治験関連文書を電磁的記録として扱う際に確認すべきシステムチェックリスト

第1.0版 2024年 4月 26日

確認内容に対する回答者は以下に色分けに従ってください
青色：利用者（医療機関）
黄色：運用管理団体（医療機関、運用ベンダー、医師会等）
緑色：ソリューションベンダー（基本システム構築ベンダ等）
番号

確認内容

チェック項目メモ欄（協議事項を記載する）
主な確認資料及びその版数/制定日
１．
２．
３．
４．
５．

1 電磁的記録利用システムの名称

名称（ Agatha

2 電磁的記録利用システムの区分

システム区分●クラウド○オンプレミス○その他（3 使用目的）

・同じ確認資料を複数回利用する場合は本メモ欄に記載し、各項目には番号の記載ののみでよい

・他のシステムをベースにしている場合はそのシステム名を記載する
ここでのクラウドとは「ASP」、「SaaS」などインターネット回線を利用して遠隔からソフトウェアを利用させるサービスとする。

）■治験関連文書授受■治験関連文書保存□その他（）●ベンダーのセキュリティポリシー/手順を使用している○院内のセキュリティポリシー/手順を使用している
電磁的記録利用システム全般のセキュリティ体制∟○ベンダーのひな形から作成している4 (クラウドシステムの場合、業務委託内容によっては○独自作成（Audit等で詳細確認必要）ソリューションベンダーが記載）○ その他（）○セキュリティポリシー/手順を持っていない（利用不可）

5 クライアント環境のセキュリティ

備考

・サービス提供を受けるだけであればベンダーから別途提供されるセキュリティポリシー/手順に記載されていれば問題ない。
・ベンダー製品をカスタマイズした場合は利用側でもセキュリティポリシー/手順を作成する必要がある。その際ベンダーよりカスタマイズに対応したひな型を入手する必要がある。ベンダーはひな形等を提供できる体制を整えておく必要がある。

●下記対応がなされていることを確認している∟■ウィルス対策ソフトがインストールされている∟■定期スキャンが行われている∟■インストールに関する制限が加えられている・ウイルス対策ソフトについては最新のパターンファイルがインストールされている方が望ましい○確認していない（是正措置はメモ欄）①Amazon Web Service及びAgathaのWeb認証状況について（確認資料：セキュリティポリシー 2020年6月1日改訂）URL https://www.agathalife.com/security/

6②（確認資料：Agathaによる電磁的記録の信頼性確保について）（版番号 ：以下リンクにある添付 確認資料の最新版）
URL
https://support.agathalife.com/portal/api/kbArticles/91 ・サービス利用側が情報漏えいについてのリスクが低い（扱う情報の機
192000020688241/locale/ja/attachments/e7iks45c8498 密度が低い、クローズドシステム等で外部からの侵入リスクが低い等）
379824d1b82ccd07cb9069d35/content?portalId=edbsn3 と考える場合は適合を確認しないでもよい
3c7fbfdb9876f89cbcbfc51a5ca0295db1d3f1a1e1322d7e2
e5dd3cf7620a3d&inline=true●適合していることを確認しているクラウドサービスを利用の場合「クラウドセキュリティガイドライン」に適合しているか〇確認していない（是正措置はメモ欄）③Amazon Web ServiceのInfrastructure説明（確認資料：Amazon Web Services: Overview of Security
Processes 2020年3月更新）
URL
https://d0.awsstatic.com/whitepapers/aws-securitywhitepaper.pdf

7 利用時の電磁的記録利用システムのバージョン

バージョン（ Agatha v4.3

8 使用期間

利用開始日2022年12月1日－利用終了日 年 月 日

9 直近の大きなバージョンアップ時の変更内容

変更内容（タスク画面改善、設定項目の追加、タスクの再割り当て等）（確認資料：AGT-REL-R4.3.0-Release Notes ）（版番号：2.0）（施行日：2022年11月14日））

・確認した際のバージョンを記録しておくため（問題があった場合該当するバージョンであるかを後から確認するため）（確認資料：臨床研究センタークラウド型文書管理システ
ム「Agatha」導入に係る業務委託について・当該機関でのシステムの利用開始日を記載してください。利用終了日【契約番号：B-0635 アガサ（株）】）
は現在も使用中であれば空欄で可（確認資料：AGT-REL-R4.3.0-Release Notes ）（版番号：2.0）（施行日：2022年11月14日）

バリデーション維持に必要な文書の作成及び変更の管理●確認可能∟●構成管理台帳による管理∟○台帳はないがすべての文書は保管している（要確認）○確認不可能（是正措置はメモ欄、作成後確認が必要）∟○ベンダーのひな形で作成予定
電磁的記録利用システム導入時及び上記電磁的記∟○ベンダーがひな形を持っていないので作成できない（利用不可）
録利用システム変更が生じた場合のコンピュータ・∟○ベンダーのひな形はないが医療機関（もしくは運用団体）独自で作成予定
電磁的記録利用システム・バリデーションの実施状
10況、又は、確認状況は確認可能か
変更管理手順書について(クラウドシステムの場合、業務委託内容によっては ●確認可能
ソリューションベンダーが記載）∟●ベンダーのひな形から変更管理手順書を作成∟○医療機関（もしくは運用団体）が自ら変更管理手順書を作成

・メジャーアップデート、緊急アップデート等の機能追加、機能連携、大規模障害対応があれば記載する（変更対応が適切に行われているかを確認する目的）（確認資料AGT-VAL-CC-R4.3.0-CC Form）（版番号：1.0）（施行日：2022年10月7日）

・システム構築時に適切な資料を作成したかは構成管理台帳である程度把握できるので確認対象とした。
構成管理台帳：バリデーション上重要な文書について変更時、どの版が最新であるかを示した文書○確認不可能（是正措置はメモ欄、作成後確認が必要）∟○ベンダーのひな形で作成予定∟○ベンダーがひな形を持っていないので作成できない（利用不可）∟○ベンダーのひな形はないが医療機関（もしくは運用団体）独自で作成予定（確認資料：臨床研究センタークラウド型文書管理システ
ム「Agatha」導入に係る業務委託について【契約番号：B-0635 アガサ（株）】）

電磁的記録利用システム構築●委託している（委託会社名；Agatha株式会社）○委託していない
電磁的記録利用システム運用●委託している（委託会社名；Agatha株式会社）○委託していない11 業務委受託契約内容

ヘルプデスク
●委託している（委託会社名；Agatha株式会社）○委託していない
アカウント管理○委託している（委託会社名；●委託していない
トレーニング●委託している（委託会社名；Agatha株式会社）○委託していない）

バリデーションの手順により電磁的記録利用システ ●治験関連文書等の情報の設定内容に関するバリデーションの手順書が作成されていムはコンピュータ・システム・バリデーションによりシ る
12
ステムの信頼性が確保されているか(クラウドによるサービス利用だけの場合ベンダーが ○作成されていない（是正措置はメモ欄）記載）●電磁的記録利用システム仕様書等、施設の正式文書に手段の記載あり
端末・サーバ間通信の暗号化：∟■ SSL（セキュア・ソケット・レイヤー）∟■ VPN（仮想プライベートネットワーク ）∟□ その他（）
電磁的記録利用システムのセキュリティを保持する 本人認証：
13
ための手段が確保されていること∟■ ID/パスワード∟□ ワンタイムパスワード∟□ バイオメトリクス認証（指紋、網膜、静脈）∟□ その他（）（確認資料：AGT-SOP-2001- Computerized SystemValidation ）（版番号：4.0）（施行日：2021年9月13日）（確認資料：AGT-SOP-0003 - Security Plan）（版番号：3.0）（施行日：2021年5月31日）

・業務委託を行っている場合はベンダーへの問い合わせでも可・クラウドの場合は申請性・機密性確保の為に必須としたが利用者が許容できる場合はこの限りではない○ 手段の記載なし（是正措置はメモ欄、クラウドは利用不可）（確認資料：AGT-SOP-0003 - Security Plan）● SOP等、施設の正式文書にセキュリティ保持に関するポリシー、ガイダンスの規則あり （版番号：3.0）∟●ベンダーの協力もしくはコンサルタントによりポリシー、ガイダンス等の規則を作成 （施行日：2021年5月31日）∟○医療機関（もしくは運用団体）が自らポリシー、ガイダンス等の規則を作成○ 規則なし（是正措置はメモ欄、作成後確認が必要）∟○ベンダーのひな形で作成予定∟○ベンダーがひな形を持っていないので作成できない（利用不可）∟○ベンダーのひな形はないが医療機関（もしくは運用団体）独自で作成予定● ユーザーの登録申請からID/パスワードの交付、ユーザーの確認、登録したユーザーの削除のための手順あり∟●ベンダーのひな形から手順書を作成している∟○医療機関（もしくは運用団体）が自ら手順書を作成している（確認資料：AGT-SOP-0003 - Security Plan）（版番号：3.0）（施行日：2021年5月31日）○ 手順なし（是正措置はメモ欄、作成後確認が必要）∟○ベンダーのひな形で作成予定∟○ベンダーがひな形を持っていないので作成できない（利用不可）∟○ベンダーのひな形はないが医療機関（もしくは運用団体）独自で作成予定

電磁的記録利用システムのセキュリティを保持するための規則、手順が文書化されており適切に実施さ● ユーザーによるID/パスワードの使用に関する手順あり
14 れていること∟●ベンダーのひな形から手順書を作成している(クラウドシステムの場合、業務委託内容によっては∟○医療機関（もしくは運用団体）が自ら手順書を作成しているソリューションベンダーが記載）○ 手順なし（是正措置はメモ欄、作成後確認が必要）∟○ベンダーのひな形で作成予定∟○ベンダーがひな形を持っていないので作成できない（利用不可）∟○ベンダーのひな形はないが医療機関（もしくは運用団体）独自で作成予定

・利用側が要求事項に基づいた機能があり、期待される結果が出ていることを確認する一連のバリデーションの手順が記載されていること
・利用側がサービスのみ利用する場合はベンダーが上記手順に基づきバリデーションを行っていることをオーディットで確認する。

（確認資料：AGT-SOP-0003 - Security Plan）（版番号：3.0）（施行日：2021年5月31日）

治験関連文書を電磁的記録として扱う際に確認すべきシステムチェックリスト●セキュリティに関するユーザーの教育訓練手順あり∟●ベンダーのひな形から手順書を作成している∟○医療機関（もしくは運用団体）が自ら手順書を作成している

第1.0版 2024年 4月 26日（確認資料：AGT-ISM - Information SecurityManagement ）（版番号：2.0）（施行日：2022年3月1日）○ 手順なし（是正措置はメモ欄、作成後確認が必要）∟○ベンダーのひな形で作成可能∟○ベンダーがひな形を持っていないので作成できない（利用不可）∟○ベンダーのひな形はないが医療機関（もしくは運用団体）独自で作成予定●その他セキュリティに関する手順あり∟手順書名（AGT-SOP-0003 - Security Plan
○ 手順なし（是正措置はメモ欄））●電磁的記録利用システムアクセス権限者リストによる管理が実施されている実施中：□紙面で管理電磁的記録利用システムアクセス権限者リスト■電磁的記録利用システムにおいて電子的に管理（データの入力・修正を行う権限を与えられた者の名□その他の電磁的記録で管理15 簿）による管理が実施されているか終了後（調査時に提示すること）(クラウドシステムの場合、業務委託内容によっては□紙面で管理ソリューションベンダーが記載）■電磁的記録利用システムにおいて電子的に管理□その他の電磁的記録で管理（確認資料：AGT-SOP-0003 - Security Plan）（版番号：3.0）（施行日：2021年5月31日）（確認資料：PRISM 操作ガイド（ユーザー編））（版番号：バージョン4.3 ）（施行日： 2022年11月14日）○実施されていない（是正措置はメモ欄）●作成・変更に係る以下の監査証跡が記録可能か記録可能な場合以下のそれぞれの要件は可能か？
∟■監査証跡の自動作成∟■コンピュータが自動的に刻印するタイムスタンプが付与されている∟■保存情報の作成者が明確に識別できること∟■他の電磁的記録利用システムからローディングされたデータの責任所在が作成・変更等に係る監査証跡が記録されるか明確であること
16 (クラウドシステムの場合、業務委託内容によっては∟■保存情報の変更者が明確に識別できること
ソリューションベンダーが記載）∟■変更前の情報が消去されない∟■監査証跡の閲覧（依頼者）∟■監査証跡の閲覧（医療機関）※不可の項目については、メモ欄にその状況を説明すること（確認資料：PRISM 操作ガイド（ユーザー編））（版番号：バージョン4.3 ）（施行日： 2022年11月14日）

・表示形式についてはどのように表示されるのか例示できること○監査証跡が記録されない（利用不可）●保存情報の修正に関する手順および手順上で発生する書類がある∟●ベンダーのひな形から手順書を作成し発生する書類を管理している∟○医療機関（もしくは運用団体）が自ら手順書を作成し発生する書類を管理している○手順および書類なし（是正措置はメモ欄、作成後確認が必要）∟○ベンダーのひな形で手順書の作成及び書類の保管予定∟○ベンダーがひな形を持っていないので作成できない（利用不可）∟○ベンダーのひな形はないが医療機関（もしくは運用団体）独自で作成及び書類の保管予定
保存情報の真正性を確保するための手順があるか
17 (クラウドによるサービス利用だけの場合運用管理団体もしくはソリューションベンダーが記載）●監査証跡の閲覧のための手順および手順上で発生する書類がある∟■ベンダーのひな形から手順書を作成し発生する書類を管理している∟□医療機関（もしくは運用団体）が自ら手順書を作成し発生する書類を管理している（確認資料：PRISM 操作ガイド（ユーザー編））（版番号：バージョン4.3 ）（施行日： 2022年11月14日）（確認資料：PRISM 操作ガイド（ユーザー編））（版番号：バージョン4.3 ）（施行日： 2022年11月14日）○手順および書類なし（是正措置はメモ欄、作成後確認が必要）∟○ベンダーのひな形で手順書の作成及び書類の保管予定∟○ベンダーがひな形を持っていないので作成できない（利用不可）∟○ベンダーのひな形はないが医療機関（もしくは運用団体）独自で作成及び書類の保管予定●データのバックアップ及びリカバリーの手順およびバックアップの状況確認記録がある∟■ベンダーのひな形から手順書を作成し発生する書類を管理している∟□医療機関（もしくは運用団体）が自ら手順書を作成し発生する書類を管理している（確認資料：AGT-SOP-3001 - Backup）（版番号：6.0）（施行日：2021年9月20日）

バックアップ及びリカバリーに関する手順があるか
18 (クラウドによるサービス利用だけの場合運用管理団 ○手順および記録なし（是正措置はメモ欄、作成後確認が必要）
体もしくはソリューションベンダーが記載）∟○ベンダーのひな形で手順書の作成及び確認記録の保管予定∟○ベンダーがひな形を持っていないので作成できない（利用不可）∟○ベンダーのひな形はないが医療機関（もしくは運用団体）独自で作成
及び確認記録の保管予定●見読性が確保されているか出力可能な形式：
電磁的記録の保存情報の見読性が確保されている ∟■ディスプレイ装置への表示
か∟■紙への印刷19(クラウドシステムの場合運用管理団体もしくはソ∟■電磁的記録媒体へのコピーリューションベンダーが記載）∟□その他（）（確認資料：PRISM 操作ガイド（ユーザー編））（版番号：バージョン4.3 ）（施行日： 2022年11月14日）○見読性が確保されていない（利用不可）○システム利用終了後の保存に関する手順がある∟□ベンダーのひな形から手順書を作成∟□医療機関（もしくは運用団体）が自ら手順書を作成●手順がない（是正措置はメモ欄、作成後確認が必要）∟○ベンダーのひな形で作成予定∟○ベンダーがひな形を持っていないので作成できない（利用不可）
電磁的記録は保存すべき期間内における保存性の∟○ベンダーのひな形はないが医療機関（もしくは運用団体）独自で作成予定
確保がなされているか20(クラウドシステムの場合、業務委託内容によっては●実際の保存状況（監査証跡を含む）は適切かソリューションベンダーが記載）∟■監査証跡があるか∟■ファイル形式に汎用性があるか∟■保存媒体・形式長期間の保存対応が可能か∟■電磁的記録媒体（種類：Agathaクラウドサービス内に保存）∟□紙媒体

システム廃棄時に作成する。
（確認資料： N/A（版番号：N/A（施行日：N/A）））

・治験毎にシステム外に出力する場合は手順は必須であるが、原則システムに保持する場合は、システム利用終了については状況が変わることがあるのでシステム構築時にはシステム運用手順書などにシステ
ム廃棄時に作成するという文言の記載だけでもよい（確認資料：PRISM 操作ガイド（ユーザー編））（版番号：バージョン4.3 ）（施行日： 2022年11月14日）○保存が適切でない（是正措置はメモ欄）●電子署名に関するポリシー、ガイダンスが規定されている○規定されていない（利用不可）
21

電子署名の信頼性確保のための手順はあるか（確認資料：AGT-0005 Compliance on Electronic Recordand Electronic Signature Regulations）（版番号：4.0）
・電子署名を利用している場合は必須（施行日：2021年5月31日）○用いない（21-下の回答不要）●本人認証利用のための手順があるか∟■個人の特定が可能であるか∟■再利用、再割り当てが行われないか（確認資料：AGT-0005 Compliance on Electronic Recordand Electronic Signature Regulations）（版番号：4.0）
・電子署名を利用している場合は必須（施行日：2021年5月31日）○手順がない（是正措置はメモ欄）

電子署名に含まれる情報
22 (技術的な内容なのでソリューションベンダーが記載しても可）●以下の情報が明確に識別できる∟■署名者の氏名∟■署名が行われた日時∟■署名の意味（作成、確認、承認等）（確認資料：PRISM 操作ガイド（ユーザー編））（版番号：バージョン4.3 ）（施行日： 2022年11月14日）

・電子署名を利用している場合は必須
・表示形式に関する説明（どのように表示されるのか例示）できなくてはならない○識別できない（利用不可）「電磁的記録に付された電子署名は、不正使用を防●通常の方法では削除できないように対応する各々の電磁的記録とリンクしている止するため、 通常の方法では削除・コピー等ができ23ないように、対応する各々の電磁的記録とリンクして○リンクできていない（利用不可）いること。」に対する説明●下記の必要な事項に関する規定があるか∟■責任者（）
医薬品等の承認又は許可等並びに適合性認証機∟■管理者（）関の登録等に係る申請等に関する資料及び原資料∟■組織（）
について 電磁的記録及び電子署名を利用しようと∟□設備（）する者は、 電磁的記録及び電子署名の利用のため
24∟■教育訓練（）に必要な責任者、 管理者、組織、設備及び教育訓練に関する事項を規定しているか○規定がない（是正措置はメモ欄、作成後確認が必要）(クラウドシステムの場合、業務委託内容によっては∟○ベンダーのひな形で作成予定
ソリューションベンダーが記載）∟○ベンダーがひな形を持っていないので作成できない（利用不可）∟○ベンダーのひな形はないが医療機関（もしくは運用団体）独自で作成予定該当する不具合、不遵守、指摘はこれまでに発生しておりません。
「電磁的記録利用システムの不具合及び運用手順
調査日/状況把握日：
25 の不遵守（重大なもの）」及び「従前の適合性調査に電磁的記録利用システム（バージョン）：おいて指摘された事項」
治験等の番号：改善状況（他の治験等の評価への影響に関する検討状況も含む）：（確認資料：AGT-0005 Compliance on Electronic Recordand Electronic Signature Regulations）
・電子署名を利用している場合は必須（版番号：4.0）（施行日：2021年5月31日）（確認資料：久留米大学 治験手続きの電磁化における標準業務手順書）（版番号：1.0）（施行日：）※電磁的記録を管理する者の教育訓練が該当。なお、使用する者の教育については、上記「セキュリティ確保に関する教育訓練」の項で記載する。

（確認資料：（版番号：（施行日：N/AN/AN/A）））※・治験等の実施中に発生した電磁的記録利用システム不具合及び運用手順の不遵守（重大なもの）
・従前の適合性調査において指摘された事項*データや監査証跡の欠落、個別の治験等の設定ミスによって生じたデータ収集エラー、盲検性や被験者の安全性等に影響が生じた事象、ユーザーIDの不正利用等の発生について記載。