ISO 14971リスクマネジメントをQMSに組み込む——ISO 13485対応審査で指摘を受けない文書・プロセス設計

※本記事には広告・アフィリエイトリンクを含みます。

リスクマネジメントファイルは、ある。でも審査員が手を止めた。

「この設計変更、リスク評価はどこで確認できますか？」

そう聞かれた瞬間、担当者が固まった。ファイルも評価記録もあった。ただ、QMSの変更管理手順と「つながっていなかった」。

これは担当者の知識不足ではない。ISO 14971とISO 13485が別の文書体系として並走してしまう、仕組みの問題だ。

よくある失敗——「ファイルはあるのに指摘を受ける」
なぜその問題が起きるのか
放置すると何が起きるか
改善するための判断基準
今日できる改善手順
おすすめの次アクション
よくある質問
ツール紹介

よくある失敗——「ファイルはあるのに指摘を受ける」

ハザード一覧が設計変更に追従していない

製品ライフサイクルが進むにつれて、新しいハザードや使用シナリオが生まれる。でも更新のトリガーが手順書に定義されていないから、「次の審査前にまとめて」という運用になる。その間に設計が動いていても、ファイルは静止したままだ。

リスク評価の記録とSOPが別の世界にある

手順書には「リスク評価を実施すること」と書いてある。でもどの様式を使うか、誰が承認するか、結果をどこに残すかが明記されていない。現場判断で書いた記録は審査員から「プロセスが見えない」と言われる。

残留リスクの受け入れ根拠が一行で終わっている

「リスクレベルはL（低）なので許容」だけでは、審査で確認が入りやすい。なぜ許容できるのか——ベネフィットとの比較、使用目的との整合、業界での知見——そのロジックが文書から読み取れないケースが多い。

なぜその問題が起きるのか

根本には、ISO 14971とISO 13485の「接続点」が整理されていないことがある。

ISO 14971はリスクマネジメントの「プロセス」を要求する。ISO 13485はQMS全体の「仕組み」を要求する。この2つを別々に準備すると、文書は存在するのに運用と連動しない状態になる。

変更管理・設計開発・苦情処理・是正処置（CAPA）といったQMSプロセスの各所に、リスク評価のインプットとアウトプットが必要だ。それが手順書に組み込まれていないと、記録が生まれず、審査員はプロセスを追えない。

「リスクマネジメントは品質部門だけの仕事」という縦割り認識も分断をつくる。設計・製造・サービス各部門がリスク情報を共有し、文書に反映するフローがなければ、担当者が変わった瞬間に仕組みは止まる。[属人化の構造的リスクについてはこちらも参照してほしい。](/medical-device-maintenance-depersonalization/)

放置すると何が起きるか

審査で観察事項や不適合が出ると、是正措置の工数が一気に増える。再審査の調整、文書の修正、エビデンスの収集——それだけで数週間が飛ぶこともある。

製品ライフサイクルが長くなると影響はさらに広がる。リスク評価が設計変更に追従していなければ、市場に出てから問題が顕在化するリスクが高まると考えられる。苦情やクレームが来てから「そのリスクは評価済みか」を確認する作業は、現場に相当な負荷をかける。

担当者が変わったときに文書体系が属人化していると、引き継ぎで初めて「つながっていない」ことに気づく。それが次の審査サイクルの直前だと、状況はさらに厳しくなる。

改善するための判断基準

現状を3つの軸で確認する。

① リスク評価の更新タイミングが手順書に定義されているか

変更管理・苦情処理・CAPA手順のどこかで「リスク評価の実施要否を判断するステップ」が明記されているかを確認する。なければ、そこが最初の追記ポイントだ。

② 残留リスクの受け入れ根拠が言語化されているか

「この判断根拠はどこにあるか」を審査員に問われたとき、文書を指差せるか。リスク受け入れの根拠は、製品ごと・用途ごとに記録として残しておく必要があると考えられる。

③ QMSプロセスとリスクファイルの連携が確認できるか

CAPA・変更管理・設計審査の手順書に、リスクマネジメントファイルへの参照が含まれているか。「関連文書」の欄に記載するだけでも、つながりの証拠になる。

今日できる改善手順

Step 1：文書連携マップを1枚作る

QMSプロセスの一覧（手順書リスト）と、ISO 14971で要求される活動の対照表を作る。どのプロセスでリスク評価が必要か、その記録はどこに残すかをA4一枚の表にまとめる。これが全体設計の起点になる。

Step 2：手順書に「リスク評価の判断フロー」を追記する

変更管理手順を例に取ると、変更の影響評価フローの中に「リスクマネジメントへのインパクトを確認する」という判断ステップを一行入れる。それだけで、評価の実施記録が自然に生まれるようになる。

Step 3：残留リスクの受け入れ欄を様式に組み込む

リスク評価様式に「ベネフィットとの比較」「使用目的との整合」「受け入れ判断の根拠」を記載する欄を設ける。記録が標準化されると、誰が書いても同じ水準の文書になり、審査員に説明しやすくなる。

よくある質問

ISO 14971とISO 13485、どちらの要求が「上位」になりますか？

どちらかが上位という関係ではないと一般的に考えられる。ISO 13485がQMSの枠組みを要求し、その中にISO 14971に基づくリスクマネジメントプロセスを組み込む構造として整理されることが多い。ただし具体的な解釈は審査機関や製品の規制クラスによって異なるため、QMS責任者や薬事担当者への確認が必要だ。

リスクマネジメントファイルはどのタイミングで更新すればよいですか？

「定期更新」より「トリガー更新」の考え方が実務上は機能しやすい。設計変更・苦情受付・CAPA起票・市場情報の収集などのイベントをトリガーとして、その都度評価の要否を確認するフローを手順書に組み込む方法が考えられる。更新頻度の判断基準は製品リスクや組織状況によって異なるため、QMS責任者が設定する。

小規模な組織でもISO 14971への対応は必要ですか？

医療機器の製造販売業・製造業として規制下にある場合、組織規模にかかわらずリスクマネジメントの要求は適用されると一般的に考えられる。適用範囲や要求の解釈は製品クラスや規制当局の判断によるため、薬事・品質担当者への確認が前提だ。

審査員から「ハザードの網羅性」を問われたとき、どう説明すればよいですか？

ハザード特定のプロセスを示すことが有効と考えられる。使用目的・使用環境・予見可能な誤使用から系統的にハザードを導いた根拠と、その過程の記録を文書として追えるようにしておくと、説明の根拠として機能しやすい。「どこからリストを作ったか」を示せる状態が重要だ。

ツール紹介

クラウド型QMS・リスク管理ツール

ExcelやWordで管理している場合、変更履歴の追跡や文書間の連携確認に手間がかかる。クラウド型の品質管理ツールを使うと、リスク評価様式の版管理やSOPとの関連づけを一元管理しやすくなる。Greenlight Guru（医療機器QMS特化）やMasterControl・QT9 QMSなど、ISO 13485・14971の要求構造を念頭に設計されたツールが複数存在する。無料トライアルを活用して、現状の文書フローと相性を確認するのが現実的な入り口になる。

リスク管理・QMS実務の参考書籍

ISO 14971の解説書は、規格本文と並行して参照すると理解が深まる。医療機器のリスクマネジメントやISO 13485対応の実務解説書は国内外で出版されており、Amazonでも入手できる。規格の要求を実際の手順に落とし込む際の参考として、現場での読み合わせにも使いやすい。文書設計を担う品質担当者やQMS責任者の手元に一冊あると、議論の共通言語になる。