治験関連文書を電磁的記録として扱う際に確認すべきシステムチェックリスト

確認内容に対する回答者は以下に色分けに従ってください
青色：利用者（医療機関）
黄色：運用管理団体（医療機関、運用ベンダー、医師会等）
緑色：ソリューションベンダー（基本システム構築ベンダ等）
番号

2023年8月3日

確認内容

チェック項目メモ欄（協議事項を記載する）
主な確認資料及びその版数/制定日
1．治験手続きの電磁化に係る標準業務手順書（第1版）
２．治験手続きの電磁化に係る業務マ
ニュアル（第1版）
３．

1 電磁的記録利用システムの名称

2 電磁的記録利用システムの区分

3 使用目的名称（Veeva SiteVault
システム区分●クラウド○オンプレミス○その他（

ここでのクラウドとは「ASP」、「SaaS」などインターネット回線を利用して遠隔からソフトウェアを利用させるサービスとする。

）●ベンダーのセキュリティポリシー/手順を使用している
電磁的記録利用システム全般のセキュリティ体 ○院内のセキュリティポリシー/手順を使用している∟○ベンダーのひな形から作成している制4○独自作成（Audit等で詳細確認必要）(クラウドシステムの場合、業務委託内容によっ○ その他（）てはソリューションベンダーが記載）○セキュリティポリシー/手順を持っていない（利用不可）

追加 クライアント環境のセキュリティ

・同じ確認資料を複数回利用する場合は本メモ欄に記載
し、各項目には番号の記載ののみでよい

・他のシステムをベースにしている場合はそのシステム名を記載する））■治験関連文書授受■治験関連文書保存□その他（備考●下記対応がなされていることを確認している∟■ウィルス対策ソフトがインストールされている∟□定期スキャンが行われている∟□インストールに関する制限が加えられている○確認していない（是正措置はメモ欄）

マイクロソフト株式会社のセキュリティポリ・サービス提供を受けるだけであればベンダーから別途提シーに準じる。
供されるセキュリティポリシー/手順に記載されていれば問題ない。
・ベンダー製品をカスタマイズした場合は利用側でもセキュリティポリシー/手順を作成する必要がある。その際ベンダーよりカスタマイズに対応したひな型を入手する必要がある。ベンダーはひな形等を提供できる体制を整えておく必要がある。
利用者毎のセキュリティポリシーに準じる。
・ウイルス対策ソフトについては最新のパターンファイルがインストールされている方が望ましい

治験関連文書を電磁的記録として扱う際に確認すべきシステムチェックリスト

番号

確認内容

チェック項目●適合していることを確認している5

クラウドサービスを利用の場合「クラウドセキュリティガイドライン」に適合しているか○確認していない（是正措置はメモ欄）

6 利用時の電磁的記録利用システムのバージョン

こちらのページにて利用期間に応じてバージョンをご確認ください。
https://sites.veevavault.help/gr/release-notes/svf-current-release/

7 使用期間

利用開始日2023年8月1日－利用終了日 年 月 日

9 直近の大きなバージョンアップ時の変更内容

こちらのページにて利用期間に応じて直近の変更内容をご確認ください。
https://sites.veevavault.help/gr/release-notes/svf-current-release/

バリデーション維持に必要な文書の作成及び変更の管理●確認可能∟○構成管理台帳による管理∟●台帳はないがすべての文書は保管している（要確認）○確認不可能（是正措置はメモ欄、作成後確認が必要）∟○ベンダーのひな形で作成予定∟○ベンダーがひな形を持っていないので作成できない（利用不可）∟○ベンダーのひな形はないが医療機関（もしくは運用団体）独自で作成予電磁的記録利用システム導入時及び上記電磁定的記録利用システム変更が生じた場合のコンピュータ・電磁的記録利用システム・バリデーショ
10ンの実施状況、又は、確認状況は確認可能か 変更管理手順書について(クラウドシステムの場合、業務委託内容によっ ●確認可能∟○ベンダーのひな形から変更管理手順書を作成てはソリューションベンダーが記載）∟○医療機関（もしくは運用団体）が自ら変更管理手順書を作成○確認不可能（是正措置はメモ欄、作成後確認が必要）∟○ベンダーのひな形で作成予定∟○ベンダーがひな形を持っていないので作成できない（利用不可）∟○ベンダーのひな形はないが医療機関（もしくは運用団体）独自で作成予定

メモ欄（協議事項を記載する）（確認資料：）（版番号：）（施行日：）（確認資料：）（版番号：）（施行日：）（確認資料：（確認資料：）（版番号：）（施行日：）

備考

・サービス利用側が情報漏えいについてのリスクが低い（扱う情報の機密度が低い、クローズドシステム等で外部からの侵入リスクが低い等）と考える場合は適合を確認しないでもよい・確認した際のバージョンを記録しておくため（問題があった場合該当するバージョンであるかを後から確認するため）利用終了日は現在も使用中であれば空欄で可・メジャーアップデート、緊急アップデート等の機能追加、機能連携、大規模障害対応があれば記載する（変更対応が適切に行われているかを確認する目的）（確認資料：）（版番号：）（施行日：）
変更管理手順書について
Veeva SiteVaultのヘルプページ参照
https://sites.veevavault.help/gr/resource・システム構築時に適切な資料を作成したかは構成管理台
s/audit/帳である程度把握できるので確認対象とした。
構成管理台帳：バリデーション上重要な文書について変更
時、どの版が最新であるかを示した文書

治験関連文書を電磁的記録として扱う際に確認すべきシステムチェックリスト番号

確認内容

11 業務委受託契約内容

バリデーションの手順により電磁的記録利用シ
ステムはコンピュータ・システム・バリデーション
12
によりシステムの信頼性が確保されているか(クラウドによるサービス利用だけの場合ベンダーが記載）

チェック項目メモ欄（協議事項を記載する）

備考（確認資料：）

電磁的記録利用システム構築〇委託している（委託会社名；●委託していない）

電磁的記録利用システム運用〇委託している（委託会社名；●委託していない）

ヘルプデスク
○委託している（委託会社名；●委託していない）

アカウント管理○委託している（委託会社名；●委託していない）

トレーニング○委託している（委託会社名；●委託していない）●治験関連文書等の情報の設定内容に関するバリデーションの手順書が作成されている○作成されていない（是正措置はメモ欄）（確認資料：2）（版番号：）（施行日：）

・利用側が要求事項に基づいた機能があり、期待される結果が出ていることを確認する一連のバリデーションの手順が記載されていること
・利用側がサービスのみ利用する場合はベンダーが上記手順に基づきバリデーションを行っていることをオーディットで確認する。

治験関連文書を電磁的記録として扱う際に確認すべきシステムチェックリスト

番号

確認内容

チェック項目●電磁的記録利用システム仕様書等、施設の正式文書に手段の記載あり
端末・サーバ間通信の暗号化：∟□ SSL（セキュア・ソケット・レイヤー）∟□ VPN（仮想プライベートネットワーク ）∟■ その他（ SiteVaultの全てのデータ：TLS encryption；全てのデータのうち個人データ： AES 128-bit encryption）
TLS: Transport Layer Security
AES: Advanced Encryption Standard
電磁的記録利用システムのセキュリティを保持13するための手段が確保されていること

メモ欄（協議事項を記載する）（確認資料：2）（版番号：）（施行日：）

本人認証：∟■ ID/パスワード∟□ ワンタイムパスワード∟□ バイオメトリクス認証（指紋、網膜、静脈）∟□ その他（）○ 手段の記載なし（是正措置はメモ欄、クラウドは利用不可）（確認資料：）● SOP等、施設の正式文書にセキュリティ保持に関するポリシー、ガイダンス （版番号：の規則あり）∟○ベンダーの協力もしくはコンサルタントによりポリシー、ガイダンス等の （施行日：規則を作成）∟●医療機関（もしくは運用団体）が自らポリシー、ガイダンス等の規則を作成○ 規則なし（是正措置はメモ欄、作成後確認が必要）∟○ベンダーのひな形で作成予定∟○ベンダーがひな形を持っていないので作成できない（利用不可）∟○ベンダーのひな形はないが医療機関（もしくは運用団体）独自で作成予定

備考・業務委託を行っている場合はベンダーへの問い合わせでも可・クラウドの場合は申請性・機密性確保の為に必須としたが利用者が許容できる場合はこの限りではない

治験関連文書を電磁的記録として扱う際に確認すべきシステムチェックリスト

番号

確認内容

チェック項目メモ欄（協議事項を記載する）（確認資料：○ ユーザーの登録申請からID/パスワードの交付、ユーザーの確認、登録した ）（版番号：ユーザーの削除のための手順あり）∟○ベンダーのひな形から手順書を作成している（施行日：∟〇医療機関（もしくは運用団体）が自ら手順書を作成している）● 手順なし（是正措置はメモ欄、作成後確認が必要）∟○ベンダーのひな形で作成予定∟○ベンダーがひな形を持っていないので作成できない（利用不可）∟●ベンダーのひな形はないが医療機関（もしくは運用団体）独自で作成予電磁的記録利用システムのセキュリティを保持するための規則、手順が文書化されており適切 定
14 に実施されていること（確認資料：(クラウドシステムの場合、業務委託内容によっ● ユーザーによるID/パスワードの使用に関する手順あり）てはソリューションベンダーが記載）∟●ベンダーのひな形から手順書を作成している（版番号：∟○医療機関（もしくは運用団体）が自ら手順書を作成している）（施行日：○ 手順なし（是正措置はメモ欄、作成後確認が必要））∟○ベンダーのひな形で作成予定∟○ベンダーがひな形を持っていないので作成できない（利用不可）∟○ベンダーのひな形はないが医療機関（もしくは運用団体）独自で作成予定●セキュリティに関するユーザーの教育訓練手順あり∟〇ベンダーのひな形から手順書を作成している∟●医療機関（もしくは運用団体）が自ら手順書を作成している○ 手順なし（是正措置はメモ欄、作成後確認が必要）∟○ベンダーのひな形で作成可能∟○ベンダーがひな形を持っていないので作成できない（利用不可）∟○ベンダーのひな形はないが医療機関（もしくは運用団体）独自で作成予定○その他セキュリティに関する手順あり∟手順書名（○ 手順なし（是正措置はメモ欄））（確認資料：）（版番号：）（施行日：）（確認資料：）（版番号：）（施行日：）

備考

治験関連文書を電磁的記録として扱う際に確認すべきシステムチェックリスト

番号

確認内容

チェック項目メモ欄（協議事項を記載する）

備考（確認資料：）●電磁的記録利用システムアクセス権限者リストによる管理が実施されている （版番号：）
実施中：
（施行日：
□紙面で管理）□電磁的記録利用システムにおいて電子的に管理
電磁的記録利用システムアクセス権限者リスト■その他の電磁的記録で管理（データの入力・修正を行う権限を与えられた者
終了後（調査時に提示すること）
15 の名簿）による管理が実施されているか□紙面で管理(クラウドシステムの場合、業務委託内容によっ□電磁的記録利用システムにおいて電子的に管理てはソリューションベンダーが記載）■その他の電磁的記録で管理○実施されていない（是正措置はメモ欄）

作成・変更等に係る監査証跡が記録されるか16 (クラウドシステムの場合、業務委託内容によってはソリューションベンダーが記載）●作成・変更に係る以下の監査証跡が記録可能か記録可能な場合以下のそれぞれの要件は可能か？
∟■監査証跡の自動作成∟■コンピュータが自動的に刻印するタイムスタンプが付与されている∟■保存情報の作成者が明確に識別できること∟□他の電磁的記録利用システムからローディングされたデータの責任所
在が明確であること∟■保存情報の変更者が明確に識別できること∟■変更前の情報が消去されない∟■監査証跡の閲覧（依頼者）∟■監査証跡の閲覧（医療機関）※不可の項目については、メモ欄にその状況を説明すること（確認資料：2）（版番号：）（施行日：）○監査証跡が記録されない（利用不可）（確認資料：）（版番号：○保存情報の修正に関する手順および手順上で発生する書類がある）∟○ベンダーのひな形から手順書を作成し発生する書類を管理している（施行日：∟○医療機関（もしくは運用団体）が自ら手順書を作成し発生する書類を管 ）理している
システム上に監査証跡を全て記録してい保存情報の真正性を確保するための手順があ ●手順および書類なし（是正措置はメモ欄、作成後確認が必要）
る∟○ベンダーのひな形で手順書の作成及び書類の保管予定
るか∟●ベンダーがひな形を持っていないので作成できない（利用不可）(クラウドによるサービス利用だけの場合運用管∟○ベンダーのひな形はないが医療機関（もしくは運用団体）独自で作成理団体もしくはソリューションベンダーが記載）
及び書類の保管予定
17

・表示形式についてはどのように表示されるのか例示できる
こと

治験関連文書を電磁的記録として扱う際に確認すべきシステムチェックリスト

番号

確認内容

チェック項目メモ欄（協議事項を記載する）

備考（確認資料：）○監査証跡の閲覧のための手順および手順上で発生する書類がある（版番号：∟□ベンダーのひな形から手順書を作成し発生する書類を管理している∟□医療機関（もしくは運用団体）が自ら手順書を作成し発生する書類を管 ）（施行日：理している）●手順および書類なし（是正措置はメモ欄、作成後確認が必要）
システム上に監査証跡を全て記録してい∟○ベンダーのひな形で手順書の作成及び書類の保管予定
る∟●ベンダーがひな形を持っていないので作成できない（利用不可）∟○ベンダーのひな形はないが医療機関（もしくは運用団体）独自で作成及び書類の保管予定（確認資料：●データのバックアップ及びリカバリーの手順およびバックアップの状況確認記 ）
録がある
（版番号：
∟■ベンダーのひな形から手順書を作成し発生する書類を管理している）∟□医療機関（もしくは運用団体）が自ら手順書を作成し発生する書類を管 （施行日：バックアップ及びリカバリーに関する手順がある理している）
か18(クラウドによるサービス利用だけの場合運用管○手順および記録なし（是正措置はメモ欄、作成後確認が必要）
SiteVault Technical & Operational
理団体もしくはソリューションベンダーが記載）∟○ベンダーのひな形で手順書の作成及び確認記録の保管予定
Security Whitepaperに記載あり∟○ベンダーがひな形を持っていないので作成できない（利用不可）∟○ベンダーのひな形はないが医療機関（もしくは運用団体）独自で作成
及び確認記録の保管予定●見読性が確保されているか出力可能な形式：
電磁的記録の保存情報の見読性が確保されて ∟■ディスプレイ装置への表示∟■紙への印刷いるか19(クラウドシステムの場合運用管理団体もしくはソ ∟■電磁的記録媒体へのコピー∟□その他（）リューションベンダーが記載）（確認資料：2）（版番号：）（施行日：）○見読性が確保されていない（利用不可）●システム利用終了後の保存に関する手順がある∟■ベンダーのひな形から手順書を作成∟□医療機関（もしくは運用団体）が自ら手順書を作成

電磁的記録は保存すべき期間内における保存性の確保がなされているか20(クラウドシステムの場合、業務委託内容によっ（確認資料：）（版番号：）（施行日：）○手順がない（是正措置はメモ欄、作成後確認が必要）∟○ベンダーのひな形で作成予定
SiteVault Technical & Operational∟○ベンダーがひな形を持っていないので作成できない（利用不可）
Security Whitepaperに記載あり∟○ベンダーのひな形はないが医療機関（もしくは運用団体）独自で作成予定・治験毎にシステム外に出力する場合は手順は必須であるが、原則システムに保持する場合は、システム利用終了については状況が変わることがあるのでシステム構築時にはシステム運用手順書などにシステム廃棄時に作成するという文言の記載だけでもよい治験関連文書を電磁的記録として扱う際に確認すべきシステムチェックリスト

番号

確認内容

チェック項目場 、
委てはソリューションベンダーが記載）●実際の保存状況（監査証跡を含む）は適切か∟■監査証跡があるか∟■ファイル形式に汎用性があるか∟■保存媒体・形式長期間の保存対応が可能か∟■電磁的記録媒体（種類：）∟■紙媒体

メモ欄（協議事項を記載する）

備考（確認資料：）（版番号：）（施行日：）○保存が適切でない（是正措置はメモ欄）○電子署名に関するポリシー、ガイダンスが規定されている○規定されていない（利用不可）

21

電子署名の信頼性確保のための手順はあるか○本人認証利用のための手順があるか∟□個人の特定が可能であるか∟□再利用、再割り当てが行われないか○手順がない（是正措置はメモ欄）

電子署名に含まれる情報
23 (技術的な内容なのでソリューションベンダーが記載しても可）○以下の情報が明確に識別できる∟□署名者の氏名∟□署名が行われた日時∟□署名の意味（作成、確認、承認等）（確認資料：）（版番号：）（施行日：）（確認資料：）（版番号：）（施行日：）（確認資料：）（版番号：）（施行日：）

・電子署名を利用している場合は必須

・電子署名を利用している場合は必須

・電子署名を利用している場合は必須
・表示形式に関する説明（どのように表示されるのか例示）
できなくてはならない○識別できない（利用不可）（確認資料：「電磁的記録に付された電子署名は、不正使用 ●通常の方法では削除できないように対応する各々の電磁的記録とリンクして ）を防止するため、 通常の方法では削除・コピー いる（版番号：24等ができないように、対応する各々の電磁的記）○リンクできていない（利用不可）録とリンクしていること。」に対する説明（施行日：）

・電子署名を利用している場合は必須

治験関連文書を電磁的記録として扱う際に確認すべきシステムチェックリスト

番号確認内容チェック項目○下記の必要な事項に関する規定があるか∟□責任者（）
医薬品等の承認又は許可等並びに適合性認証∟□管理者（）機関の登録等に係る申請等に関する資料及び∟□組織（）
原資料について 電磁的記録及び電子署名を利∟□設備（）
用しようとする者は、 電磁的記録及び電子署名∟□教育訓練（）25 の利用のために必要な責任者、 管理者、組織、設備及び教育訓練に関する事項を規定している○規定がない（是正措置はメモ欄、作成後確認が必要）
か∟○ベンダーのひな形で作成予定(クラウドシステムの場合、業務委託内容によっ∟○ベンダーがひな形を持っていないので作成できない（利用不可）てはソリューションベンダーが記載）∟○ベンダーのひな形はないが医療機関（もしくは運用団体）独自で作成予定調査日/状況把握日：「電磁的記録利用システムの不具合及び運用手
電磁的記録利用システム（バージョン）：
26 順の不遵守（重大なもの）」及び「従前の適合性治験等の番号：調査において指摘された事項」
改善状況（他の治験等の評価への影響に関する検討状況も含む）：

メモ欄（協議事項を記載する）

備考（確認資料：）（版番号：）（施行日：）※電磁的記録を管理する者の教育訓練が該当。なお、使用する者の教育については、上記「セキュリティ確保に関する教育訓練」の項で記載する。

（確認資料：）（版番号：）（施行日：）※・治験等の実施中に発生した電磁的記録利用システム不具合及び運用手順の不遵守（重大なもの）
・従前の適合性調査において指摘された事項*データや監査証跡の欠落、個別の治験等の設定ミスによって生じたデータ収集エラー、盲検性や被験者の安全性等に影響が生じた事象、ユーザーIDの不正利用等の発生について記載。