品質リスク管理とは｜QMSに組み込む評価手順と判断基準

品質リスク管理（品質リスクマネジメント）は、品質不良が訴訟・リコール・行政対応・ブランド毀損へ波及し得ると分かっていても、社内の判断軸や手順が部門ごとにバラつき、GMP・ISO対応として仕組み化できていない場面で課題になりやすい領域です。放置すると、逸脱・変更・苦情の初動がその都度の経験則に寄り、根拠データと意思決定の経緯が追跡できず、監査や対外説明で不利益が生じやすくなります。たとえば、厚生労働省の安全衛生領域では1999年策定・2019年7月1日改正の経緯を踏まえPDCAで自主的活動を回す設計が示されており、品質領域でも運用設計の考え方として参照できます。以下では、品質リスク管理の判断材料として基本概念・評価手法・運用統合の要点を示します。

品質リスク管理の基本

品質リスク管理とは何か

品質リスク管理（品質リスクマネジメント）とは、製品ライフサイクル全体（開発、技術移転、製造、保管・流通、販売後対応、回収・販売中止を含みます）を対象に、品質へ好ましくない影響を及ぼす事象を洗い出し、発生可能性と影響（重症度）を根拠データに基づいて評価し、コントロール（管理策）の設計・実装・レビューまでを一貫して行う体系的プロセスです。

判断の前提は「科学的な事実とデータ」です。特に、後工程での検査や帳票整合だけで品質を保証できないタイプのリスク（汚染、混入、仕様逸脱の見逃し等）は、患者・消費者の健康被害、リコール、訴訟、行政対応、ブランド毀損に直結し得るため、評価の根拠と意思決定の経緯を追跡可能にしておく必要があります。

また、品質リスク管理は「作った書類」ではなく、意思決定のための共通言語として、日々の逸脱・変更・監査・マネジメントレビューに接続されて初めて機能します。継続的改善の運用モデルとしては、厚生労働省の安全衛生領域で示されているように、PDCAサイクルで自主的活動を継続的に回す設計が、品質領域でも実務的に参考になります（労働安全衛生マネジメントシステムに関する指針は1999年策定、2019年7月1日改正の経緯があります）。

品質管理との違いと目的

品質管理（QC）が「規格・仕様への適合確認（検査・試験）を通じた事後的な検出」に重心があるのに対し、品質リスク管理は「限られた企業資源を、どのリスクに優先配分するか」を意思決定し、未然防止に寄せる仕組みです。

重要なのは、リスク対応には必ずコストが伴い、対応コストの増加とリスク低減が比例するとは限らない点です。そのため、どこまで対策するか（どこから先は過剰品質・過剰統制になるか）を、費用対効果の観点も含めて整理し、経営判断に結び付けます。

GMP・QMSでの位置づけ

ICH Q9とGMPの考え方

ICH Q9は、医薬品における品質リスクマネジメントの国際的ガイドラインとして、リスクの特定・分析・評価、コントロール、コミュニケーション、レビューの流れを整理しています。実務で重要なのは、形式的なチェックシート処理に陥らず、客観的な実績データや科学的検証結果を評価の根拠として使うことです。

リスク評価で収集すべき資料は、後から「なぜそう判断したのか」を説明できる粒度で揃えます。参照情報として、次のような資料群を初期段階から組み込むと、主観評価の混入を抑えられます。

ISO 13485と医療機器QMS

ISO 13485は医療機器に特化したQMS規格で、設計開発から調達・製造・保管・配送・据付・修理等を対象に、リスクベースアプローチでプロセス管理を求めます。ここでいうリスクベースアプローチは、「一律に厳格化する」のではなく、患者安全・法令適合・製品性能への影響度に応じて、管理の深さ（要件、記録、承認、検証）を設計する考え方です。

また、複数拠点・多拠点の運用では、品質リスク管理の評価軸が拠点ごとにブレると、同一製品でも判断が割れ、逸脱・変更の扱いが不整合になります。この点は、安全衛生領域のOSHMS指針が2019年7月1日の改正で、同一法人の複数事業場を一つの単位として運用できることを明記したのと同様に、品質領域でも「本社が基準を定め、各拠点が同一基準で運用する」設計が実務上有効です。

品質リスクの特定と評価

製品・変更起点で洗い出す

品質リスクの特定は、製品・工程・供給網の「変化点」を起点に、何が変わり、何が壊れ得るかを構造的に洗い出すところから始めます。4M（人・設備・材料・方法）を変更起点にして、逸脱・苦情・監査所見などの実績データを必ず突合し、推測を減らします。

また、洗い出しは「通常時」だけでなく、特別な出来事（重大事故・重大苦情・重篤な健康被害など）をトリガーとして扱う設計が重要です。安全衛生分野では「生死にかかわる、極度の苦痛を伴う、または永久労働不能となる後遺障害を残す」ような出来事がある場合、評価を強く判定する運用が示されていますが、品質分野でも同様に、重大ハームが想定されるシグナルは通常のスコアリングから切り離し、即時エスカレーションの対象にすべきです。

重症度と発生可能性を定義

重症度（Severity）と発生可能性（Likelihood）の尺度は、評価者の「感覚」ではなく、社内で共有できる定義として事前に固定します。重症度は、患者・使用者への危害、法令違反、回収や供給停止に至る可能性を含めて段階定義し、発生可能性は実績データ（不良率、逸脱頻度、苦情件数など）に接続して定義します。

特別な出来事が発生している場合は、スコアがどうであれ優先順位を引き上げるルールを用意しておくと、評価の抜けを減らせます。安全衛生分野の運用例では、特別な出来事がある場合に総合評価を「強」と判断する枠組みが示されていますが、品質領域でも「重篤ハームの示唆がある場合は高重症度として扱う」など、例外処理（ガードレール）を文書化しておくことが実務上のポイントです。

苦情・逸脱・監査所見のどのデータを初期評価に使うか

初期評価で重要なのは、「使いやすいデータ」ではなく「説明責任を支えるデータ」を優先することです。外部シグナルである苦情は市場実害に直結し、内部シグナルである逸脱は工程の脆弱性を示し、監査所見はシステム欠陥を浮き彫りにします。これらを同一ハザード軸で紐付け、相互関連を見ます。

また、評価時に参照するデータは、二次加工データだけでなく生データ（実測値）まで遡れる形で確保します。加えて、検査成績書・試験記録等の「記録データ」について、転記誤りや書換え等の品質問題が疑われる場合は、データ信頼性そのものがリスク要因になるため、リスク評価の前提条件として明示します。

評価手法と意思決定

リスクマトリックス設計の要点

リスクマトリックスは、発生可能性×影響度（重症度）の2軸で、優先順位と対応水準を整理するための道具です。設計上の要点は、(1) 受容基準（許容範囲）を事前に定義すること、(2) 各セルの意味を「対応要否」や「承認レベル」と結び付けること、(3) スコアが順序尺度であり掛け算で損失額が算出できるわけではない限界を明示することです。

参照情報の整理では、許容範囲は質的・量的に比較され、経営者の判断により決定されること、また「コントロール適用前のグロスリスク」と「コントロール適用後の残存リスク」を区別して扱うことが示されています。マトリックスは、この2段階（前後）を比較できる設計にしておくと、対策の有効性レビューに直結します。

FMEAとHACCPの使い分け

FMEAは、部品・工程ステップ単位で故障モードを網羅し、原因と影響を積み上げるボトムアップの分析に向きます。工程改善や設計変更の妥当性確認で有用です。一方HACCPは、工程全体のハザード（生物的・化学的・物理的）をトップダウンで分析し、重要管理点（CCP）を定めて逸脱を検知・制御する枠組みに強みがあります。

実務上は「ツールの選好」ではなく、「どの情報を根拠に意思決定するか」で選びます。たとえば、汚染や混入のように検査成績書・試験記録だけでは安全性の説明が弱い領域は、工程管理点（CCP）とモニタリングデータを中心に据える方が説明責任を満たしやすくなります。

残留リスクを受容できる線引きは誰が決めるか

低減策後に残る残存リスクの受容可否は、現場担当者ではなく、事業目標の達成に責任を負う経営者が最終的に決めるべき事項です。参照情報でも、許容範囲の設定は企業資源配分と結び付いた経営戦略上の意思決定であり、経営者の役割であることが示されています。

また、残存リスクは「コントロールのデザインの有効度を考慮した後に残存するリスク」と整理され、許容範囲を超える場合は追加対応が必要になります。ただし、対応を無限に追加・強化するとコストが膨張し、費用と効果が比例しない局面があるため、受容可否の判断は「コストだけ」でも「安全だけ」でもなく、根拠データに基づくバランス判断として文書化します。

品質リスク管理の運用

低減・回避・受容とCAPA連携

対応方針は、回避・低減・受容に加え、必要に応じて転化（保険・外部委託等）も含めて設計します。参照情報では、リスク対応は一般に「回避、低減、転化、受容」に大別され、さらに1つのリスクに複数の対応が用意され得る（組合せてリスクコントロールと呼ぶ）と整理されています。

CAPA（是正措置・予防措置）は、単発の手直しではなく、再発防止と予防の観点で根本原因へ踏み込む仕組みです。リスク低減策（インターロック、二重確認、工程条件の追加管理など）を実装したら、グロスリスク→残存リスクへの低減が意図どおりかを再評価し、二次リスク（新たな手順負荷による逸脱増など）がないかも同時に検証します。

逸脱・変更管理へ統合する

品質リスク管理を形骸化させない要点は、逸脱管理・変更管理の入口で「同じ物差し」でトリアージ（優先度選定）することです。参照情報でも、トリアージ担当は発生事象の優先順位を決め、判断できない場合は上位層へエスカレーションすると整理されています。品質領域でも、初動（隔離・出荷判断・追加試験・回収判断の要否）をリスクに応じて標準化します。

変更管理では、変更前にリスク評価を行い、必要な検証・承認・移行計画を決めます。特に「100個の課題を洗い出してもすべてに対策できない」前提に立ち、優先順位付けの指標（重要度、緊急度、難易度、効果、コスト、時間など）を定義して、過度に厳密な算出に時間を溶かさない運用が実務に合います。

指標・監査・報告で見直す

有効性の維持には、指標監視・内部監査・マネジメントレビューで、評価と実態の乖離を定期的に是正する必要があります。安全衛生分野でも、リスクアセスメントに加えて「リスク検証」「監査報告」といった確認プロセスが示されており、品質分野でも同様に「評価して終わり」にしない設計が重要です。

また、内部統制の観点では、見積りや評価の誤りを防ぐために、根拠資料に基づく評価を上長が確認のうえ承認するといった統制が有用とされています。品質リスクでも、重要評価（回収可能性がある、法令違反懸念がある等）は、承認ルートとレビュー観点を固定し、恣意的判断を抑えます。

変更前評価で止めるべき案件と事後フォローで足りる案件の分かれ目

変更前に止めるべきか、事後フォローで足りるかは、(1) 安全性・法令適合・バリデーションへの影響の大きさ、(2) 不適合が起きた場合の検出可能性、(3) 影響が拠点横断で拡大するか（多拠点・多製品への波及）で決めます。

特に、同一法人で複数拠点を一単位として運用する考え方（2019年7月1日改正のOSHMS指針で明記）を採る場合、ある拠点の変更が他拠点へ展開される設計になっていることが多く、横展開前の評価で止めるべき案件が増えます。逆に、品質に影響しない事務手順の改訂等は、事後の記録確認で足りる場合があります。

組織定着とデジタル活用

役割分担と教育を設計する

品質リスク管理を定着させるには、役割（誰が評価し、誰が承認し、誰が監視するか）と力量（教育・訓練）の設計が必要です。実務では、評価の客観性を担保するために、必要資料の収集とレビュー責任を明確にします。

教育は、条文や規格の座学だけでなく、実データでの演習が効果的です。参照情報にある収集資料（生データ、監査報告書、業務メール等）を教材化し、「なぜその評価が5ではなく4なのか」に説明できるロジックを持たせる訓練を行うと、主観依存を減らせます。

デジタルで可視化と連携を進める

デジタル化の狙いは、単なる電子化ではなく「評価根拠と意思決定のトレーサビリティ（追跡可能性）」の確保です。リスクレジスター、逸脱、変更、CAPA、監査所見を分断したままだと、同一ハザードが別案件として重複処理され、重要シグナルの見落としにつながります。

参照情報にあるような資料群（生データ、指示書、監査報告書、共有フォルダのデータ等）を、案件と紐付けて検索・再利用できる形に整えると、評価の再現性が上がります。特に、生データまで遡れる状態を保つことは、スコアの妥当性だけでなく、データ信頼性に関するコンプライアンス上の説明にも寄与します。

経営・品質保証・製造・法務で評価が食い違うときの合意形成手順

評価が食い違う場面では、声の大きさではなく、根拠資料と受容基準に基づいて合意形成します。参照情報のトリアージ概念にならい、判断不能な場合は上位層へエスカレーションするルールを明確にし、決定の遅延そのものがリスクにならない設計にします。

よくある質問

品質リスクの具体例にはどのようなものがありますか？

品質リスクは、製造プロセスの汚染・混入や規格逸脱だけでなく、「評価の前提となるデータの信頼性が揺らぐ」こと自体も含みます。参照情報でも、リスク評価で収集すべき資料として、生データに加え、検査成績書・試験記録等のデータ（書換えられた虚偽データの存在可能性を含む）が挙げられています。

品質リスク管理をゼロから導入する場合、何から始めますか？

ゼロから導入する場合は、対象範囲を絞って「評価→対策→検証→監査→報告」の一連を回し、型を作ります。参照情報では、運用プロセスとして「(1) リスクアセスメント」「(3) リスク検証」「(6) 監査報告」といった確認ステップが示されており、まずはこの流れをパイロット対象で実装するのが現実的です。

中小企業でも使いやすい品質リスク評価の方法はありますか？

中小企業では、厳密さよりも「継続できる運用」が優先されます。参照情報でも、100個の課題をすべて対策するのは非現実であり、優先順位付けのためにマトリクスで整理する考え方が示されています。まずは評価軸と判定ロジックを簡素に固定し、根拠データ（苦情・逸脱・生データ）に基づいて説明できる状態を作ることが有効です。

評価結果はどの程度まで文書化すべきですか？

文書化は「監査に見せるため」ではなく、後から意思決定の妥当性を説明するために行います。参照情報にある内部統制の例でも、見積りの妥当性について根拠資料を基に評価し、上長が確認のうえ承認することが有用とされています。品質リスクでも同様に、重要判断ほど根拠資料と承認履歴を厚く残します。

まとめ：品質リスク管理への対応で次にすべきこと

品質リスク管理は、ライフサイクル全体を対象に、根拠データで「発生可能性」と「重症度」を評価し、コントロール設計からレビューまでつなげる点に実務上の核があります。判断の軸としては、グロスリスクと残存リスクを区別し、受容基準（許容範囲）と承認者を事前に固定して、逸脱・変更・CAPAへ同じ物差しで統合することが重要です。まずはパイロット対象を絞り、「評価→対策→検証→監査→報告」の流れを回しながら、必要資料（生データ等）と承認履歴を案件単位で紐付けて追跡可能に整備します。複数拠点運用を想定する場合は、2019年7月1日改正で示されたような「本社基準で同一単位として運用する」発想を踏まえ、評価軸のブレを抑える設計が次の論点になります。個別案件の受容可否や法令適合の判断は影響が大きいため、経営・品質保証・法務／コンプライアンスを交えて、必要に応じて専門家へ相談しつつ進めてください。

Baseconnect株式会社
サイト運営会社

本メディアは、「企業が経営リスクを正しく知り、素早く動けるように」という想いから、Baseconnect株式会社が運営しています。

当社は、日本最大級の法人データベース「Musubu」において国内1200万件超の企業情報を掲げ、企業の変化の兆しを捉える情報基盤を整備しています。

加えて、与信管理・コンプライアンスチェック・法人確認を支援する「Riskdog」では、年間20億件のリスク情報をAI処理、日々4000以上のニュース媒体を自動取得、1.8億件のデータベース等を活用し、取引先の倒産・不正等の兆候の早期把握を支援しています。

運営会社情報ページへ