EDCを利用した治験講座 その3
<連載 全3回>
EDCを利用した臨床試験における信頼性調査対応講座 (第3回)
＊万が一文中に解釈の間違い等がありましても、当社では責任をとりかねます。
本文書の改訂は予告なく行われることがあります。
EDC調査チェックリストの考察（その２）
1. はじめに
今回も引き続き、「EDC調査チェックリスト（案）」に関する考察を行いたい。
また2010年2月4日、5日に開催されたDrug Information Association （DIA）主催による「第13回クリニカルデータマネジメント年会」において、医薬品医療機器総合機構（PMDA）信頼性保証部 調査役代理の山口 光峰氏が「EDCを利用した治験における信頼性調査」について講演を行った。
その講演の要旨についても報告する。
2.医療機関用
本チェックリストの医療機関用は、以下の2つの章からなる。
1)ユーザー管理について
2)データの保存
「電子症例報告書の作成、修正及び署名について」という調査項目が、治験依頼者用にあるが、本来は医療機関側になければならない。
なぜならば電子症例報告書の作成、修正や署名は医療機関側が実施するためである。
日本におけるGCP実地調査では、本来医療機関に責があるものであっても、治験依頼者がその責を負うことが多い。
そもそも日本におけるGCPの運用では、欧米とは異なり、医療機関に対する罰則等をもたない。
これは、GCPを遵守できないなど、不適切な医療機関を治験に利用すると、治験依頼者が損をすることになり、必然的にそのような医療機関が淘汰されるという考え方に基づくものである。
米国FDAなどは、治験責任医師等がプロトコール違反を犯した場合などに、ブラックリストに掲載するなど、一定のペナルティがある。
日本における、医療機関や治験責任医師等に対するペナルティの議論は、1996年にICH GCPが検討された時点から全く行われていない。
2.1 ユーザー管理について
医療機関用の1章は、ユーザ管理についての調査である。（図1参照）
| １ ユーザー管理について 1.1 IDを交付されたユーザーは治験依頼者による教育訓練を受講している。 □ 適 受講状況の確認： □ その他（ ）1.2 ユーザー認証が適切に運用されている。 □ 適 確認内容： □ その他（ ）1.3 電子症例報告書への入力が適切な者により行われている。 □ 適 □ その他（ ） |
図1 ユーザー管理について
2.1.1 治験依頼者用
治験依頼者による教育訓練は、通常プロトコール研究会等のスタートアップミーティングで実施することが多い。
またスタートアップミーティングに参加できなかった、治験責任医師等は、個別に担当モニターなどから教育を受けることになる。
多くの場合、治験依頼者側が教育訓練の記録を作成し、保存していると思われるが、医療機関側での調査に備えて、医療機関でもその記録を保存しておかなければならない。
ここで注意が必要なのは、教育と訓練は違うということである。
英語に翻訳してみればわかりやすい。教育は”education”であり、訓練は”training”である。
教育とは、受講者全員が同一のカリキュラム－すなわち教育用資料で受講することを指す。
一方、訓練は該当者の役職、理解度等に従って個別に指導または自主的に学習することを指す。
前者は治験依頼者の教育記録でまかなえるが、後者はモニタリング報告書等に記載しておかなければならない。
集合教育で実施すべき電子記録・電子署名に関する教育内容の例を図2に示す。
| １．基本方針 ・ EDCを利用し、症例報告書を電子記録で作成するにあたっては、米国FDA規則「21 CFR Part 11（Electronic Records; Electronic Signatures）」及び厚生労働省通知「医薬品等の申請等における電磁的記録および電子署名の利用について」を遵守しなければなりません。 ・ EDCを利用する者は、電子記録および電子署名に関する教育を受講し、その教育記録を残さなければなりません。 ・ 教育を受けない場合には、EDCを利用することができません。 ・ 電子記録や電子署名を改ざんしたり、捏造したりしてはなりません。 ・ 他人のIDを使ってログインしたり、他人にIDを貸してはいけません。 ・ 誰かの代わりに入力するなど、代替行為は禁止です。 ・ あらかじめ定められた場所、パソコンでEDCを利用してください。 ２．セキュリティについて ・ ログイン中は、離席してはなりません。離席する場合は、必ずログオフをしてください。 ・ EDCを利用するパソコン上にセキュリティを侵害するようなソフトウェア（WINNY、パスワード自動入力ツールなど）をインストールしてはいけません。 ３．監査証跡について ・ EDCシステムでは、データの作成、変更、削除の記録をシステムが自動的に記録します。 ・ 監査証跡には、正確な時刻がタイムスタンプとして記録されます。 ４．IDコードとパスワードの管理 ・ IDコードは各個人に独自のものです。施設（複数の入力者）で１つということはあり得ません。 ・ 初期パスワードのまま利用しないでください。EDC利用開始時に初期パスワードを変更してください。 ・ パスワードは、そのIDコードを利用する本人のみが知り得るものです。 ・ パスワードを共有したり、他人に教えたりしてはなりません。 ・ パスワードを記載した紙などをパソコンのそばに貼ったり、置いたりしてはいけません。 ・ パスワードは○文字以上です。 ・ パスワードは、英字だけでなく、数字や記号も織り交ぜて作成してください。 ・ パスワードは、大文字や小文字も織り交ぜて作成してください。 ・ パスワードは、個人情報から容易に類推できる文字列（家族の名前、誕生日、電話番号等）は使用しないでください。 ・ パスワードの有効期限は最長○日です。パスワードは、適宜変更してください。 ・ パスワードを他人に知られたと感じた場合には、パスワードをすみやかに変更してください。 ・ IDやパスワードが不正に使用されたと思われる場合は、すみやかにお知らせください。 ・ パスワードを調査することはないので、そのような問い合わせには答えないでください。 ・ パスワードを忘れた場合等は、当社担当者に連絡し、リセットしてもらってください。 ・ パスワードは、当社社員およびシステム管理者も知りえるものではありません。 ・ 可能な限り、他人に見えないようにパスワードを入力してください。 ・ パスワードの入力を連続して○回失敗した場合は、ログインできなくなります。その際には、当社社員にお知らせください。 ５．電子署名について ・ 電子署名とは、電子的に署名（捺印）を行うことです。 ・ 電子署名の下で行った行為は、手書き署名と同等の法的拘束力を有し、署名者本人が責任を負わなければなりません。 ・ 電子署名を行った場合、事後否認はできません。 ・ 電子署名を行う際には、署名毎にパスワードを入力しなければなりません。 ・ 電子署名実施中は、ログインしたまま離席してはなりません。 ・ 電子署名を他人に代行させてはなりません。絶対に他人にパスワードを教えないでください。 ・ 電子署名を行う際には、当該症例の監査証跡を確認しなければなりません。 |
図2 セキュリティ等に関する教育内容の例
2.1.2 ユーザー認証が適切に運用されている
教育訓練で特に必要な事項は、EDCシステムの操作ではなく、ユーザ認証などのセキュリティや電子署名の取り扱いである。
治験責任医師、治験分担医師、治験協力者（CRC）等は、教育訓練で学んだ通り、適切にユーザ認証を行わなければならない。
ユーザIDは、本人のものを使用しなければならない。けっして他人に使用させるようなことがあってはならない。
ユーザIDが医療機関で1つと勘違いした事例があると報告されたが、注意が必要である。
またパスワードはけっして口外してはならないし、紙やホワイトボードなどに記載しておいてはならない。
2.1.3 電子症例報告書への入力が適切な者により行われている
電子症例報告書は、適切な者が入力を行わなければならない。
ユーザアカウントを持たなかったり、権限を有しないなど、本来EDCを操作してはならない者に入力をさせてはならない。
代替入力行為は、なりすましと言い、最も電子記録の真正性を脅かす行為である。
また症例報告書が原本となる記載項目に関しては、CRCが入力を行ってはならない。
2.2 データの保存
医療機関用の2章は、データの保存についての調査である。（図3参照）
| ２ データの保存 2.1 電子症例報告書（写）の保存について □ 適 保存の状況（媒体等）： □ 電子症例報告書と監査証跡等が見読性を保持して保存されている。□ その他（ ） |
図3 データの保存
EDCを利用した治験では、多くの場合、電子症例報告書（写）は治験依頼者によってpdf化され、CD-R等に焼いて医療機関に提供される。
電子症例報告書は、症例報告書本体と監査証跡が揃ってはじめて完全といえる。
また電子署名の情報も不可欠である。
さらにpdf作成後にデータの修正が発生した場合には、DCF等による修正の記録が必要である。その場合、DCFは医療機関側においてもCD-Rと共に保存しておかなければならない。
見読性という言葉の定義について、よく理解されていないケースが多い。
そもそも電子記録は直接人の目では見えないものである。したがって、必要に応じてすみやかに電子記録を人が読める形式で出力しなければならない。必要に応じてとは、治験責任医師等が確認する際や、規制当局の調査がある場合になどである。
CD-Rのみを保存していたとしても、そのデータを読み出すためのしくみ－すなわちCD-Rドライブが装填されたパソコンと、そのデータを読み出すためのソフトウェア（Acrobat Reader）がそばにないといけない。
本チェックリストで、保存性に関する項目が無いことは不可思議である。
3. DIAにおける発表
2010年2月4日、5日に開催されたDrug Information Association (DIA)主催による「第13回クリニカルデータマネジメント年会」において、医薬品医療機器総合機構（PMDA）信頼性保証部 調査役代理の山口 光峰氏が「EDCを利
用した治験における信頼性調査」について講演を行った。
山口氏は「EDC調査チェックリスト」の作成に携わった方である。
本講演では、事前に提出された質問に対する回答を行う形式をとり、予定時間を大幅に延長したものであった。
以下にその講演要旨を記載する。
筆者は、メモをとっていなかったため、すべて記憶から書き起こしている。記憶違いや記載漏れがあったとしてもご容赦願いたい。
・EDCが非常に多く利用されているということで、PMDAでも関心を持ち、その対応を検討してきた。
・チェックリストは、なるべく早く公開することが望ましいという思いから、最初 昨年3月に公開し、10月に改訂したものを公開した。PMDAとしてはこれまでになく迅速に公開したつもりである。したがってまだ案のままである。
チェックリストは、諸外国の例も調査し作成した。
PMDAの調査担当者は、EDCに関して研究し、チェックリスト作成以前から同様の内容による質問を実施してきた。
製薬協の自主ガイダンスの作成は、PMDAも参画した。ただし私は当時は信頼性保証部ではなかったので参加はしていない。今回のチェックリスト作成においても参考にさせていただいた。
もちろんこの先、事例も増えてくるだろうから、正式なチェックリストの完成を目指している。
・書面調査はこれまでPMDAに資料を搬入いただいて実施してきたが、治験依頼者側を訪問し、調査するように変更してきた。
治験依頼者を訪問する目的は、PMDA側では確認できない原資料の調査である。
したがって原資料の保管されている場所に行くことになる。
グローバル治験の場合、PMDAは、海外に査察に行くことがある。ただし、これは外資系企業が日本でも治験を行った際に、海外に原資料等が存在する場合であって、海外に原資料等が無い場合は行かない。
・治験依頼者の調査は書面調査で行い、医療機関の調査はGCP実地調査で行っている。
・申請を行った後、書面調査は約半年後に行われる。
書面調査に先立って、調査の事前打合せを2カ月程度前（すなわち申請から4ヶ月後あたり）に実施する。
事前調査は、TV会議で行うことが慣例である。TV会議で行う意図は、画面に映らない範囲に多くの従業員の方が同席していただけるからである。
EDCを利用した治験の場合には、事前調査において十分なプレゼンテーションをお願いしている。
調査担当者は、事前のEDCに関するプレゼンテーションをヒアリングし、書面調査当日に何を調査するのかを決定する。
製薬会社ではITに長けた人（IS、DM等）がいるので、EDCについて説明をしてもらっている。非常に参考になっている。
バリデーションについては、事前調査で概要を訊ね、当日どんな記録を見るかを検討している。
・EDC調査においてどんな指摘をしたかをよく聞かれるが、3月のチェックリストと10月のものを比べていただければわかると思う。
・専用線やVPNなどの技術を使われている場合、PMDAの調査官がダメと言ったことはないと思う。
・生体認証は、まだ利用されていないが、今後の期待を込めてチェックリストに記載した。
・電子CRFの原本を複数複写するなどの行為によって、どれが最新であるかが不明になっているようでは困る。ちゃんと最新版を特定しておいていただきたい。
・電子CRFの原本は、EDCサーバ上の生きた（Liveの）ままの保存も認めるが、pdf化することが望ましい。
・EDCを必ず利用しなければならないわけではない。紙CRFも良い点があるから、治 験によってはこれまで通り紙CRFを利用していただいても良いと思う。
EDCを利用しながら紙に印刷し治験責任医師のサインをもらっているハイブリッド運用も過去に多くみられたが、効率化の観点から電子原本化を勧めてきた。
その甲斐もあって、最近ではペーパーレスにされる治験依頼者が増えてきていると思う。
・最終的に紙CRFにサインをもらったとしても、電子記録・電子署名を使用したのなら、当該EDCシステムは調査の対象となる。
・EDCシステムの開発等が遅れ、患者さんを待たせてしまうという事態はよろしくない。
・入力者のログは必ず調査している。本来入力してはならない人が入力していないかなどをチェックしている。
・調査担当者も大分EDCに慣れてきたので、監査証跡も必ず見ることにしている。
・EDCを利用している場合、治験責任医師にかなり多くの項目や詳細を質問している。
そんなことまで聞くのかと驚かれると思う。調査を受けた経験のある治験責任医師に聞いてみて欲しい。
ある治験責任医師に、ID、パスワードについて質問したところ、そんなことは知らないと言った人があった。
・バリデーションは、GCP 26条で記載されている事項であるので、必ず実施していただきたい。
DQという用語を使用しない方が良いという意見は承知している。
バリデーションでは、ベンダー、ASP、治験依頼者が分担し、あるいは重複し実施していると思う。バリデーションの記録は広く見るが、特に重要なのはUATである。
どの範囲をUATと呼ぶのかは不明確ではあるが、最終的な治験依頼者のテストは特に重要である。
PMDAから（EDCの）バリデーションに関するガイダンスを発行するつもりはない。
・システム査察については、何度も同じことを繰り返し調査しないで良いのではないかといったご意見もあることは承知している。しかしながらGCPの定めでは、品目毎に調査を行うことになっているため、現状では仕方がない。今後皆様の意見を聞きながら検討したい。
・基本的には、PMDAでは調査を簡素化したいと思っているので、今後なるべく効率化を行っていきたい。
・実はセキュリティについてどんな調査を行ったら良いかはまだよくわかっていない。
・バックアップは重要である。患者さんのデータを無駄にしないように、また試験のやり直しが起きないようにバックアップによりデータを保護しておいて欲しい。
バックアップをどのようなタイミングで行っているかを調査している。ASPが実施している場合、状況を確認しておいていただきたい。
リカバリーも重要である。万が一の場合、リカバリーが可能であることを事前に検証しておかなければならない。
これまでの調査では、リカバリーを実施したケースはなかった。
・医療機関側から、多くの治験依頼者が同じEDCを利用していて使用方法等が分かっているのに、毎回教育研修を受けなければならないのかといった、クレームがあることは承知している。
簡素化できることは、今後話し合いながら検討していけば良いと思う。
・特定のEDCについて認証制度を行ってはどうかという意見があるが、現状ではそのつもりはない。
また他社で使用したEDCを自社で同様の方法で利用した場合、調査を簡素化してもらえないかという意見があるが、そのつもりはない。
4. おわりに
3回にわたって、平成21年度GCP研修会要約と、EDC調査チェックリストの考察を行った。
本文で触れたようにEDC調査チェックリストは、まだ案の段階である。
現行のもので対応したからといって、十分ではない。
今後のチェックリストの改定を見守らなければならない。
また製薬企業にとっても、医療機関にとってもEDCシステムがもっともっと身近なものとなり、慣れてくることであろう。
このことは規制当局についても言える。今後のEDCシステムの調査において、効率的にポイントを絞ったものになるであろうと予想される。
これからEDCシステムを導入する企業にとっては、先人の轍を踏まないように、事例をよく研究してから治験を開始することが求められる
参考
1)「平成21年度 GCP研修会 講演要旨集」 平成21年10月19日 財団法人 日本薬剤師研修センター
2)13th Annual Workshop in Japan for CLINICAL DATA MANAGEMENT資料 2010.2.4 – 5
Comment