチの推進を打ち出しています。なお、CSAガイダンスは医薬品を対象としていませんが、その考え方は医薬品のCSVでも参考にされています。

出典:FDA「Computer Software Assurance for Production and Quality Management System Software」

欧州の規制（欧州委員会/EMA等）

欧州では、EU GMP Annex 11（コンピュータ化システムに関する補則、2011年版）が、医薬品製造におけるコンピュータ化システムの管理要件を規定しています。Annex 11はリスクマネジメントをライフサイクル全体に適用することを求めており、GAMP5はその実践の参考にできます。ただし、カテゴリ分類そのものがAnnex 11の要求ではありません。

2025年7月7日から10月7日にかけて、欧州委員会はChapter 4（文書）、Annex 11（コンピュータ化システム）の改訂と、新Annex 22（AI）について公開協議を行いました。Annex 22はAnnex 11を補完する別の新Annexとして提案されており、Annex 11の一部ではありません。改訂版の最終化や適用開始の時期は、欧州委員会やEMAの公式発表で確認する必要があります。

なお、2025年公開協議のAnnex 22草案は、静的で決定論的なAI/MLモデルの重要なGMP用途等を主な対象としています。生成AIやLLM等は対象外とし、重要なGMPアプリケーション（critical GMP applications）では使うべきでないとする提案を含みます。ただし、まだ草案の段階です。

欧州市場向けの医薬品製造を行う企業は、現行のAnnex 11要件を満たすうえでGAMP5を活用しつつ、改訂版の公表動向も継続的に確認しましょう。適用する国・製品・GxP領域の要求を特定したうえで、GAMP5を実務上の参考とし、リスクベースのCSV体制を整備することは、グローバルに事業展開する製薬企業にとって合理的な選択肢といえます。

出典:欧州委員会「Stakeholders’ Consultation on EudraLex Volume 4 – Chapter 4, Annex 11 and New Annex 22」

GAMP5の実務ポイント

GAMP5に基づく実務を効率的に進めるためには、サプライヤの活用や変更管理の徹底、トレーサビリティの確保という3つのポイントが重要です。

• サプライヤの活用：サプライヤ（システムベンダー）が提供する品質管理の記録やテスト結果を適切に活用し、ユーザー側のバリデーション工数を最適化する。信頼性の高いサプライヤを選定し、サプライヤアセスメントを通じて品質体制を評価する
• 変更管理の徹底：システムの導入後も、構成変更やバージョンアップに対する変更管理プロセスを維持し、変更が品質やデータインテグリティに与える影響を評価・管理する
• トレーサビリティの確保：要件からテストまでの一貫したトレーサビリティは、GAMP5に基づくバリデーションの基本となる活動である

3つのポイントはいずれも、導入時だけでなく運用期間を通じて継続することで、監査や変更時にも説明可能なバリデーション状態を保てます。

トレーサビリティの自動化とRTM

追跡可能性は、RTM（要件トレーサビリティマトリクス）や要件管理・テスト管理ツール等で確保できます。

RTMは、URS（ユーザー要求仕様書）の各要件項目と、対応する設計仕様・テストケースを紐づけた一覧表（文書）です。RTM等を用いると、要件と設計・検証証拠の対応関係を確認しやすくなります。ただし、表を作っただけでは要件の漏れは防げないため、内容のレビューが欠かせません。

RTMの構造は、要件IDに対して設計仕様の該当箇所とテストケースIDを対応づけるマトリクス形式です。新たな要件が追加された場合や設計変更が生じた場合には、RTMを更新して影響範囲を特定し、対応するテストの追加・修正を行います。この運用により、変更管理とバリデーションの整合性を維持できます。

一方で、RTMを手作業で管理する負担は小さくありません。たとえば、要件の追加や設計変更のたびに数百行に及ぶ表を手で更新し、関連する設計書やテストケースとの対応を一つずつ確認する作業は、担当者の工数を圧迫するうえ、転記ミスや更新漏れの原因にもなります。こうした背景から、バリデーション関連文書の作成・管理を効率化するためのツール活用が進んでいます。自動化する場合も、意図した用途とリスクに応じてツールの適切性やリンク・影響分析の正確性、変更管理とレビュー方法を確認しましょう。

製薬業界のバリデーション文書管理を効率化するなら「JAPAN AI 製薬」
製薬企業では、GMP等の品質システムに基づくSOPや品質文書の変更管理が欠かせません。JAPAN AI 製薬は、製薬業界の文書改訂に特化したAIプラットフォームです。関連文書の影響範囲の特定から改訂案のドラフト作成、整合確認までを支援します。

また、リスクベースで実施した開発時のテスト記録等を、可能な範囲でCSVのサプライヤ資料として提供し、お客様のバリデーション活動を支援します。対象業務・構成に応じたバリデーションの実施主体は導入企業であり、資料提供はその活動を支援するものです。Human-in-the-Loop設計によりAIの出力はドラフト・提案として扱い、最終判断・承認は必ず担当者が行う仕組みです。国内データセンターを利用でき、JAPAN AI株式会社はISO/IEC 27001の認証を取得しています。

GAMP5に関してよくある質問

GAMP5について、特に多く寄せられる質問とその回答をまとめました。

GAMP5とCSVの違いはなんですか？

GAMP5は、ISPEが発行するCSV実施のための業界ガイド（実践フレームワーク）です。一方、CSVはコンピュータ化システムが意図どおりに動作することを、ライフサイクルを通じて検証・維持する活動そのものを指します。GAMP5はCSVの「やり方」を体系的に示したものであり、CSV活動の枠組みとしてGAMP5が参照される関係にあります。

GAMP5のカテゴリ分類でカテゴリ2はなぜ廃止されたのですか？

ファームウェアが高度になり、構成設定やカスタム開発ができるものも増えたため、「ファームウェア」として一律に分類する意味が薄れたからです。そのため2008年のGAMP5初版でカテゴリ2は廃止され、現在（第2版を含む）は、実際の性質に応じてカテゴリ1・3・4・5のいずれかとして扱います。

GAMP5 第2版にはいつまでに対応すべきですか？

GAMP5第2版（2022年7月発行）自体に、法令上の一律の移行期限は設けられていません。ただし、適用法規制に基づくバリデーション・変更管理・定期評価の必要性は別です。既存システムも定期評価等でギャップを把握し、影響・リスクに応じて是正・改善を計画してください。

GAMP5に法的拘束力はありますか？

ありません。GAMP5はISPEが発行する業界ガイドであり、法令や規制当局の通知ではありません。ただし、日本の「コンピュータ化システム適正管理ガイドライン」のカテゴリ分類はGAMP5の考え方と整合しており、各国の規制要件を実務で満たすための参考として広く使われています。

GAMP5とCSAの違いはなんですか？

GAMP5は、ISPEが発行する、GxP全般のコンピュータ化システムを対象とした業界ガイドです。CSAは、FDAが医療機器の生産・品質マネジメントシステム用ソフトウェアを対象に示したガイダンスの考え方です。どちらもリスクに応じて保証活動の程度を変え、クリティカルシンキングを重視する点は共通しており、GAMP5第2版はCSAの考え方と整合する内容です。

GAMP5を理解して適切なバリデーションを実現しよう

本記事では、GAMP5の全体像を体系的に解説してきました。ここで要点を振り返ります。

• GAMP5は、ISPEが発行するコンピュータ化システムバリデーションの業界ガイドであり、医薬品業界を中心に、事実上の業界標準として広く参照されている
• ソフトウェアカテゴリ分類（カテゴリ1・3・4・5）は評価要素の一つであり、使用目的やGxP影響、複雑性、新規性、サプライヤ情報等を踏まえて必要なライフサイクル活動を決定する
• リスクベースアプローチを採用し、品質リスクの大きさに応じてバリデーション工数を最適化する
• 第2版（2022年7月発行）では、クリティカルシンキングの重視、CSAの考え方との関連付け、データインテグリティ関連ガイドとの連携が主要な変更点
• GMP・GLP・GCPの各GxP領域で参照でき、日本・米国・欧州の各国規制と関連している

GAMP5への対応は、一度きりのプロジェクトではなく、システムのライフサイクル全体を通じた継続的な取り組みです。まずは自社で使用しているコンピュータ化システムのカテゴリ分類を見直し、リスクベースアプローチに基づくバリデーション計画を再評価することから始めましょう。

JAPAN AIとは

JAPAN AIは、法人向けの国産生成AIプラットフォームです。AIチャット・議事録・エージェントなどのすぐ使える標準機能から、自社専用AIアプリのノーコード開発まで、全部門のAI活用をひとつの基盤で支えます。ジーニーグループのこれまでのDX・AX支援実績をもとに、ツールの提供にとどまらず、活用テーマの設計から現場での定着・成果創出まで専門チームが伴走します。

JAPAN AIの機能・活用事例・料金体系がわかるサービス紹介資料を無料でお送りします。

▼資料イメージ

• JAPAN AIでできること（AIチャット／議事録／エージェント／アプリ開発 ほか）
• ChatGPTなど汎用AIツールとの違い
• 業種・部門別の活用シーンと導入事例
• 導入から定着までの支援体制
• 料金体系とセキュリティ・ガバナンス対応

▼簡単1分！JAPAN AIの資料請求