ソフトウェアは、監査証跡、ユーザー管理、電子バッチ記録を効果的に支えることができます。ただし、それによって自動的にGMP、FDA、あるいは21 CFR Part 11への適合が生まれるわけではありません。決定的なのは、リスクベースのシステム設計、バリデーション済みの機能、明確に定められた作業手順、教育を受けたユーザー、そして実際に生成されたデータの定期的な確認です。

監査証跡とは、電子記録の作成、変更、削除を再構成できる、安全でコンピュータが生成した、タイムスタンプ付きの記録です。これは、誰が、何を、いつ、そして必要な場合にはなぜ変更したかを追跡可能にすることを目的としています。したがって重要な機能は、重要なデータ変更の自動記録、明確なユーザーの紐づけ、タイムスタンプ、旧値と新値の表示、そして定められた重要データに対する変更理由の記録です。FDAは監査証跡を関連する記録の一部とみなしており、重要なデータの変更に関する監査証跡を、その記録の最終リリース前に記録本体と合わせて確認することを推奨しています。

監査証跡は、技術的に可能なユーザー操作のすべてを同じ詳細度で記録する必要は必ずしもありません。その範囲は、データの重要性、患者の安全、製品品質、不正操作のリスクに応じて定めるべきです。典型的に重要なのは、レシピ、目標値、バッチデータ、検査結果、ユーザー権限、リリース、アラーム設定に対する変更です。非常に量が多いが有効に確認できない監査証跡は、データ確認を改善するどころか困難にすることがあります。したがって、品質保証や関連部門が重要な変更、例外、逸脱を的確に評価できるフィルター機能、検索機能、レビュー機能が重要です。

しばしば「変更理由（Reason for Change）」と呼ばれる変更の説明は、重要な変更において有効、あるいは必須となることがあります。ソフトウェアは、この説明を変更と紐づけ、監査証跡の中に永続的に保存すべきです。その際、任意の自由記述を許可するだけでは不十分です。変更が追跡可能で、評価可能で、分析可能な状態を保つためには、構造化されたカテゴリー、必須入力項目、そして場合によっては追加のリリースが有効です。

「改ざん防止」という表現を、ハッシュ関数のような特定の技術と同一視すべきではありません。ハッシュに基づく完全性チェックは改ざんを検知可能にすることができますが、安全なシステムアーキテクチャの代わりにはなりません。決定的なのは、アクセス制御、管理者権限の分離、管理された変更、確実なバックアップ、記録、適切な保存、定期的な確認、そして追跡可能な復旧の組み合わせです。書き込み後にデータを変更できないWORM（ライトワンス・リードメニー）ストレージは、特定のアーカイブコンセプトにおいて有効な場合がありますが、監査証跡にとっての一般的な必須条件ではありません。

制御装置、実験機器、製造実行システム、その他のアプリケーションからのイベントを、時系列上で正しく評価できるようにするためには、統一されたタイムベースが重要です。製造実行システム（略称MES）とは、実際の生産管理、データ収集、バッチ文書のためのソフトウェアです。時刻同期は、例えばネットワークタイムプロトコル（略称NTP）を通じて行うことができます。これは監視される必要があります。時計にずれが生じたり、システムが一時的に接続されなくなったりする場合には、一度きりの技術的な設定だけでは不十分です。

ユーザー管理は、明確なユーザーアカウント、ロールベースの権限、最小権限の原則を実装すべきです。ロールベースのアクセス制御は、しばしばRBACと略されます。これは、ユーザー一人ひとりに多数の個別権限を与えるのではなく、オペレーター、保守担当者、品質保証、管理者といったロールに権限を割り当てることを意味します。最小権限の原則とは、一人ひとりが自分の業務に必要な権限のみを持つべきであるという原則です。共有ユーザーアカウントは、GMPに関連する業務には適していません。行為を明確に紐づけることができなくなるためです。

Active Directory、Lightweight Directory Access Protocol（略称LDAP）、あるいはシングルサインオン（略称SSO）といった中央のID管理サービスとの接続は、ユーザー管理を簡素化することができます。シングルサインオンは、中央で管理された一つのIDにより、複数のアプリケーションへのログインを可能にします。ただし、この統合によって、GMPに関連するアプリケーションのユーザー権限が管理されないまま継承されたり、削除が遅れたりしてはなりません。事業者は、ユーザーアカウントの作成、変更、定期的な確認、無効化のためのプロセスを必要とします。

多要素認証（略称MFA）は、例えばパスワードと時間ベースのコード、あるいはスマートカードといった、互いに独立した少なくとも2つの認証要素を組み合わせるものです。これは、特にリモートアクセス、管理業務、重要なリリースにおいて有効です。その実装は、実際の運用に適合していなければなりません。現場での操作が技術的に煩雑な方式は、望ましくない回避行動につながることがあります。したがって、安全なセッションタイムアウト、失敗試行後のロック、そして管理されたアクセスの復旧も重要です。

電子署名は、特定の個人に明確に紐づけられ、署名の日時とその意味（例えば検査、承認、リリース）を記録するものでなければなりません。常時開かれたセッションや、再度のユーザー確認を伴わない共有端末に基づくべきではありません。重要なステップでは、再認証や複数人による確認（四つ目の原則）が有効な場合があります。四つ目の原則とは、作成とリリースが異なる権限を持つ人物によって行われることを意味します。ソフトウェア上の職務分離（Segregation of Duties）機能は、不適切な自己承認を防ぐことができますが、適切なロール、プロセス、組織的な責任分担によって補完される必要があります。

電子バッチ記録は、しばしばElectronic Batch Record（略称EBR）と呼ばれます。これは、紙ベースの製造・検査文書を、案内付きのデジタルなワークフローによって置き換えたり補完したりすることができます。EBRは、それぞれ有効な製造指図、レシピ、バッチID、原料バッチ、目標値と実測値、プロセスフェーズ、オペレーターの操作、品質検査、逸脱、リリース、電子署名を、検査可能なバッチ履歴として統合すべきです。

ISA-88に沿った構造は、バッチプロセスをわかりやすく表現することができます。ISA-88はバッチ制御に関する規格であり、とりわけレシピ、プロセスフェーズ、オペレーション、設備モジュールを規定しています。このシステムは、定められた前提条件が満たされる前に後続のステップが開始されることを防ぐことができます。ただし、このロック機構は、プロセス上意味がある場合にのみ使用すべきです。硬直的に設定されたワークフローは、正当な例外において回避行動や不明瞭な副次的プロセスを招くことがあります。したがって逸脱に対しては、理由、評価、場合によっては品質保証によるリリース、そして監査証跡を伴う管理された例外手順を用意しておく必要があります。

制御装置、計量機、プロセス制御システム、ラボ情報システム、分析機器からのデータの自動取り込みは、手作業による転記ミスを減らします。ただし、これはインターフェースの検証の代わりにはなりません。それぞれの接続について、どの値が主たるデータソースであるか、タイムスタンプがどのように同期されるか、伝送エラーがどのように検知されるか、そしてデータの欠落や修正がどのように扱われるかを明確に定める必要があります。OPC Unified Architecture（略称OPC UA）、Message Queuing Telemetry Transport（略称MQTT）、そしてWebベースのインターフェースはデータを交換できますが、それ自体ではデータインテグリティも完全なバッチ文書も保証しません。

限界値に対するリアルタイムチェックは、逸脱を早期に可視化することができます。これは、警告、アラーム、プロセスロック、文書化された逸脱を明確に区別する必要があります。内部の警告値を超えたからといって、それが自動的にバッチの逸脱になるわけではなく、ソフトウェアの判断が専門的な評価の代わりになってはなりません。いわゆる「例外によるレビュー（Review by Exception）」は、逸脱、欠落したステップ、重要なアラームメッセージ、関連する監査証跡の項目に注意を向けることで、バッチ検査を効率化することができます。これが妥当であるのは、データ収集、例外検知、設定、レビュールール自体が想定された目的のために確実に構築され、バリデーションされている場合に限られます。

マスターバッチレコード（略称MBR）、レシピ、製造指図のバージョン管理は不可欠です。マスターバッチレコードとは、バッチの製造と文書化のために承認されたマスターテンプレートです。ソフトウェアは、新旧バージョン、変更理由、評価、リリース、そして発効日時を追跡可能な形で記録すべきです。すでに進行中の、あるいは完了したバッチは、その時点で有効であったバージョンと明確に紐づけられたままである必要があります。

データインテグリティには、しばしばALCOA+モデルが用いられます。ALCOAとは、attributable（帰属可能）、legible（判読可能）、contemporaneous（同時性）、original（原本性）、accurate（正確）の頭文字であり、データは帰属先が明確で、判読可能で、その場で記録され、原本または信頼できる写しとして存在し、正確でなければならないことを意味します。「+」は実務上、通常、完全（complete）、一貫性（consistent）、永続性（enduring）、可用性（available）を指します。FDAはデータインテグリティを、とりわけ完全性、一貫性、正確性として説明しており、データが帰属可能で、判読可能で、時宜を得て記録され、原本または信頼できる写しとして存在し、正確であることを求めています。

長期的なアーカイブには、PDFエクスポート以上のものが必要です。PDF/Aのような変更不可能な形式は、可読性のあるレポートとして有効なことがありますが、必要な電子的な生データ、メタデータ、監査証跡、検索機能の保存の代わりにはなりません。アーカイブ・移行のコンセプトは、定められた保存期間中、データが可読で、利用可能で、完全で、検証可能な状態を保つことを保証しなければなりません。具体的な期間は、それぞれ適用される製品・業界規則から定まるものであり、Part 11、GMP、あるいは使用するソフトウェアから一律に導き出せるものではありません。