【専門家監修】21 CFR Part 11とは？医療機器の対応要否と4つの場面

21 CFR Part 11は、FDA（米国食品医薬品局）が規制する電子記録と電子署名の要件を定めた連邦規則です。日本の医療機器メーカーにとっては「米国向けの話」と受け止められがちですが、FDAへの申請、査察対応、米国子会社やOEM先からの要求、eQMS（電子QMS）の導入検討という4つの場面で対応の要否を判断する必要が生じます。本記事では適用範囲と条項ごとの要求事項を整理し、2026年2月2日に施行されたQMSRとの関係、日本のQMS省令との位置づけ、システム選定時の確認項目までをまとめます。

21 CFR Part 11とは？対応が必要になる4つの場面

21 CFR Part 11は、米国連邦規則集タイトル21のPart 11「Electronic Records; Electronic Signatures（電子記録・電子署名）」を指し、FDAが1997年3月20日に公示し、同年8月20日に施行した規則です（62 FR 13430）。電子記録と電子署名が紙の記録・手書き署名と同等に信頼できると認められるための条件を定めており、Subpart A（総則）、Subpart B（電子記録）、Subpart C（電子署名）の3部で構成されます。

適用範囲は「前提規則」で決まる

Part 11が適用されるかどうかは、その記録がFDAの他の規制（前提規則＝predicate rules）によって作成・保管・提出を求められているかで決まります（§11.1）。医療機器メーカーの場合、前提規則にあたるのは主に21 CFR Part 820（QMSR）や21 CFR Part 803（不具合報告）です。

ここから2つの帰結が導かれます。第一に、前提規則が存在しない記録は、電子化していてもPart 11の対象外です。第二に、前提規則が求める記録であっても紙で作成・保管している限りPart 11は適用されません（§11.1(b)は「電子的手段で伝送された紙記録には本パートを適用しない」と定めています）。Part 11は「電子で扱うなら満たすべき条件」であって、電子化そのものを義務づけるものではありません（§11.2）。

対応要否の早見表

対応が問われる4つの場面

実務でPart 11が表面化するのは、次の4つの場面です。

1. FDA向け申請（510(k)/PMA） — 申請の裏づけとなる設計管理記録やバリデーション記録を電子で保持していれば、前提規則（QMSR）の対象記録としてPart 11の要求を受けます。
2. FDA査察 — 査察官は電子記録を画面上で確認し、複製の提出を求めます。エクスポート機能がないシステムは§11.10(b)の不備として指摘されます。
3. 米国子会社・OEM先からの要求 — 自社が直接FDAに登録していなくても、供給先が登録企業なら供給者管理の一環として問われます。求められるのはカタログ上の「Part 11対応」表示ではなく、システム機能・運用手順・バリデーション記録の3点セットです。
4. eQMS・電子文書管理システムの導入 — 選定段階で要求を把握していないと、導入後に不足が判明して追加開発が必要になります。導入前の要件定義に落とし込むのが最も安価です。

電子記録の要求事項：§11.10 クローズドシステムの管理

電子記録に対する中核の要求は§11.10「クローズドシステムの管理」に集約され、(a)から(k)までの11項目が定められています。クローズドシステムとは、記録の内容に責任を持つ者がシステムへのアクセスを管理しているシステムを指し、社内で運用するeQMSや文書管理システムの多くがこれに該当します（§11.3の定義）。

§11.10 (a)〜(k) の要求事項

§11.10(e) が求める監査証跡

§11.10(e)は、電子記録の作成・変更・削除について、操作者・日時・操作内容を独立して記録する監査証跡を求めています。要件は次の4点です。

• 安全であり、コンピュータが自動生成すること（手入力の変更履歴台帳では要件を満たしません）
• タイムスタンプ付きであること
• 変更前の情報を上書きしないこと（旧値と新値の双方が追跡できること）
• 記録の保管期間以上保持し、FDAの閲覧・複写に供せること

なお、監査証跡そのものの考え方やALCOA+との関係はデータインテグリティ（ALCOA+）の実践ガイドで詳しく解説しています。本記事ではPart 11が条項として何を要求しているかに絞ります。

§11.30 オープンシステムの管理

記録の内容に責任を持つ者がシステムアクセスを管理していないシステムはオープンシステムに分類され、§11.30が適用されます（§11.3の定義）。§11.10の要求に加えて、記録の真正性・完全性・必要に応じた機密性を担保するために、文書の暗号化や適切なデジタル署名標準の使用といった追加の措置が求められます。

判断の基準は、設置場所やクラウドかどうかではなくアクセス制御を誰が握っているかです。SaaS型のeQMSであっても、自社がアカウントの発行・権限設定・失効を管理しているならクローズドシステムに該当します。

電子署名の要求事項：署名の表示・記録との結合・本人確認

電子署名の要求は、Subpart B の§11.50・§11.70と、Subpart C の§11.100〜§11.300に分かれています。前者は「署名として何を表示し、記録とどう結びつけるか」、後者は「その署名が本人のものであることをどう担保するか」を定めています。

実務で見落とされやすいのが§11.100(c)です。これは「自社の電子署名は手書き署名と法的に同等である」と証明する文書に関する要求で、システム機能では代替できません。電子署名の使用開始前（または使用と同時）までにFDAへ実際に提出する必要があり、社内で整備しただけでは満たされません。提出は手書き署名を付した書面で行い、電子・紙のいずれの形式でも受け付けられます。提出先はFDAの「Letters of Non-Repudiation Agreement」のページで案内されています（§11.100(c)(1)）。

§11.200(a)(1)の「連続したセッション中の2回目以降は1要素でよい」という規定は、裏を返せばセッションが切れたら再度すべての要素を求めるということです。業務システムのログイン状態をそのまま署名に流用する設計は、この要求を満たさない可能性があります。

FDAの執行スタンスとQMSR施行後のPart 11

Part 11は1997年の制定以来、条文自体はほとんど変わっていませんが、FDAの執行方針とその周辺のガイダンスは大きく動いています。2026年時点で押さえるべきは、2003年の裁量的執行、2026年2月のCSA改訂ガイダンス、そして2026年2月2日のQMSR施行の3点です。

2003年ガイダンスによる裁量的執行

FDAは2003年に「Part 11, Electronic Records; Electronic Signatures — Scope and Application」を発出し、バリデーション・監査証跡・記録の保管・記録の複製の各要求と、Part 11の発効前から稼働していたシステム（レガシーシステム）に対するすべての要求について、裁量的執行（enforcement discretion）の方針を示しました。

ただしこれは「対応しなくてよい」という意味ではありません。同ガイダンスは裁量的執行の対象を上記に限ったうえで、それ以外の規定は執行すると明言し、例として§11.10(d)のアクセス制限、(f)の操作順序チェック、(g)の権限チェック、そして§11.30のオープンシステムの管理を名指ししています。電子署名に関する条項（§11.50・§11.70・§11.100・§11.200・§11.300）も丸ごとこのリストに含まれており、次章で扱う電子署名の要求は当初から裁量的執行の対象外です。

医療機器メーカーの場合、頼れる範囲はさらに限られます。FDAは後述のCSAガイダンスで、バリデーションに関する裁量的執行はISO 13485の4.1.6・7.5.6・7.6に基づく製造・品質マネジメントシステム用ソフトウェアのバリデーション要求には適用されないと明示しました。QMSRがISO 13485:2016を引用している以上、バリデーションはQMSR側の要求として独立に残ります。

CSAガイダンスとバリデーション要求（現行版は2026年2月3日発出）

§11.10(a)が求めるシステムのバリデーションについては、FDAが2025年9月24日にCSA（Computer Software Assurance）の最終ガイダンスを発出し（Federal Register 2025-18468／90 FR 45945）、2026年2月3日に改訂版「Computer Software Assurance for Production and Quality Management System Software」を発出しました（Docket No. FDA-2022-D-0795）。現行版はこの2026年2月3日版で、2025年9月版は置き換えられています。改訂の理由は、ガイダンス末尾のGuidance History表にFDA自身が記載しています。Level 2ガイダンス手続き（21 CFR 10.115(g)(4)）に基づく改訂であり、21 CFR Part 820の改正（QMSR）との整合が目的です。名称が「Quality System」から「Quality Management System」に変わったのもこれに伴うもので、2025年9月版の脚注2でも、規則の施行後にPart 820への参照を規則に合わせて更新すると予告されていました。

2025年9月版は2022年9月13日のドラフト（87 FR 56059）を最終化したもので、2026年2月版はそれを改訂したものです。いずれの版も「General Principles of Software Validation」の第6章（Validation of Automated Process Equipment and Quality System Software）を置き換えます。内容は、リスクに応じて検証の厚みを変えるアプローチを認めるものです。なお本ガイダンスは、医療機器そのものに該当するソフトウェア（device software functions／SaMD等）の設計・開発における検証・バリデーション要求については扱いません。

CSAガイダンスが示したPart 11の適用判断

2026年2月3日版のCSAガイダンスは、製造・品質マネジメントシステムに使うソフトウェアについて「いつPart 11が適用されるか」をFDA自身が整理した節を持ちます。判断の軸は、その文書がPart 820（QMSR）で要求されるものかどうかです。

FDAは「Part 820が要求する文書を電子形式で保持しているなら、一般にPart 11が適用される」とし、とりわけ考慮すべき点として「バリデーション済みの状態を裏づける証拠として必要な記録か」を挙げています（考慮事項はこれに限られません）。たとえば、基幹管理システムが製造前の材料チェックを正しく確実に自動化していることを示す文書はこれに該当し、電子形式であればPart 11の対象になります。一方、市販ソフトウェアが起動時に自動保存する一般的な動作ログは、その証拠として必要でない限り対象外とされています。社内の電子記録を棚卸しする際は、この軸がまず仕分けの出発点になります。

QMSR施行後もPart 11は存続する

2026年2月2日、21 CFR Part 820を改正しISO 13485:2016を引用するQMSRが施行されました。ここで誤解が生じやすいのですが、QMSRはPart 11を置き換えるものではありません。Part 11はPart 820とは独立した規則であり、QMSR施行後も電子記録・電子署名の要求はそのまま残ります。QMSRが求める設計管理・CAPA・苦情処理・内部監査などの記録を電子的に扱う場合、引き続きPart 11が適用されます。

日本のQMS省令・施行通知との関係

日本の医療機器メーカーには、Part 11とは別に電磁的記録に関する国内の要求が適用されます。根拠はQMS省令の第9条（記録側）と第8条（文書側）で、Part 11と条項単位で対応づけて設計すると二重対応を避けられます。

記録側の根拠はQMS省令第9条（記録の管理）第2項です。同項は記録について「セキュリティ確保（当該記録について、漏えい、滅失又は毀損の防止その他安全管理を行うことをいう。）」と「完全性の確保（当該記録が正確であり、記録が作成された時点から不適切な改変がない状態を保つことをいう。）」の管理方法を文書化するよう求めており、§11.10の(c)(d)(e)に相当する日本法上の根拠となります。

文書側の根拠は第8条（品質管理監督文書の管理）第2項第7号「品質管理監督文書の劣化又は紛失を防止すること」で、施行通知（薬生監麻発0326第4号）14．第8条関係（8）はこの例として「文書を電磁的に管理する場合にはそのバックアップ等必要な管理方法を定めること」を挙げています。詳細はQMSの文書管理システムとは？を参照してください。

施行通知が参照するER/ES指針との位置づけ

施行通知14．第8条関係（9）は、電磁的管理の方法について「医薬品等の承認又は許可等に係る申請等における電磁的記録及び電子署名の利用について」（平成17年4月1日付薬食発第0401022号厚生労働省医薬食品局長通知）＝いわゆるER/ES指針を参照することが望ましいとしています。ただしPart 11とER/ES指針は別制度であり、一方に適合すれば他方も自動的に満たされるわけではありません。ER/ES指針の三要件（真正性・見読性・保存性）への具体的な対応方法はソフトウェアバリデーション実践ガイドで解説しています。

Part 11対応チェックリストとeQMS選定時の確認項目

Part 11への適合は、システム機能・運用手順・バリデーション記録の3点が揃って初めて成立します。「Part 11対応」と表示された製品を導入しただけでは適合しません。以下のチェックリストで自社の現状を棚卸ししてください。

自社運用のチェックリスト

• [ ] 適用対象となる記録の範囲を特定し、文書化している（前提規則との対応づけ）
• [ ] 対象システムのバリデーションを実施し記録を保管している（§11.10(a)）
• [ ] 電子記録を人が読める形式と電子形式で出力できる（§11.10(b)）
• [ ] バックアップと復旧手順を定め、復旧テストを実施している（§11.10(c)）
• [ ] アクセス権限をロールで設計し、退職・異動時の停止手順がある（§11.10(d)）
• [ ] 監査証跡が自動生成され、旧値を上書きせず保管期間以上残る（§11.10(e)）
• [ ] 承認前の発行を防ぐなど操作順序を制御する仕組みがある（§11.10(f)(g)）
• [ ] 開発・保守・使用に関わる要員の教育訓練記録がある（§11.10(i)）
• [ ] 電子署名に関する社内方針を文書化し、周知記録がある（§11.10(j)）
• [ ] 電子署名に氏名・日時・意味が表示され、記録と結合されている（§11.50／§11.70）
• [ ] 使用開始前までに手書き署名を付した証明文書をFDAへ提出済みである（§11.100(c)）
• [ ] IDコード・パスワードの一意性・有効期限・紛失時の手順を定めている（§11.300）

eQMSベンダーに確認すべき7項目

日本の医療機器メーカーの場合、eQMSを導入する時点でQMS省令第5条の6（ソフトウェアの使用）が適用される点にも注意が必要です。同条第1項は品質管理監督システムにソフトウェアを使用する場合のバリデーション手順の文書化を、第2項は初回使用時および変更時のバリデーション実施を求めています。つまり、Part 11対応とQMS省令対応は同じバリデーション作業のなかで同時に満たすことができます。

文書管理や記録の電子化を検討する段階であれば、医療機器QMSに特化した電子QMSの導入を選択肢に入れる価値があります。QMSmartは監査証跡・電子署名・アクセス制御を標準機能として備えており、上記7項目の確認とバリデーション文書の整備を導入プロセスのなかで進められます。

よくある質問

日本国内向けだけの医療機器メーカーも21 CFR Part 11に対応する必要がありますか？

原則として不要です。Part 11は前提規則が作成・保管を求める記録に適用されるため、FDAへの申請・登録がなく米国市場と関わりがなければ対象外です。ただしQMS省令第8条・第9条とER/ES指針は適用されるため、電子記録の管理そのものは必要です。

紙で運用していれば21 CFR Part 11の対象外ですか？

対象外です（§11.1(b)）。Part 11は電子で扱う場合の条件を定めた規則で、電子化を義務づけるものではありません（§11.2）。ただし2003年ガイダンスは、紙に加えて電子でも記録を保持し、その電子記録を規制対象業務の遂行に依拠している場合はPart 11の対象になるとしています。紙と電子が混在する運用では、どちらが「正」かを手順書で明確にしておかないと、査察時に電子側の管理不足を指摘される可能性があります。

「Part 11対応」と書かれたクラウドサービスを使えば自動的に適合しますか？

適合しません。Part 11への適合はシステム機能・運用手順・バリデーション記録の3点で成立します。ベンダーが提供できるのはシステム機能だけで、アクセス権限の設計、電子署名に関する社内方針（§11.10(j)）、要員の教育訓練記録（§11.10(i)）、自社環境でのバリデーションは利用者側の責任です。

電子署名は電子契約サービスの署名と同じものですか？

同じではありません。Part 11の電子署名は§11.50の表示事項（氏名・日時・署名の意味）、§11.70の記録との結合、§11.100〜§11.300の本人確認と識別要素の管理を満たす必要があります。一般的な電子契約サービスは契約文書への署名を目的としており、QMSの記録に対する継続的な管理までは想定していない場合があります。

監査証跡はどのくらいの期間保管する必要がありますか？

§11.10(e)は、監査証跡を対象となる電子記録の保管期間以上保持し、FDAの閲覧・複写に供することを求めています。したがって保管期間は前提規則側で決まります。日本国内の記録については、QMS省令第9条第5項により第68条が定める期間の保管が別途求められます（第67条は品質管理監督文書の保管期限で、記録側とは別の条です）。Part 11と第68条の両方の要求を満たす長い方の期間を設定するのが実務的です。

ER/ES指針に対応していれば21 CFR Part 11も満たせますか？

自動的には満たせません。両者は別制度で要求の粒度も異なります。Part 11は§11.10(a)〜(k)や§11.200の識別要素など管理項目を条項単位で定めているため、ER/ES指針の三要件（真正性・見読性・保存性）を満たす運用でも条項ごとの対応確認が別途必要です。ER/ES指針側の対応方法はソフトウェアバリデーション実践ガイドで解説しています。

QMSR（2026年2月2日施行）でPart 11の要求は変わりましたか？

変わっていません。QMSRは21 CFR Part 820を改正しISO 13485:2016を引用したものですが、Part 11は独立した規則のため施行後も要求はそのまま残ります。QMSRが求める設計管理・CAPA・苦情処理などの記録を電子的に扱う場合、引き続きPart 11が適用されます。

まとめ

• 21 CFR Part 11は、FDAの前提規則が求める記録を電子で扱う場合に適用されます。紙運用のみ、あるいはFDAとの関わりがなければ対象外です（§11.1(b)／§11.2）
• 中核は§11.10のクローズドシステムの管理(a)〜(k)。電子署名は§11.50・§11.70と§11.100〜§11.300が規定し、§11.100(c)の証明文書は使用開始前までにFDAへ実際に提出が必要です
• 2003年ガイダンスの裁量的執行は免除を意味しません。§11.10(d)(f)(g)は当初から執行対象で、バリデーションの進め方は2026年2月改訂のCSAガイダンス（現行版）が示しています
• QMSR施行後もPart 11は存続します。日本のQMS省令第9条第2項・第8条第2項第7号・第5条の6と対応づけ、一度のバリデーションで両方を満たす設計が効率的です。適合はシステム機能・運用手順・バリデーション記録の3点で成立し、eQMS選定時は本記事の7項目でベンダーに確認してください