【第11回】CSVからCSAへ　データインテグリティも踏まえたFDAの新ガイダンス動向

2026年2月3日に発行されたCSAガイダンス改訂版
FDAにおいて医療機器を管轄するCDRHがかねてより進めていた21 CFR Part 820規則のISO 13485:2016化が2026年2月2日に施行された。それに伴い、翌日の2026年2月3日にCSAガイダンスが” Computer Software Assurance for Production and Quality Management System Software”(以下、「CSAガイダンス」と略記する。)というタイトルで改訂・発出された。ISOの”Quality Management System”という言葉に合わせて、従来の”Quality System”が”Quality Management System”と改められた訳である。しかしながら、その内容については、21 CFR Part 820規則のISO 13485:2016化に対して、2025年9月24日に発出された最終化版CSAガイダンスが持つ記載の不整合を最小限の変更で解消しようとしたものであり、実質的な内容として大きく変更された部分はない。

ただし、本文13ページ(PDFファイル16ページ)のテスト手法の記載において、筆者がFDAの改訂原稿清書版生成時のおそらく単純ミスであろうと推測する、箇条書きのインデンテーションの変更があり、”Scripted testing”が“Unscripted testing”の下の1項目となっている。この原稿を書いている2026年4月7日時点においても訂正版は公開されておらず、筆者はFDAの対応に不安を抱くものである。このように技術的な内容として重要な意味持つ部分のレビューがしかるべき担当者によって事前に十分にチェックされずに公開され、また迅速に訂正処理されないというのは「FDAがこのガイダンスを重要視していない」ことを物語っているのではないかと筆者は勘繰ってしまった。

この改訂版のどの部分が2025年9月24日発出の最終化版、またそれ以前のドラフト版に対して変更されたかについて詳しく確認したい読者の方は、日本語訳ではなく英文についてではあるが、筆者が比較した表をこのリンクからダウンロード可能なので、それをご覧いただきたい。

ISO 13485:2016との関係
ここで、わが国も含めて世界的に医療機器の品質マネジメントシステムの規制要件として採用されているISO 13485:2016 Medical devices - Quality management systems — Requirements for regulatory purposes(以下、「ISO 13485」と略記する。)とCSAガイダンスの関係を整理しておく。

ISO 13485の「4.1.6 (バリデーションの要求事項)」では、「組織は、品質マネジメントシステムで使用するコンピュータソフトウェアの適用のバリデーションの手順を文書化する。このようなソフトウェアの適用は、初回の使用前にバリデーションを行う。また、適切な場合、そのソフトウェア又は適用への変更後に、バリデーションを行う。」、「ソフトウェアのバリデーション及び再バリデーションに関する固有のアプローチ及び活動は、ソフトウェアの使用に伴うリスクに見合ったものとする。」、「この活動の記録（4.2.5 参照）は維持する。」と要求されている。英語文で使われている助動詞は最も強い要求を表す”shall”である。