ISO 9001 ラボデータコンプライアンス
次回監査前にQC管理者が知っておくべきこと

ISO 9001:2015 箇条7.5がラボデータに実際に求めるもの

監査員がQCラボの記録を確認する際に最も頻繁に参照する箇条は7.5.3「文書化した情報の管理」です。これが、校正証明書にバージョン番号が必要であり、チャートレコーダーの記録の横に手書きで修正を加えた付箋が外部監査を乗り越えられない理由です。しかし、その範囲はバージョン管理だけにとどまりません。

ISO 9001:2015は、旧規格の「文書」と「記録」を「文書化した情報」という一つのカテゴリに統合し、箇条7.5は3つのサブ要求事項に分かれており、これらはすべてQCラボのワークフローに影響します。

7.5.1 — 一般。 組織は、規格が要求する文書化した情報と、QMSの有効性のために組織が必要と判断する追加の文書化した情報を維持しなければなりません。QCラボにおいて、この後半部分が人々を驚かせることがよくあります。規格自体は、品質方針、適用範囲、品質目標を要求しています（ISO/TC 176/SC2ガイダンスによる）。しかし、組織が決定するか、監査員が代わりに決定して、生の機器データから最終的なCoAまでのトレーサビリティが「有効性のために必要」であると判断された場合、それは監査対象となります。それがオプションであると主張することはできません。

7.5.2 — 作成及び更新。 すべての文書化した情報は、適切に識別され（タイトル、日付、作成者、参照番号）、その利用者に適した形式で、使用前にレビュー及び承認されなければなりません。ここで紙のラボノートが厄介になります。日付も署名もなく、訂正箇所に一行取消線とイニシャルがない走り書きの修正があるQC分析者のログブックエントリは、作成時点で不適合となります。

7.5.3 — 文書化した情報の管理。 監査員が好むセクションです。文書化した情報は、必要な時に必要な場所で利用可能であり、機密性や完全性の喪失から適切に保護され、配布、アクセス、検索、保管、そして重要なことに変更管理を通じて管理されなければなりません。電子記録の場合、「このExcelファイルを編集できるのは誰か？」という質問がコンプライアンス上の問題となります。DNV GLがまとめたISO 9001監査データによると、箇条7.5.3は世界的にトップ10の不適合項目に常にランクインしています。不正な変更、旧バージョンの識別漏れ、適切な文書管理手順の欠如が繰り返し見られるテーマです（simpleQuEによるDNV GL調査結果の分析より）。

手動転記のギャップ：データ完全性が損なわれる瞬間

従業員200人未満のほとんどの製造業者は、1990年代から本質的に変わっていないワークフローでQCデータを処理しています。その流れは次の通りです：

1. 測定機器が結果を出力（引張試験機がチャートを印刷、分光光度計がCSVをエクスポート、pHメーターが数値を表示）
2. 分析担当者が結果を紙のログブックまたはExcelシートに手書き転記
3. そのExcelシートが別のワークブックの週次SPCチャートに反映
4. バッチリリース時に、該当する試験結果をまとめて分析証明書またはバッチレコードを作成
5. バッチレコードをレビューし、署名

5回の引き継ぎ。それぞれがデータ完全性イベントです。そして、ISO 17025監査人とFDA査察官の両方がデータ完全性評価に用いるALCOA+の枠組みでは、そのすべてが監査可能なギャップを生み出します。

問題は、どの単一のステップが必ず失敗するかではありません。手動による5回の引き継ぎの連鎖では、少なくとも1つのリンクが欠落する（機器の出力紛失、未署名の記入、監査証跡なしのExcelセル編集など）確率が、十分な監査回数を経るとほぼ確実になることです。

2025年のFDA警告状分析によると、470件中469件が文書化または記録管理の不備を指摘していました。100件はバリデーションの不備、特に重要なQC計算に未バリデーションのExcelスプレッドシートを使用した事例を挙げています。いくつかのケースでは、FDAは「分析担当者がスプレッドシートファイルを無制限に修正・削除できた」と指摘しています（QBenchによるFDA FY2025データ分析より）。全員が同じExcelワークブックを編集でき、バージョン履歴や変更ログがなければ、それは文書管理ではありません。たまたまバッチリリースデータを保存している共有メモ帳にすぎません。

だからこそ、21 CFR 211.22(d) — 品質部門の手順不遵守 — が4年連続でFDAの483観察報告のトップとなっているのです（RAPSより）。違反の原因は製品が不良であることではありません。品質部門が製品の良さを証明できないことにあるのです。

ISO 9001を超えて：21 CFR Part 11、ISO 17025、ISO 13485が求める高い基準

ISO 9001は最低基準であり、上限ではありません。ラボが実施する試験や製品の販売市場によっては、第7.5項に加えて、電子記録とデータインテグリティに関するより厳格な要求事項を持つ追加の規格が適用されます。品質管理マネージャーは、監査人に指摘される前に、どの規格が適用されるかを把握しておく必要があります。

これら3つの規格に共通するのはALCOA+です：帰属性（誰が行ったか）、判読性（読めるか）、同時性（後から再構築するのではなく、その時点で記録される）、原本性（清書したコピーではなく生データ）、そして正確性（誤りがなく真実であること）。「+」は、完全性、一貫性、永続性、可用性を追加します。このフレームワークは、FDAの2018年データインテグリティおよび医薬品CGMPコンプライアンスに関するガイダンス（FDA、2018年12月）に登場し、ISOおよびFDAの監査人がラボの記録を評価する際の基盤となっています。

21 CFR Part 11は特に、QCラボを驚かせる厳格な要件を課しています：バリデーションされたシステムです。「Excelファイルはチェックされている」という手順があるだけでは不十分です。システム自体が、信頼性と一貫性をもって動作するようバリデーションされ、不正な変更を防ぐ管理策を備えていなければなりません。バージョン履歴やアクセス管理がなく、QCチーム間で共有されているバリデーション未実施のExcelワークブックは、Part 11の要件をまったく満たしていません。そしてFDAの査察官は、まさにこのパターンを見つけるよう訓練されています。

監査人が実際に指摘するもの：指摘事項の背後にあるデータポイント

監査の指摘事項はランダムではありません。手作業によるQCデータワークフローにおける予測可能な障害モードに集中します。何が、そしてどの程度の頻度で指摘されるかを理解することが、準備ができているラボと、クロージングミーティングで慌てふためくラボの違いを生みます。

業界アナリストが収集した2025年のFDA警告レターデータから：

• バリデーションの欠落は、470件の警告レターのうち100件で引用されました。これは最も一般的な個別のカテゴリーです。これには、重要な計算に使用されるバリデーション未実施のスプレッドシート、バリデーション未実施の分析メソッド、機器の適格性評価の欠落が含まれます。
• 不完全または欠落した文書化された手順は62件のレターで見られました。QCラボでは、これは「試験方法に関するSOPはあるが、試験データが機器からバッチ記録にどのように移行するかについての文書化された手順がない」という形で現れることがよくあります。
• 不一致の調査の失敗 — 48件のレター。アナリストが規格外の結果をExcelに入力し、SPCチャートがそれをフラグしたとき、文書化された調査は行われますか？ それともアナリストは単に再試験して値を上書きするだけですか？
• データインテグリティ違反 — 14件のレターが、改ざん、削除、または管理されていない記録の特定の行為を引用しました。SV Labs Corporationへの警告レターにおけるFDAの文言は、その懸念を捉えています：「観察された欠陥（ラボ管理、文書化慣行、データインテグリティ管理を含むがこれらに限定されない）は、QUの監督機能における根本的な弱点を示しています。」

Journal of Pharmaceutical Innovationに掲載された2010年から2020年までのFDA警告レターのレトロスペクティブ研究では、文書化慣行（データインテグリティ）がすべてのCGMP関連警告レターの21%を占め、プロセスバリデーションの26%に次いで2番目に多いことがわかりました（PMC 9377664）。これは新しい傾向ではありません。これはFDAの執行史上、最も根強いパターンです。

特にISO 9001に関しては、文書管理の指摘事項は手順の欠落に関するものではありません。紙の上では存在するが、ラボのベンチに届いていない手順に関するものです。監査人は以下を探します：

• 承認署名または日付のない文書
• ワークステーションにまだ掲示されている旧バージョンのSOP
• 元の記入内容がわからない記録の修正（一行取り消し線、イニシャル、日付がない）
• 文書管理システムに含まれていない外部文書（機器マニュアル、サプライヤーCoA、規制基準）
• 変更履歴がなく、バッチリリース決定のマスターデータリポジトリとして使用されているExcelファイル

LIMS vs AI抽出：適正価格で監査証跡を構築する

QCマネージャーが手動転記を監査リスクと判断した場合、従来の次のステップはラボ情報管理システム（LIMS）の評価である。その売り文句は魅力的だ。LIMSは機器データを直接取得し、データ入力管理を実施し、タイムスタンプ付きの監査証跡を維持し、21 CFR Part 11準拠の枠組みで電子署名を管理する。LabWare、STARLIMS（アボット社）、LabVantageは、エンタープライズLIMS市場の約80%を占めている。

問題は価格だ。エンタープライズLIMSの導入には25万ドル以上のセットアップ費用と年間10万ドル以上のライセンス費用がかかる。中小メーカーが必要とするミッドレンジの導入でも、セットアップに5万～25万ドル、年間2万5千～10万ドルの費用がかかる（QBench 2026年LIMS価格分析による）。導入期間は数ヶ月に及ぶ。G2のレビューも実態を物語っている。LabWareユーザーは「まったく直感的ではない」「OOTB機能が非常に少ない」と評し、STARLIMSは「多大な導入努力が必要」と指摘されている。これらは専任のITスタッフがいるラボ向けのツールだ。

50人規模で1日20件のQCテストを実施するメーカーにとって、7万5千ドルのLIMS導入は現実的な選択肢ではない。一方、手動転記に固執することは、コンプライアンスの観点から持続不可能である。ここに、5年前には存在しなかった中間領域としてAIベースの抽出ツールが位置づけられる。

AI抽出ツールはLIMSに取って代わるものではない。サンプル追跡、在庫管理、機器校正スケジュールを管理するわけではない。しかし、条項7.5およびPart 11コンプライアンスにとって重要なこと——それはデータ入力時点での手動転記ステップを排除することだ。分析担当者が分光光度計のプリントアウトを読み取り、Excelに数値を打ち込む代わりに、機器の出力（PDFとして保存、またはプリントアウトを写真撮影したもの）がAIに取り込まれる。AIは引張強度、伸び、硬度など、テストで生成された値を読み取り、構造化データとして出力する。すべての抽出はタイムスタンプ付きのイベントであり、どのソース文書から何が抽出されたかの記録が残る。

コンプライアンス上の違いは次の3点である：

1. 帰属可能性と同時性: 抽出タイムスタンプと分析者のログインにより、誰がいつどのデータを処理したかが記録されます。手動のログブックでは困難なALCOA+の「同時性」と「帰属可能性」の要件を満たします。
2. 原本の保存: ソースファイル（機器のPDFや画像）は抽出データとともに利用可能です。監査人は元の機器出力を呼び出し、抽出値と比較できます。「生データを見せてください」という要求に答えられるようになります。
3. 手動再入力なし: コンプライアンスリスクは「分析者が正しい数値を入力したか？」から「抽出出力が検証されているか？」へと移行します。後者はレビューステップであり、独自の監査証跡を生成する管理された活動です。本来記録の残らない転記行為ではありません。

QCレポートをExcelに抽出し、個別のQCラボレポートをExcelに抽出してからそれらをSPCダッシュボードに一括処理するラボでは、データフローは次のようになります：機器出力 → AI抽出 → 構造化データ → SPC分析 → バッチ記録。抽出ステップは自動化され、トレーサブルです。そのステップの監査証跡は機械生成であり、分析者がログブックエントリに署名・日付を記入するのを覚えておく必要はありません。

コスト差は顕著です。中級LIMSの導入には50,000ドル以上かかりますが、このカテゴリのAI抽出ツールは文書単位またはサブスクリプション課金であり、小規模QCラボが処理するボリュームでは通常月額50ドル未満と桁違いに低コストです。トレードオフは範囲です。データ取り込みとエントリポイントでの監査証跡は得られますが、完全なLIMSが提供する包括的なサンプル管理、在庫追跡、機器統合は得られません。主要なコンプライアンスエクスポージャーが手動転記ステップである小規模メーカー（それが大多数です）にとって、このトレードオフはしばしば適切です。

機器出力から監査対応記録へ：実践的フレームワーク

コンプライアンスはツールの購入ではなく、ワークフローの設計課題です。ツールはワークフローを実現しますが、監査人が評価するのはワークフローそのものです。以下は、現在のQCラボの多くがデータインテグリティの防御態勢を整えるための6ステップのフレームワークです。

ステップ1：現在のデータ連鎖を可視化する

機器出力から最終バッチ記録までのフローチャートを実際に描いてください。すべての受け渡し（機器→分析者、分析者→ログブック、ログブック→Excel、Excel→CoA）について、「これがいつ発生したか、誰が行ったか、数値が変更されていないことを証明できるか？」と自問してください。「いいえ」と答えた箇所をすべて赤でマークしてください。それがコンプライアンス上のギャップです。

ステップ2：該当する規格を特定する

米国で医療機器を販売する場合は、ISO 13485 + Part 11が必要です。第三者試験機関の場合は、ISO 17025が該当規格です。ISO 9001認証を取得している一般製造業者の場合、条項7.5がベースラインとなります。自社の業務に該当する具体的な条項番号を書き出してください。監査人は条項番号で引用します。あなたもそれを把握しておくべきです。

ステップ3：管理ポイントを選択する

コンプライアンス上最も影響力のある判断は、手動転記のリンクをどこで排除するかです。多くの中小規模の製造業者にとって、機器出力から構造化データへのステップは最もリスクが高く、かつ自動化が最も容易な受け渡しです。本格的なLIMS統合が範囲外であれば、ここに投資すべきです。

ステップ4：レビューステップをワークフローに組み込む

自動抽出はレビュー不要の抽出を意味しません。データがバッチ記録に入力される前に、別の担当者またはQC責任者が抽出値とソース文書の一致を検証する必要があります。この検証自体も文書化（日付、レビュー担当者の身元、レビュー結果）されなければなりません。2026年4月のFDAによるcGMP文書化におけるAIの位置付けに関する見解では、適格な人間がレビューするまで自動出力は管理された記録とはみなされないことが明確にされています。

ステップ5：原本を保管する

ISO 17025の条項7.5およびFDAのデータ完全性ガイダンスでは、いずれも原観測記録の保管が義務付けられています。抽出ソフトウェアに取り込んだ機器のPDF、チャートレコーダーの記録、または生データファイルは、日付、試験方法の参照、機器ID、分析者識別子とともに、全保管期間にわたって保管・検索可能でなければなりません。

ステップ6：ワークフロー自体を文書化する

「QC試験データの生成からバッチレコードまでの管理」と題するSOPを作成します。ステップ1～5で構築したワークフローを記述し、使用したツール、レビューステップ、保管場所、アクセス制御を明記します。このSOPこそが、暗黙のプロセスを監査可能なものに変えます。これがなければ、どんなに優れた抽出パイプラインを持っていても、データ管理方法の文書化不足という指摘を受ける可能性があります。

よくある質問

ISO 9001では電子記録の保管が必須ですか？それとも紙の記録でも問題ありませんか？

紙の記録はISO 9001:2015でも依然として認められています。この規格は形式に中立です。紙の記録が問題となるのは、条項7.5で要求される管理要素、すなわちすべての記入項目への署名と日付、訂正時の一重線消しとイニシャル、紛失や不正アクセスを防ぐシステムが欠けている場合です。実際には、これらの要件を一貫して満たす紙の記録を維持するには多くの労力を要します。多くのラボが電子システムに移行するのは、紙が禁止されているからではなく、電子システムが監査証跡、アクセス制限、タイムスタンプといった管理機能を強制するからです。紙の記録では、これらを人間の規律に頼らざるを得ません。

21 CFR Part 11とISO 9001の文書管理の違いは何ですか？

ISO 9001の条項7.5は「文書を管理せよ」と述べていますが、その方法は規定していません。一方、21 CFR Part 11は、電子記録が紙の記録と法的に同等とみなされるための方法を正確に規定しています。すなわち、バリデーションされたシステム、固有のユーザーID、安全な監査証跡、本人確認を伴う電子署名、メタデータを含むデータ保管です。パスワードで保護されたスプレッドシートは、そのための手順書があればISO 9001の精神を満たす可能性があります。しかし、パスワードだけでは提供できないシステムレベルの管理を要求するPart 11には適合しません。

AI抽出ツールを使用してもPart 11監査に合格できますか？

AI抽出ツールは、以下の条件を満たせばPart 11でバリデーションされたシステムである必要はありません。(a) 抽出された出力がバッチ記録に組み込まれる前に、適格な担当者によってレビューおよび承認されること、(b) レビューの工程が文書化されていること、(c) 元のソース文書が公式記録として保持されること。cGMP文書作成におけるAIに関するFDAの新たな見解（AIの誤用を指摘した最初の警告文書、2026年4月）では、人間によるレビューが重要な要件となっています。ツールの役割はドラフトを作成することであり、人間によるレビューによってそれが管理された記録に変換されます。ワークフローでこのレビュー工程を文書化していれば、問題はありません。

ISO 9001にはパスワード保護付きのExcelスプレッドシートで十分ですか？

ISO 9001のみであれば、技術的には可能です。ただし、アクセス制御、バージョン管理、変更追跡に関する文書化された手順がある場合に限ります。実際には、パスワードで保護されたExcelファイルが監査の精査に耐えることはほとんどありません。監査人が「パスワードを知っている人は何人ですか？先週、セルC47を誰が、なぜ編集したか示せますか？」と質問するからです。「そこまでの詳細は追跡できません」という答えになれば、文書管理にギャップがあることになります。Part 11やISO 17025の対象となるラボでは、パスワードで保護されたExcelは明らかに不十分です。どちらの規格も、パスワード保護だけでは提供できない監査証跡を要求するからです。

ラボがISO 9001に加えてISO 17025の認定を必要とするかどうかは、どうすればわかりますか？

ラボが試験や校正の結果を外部顧客に提供し、その顧客が自社の品質判断のためにそれらの結果を利用する場合、または顧客の契約や規制当局への提出書類で認定ラボによる試験が要求されている場合、ISO 17025が必要です。自社製品のリリース前に試験を行うメーカーの内部QCラボは、通常ISO 17025を必要としません（ISO 9001またはISO 13485で十分です）。しかし、分析証明書が製薬会社のFDA提出書類に組み込まれる第三者受託試験ラボは、ほぼ確実に必要です。顧客から「ISO 17025認定ラボの試験結果」を求められているのであれば、判断は既に下されています。

ISO 9001 ラボ監査で最も多い文書管理の指摘事項は？

DNV GLの監査データ集計と複数の認証機関による裏付けによると、ラボ特有の文書管理で最も頻繁な指摘事項は次の通りです：(1) 記録の訂正時に元の記載が残っていない（数字全体を消し線で消さず、完全に塗りつぶしている）、(2) 変更履歴がなくアクセス制御もされていないスプレッドシートに試験結果を入力している、(3) 機器のプリントアウトを「メモ用紙」扱いし、値を転記した後に廃棄している。3つ目は事後修正が最も高くつきます — 6ヶ月前にゴミ箱に入れた感熱紙の出力は再現できません。

QCラボがデータ抽出にどのように取り組んでいるかについては、製造業QCラボレポートのExcel抽出ガイドおよびSPCダッシュボード用バッチ処理ワークフローをご覧ください。この分野のツールを幅広く評価するには、製造業向け文書抽出ツール比較をご確認ください。

監査対応可能なQCデータワークフローへの最短ルート：デモツールにラボレポートをアップロードし、抽出したい列（検体ID、試験パラメータ、結果値、規格限度、合格/不合格）を定義すれば、トレーサブルな機械生成データレコードがどのようなものかを確認できます。監査人が元の機器データと比較するのは、プロセスではなく、その出力です。