研究から事務に送るのは図2の要件によると「社外の共同研究者と共有するために承認を受けた新薬ファイル」なんだから、
「研究から事務にファイルを出そうとする操作があった時に、そのファイルが承認したファイルであるかを承認権者に確認してもらう」っていう発想は自然だと思うけど