ISO 9001 ラボデータコンプライアンス
次の監査前にQCマネージャーが知っておくべきこと

ISO 9001:2015 箇条7.5がラボデータに実際に求めること

監査官がQCラボの記録を開くときに最初に参照する箇条は7.5.3「文書化した情報の管理」です。校正証明書に版番号が必要な理由、チャートレコーダーの記録の横に手書き修正を書いた付箋が外部監査を乗り切れない理由は、この箇条にあります。しかし、その範囲は版管理よりも広いものです。

ISO 9001:2015は、旧規格の「文書」と「記録」を1つのカテゴリ「文書化した情報」に統合し、箇条7.5は3つのサブ要件に分かれています。これらはすべてQCラボのワークフローに関わります：

7.5.1 — 一般。 組織は、規格が要求する文書化した情報と、QMSの有効性のために組織が決定した追加の文書化した情報を維持しなければなりません。QCラボでは、この後半部分が人々を驚かせます。規格自体は、品質方針、適用範囲、品質目標を義務付けています（ISO/TC 176/SC2ガイダンスによる）。しかし、組織が決定した場合、または監査官が組織に代わって決定した場合、生の機器データから最終CoAまでのトレーサビリティが「有効性のために必要」と判断されれば、それは監査対象になります。任意だと主張することはできません。

7.5.2 — 作成及び更新。 すべての文書化した情報は、適切に識別され（タイトル、日付、作成者、参照番号）、利用者に適した形式で、使用前にレビューおよび承認されなければなりません。ここで紙のラボノートが問題になります。QC分析者のログブックの記入に日付がなく、署名がなく、訂正が一重線とイニシャルなしで走り書きされている場合、それは作成時点だけで不適合となります。

7.5.3 — 管理。 これは監査官が好むセクションです。文書化した情報は、必要なときに必要な場所で利用可能でなければならず、機密性や完全性の喪失から適切に保護され、配布、アクセス、検索、保存、そして重要なことに変更管理を通じて管理されなければなりません。電子記録の場合、「このExcelファイルを編集できるのは誰か？」という質問がコンプライアンス問題になります。DNV GLがまとめたISO 9001監査データでは、箇条7.5.3は世界のトップ10の不適合項目に一貫して登場しています。不正な変更、廃止版の識別漏れ、適切な文書管理手順の欠如が繰り返し指摘されるテーマです（simpleQuEによるDNV GL調査結果の分析による）。

手動転記のギャップ：データ整合性が崩れる箇所

従業員200人未満のほとんどのメーカーは、1990年代から根本的に変わっていないワークフローでQCデータを処理しています。その流れは次のとおりです：

1. 機器が結果を生成する（引張試験機がストリップチャートを印刷、分光光度計がCSVをエクスポート、pHメーターが測定値を表示）
2. 分析者が結果を紙のログブックまたはExcelシートに直接転記する
3. そのExcelシートが別のワークブックの週次SPCチャートに反映される
4. バッチリリース時に、誰かが関連する試験結果をCoAまたはバッチレコードにまとめる
5. バッチレコードがレビューされ、署名される

5つの引き渡しがあります。各引き渡しはデータ整合性イベントです。そして、ISO 17025監査人とFDA査察官の両方がデータ整合性を評価するために使用する枠組みであるALCOA+の下では、そのすべてが監査可能なギャップを生み出します。

問題は、単一のステップが必ず失敗するということではありません。手動の5つの引き渡しチェーンでは、少なくとも1つのリンクが欠落する確率 — 機器の出力の紛失、署名のない入力、監査証跡なしに編集されたExcelセル — が、十分な監査を重ねるうちに確実性に近づくということです。

2025年のFDA警告状の分析によると、470件中469件が文書化または記録管理の不備を指摘していました。そのうち100件はバリデーションの不備を指摘しており、特に重要なQC計算に使用される未バリデーションのExcelスプレッドシートが含まれていました。いくつかのケースでは、FDAは「アナリストがスプレッドシートファイルを無制限に変更または削除できる」ことを指摘しました（QBenchによるFDA FY2025データの分析より）。すべてのアナリストが同じExcelワークブックを編集でき、バージョン履歴や変更ログがない場合、それは文書管理とは言えません。バッチリリースデータを保存しているだけの共有メモ帳にすぎません。

このため、21 CFR 211.22(d)（品質部門の手順を遵守しないこと）は、4年連続でFDA 483の観察事項のトップとなっています（RAPSより）。違反の本質は製品が不良であることではなく、品質部門が製品の品質を証明できないことです。

ISO 9001を超えて：21 CFR Part 11、ISO 17025、ISO 13485が基準を引き上げる場合

ISO 9001は下限であり、上限ではありません。ラボが試験する内容や販売先の市場によっては、電子記録とデータインテグリティに関するより厳しい要件を持つ追加の規格が条項7.5に積み重なります。QCマネージャーは、監査人に指摘される前に、どの規格が適用されるかを把握しておく必要があります。

3つのすべてに共通するテーマはALCOA+です：帰属可能性（誰が行ったか）、判読可能性（読み取れるか）、同時性（後から再構築するのではなく、その時点で記録される）、原本性（加工されたコピーではなく、生データ）、正確性（エラーがなく真実である）。「+」は、完全性、一貫性、永続性、可用性を追加します。このフレームワークは、FDAの2018年のデータ完全性および医薬品CGMPコンプライアンスに関するガイダンス（FDA、2018年12月）に登場し、ISOおよびFDAの監査人が実験室の記録を評価する方法の基礎となっています。

特に21 CFR Part 11は、QCラボを驚かせる厳格な要件を生み出します：バリデーション済みシステムです。「Excelファイルはチェックされている」という手順書があるだけでは不十分です。システム自体が、信頼性と一貫性をもって動作することをバリデーションされ、不正な変更を防ぐ管理がなければなりません。バージョン履歴もアクセス管理もなくQCチームで共有されているバリデーションされていないExcelワークブックは、Part 11の要件を満たしていません—そしてFDAの査察官は、まさにこのパターンを見つけるように訓練されています。

監査人が実際に指摘する点：調査結果の背後にあるデータ

監査の調査結果はランダムではありません。これらは、手動QCデータワークフローにおける予測可能な障害モードの周辺に集中しています。何が引用されるのか—そしてどのくらいの頻度で—を理解することは、準備ができているラボと、クロージングミーティング中に慌てふためくラボとの違いです。

業界アナリストが収集した2025年のFDA警告状データから：

• バリデーションの欠陥は、470件の警告状のうち100件で引用されました—これは最も一般的な特定カテゴリです。これには、重要な計算に使用されるバリデーションされていないスプレッドシート、バリデーションされていない分析メソッド、および機器の適格性評価の欠陥が含まれます。
• 文書化された手順書の不完全または欠落は、62件の警告状に登場しました。QCラボでは、これは「ラボには試験方法のSOPがあるが、試験データが機器からバッチ記録にどのように移動するかについての文書化された手順がない」という形で現れることがよくあります。
• 不一致の調査の失敗—48件の警告状。アナリストが規格外の結果をExcelに入力し、SPCチャートがそれをフラグしたとき、文書化された調査はありますか？それともアナリストは単に再試験して値を上書きするだけですか？
• データ完全性違反—14件の警告状が、改ざん、削除、または管理されていない記録の特定の行為を引用しました。SV Labs Corporationの警告状におけるFDAの文言は、この懸念を捉えています：「観察された欠陥は、実験室管理、文書化慣行、およびデータ完全性管理に限定されないが、QUの監督機能における根本的な弱点を示しています。」

Journal of Pharmaceutical Innovationに掲載された2010年から2020年までのFDA警告状のレトロスペクティブ研究では、文書化慣行（データ完全性）が全CGMP関連警告状の21%を占め、プロセスバリデーションの26%に次いで2番目に多いことがわかりました（PMC 9377664）。これは新しい傾向ではありません。これはFDAの執行史上、最も永続的なパターンです。

ISO 9001に特化して言えば、文書管理に関する指摘事項は手順書の欠落ではなく、紙の上では存在するものの実験室の現場に届いていない手順書に関するものです。監査員は以下を確認します：

• 承認署名や日付のない文書
• ワークステーションに掲示されたままの旧版SOP
• 元の記入内容が確認できない記録の修正（一重取り消し線、イニシャル、日付がないもの）
• 文書管理システムに含まれていない外部文書（機器マニュアル、サプライヤーのCoA、規制基準など）
• 変更履歴がなく、バッチリリース判定のマスターデータ保管庫として使用されているExcelファイル

LIMSとAI抽出：適切なコストで監査証跡を構築する

QCマネージャーが手動転記は監査リスクであると結論付けた場合、従来の次のステップはラボ情報管理システム（LIMS）の評価です。その提案は説得力があります：LIMSは機器データを直接取得し、データ入力管理を実施し、タイムスタンプ付きの監査証跡を維持し、21 CFR Part 11準拠のラッパーで電子署名を管理します。LabWare、STARLIMS（アボット社）、LabVantageは、エンタープライズLIMS市場の約80%を合わせて占めています。

問題は価格です。エンタープライズLIMSの導入にはセットアップに$250,000以上、年間ライセンスに$100,000以上かかります。中小メーカーが必要とするミッドレンジの導入でも、セットアップに$50,000〜250,000、年間$25,000〜100,000かかります（QBench 2026 LIMS価格分析による）。導入期間は数ヶ月に及びます。そしてG2のレビューは示唆に富んでいます：LabWareユーザーは「まったく直感的ではない」「OOTB機能が非常に少ない」と述べ、STARLIMSは「かなりの導入作業」が必要と指摘されています。これらは専任のITスタッフがいるラボ向けに作られたツールです。

1日20件のQCテストを実施する50人規模のメーカーにとって、$75,000のLIMS導入は現実的な選択肢ではありません。代替案である手動転記の継続も、コンプライアンスの観点から同様に持続不可能です。ここでAIベースの抽出ツールが、5年前には存在しなかった中間領域を占めることになります。

AI抽出ツールはLIMSを置き換えるものではありません。サンプル追跡、在庫、機器校正スケジュールを管理するものではありません。それが行うこと — そして条項7.5およびPart 11コンプライアンスにとって重要なこと — は、データ入力時点での手動転記ステップを排除することです。分析者が分光光度計のプリントアウトを読んでExcelに数字を入力する代わりに、機器出力（PDFとして保存、またはプリントアウトを写真撮影したもの）がAIによって取り込まれます。ツールは値を読み取ります — 引張強度、伸び、硬度、テストで生成されたものすべて — そして構造化データとして出力します。すべての抽出は、どのソース文書から何が抽出されたかの記録を持つタイムスタンプ付きイベントです。

コンプライアンス上の違いは3つあります：

1. 帰属可能性と同時性：抽出タイムスタンプとアナリストのログインにより、誰がいつどのデータを処理したかの記録が作成されます。手動のログブックでは対応が難しいALCOA+の「同時性」と「帰属可能性」の要件を満たします。
2. 原本の保持：ソースファイル（機器のPDFまたは画像）は、抽出されたデータとともに利用可能な状態で残ります。監査人は元の機器出力を呼び出し、抽出された値と比較できます。「生データを見せて」という要求に応えられるようになります。
3. 手動再入力なし：コンプライアンス上のリスクは、「アナリストが正しい数値を入力したか」から「抽出出力が検証されているか」に移ります。後者はレビュー手順、つまり独自の監査証跡を生成する管理された活動であり、本質的に記録が残らない転記行為ではありません。

個々のQCラボレポートをExcelに抽出し、その後SPCダッシュボードにバッチ処理するラボでは、データフローは次のようになります：機器出力 → AI抽出 → 構造化データ → SPC分析 → バッチ記録。抽出ステップは自動化され、追跡可能です。そのステップの監査証跡は機械生成であり、アナリストがログブックへの署名と日付記入を忘れずに行うことに依存しません。

コスト差は歴然としています。中級のLIMS導入には$50,000+かかる一方、このカテゴリのAI抽出ツールは、ドキュメント単位またはサブスクリプション方式の価格設定で、桁違いに低コストです。小規模なQCラボが処理するボリュームでは、通常は月額$50未満です。トレードオフは範囲です。データ取り込みと監査証跡は入り口で得られますが、本格的なLIMSが提供する包括的なサンプル管理、在庫追跡、機器統合は得られません。主なコンプライアンス上のリスクが手動転記ステップである小規模メーカー（そしてそれが大多数です）にとって、このトレードオフは多くの場合、正しい選択です。

計器のプリントアウトから監査対応記録へ：実践的なフレームワーク

コンプライアンスはツールの購入ではなく、ワークフロー設計の課題です。ツールはワークフローを実現しますが、監査人が評価するのはワークフローそのものです。ここでは、現在の多くのQCラボが置かれている状況から、防御可能なデータ完全性の体制を構築するための6段階のフレームワークを紹介します。

ステップ1：現在のデータチェーンを把握する

計器の出力から最終的なバッチ記録までの文字通りのフローチャートを作成します。計器から分析者へ、分析者からログブックへ、ログブックからExcelへ、ExcelからCoAへというすべての受け渡しについて、次の問いを立ててください：これがいつ発生したか、誰が行ったか、数値が変更されていないことを証明できますか？「いいえ」と答えた箇所をすべて赤でマークします。それがコンプライアンス上のギャップです。

ステップ2：適用される基準を特定する

米国向けに医療機器を販売する場合、ISO 13485とPart 11が必要です。第三者試験ラボの場合、ISO 17025が適用される基準です。ISO 9001認証を取得した一般メーカーの場合、条項7.5が基準となります。自社の業務に適用される具体的な条項番号を書き出してください。監査人は条項番号で引用します。あなたもそれらを知っておく必要があります。

ステップ3：管理ポイントを選択する

最も影響力のあるコンプライアンス上の決定は、手動転記のリンクをどこで排除するかです。多くの中小規模メーカーにとって、計器出力から構造化データへのステップは、最もリスクの高い受け渡しであり、自動化が最も容易な箇所でもあります。完全なLIMS統合が範囲外であれば、ここに投資します。

ステップ4：レビューステップをワークフローに組み込む

自動抽出は、レビューなしの抽出を意味しません。別の担当者、またはQCスーパーバイザーが、抽出された値がソース文書と一致することを、データがバッチ記録に入る前に検証する必要があります。この検証自体も文書化（日付、レビュー担当者の身元、レビュー結果）されなければなりません。cGMP文書におけるAIに関するFDAの2026年4月の見解では、これが明確にされています。すなわち、自動出力は、資格のある人間がレビューするまで管理された記録ではありません。

ステップ5：原本を保持する

ISO 17025の箇条7.5およびFDAデータ整合性ガイダンスは、いずれも元の観測記録の保持を要求しています。抽出ソフトウェアに入力した機器のPDF、チャートレコーダーの記録、または生データファイルは、日付、試験方法の参照、機器ID、分析者識別子とともに、全保持期間にわたり保持し、検索可能な状態にしておかなければなりません。

ステップ6：ワークフロー自体を文書化する

「QC試験データの生成からバッチ記録までの管理」というSOPを作成します。ステップ1〜5で構築したワークフローを記述し、使用したツール、レビューステップ、保持場所、アクセス制御を特定します。このSOPこそが、暗黙のプロセスを監査可能なものへと変えるのです。これがなければ、世界最高の抽出パイプラインを持っていても、データ管理方法の文書化不足という指摘を受ける可能性があります。

よくある質問

ISO 9001は電子記録を要求していますか、それとも紙の記録でも許容されますか？

紙の記録はISO 9001:2015の下でも依然として許容されます。この規格はフォーマット非依存です。紙の記録が問題となるのは、箇条7.5が要求する管理要素、すなわち全記入事項への署名と日付、訂正時のイニシャル付き一重線取り消し、紛失や不正アクセスを防ぐシステムが欠けている場合です。実際には、これらの要件を一貫して満たす紙の記録を維持することは、労力がかかります。多くのラボが電子システムに移行するのは、紙が禁止されているからではなく、電子システムが監査証跡、アクセス制限、タイムスタンプといった管理を強制するからです。紙の記録では、これらの管理を達成するために人間の規律に依存することになります。

21 CFR Part 11とISO 9001の文書管理の違いは何ですか？

ISO 9001の箇条7.5は「文書を管理すること」と述べていますが、どのように管理するかは規定していません。21 CFR Part 11は、電子記録が紙の記録と法的に同等とみなされるために管理されなければならない方法を正確に規定しています。すなわち、バリデーション済みシステム、一意のユーザーID、安全な監査証跡、本人確認を伴う電子署名、メタデータを完全に保持したデータ保存です。パスワード付きのスプレッドシートは、手順書があればISO 9001の趣旨を満たすかもしれません。しかし、Part 11を満たすことはできません。Part 11は、パスワードだけでは提供できないシステムレベルの管理を要求するからです。

AI抽出ツールを使用してもPart 11監査に合格できますか？

AI抽出ツールは、以下の条件を満たせばPart 11で検証されたシステムである必要はありません。(a) 抽出された出力が、バッチ記録に入る前に資格のある担当者によってレビューおよび承認されること、(b) レビューのステップが文書化されていること、(c) 元のソース文書が公式記録として保持されること。cGMP文書におけるAIに関するFDAの新しい立場（AI誤用を引用した最初の警告レター、2026年4月）により、人間によるレビューが重要な要件となっています。ツールの役割はドラフトを作成することであり、人間のレビューがそれを管理された記録に変換します。ワークフローがこのレビューステップを文書化していれば、問題ありません。

パスワード保護付きのExcelスプレッドシートでISO 9001に十分ですか？

ISO 9001のみであれば、技術的には可能です。アクセス制御、バージョン管理、変更追跡に関する文書化された手順があれば。実際には、パスワード保護付きのExcelファイルが監査の精査を生き残ることはほとんどありません。監査人が「パスワードを知っている人は何人いますか？先週セルC47を編集した人が誰で、なぜ編集したのか示せますか？」と尋ねるからです。答えが「そのレベルの詳細は追跡できません」であれば、文書管理のギャップがあります。Part 11またはISO 17025の下にあるラボでは、パスワード保護付きのExcelは明らかに不十分です。両方の規格が監査証跡を要求しており、パスワード保護だけでは提供できないからです。

自社のラボがISO 9001に加えてISO 17025の認定を必要とするかどうかはどうやって判断すればよいですか？

ラボが、自社の品質判断のためにその結果に依存する外部顧客に試験または校正結果を提供する場合、または顧客の契約や規制提出が認定ラボによる試験を要求する場合、ISO 17025が必要です。自社製品を出荷前に試験するメーカーの内部QCラボは、通常ISO 17025を必要としません（ISO 9001またはISO 13485で十分です）。CoAが製薬会社のFDA提出書類に含まれる第三者契約試験ラボは、ほぼ確実に必要です。顧客が「ISO 17025認定ラボの試験結果」を求めている場合、決定はすでに下されています。

ISO 9001ラボ監査で最も多い文書管理の指摘事項は何ですか？

DNV GLの監査データ集計と複数の認証機関による裏付けに基づくと、ラボ特有の文書管理で最も多い指摘事項は次の通りです：(1) 記録の修正で元の記載が残っていない — イニシャルと日付を添えた一本線の取り消しではなく、完全に塗りつぶされているケース；(2) 変更履歴がなく、アクセス制御もされずに共有されているスプレッドシートに試験結果を入力しているケース；(3) 機器のプリントアウトを「メモ用紙」として扱い、値を転記した後に廃棄しているケース。3つ目は事後修正が最も高額です — 6か月前にゴミ箱に入った感熱プリンターの出力を再作成することはできません。

QCラボがデータ抽出にどう取り組んでいるかについては、製造業QCラボレポートをExcelに抽出するハウツーガイドとSPCダッシュボード向けバッチ処理ワークフローをご覧ください。この分野のツールの幅広い評価については、製造業文書抽出ツールの比較をご確認ください。

監査対応可能なQCデータワークフローへの最短ルート：デモツールにラボレポートをアップロードし、抽出したい列（検体ID、試験パラメータ、結果値、規格値、合否）を定義して、トレーサブルで機械生成されたデータレコードがどのようなものかをご確認ください。監査人が元の機器データと比較するのは、プロセスではなく出力結果です。