GMPリスクマネジメントの進め方｜ICH Q9改正と査察対応の要件を確認

品質リスクマネジメント（ICH Q9/国内ガイドライン）をGMP体制にどう組み込み、査察・監査対応や安定供給リスクの低減に結びつけるかで、判断が止まっている現場は少なくありません。形式的な評価表づくりに寄ると、一次データと意思決定のつながりが説明できず、逸脱・変更・CAPAの判断が分断されて実務上の手戻りや対応遅れが起こり得ます。とくに2023年改正の趣旨を踏まえると、主観性・バイアスの低減や形式性の調整を、PQSの運用ルールとして具体化することが課題になります。以下では、GMP判断の材料として品質リスクマネジメントの位置づけ・改正要点・実装手順を示します。

GMPと品質リスクマネジメント

ICH Q9とGMPの関係を押さえる

品質リスクマネジメント（Quality Risk Management）は、GMPの意思決定（何を重点管理し、何を簡素化できるか）を科学的根拠とデータで支える枠組みです。GMPは要求事項が多岐にわたり、すべてを同じ粒度で管理すると、限られた人員・時間・設備稼働の中で重要管理点（患者影響が大きい箇所）への集中が難しくなります。そのため、重要工程や重要要素の特定、監視・検証の強度の設定、変更時の影響評価などを、リスクに基づいて合理化します。

品質リスクマネジメントを「運用できる形」にするには、リスク評価の前提となる情報（生の測定値、試験記録、工程・組織の実態、過去の監査・通報など）をそろえ、後から第三者（査察官・監査人）が検証できる状態にしておくことが重要です。

これらの資料がそろっていると、例えば環境モニタリングや設備適格性評価（Qualification）で「どこまでやるか」を、勘や慣習ではなく、データに基づき説明しやすくなります。品質リスクマネジメントはGMPと相反するものではなく、GMPの要求を満たしつつ、重点配分を合理化する意思決定ツールとして位置づけます。

品質管理との違いと導入目的

品質リスクマネジメントの導入目的は、完成品の試験検査に偏った「事後検知」から、工程・システムで不具合を起こしにくくする「未然防止」へ重心を移すことです。品質管理（QC）は規格適合の確認に不可欠ですが、試験で拾えないばらつき、突発要因、サプライチェーン由来の変動などは、工程設計・管理・変更判断の段階で潰す必要があります。

また、実務上は「品質リスクマネジメント」だけを整備しても足りず、発生後の対応（危機管理）や対外説明（危機管理広報）と接続して初めて機能します。品質不良や供給問題は、発生時点での損失最小化と、発生前の予防が不可分で、境界線を一律に引きにくいためです。

品質リスクマネジメントは「責任追及」ではなく原因追及の姿勢で運用しないと、逸脱の過少申告やデータの後追い整合が起き、結果として患者リスクが高まります。評価・判断のプロセスを文書化し、PQSの中で再利用できる形（CAPA、変更管理、レビュー）にしておくことが導入効果を最大化します。

ガイドライン改正の要点

国内ガイドラインと通知の位置づけ

国内では、品質リスクマネジメントはGMPの運用要件を具体化するガイドライン・通知等によって実務に落とし込まれます。企業としては「何を整備すれば適合性調査（査察）で説明できるか」を、通知・要領等が示す観点に沿って、手順書・記録・レビューに反映する必要があります。

特に、リスク評価は「評価表があるか」ではなく、一次データと意思決定のつながり（なぜその重要度で、その検証範囲なのか）が確認されやすい領域です。データの信頼性（真正性）に疑義があると、評価の結論全体が否定され得るため、監査・査察対応では、収集すべき資料（生データ、試験記録、指図書、組織情報、内部監査報告書、業務メール等）を根拠として提示できる管理が重要になります。

また、品質システムの説明では、リスク管理だけでなく、発生時の危機管理、対外説明（危機管理広報）まで含めて整合していることが、結果的に当局・顧客対応の混乱を減らします。3つの管理は相互に関連し、同時に整備することで効果を発揮します。

2023年改正の背景と変更点

改正動向の理解では、形式的なリスク評価（テンプレートの穴埋め）から脱し、主観性・バイアスの低減と形式性（formalness）の調整を明確に意識することが実務上の要点になります。リスク評価は見積りである以上、不確実性や主観性が入り得るため、相対的に虚偽表示や恣意的判断が生じやすい領域だという前提で、評価の透明性を上げる必要があります。

具体的には、データが十分な領域は定量的に、データが薄い領域は仮定と不確実性を明記しつつ定性的に進め、追加データの収集計画と更新ルール（再評価の条件）をセットにします。

形式性をどこまで上げるかを決める基準

形式性（どこまで厳密に、どこまで詳細なツールで評価するか）は、患者影響と不確実性の大きさに応じて決めます。高い形式性を常に求めると、重要な意思決定が遅れ、逆に患者リスクを高める場合があります。一方で、簡素化しすぎると「なぜそれで十分か」を説明できず、査察・監査で否認されやすくなります。

実務上は、リスクの洗い出しをMECE（漏れなく・重複なく）に整理し、原因（真因）に踏み込めているかを確認した上で、評価粒度を決めると運用が安定します。

この判断を支える材料として、組織図・職務分掌・シフト表などの実態情報（誰が、いつ、どの工程を担うか）や、作業手順・指図書の整備状況を併せて確認しておくと、工程逸脱やヒューマンエラーのリスクを過小評価しにくくなります。

GMPでの適用範囲とPQS

医薬品ライフサイクルでの適用場面

品質リスクマネジメントは、開発、技術移転、商用製造、市販後、回収・終売までのライフサイクルで連続的に適用します。特に市販後は、品質情報・供給情報・設備保全情報など、断片情報を統合し、次の意思決定に反映することが重要です。

実務でリスク評価を「更新できる状態」に保つには、製造所内の情報だけでなく、契約・仕様・発注・納品などの取引情報、サプライヤー・CMOとの合意文書も、リスクの入力として管理します。

こうした情報がそろっていると、例えば物流逸脱や供給遅延が起きた際に、品質への影響評価を「誰が・どの根拠で」行ったかを追跡でき、更新型の運用（見直しと改善）に移行しやすくなります。

PQSと品質リスクマネジメントの接続

品質リスクマネジメントは、PQS（医薬品品質システム）の各プロセスの意思決定を一貫させるための共通言語として接続します。接続が弱いと、変更管理では慎重でもCAPAでは甘い、といった判断のブレが生じます。

とくにデータ・インテグリティ上の論点は、リスク評価の信頼性を左右します。生データ、試験記録、メール・共有フォルダ等の意思決定痕跡がつながる状態にしておくと、査察時の対話が「形式」から「根拠」に移ります。

安定供給リスクを品質リスクとして扱う判断線

安定供給は事業継続の論点であると同時に、患者影響（治療中断、代替治療への切替）に直結し得るため、品質リスクの枠内で扱う判断が必要です。ここで重要なのは、供給リスクを「品質と別枠」にすると、変更管理・逸脱管理・回収判断などの意思決定が分断され、対応が遅れる点です。

供給途絶の芽を早期に捉えるには、現場の生情報と外部情報を組み合わせる「情報収集システム」の整備が有効です。環境変化（悪化の予兆を含む）をつかみ、仮説を立てて実行し、検証して精度を上げる仮説型PDCAとして回します。

この整理により、安定供給の検討が「担当者の経験」ではなく、品質システムの一部として監査可能な形になります。

品質リスクマネジメントの進め方

リスクアセスメントの手順と評価軸

リスクアセスメントは、ハザードの特定、分析、評価を、事前に定義した手順と評価軸で進めます。実務では、評価軸を設けること自体よりも、評価に使った情報（生データ、記録、現場情報）と仮定を明示して、判断の再現性を確保することが重要です。

この際、リスク評価の入力として「生データ」「試験記録」「メール等の意思決定痕跡」「内部監査報告書」まで含めておくと、後からの検証が容易になり、査察での説明責任にも直結します。

FMEA・FTA・HACCPの使い分け

ツールは目的に応じて使い分け、形式性を上げるべき場面で過不足ない分析を行います。重要なのは、ツール名の選択ではなく、原因の掘り下げ（真因）と、対策がGMPの運用（変更・逸脱・監視）に実装されていることです。

評価の根拠としては、作業指示書・業務マニュアル、シフト表（人の配置）、現場の生データ、過去の内部監査報告書など、実態を示す資料を紐づけておくと、ツールの結果が「机上」に留まりにくくなります。

リスク受容とコントロールの決め方

リスクコントロールでは、受容基準と対策選定の根拠を明確にし、残留リスクを確認します。ここでも、対策の選択が「経験則」だけになると、後から説明が崩れやすいので、データと文書で裏づけます。

この整理により、CAPAや変更管理で「なぜその対策が妥当か」を、監査可能な形で説明できます。

データ不足と主観性が強い案件で評価を止めない進め方

データが薄い案件ほど、評価を止めずに進めるための運用設計が重要です。不確実性が高い領域は、見積りに主観が入りやすく、相対的に虚偽表示が生じやすいという前提で、透明性を上げます。

この「仮説型PDCA」は、環境変化が大きい局面ほど有効で、意思決定の遅れ（不作為リスク）を抑える観点でも実務的です。

GMP運用への組み込み

逸脱・変更・CAPAに組み込む方法

逸脱・変更・CAPAは、品質リスクマネジメントを「机上の評価」から「運用の意思決定」へ落とす主戦場です。ポイントは、各プロセスのゲート（受付、分類、調査深度決定、対策承認、効果確認）に、リスクに基づく判断基準と根拠資料を組み込み、属人性を減らすことです。

「責任追及でなく原因追及」の姿勢を前提にすると、逸脱の報告が早まり、結果として品質と供給の双方のリスク低減につながります。

開発・技術移管での活用ポイント

開発・技術移管では、装置スケール、操作性、作業者熟練度、設備差・環境差などにより、品質のばらつき要因が増えます。移管の成否は、移管前に「何が変わるか」を可視化し、検証の重点を合意できるかに大きく依存します。

これらを根拠に、共同リスクアセスメントで不確実性を抽出し、パイロット試験や追加モニタリングを「必要な範囲に絞って」計画できるようにします。

査察対応と継続的改善

査察で見られる説明責任と対話

査察では、リスク評価の結果そのものよりも、判断に至った根拠とプロセスの再現性が問われます。形式的なシートだけではなく、一次データや意思決定の痕跡まで含めて「説明できる状態」にしておくことが重要です。

また、査察官の指摘に対しては、慣例ではなく、データとガイドラインの趣旨に基づく対話が求われます。判断の「形式性をなぜそのレベルにしたか」「残留リスクをなぜ受容できるとしたか」を、日常的に記録しておくことが対話の前提になります。

データレビューで安定供給につなげる

データレビュー（製品品質照査、傾向分析、設備保全記録のレビュー等）は、品質不良の未然防止だけでなく、製造停止・供給途絶の予兆検知にも直結します。重要なのは、勘ではなく「数字とデータ」をもとに検証と改善を繰り返す運用にすることです。

さらに、契約書・仕様書・納品実績などの調達情報も合わせてレビューすると、品質変動と供給変動を分断せずに把握でき、サプライチェーンの脆弱性補強につながります。

体制整備と教育で運用を定着させる

手順を整備しても、現場が「評価のための評価」に陥ると形骸化します。定着の鍵は、リスク評価を回すための情報収集（現場の生情報を押さえる仕組み）と、原因追及を重視する文化・教育です。

このように、データと文化の両輪で運用を支えることで、品質リスクマネジメントが査察対応のための書類ではなく、日々のGMP判断の標準として機能します。

よくある質問

小規模な製造所でもICH Q9に沿う必要はありますか？

製造所の規模にかかわらず、品質リスクマネジメントの考え方に沿った運用は必要です。ただし、小規模拠点で大規模拠点と同水準の「形式性」を常に求めると、運用が破綻しやすいため、リスクの重大性と不確実性に応じて評価の深さを調整します。

実務上は、少人数でも回せるように、評価入力を軽量化しつつ根拠は確保します。

品質リスクアセスメントはどの頻度で見直すべきですか？

品質リスクアセスメントは、変更・逸脱・重大なトレンド変化など「前提が動いたとき」に見直す設計が基本です。加えて、環境変化の予兆をつかむための運用として、情報収集と検証を回す「仮説型PDCA」を組み込み、必要なタイミングで更新できる状態にしておきます。

FMEAはすべての工程に適用しないといけませんか？

すべての工程に一律でFMEAを適用する必要はありません。重要なのは、患者影響が大きい領域や不確実性が高い領域で、真因に迫れるレベルの分析を選ぶことです。

簡易工程では、チェックリスト型の評価で十分な場合がありますが、その場合でも「なぜ簡易でよいか」を裏づける資料（作業指示書、実績データ、生データの傾向など）を残しておくと、査察での説明が容易になります。

変更管理と品質リスクマネジメントはどう整理しますか？

変更管理は業務プロセス（申請・評価・承認・実行・効果確認）の枠組みであり、品質リスクマネジメントはその中の意思決定を科学的に支える手段として整理します。つまり、変更管理の各ゲートで「何を根拠に」「どの程度の検証をするか」を決めるエンジンがリスク評価です。

品質リスクマネジメントへの対応で次にすべきこと

GMPに品質リスクマネジメントを組み込む際は、ICH Q9の考え方を「評価表」ではなく、一次データと意思決定のつながりが追える運用としてPQSに接続することが要点になります。2023年改正の趣旨に沿って、主観性・バイアスを下げるための仮定・不確実性の明記と、形式性を上げ下げする基準を、変更管理・逸脱・CAPAの各ゲートに埋め込むと判断のブレを抑えやすくなります。実装では、生データ、試験記録、業務メール等の意思決定痕跡、内部監査報告書などを根拠資料として紐づけ、後から第三者が検証できる状態を整えることが査察対応にも直結します。次アクションとして、まずは自社のPQS（変更管理・CAPA・監査計画・文書管理）で「どの判断がリスク評価に依存しているか」を棚卸しし、必要資料と承認権限（職務分掌）を確認してください。個別の製品・工程・委託形態によって適切な形式性や受容基準は変わるため、最終的な設計や是正は品質保証・薬事・法務等の関係部門や専門家とすり合わせて進めるのが安全です。

Baseconnect株式会社
サイト運営会社

本メディアは、「企業が経営リスクを正しく知り、素早く動けるように」という想いから、Baseconnect株式会社が運営しています。

当社は、日本最大級の法人データベース「Musubu」において国内1200万件超の企業情報を掲げ、企業の変化の兆しを捉える情報基盤を整備しています。

加えて、与信管理・コンプライアンスチェック・法人確認を支援する「Riskdog」では、年間20億件のリスク情報をAI処理、日々4000以上のニュース媒体を自動取得、1.8億件のデータベース等を活用し、取引先の倒産・不正等の兆候の早期把握を支援しています。

運営会社情報ページへ