2026.08.25

QMSリスクマネジメント｜ISO 14971とISO 13485の実務運用

経営リスクナビ編集部

医療機器QMSにおけるリスクマネジメントは、ISO 14971やISO 13485に整合させて構築したつもりでも、変更管理・CAPA・苦情処理と分断したままでは「記録はあるが運用が回っていない」状態に陥りがちです。放置すると、監査での重大不適合だけでなく、回収判断や訴訟対応の局面で、受容判断の根拠や残存リスクの説明が崩れ、是正負荷が一気に増えます。さらに、JISマーク表示を含む表示管理の逸脱は、産業標準化法の枠組みで法人に1億円以下の罰金が科され得る点も踏まえ、QMS内での位置付けを早期に固める必要があります。以下では、医療機器QMSの判断材料としてリスクの定義・範囲と、ISO 14971を前提にした実務手順・文書化の要点を示します。

QMSリスクマネジメントの位置付け
- 医療機器QMSでの定義と目的
- 患者安全と企業リスクの対象範囲
ISO 13485とISO 14971の関係
医療機器のリスク管理プロセス
リスク評価とコントロール
QMS運用との連携ポイント
QMS導入と監査対応の実務
よくある質問
医療機器QMSにおけるリスクマネジメントへの対応で次にすべきこと

QMSリスクマネジメントの位置付け

医療機器QMSでの定義と目的

医療機器QMSにおけるリスクマネジメントは、製品の安全性・性能をライフサイクル全体で担保するための中核プロセスとして位置付けます。ここでいう「リスク」は、単なる「危険」や「事故確率」ではなく、ISO 31000が示すとおり「目的に対する不確かさの影響」（期待から好ましい／好ましくない方向に乖離すること）として捉えるのが実務上有益です。すなわち、医療機器の目的（患者アウトカム、診断・治療の成立、法規制適合、事業継続など）に対して、不確かさがどう影響し得るかを体系的に扱います。

また、リスクマネジメントは「不具合が出たら対応する」活動ではなく、企画・設計開発・製造・流通・据付・保守サービス・市販後監視（PMS）・廃棄までを通じて、ハザード（危害の潜在的な源）を特定し、リスクを分析・評価し、必要なリスクコントロールを設計し、残存リスクを含めて意思決定する枠組みです。重要な前提として、リスク対応を講じても残存リスクをゼロにすることはできない（リスク回避でない限りゼロ化は不可能）ため、「ゼロに近づける／ゼロの方向に低減する」ことと、受容可能性の説明可能性（監査・訴訟・リコール局面でも崩れない根拠）を両立させる設計が必要です。

患者安全と企業リスクの対象範囲

医療機器のリスクマネジメントは、患者安全の確保に直結する一方で、企業側のコンプライアンス・財務・ブランド・事業継続の観点にも波及します。ISO 31000の注記が示すように、目的は財務、安全衛生、環境など複数の側面を持ち得るため、QMS内では「患者安全」を最優先に据えつつ、企業目的への影響も同じ枠組みで見える化しておくと、経営判断（回収判断、出荷停止、設計変更の投資判断）が一貫します。

観点	目的（例）	不確かさの影響としてのリスク例
患者・使用者	危害の防止、診断治療の成立	誤使用・誤認による不適切使用、保守不良による性能劣化
医療従事者	作業安全、感染・感電等の回避	手技中の曝露、洗浄消毒プロセスの逸脱
環境	汚染防止、廃棄適正	化学物質・生物由来汚染、廃棄時の拡散
経営・戦略	市場投入、ブランド維持	商品開発や投入時期の失敗、株主代表訴訟等
財務	資金繰り、損失最小化	賠償・回収コスト、取引先倒産（貸倒れ）
労務	法令遵守、労務トラブル抑制	過重労働、労災、残業代不払い等
コンプライアンス	違法行為防止、規格・認証維持	虚偽表示、知財侵害、独占禁止法違反、認証取消リスク
事故・過失・犯罪	業務継続、情報保全	設備故障・停電、情報漏えい、横領・詐欺等

医療機器メーカーで意識すべきリスクの例（ISO 31000の目的概念を踏まえた整理）

加えて、規格・認証の運用面のリスクも無視できません。にあるとおり、製品がJIS/ISO等の認証を受けている場合、重大不適合により認証取消や認証機関からの是正処置要求につながり得ます。特にJISマーク表示に関しては、産業標準化法に基づき、一定の違反では従業員等への刑事罰に加え法人に1億円以下の罰金が科され得る旨が明記されているため、表示管理や変更管理を含めた統制が重要です。

ISO 13485とISO 14971の関係

主な国際規格と薬機法の整理

ISO 13485は医療機器に特化したQMS要求事項を、ISO 14971は医療機器のリスクマネジメントの要求事項（手順・成果物・意思決定）を、それぞれ規定します。両者の関係は「QMSの器（13485）」の中に「リスクマネジメントの実装手順（14971）」を組み込み、設計・購買・製造・市販後まで一貫して回る状態を作ることにあります。

また、リスクという語を曖昧にせず、ISO 31000の定義である「目的に対する不確かさの影響」を補助線として持つと、薬機法対応（安全性・有効性・品質の説明）と、企業側の目的（ブランド毀損回避、損失抑制、事業継続）を同じ言葉で接続できます。実務上は、ISO 14971のリスクマネジメントファイルを「製品安全の根拠ファイル」として閉じず、QMS上の変更管理・CAPA・苦情処理・教育訓練・文書管理に連動させ、目的逸脱の兆候（苦情増加、工程逸脱、サプライヤー不安定化等）をリスクプロファイルとして継続更新します。

ISO 9001との違いと接点

ISO 13485はISO 9001の枠組みに親和性がある一方で、医療機器では「改善」よりも「規制適合と安全性の維持」が前面に出ます。ここでいうリスクも、単に製造不良の確率の話に閉じず、ISO 31000の注記が示すように目的が多面的であることを踏まえ、品質目的（適合製品の継続供給）だけでなく、安全衛生、環境、財務などへの影響を統合的に評価するのが、医療機器のQMS運用では現実的です。

ISO 9001ベース運用に対してISO 13485で追加的に効いてくる観点

規制要件と患者安全を最上位目的として、受容可能性の判断根拠を記録し続けること
リスクは「目的に対する不確かさの影響」として、好ましい／好ましくない乖離の両面を意識して扱うこと
リスク対応をしても残存リスクはゼロ化できない前提で、残存リスクの受容判断と根拠を残すこと

日本・米国・EUで変わる要求の分かれ目と共通化すべき文書

各国規制の細部は異なりますが、実務で最もコスト差を生むのは「当局・認証機関に説明できる一貫した記録」が揃っているかです。ここで有効なのが、リスク評価で収集した情報全体をリスク評価（リスクプロファイリング）として集計し、リスクシートやリスクマトリクス（リスクマップ）で可視化する運用です。リスク評価は「認識→大きさ測定→コントロール対象設定→コントロール設計・適用」という手順で進め、集計表（リスクシート）にまとめるのが一般的です。

グローバル共通の基本文書として整備しておくとよい成果物

リスクマネジメント計画とリスクシート（評価の前提、尺度、データソース、判断者を固定化）
リスクマトリクス（発生可能性×影響度の2軸にマッピングし相対的重要度も把握）
グロスリスク（対策前）と残存リスク（対策後）の分解結果（対応状況を視覚的に説明）
設計履歴ファイル（DHF）内の設計インプット／アウトプットとリスクコントロールのトレーサビリティ

この共通文書が整っていると、地域ごとに様式が違っても、当局・認証機関が最終的に確認したい「なぜその設計・警告・工程管理でよいのか」という説明の芯を揺らさずに済みます。

医療機器のリスク管理プロセス

設計から市販後までの流れ

医療機器のリスクマネジメントは、設計開発の一過性イベントではなく、ライフサイクルを通じて回す継続プロセスです。実務では、リスクを洗い出して終わりではなく、リスク評価で得た情報を継続的に収集・更新し（リスクプロファイリング）、変更や市販後情報に応じて「評価→コントロール→再評価」を循環させます。

ライフサイクルでの基本ループ（リスク評価プロセスに整合）

リスクの認識としてハザードと危害シナリオを特定し、リスクシートの対象を定義します。
リスクの大きさを測定し、発生可能性と影響度合を前提尺度に基づき見積もります。
リスクコントロール対象を設定し、優先度と対策方針（設計・防護・情報提供）を決めます。
リスクコントロールを設計・適用し、グロスリスクと残存リスクに分けて対応状況を整理します。
苦情・PMS・製造逸脱・変更管理の入力で再評価し、リスクマネジメントファイルを更新します。

ハザード特定とリスク分析の進め方

ハザード特定では、機器の特性（物理・化学・電気・生物など）を列挙するだけでなく、「どのようなイベント連鎖で危害に至るか」をシナリオ化し、リスク評価に必要な情報を収集します。この「情報収集作業全体」はの表現ではリスク評価（リスクプロファイリング）であり、結果はリスクシート等の集計表に落とし込みます。

リスクの可視化には、のとおり発生可能性と影響度合を縦横2軸にしたリスクマトリクス（リスクマップ）が有効です。さらに、対策前後でグロスリスクと残存リスクに分解しておくと、現時点での大きさと対応状況を一枚で説明しやすくなり、監査・回収判断・経営会議での意思決定の速度が上がります。

使用環境・想定外使用・サービス保守で見落としやすいハザードの洗い出し方

見落としを減らす鍵は、「設計者の想定（理想条件）」から離れて、現場で起こり得る不確かさを目的（安全な使用、期待性能の維持、適合製品供給）に照らして拾うことです。ISO 31000の注記1が示す「期待からの乖離」という見方を当てはめると、誤使用や保守逸脱は「まさに期待からの乖離を生む要因」として構造的に洗い出せます。

洗い出しで意識する不確かさ（期待からの乖離）

使用環境の変動（電源品質、温湿度、振動、清浄度）が性能や安全機能に与える影響
合理的に予見可能な誤使用（手順省略、誤認、疲労、経験差）による危害シナリオ
サービス保守での逸脱（非正規部材、手順未遵守、分解清掃時の感電・汚染）
サプライチェーンや内部不正を含む内部リスク（過失・犯罪・情報漏えい等）

なお、にはデジタル機器の隔離・保全の注意点として「電源をONのまま隔離を続けると削除データの上書きやログローテーションが起こり得る」「EDR導入時は保全要否と手順を確認する」といった記述があります。医療機器でも、ソフトウェアログや監査証跡が安全性評価・苦情調査の根拠になる場合があるため、インシデント調査時には「ログが消える／変わる」という不確かさを前提に、保全手順をQMS内で明確化しておくことが実務上の再発防止につながります。

リスク評価とコントロール

受容基準とリスク評価の決め方

リスク受容基準は、個人の感覚でぶれないよう、組織として事前に定めます。の整理に沿えば、リスク評価は「認識→大きさ測定→コントロール対象設定→コントロール設計・適用」で進むため、受容基準は少なくとも「大きさ測定」と「コントロール対象設定」を機械的に接続できる形（リスクシートに落とせる形）であることが必要です。

受容基準設計で監査耐性を上げる観点

リスクマトリクス（発生可能性×影響度合）の定義と、各セルの判断ルールを文書化します。
リスクは対策前のグロスリスクと、対策後の残存リスクに分けて評価し、対応状況を説明可能にします。
リスク対応をしても残存リスクはゼロにならない前提を明記し、ゼロ化ではなく低減と受容の論理で運用します。

設計対策と情報提供の優先順位

リスクコントロールは、情報提供に寄せすぎると「現場任せ」になり、期待された使用からの乖離（ISO 31000の注記1でいう期待との差）を増やしてしまいます。したがって、実務上は優先順位を固定し、リスクシート上で「どの順位の対策を採ったか」「なぜ上位対策が採れなかったか」を説明できる形にします。

リスクコントロールの優先順位（意思決定を記録に落とす）

本質的安全設計（ハザードの除去・無害化）を最優先します。
防護措置・保護手段（ガード、インターロック、アラーム等）で次善策を講じます。
残存リスクに対してのみ情報提供（警告、表示、IFU、トレーニング）を適用します。

受容不可と判断した後に設計変更へ進むか情報提供で補うかの判断基準

受容不可のリスクに対し、情報提供だけで「受容可能に見せる」運用は、監査でも訴訟でも脆弱です。が強調する「リスク回避でない限り残存リスクはゼロにできない」という前提に立つと、情報提供は残存リスクの低減・注意喚起の一手段であって、受容不可を帳消しにする道具ではありません。

受容不可後の実務判断で最低限守る線引き

受容不可の判定がある限り、原則として設計変更または上位のコントロール（本質安全設計・防護措置）を検討します。
上位対策が困難で情報提供を採る場合でも、残存リスクの性質と、なぜ他の選択肢が採れないのかをリスクシートに根拠として残します。
受容判断は「ゼロ化」ではなく、低減の到達点と目的（患者安全・性能・規制適合）に対する説明可能性で決めます。

QMS運用との連携ポイント

CAPA・苦情・PMSとのつなぎ方

苦情処理・PMS・CAPAは、リスクマネジメントファイルを最新に保つための入力チャネルです。の枠組み（リスク評価＝情報収集作業全体）に沿えば、市販後情報は「評価のやり直し」ではなく、リスクプロファイルの更新として日常的に取り込む設計が重要です。

苦情・PMSからCAPA・リスクファイル更新までの最小手順

苦情・不具合・安全性情報を受領したら、該当製品のリスクシート上のハザード／危害シナリオに紐づけます。
発生可能性や影響度合の見積りが現状と乖離していないかを確認し、必要ならリスクマトリクス上の位置づけを見直します。
コントロールが不足している場合はCAPAを起動し、原因究明と是正・予防を設計／工程／教育に反映します。
対策後はグロスリスクと残存リスクを再整理し、受容判断と根拠を更新します。

DMR・DHRと文書化の結び方

リスクマネジメントの決定事項は、QMS文書の「どこに実装され、どこで証跡化されるか」を明確にする必要があります。が示すように、リスク評価は集計表（リスクシート）にまとめられることが多いため、リスクシートの対策番号・要求事項を、DMR（製品標準書）とDHR（製造記録）へ落とす設計が有効です。

文書チェーンでの結び方（例）

リスクシートの対策要求をDMRの仕様・図面・検査規格・ラベル/IFU要求に反映します。
DHRには、DMRで定めた検査・バリデーション・工程内管理が実施された証跡を残します。
監査では、リスクシート→DMR→DHRの追跡で「リスク低減が現場実装されている」ことを説明します。

設計変更・工程変更・サプライヤー変更時に誰が何を再評価するか

変更管理は、目的（安全な使用、性能維持、適合供給）に対する不確かさを増やし得るイベントであるため、リスク評価プロセス（認識→測定→コントロール対象→コントロール設計・適用）に戻って再評価します。特にサプライチェーン変更は、の分類でいう「内部リスク（過失・事故・犯罪等を含む）」にも接続し得るため、品質だけでなく不正・情報漏えい・業務継続も含めた観点を外さないことが実務的です。

変更時に再評価する観点（責任分担の例）

起案者は変更点・影響範囲・想定される目的逸脱（期待からの乖離）を整理します。
設計開発はハザード／危害シナリオとリスクマトリクス上の位置づけの変化を再評価します。
品質保証はリスクシート更新、検証計画、DMR/DHRへの反映、承認記録の整合を確認します。
購買・サプライヤー管理は供給安定、工程能力、内部不正や情報取扱い等の内部リスクを含め評価します。

QMS導入と監査対応の実務

監査で問われる記録と不適合例

監査では、リスクマネジメントが「作ったか」ではなく、の言い方でいう情報収集作業全体（リスクプロファイリング）が回っているか、そしてリスクシート等の集計表が変更・市販後情報で更新されているかが見られます。リスクマトリクスで多数のリスクを同一図表に載せ、相対的重要度を示せる状態にしておくと、説明の一貫性が上がります。

監査で整合性を見られやすいポイント

リスクシートの評価（発生可能性・影響度合）と、苦情・工程逸脱・変更履歴の実態が矛盾していないこと
グロスリスクと残存リスクの分解があり、対策後の状態が説明できること
リスクコントロールの設計・適用の証跡がDMR/DHRや手順書に落ちていること

中小規模メーカーの導入手順

中小規模では、複雑な仕組みを一度に作るより、のプロセスに沿って「評価の型」を先に固定する方が破綻しにくいです。とくに、リスク評価は情報収集作業全体であるため、入力（苦情、製造データ、変更）を受けてリスクシートを更新する運用を最初から組み込みます。

段階導入の現実的ステップ（リスク評価プロセスに合わせる）

目的（安全性・性能・規制適合・事業継続）を明文化し、ISO 31000の「目的に対する不確かさの影響」としてリスクを定義します。
リスクの認識として、既知トラブルや類似品情報からハザード候補を集め、リスクシートの雛形を作ります。
発生可能性×影響度合のリスクマトリクスを定義し、重要度の相対比較ができる状態にします。
グロスリスク／残存リスクの分解を標準化し、対策適用後の説明テンプレートを作ります。
苦情・PMS・変更管理からリスクシート更新へ必ず流れる運用（担当と期限）を決めます。

監査直前に破綻しやすい『リスクファイルと実運用の不一致』の典型例

監査直前に露呈しやすいのは、リスクシート（机上）と現場記録（実運用）の乖離です。が示す「リスクシート等の集計表」「リスクマトリクスでの可視化」を採っている場合、乖離は数値や位置づけの矛盾として表面化します。

不一致が起きる典型パターン（監査で刺さりやすい）

リスクシート上は対策済（残存リスク低）だが、DMRの検査規格や製造手順に対策が反映されていない
苦情や工程トラブルが増えているのに、発生可能性の見積りが初期設定のまま更新されていない
グロスリスクと残存リスクの整理がなく、対策後の状態が「何がどう下がったのか」説明できない

この種の破綻を避けるには、内部監査でリスクシート、DMR/DHR、苦情・変更履歴を定期的に突合し、「情報収集作業全体（リスクプロファイリング）」が回っている状態を作り続けることが重要です。

よくある質問

ISO 14971の手順書には何が必要ですか？

ISO 14971に整合する手順書は、単なる章立てではなく、のいうリスク評価プロセス（認識→大きさ測定→コントロール対象設定→コントロール設計・適用）を、QMSの実装として回せる形で規定する必要があります。

手順書に最低限含めたい要素（実装観点）

リスクの定義をISO 31000の「目的に対する不確かさの影響」と接続し、目的（安全性・性能・規制適合等）を明確化します。
リスクシート（集計表）の作り方、データソース、判断者、更新トリガー（苦情・変更・CAPA）を規定します。
リスクマトリクス（発生可能性×影響度合）の定義と、グロスリスク／残存リスクの分解ルールを明文化します。
リスクコントロールの優先順位（本質安全設計→防護→情報提供）と、検証・妥当性確認の記録要求を定めます。

リスク受容基準は数値化が必要ですか？

数値化そのものが目的ではなく、再現性と説明可能性が目的です。リスクマトリクスは発生可能性と影響度合を2次元に配置してリスクの大小や相対的重要度を示すためのツールなので、少なくとも「同じ入力なら同じ結論になる」尺度定義が必要になります。

数値化・半定量化を検討する際の実務ポイント

リスクマトリクスにマッピングできるよう、発生可能性と影響度合の尺度を定義します。
多数のリスクを同一マトリクスに載せ、重要度を相対比較できるようにします。
対策前後でグロスリスク／残存リスクを分け、どの情報が結論を動かしたか追跡可能にします。

専任者を置けない場合はどうしますか？

専任配置が難しい場合でも、役割分担を明確にして運用できます。ポイントは、リスク評価が「情報収集作業全体（リスクプロファイリング）」である以上、入力（苦情、変更、逸脱）を握る部門を巻き込み、更新が止まらない体制にすることです。

兼任体制で破綻しにくくする設計

品質保証または設計開発の責任者が統括し、苦情・PMS・変更管理の窓口とリスクシート更新責任を連結します。
リスクシートとリスクマトリクスの更新トリガーをルール化し、属人化を減らします。
内部監査でリスクシートと現場記録（DMR/DHR、苦情、CAPA）の突合を定例化します。

リスクマネジメントファイルはDHFとどう紐づけますか？

リスクマネジメントファイルは、DHFの設計インプット／アウトプット／検証の流れに対して、リスクシートの要求（リスクコントロール）をトレースできる形で紐づけます。にあるとおり、リスク評価情報はリスクシート等に集約されることが多いため、この集計表を「設計文書群への索引」として使うと、監査で説明が通りやすくなります。

トレーサビリティの作り方（例）

リスクシートの各対策に、対応する設計アウトプット（仕様、図面、ソフト要件）と検証記録を紐づけます。
リスクマトリクス上の位置づけ（グロスリスク→残存リスク）と、DHF内の試験・評価結果を対応づけます。
設計変更時は、リスクシート更新とDHF更新が同時に起きる運用（変更番号で結合）にします。

医療機器QMSにおけるリスクマネジメントへの対応で次にすべきこと

医療機器QMSのリスクマネジメントは、ISO 14971の手順・成果物を「ファイル作成」に留めず、ISO 13485の変更管理・苦情処理・CAPA・文書体系（DMR/DHR、DHF）へ確実に結線することが判断の軸になります。実務では、リスクの定義をISO 31000の「目的に対する不確かさの影響」に揃えたうえで、リスクシートとリスクマトリクスを中心に、グロスリスク／残存リスクの分解と受容判断の根拠を継続更新できる形にしておくことが重要です。規格・認証の運用面では、重大不適合が認証取消につながり得る点に加え、JISマーク表示等の逸脱が産業標準化法の枠組みで法人に1億円以下の罰金となり得る点も踏まえ、表示管理・変更管理の統制を点検対象に含めます。次アクションとしては、まず自社のリスクシートが苦情・PMS・変更履歴で更新されているか、リスクシート→DMR→DHRの証跡連鎖が監査で追えるかを内部監査で突合し、不明確な役割分担や更新トリガーは品質保証・法務/薬事・設計開発で合意して明文化します。個別案件の受容判断や回収判断は状況依存となるため、必要に応じて社内の責任者と専門家へ相談し、説明可能性が崩れない形で意思決定を残すことが前提になります。