2026.09.05

ISO13485リスクマネジメント｜14971連携と査察対応の実装手順

経営リスクナビ編集部

ISO 13485（JIS Q 13485）のリスクベースアプローチを、ISO 14971に基づく製品リスクマネジメントやQMS省令対応、PMDA査察の観点まで含めて整理したいものの、「どこまでをRMFで、どこからをQMSの管理濃淡で扱うべきか」が曖昧なまま運用が回っているケースがあります。放置すると、設計変更後にRMFが追随しない整合不足や、データ真正性への疑義を起点に、是正処置要求や認証面の不利益へ波及し得ます。たとえば産業標準化法では、一定の場合に1億円以下の罰金が科され得る旨も示されており、表示・認証・文書の整合性は品質だけでなくコンプライアンス上の論点としても無視できません。以下では、統合の判断材料として役割分担・接点・運用の落とし込み手順を示します。

ISO 13485の位置づけ
- ISO 13485の要求の要所
- リスクベースアプローチの意味
ISO 14971との役割分担
- ISO 14971とJIS T 14971の役割
- QMS省令とJIS Q 13485の対応
医療機器リスクマネジメント
設計開発と製造プロセス
残留リスクと市販後監視
査察対応と実装の進め方
よくある質問
ISO 13485の判断に必要な要点

ISO 13485の位置づけ

ISO 13485の要求の要所

ISO 13485は、医療機器のライフサイクル全体における品質マネジメントシステム（QMS）を規定する国際規格であり、組織が「規制要求事項を満たす製品を一貫して提供できる」ことを、文書化と記録（客観的証拠）で示す枠組みです。単に品質の良い製品を作るだけでなく、設計開発・購買・製造・市販後フィードバックといったプロセスを、承認された手順に従って再現可能に運用し、逸脱があれば是正できる統治（ガバナンス）を求めます。

また、QMSの運用は「品質」だけで完結せず、不正リスク（データ書換え等）や、規格・仕様の軽視が引き起こすコンプライアンスリスクも含めて管理対象になります。品質データ偽装事案では、原因として「仕様・規格に合致する製品を製造できる技術力・工程能力の不足」「不正を行いやすい環境」「仕様や規格を軽視する風潮」が指摘されており、ISO 13485の要求（手順順守、記録、内部監査、是正処置）が機能しているかが再発防止の土台になります。

実務上「要所」として押さえるべき管理点

文書化された手順に基づき運用し、逸脱・例外を「なかったこと」にしないこと（記録と承認の一貫性を確保します）。
不適合品の隔離、原因究明、是正処置（CAPA）を、再発防止につながるレベルで回すこと（不正の温床を作らない設計にします）。
生データ（実測値）と試験記録等の真正性を担保し、監査証跡を残すこと（後から説明できないデータはリスクになります）。
内部監査や過去のコンプライアンス違反・内部通報事例も参照し、仕組みの弱点を継続的に補強すること（「風土」も管理対象です）。

リスクベースアプローチの意味

リスクベースアプローチとは、QMSを構成する各プロセス（設計、購買、製造、教育訓練、ソフトウェアのバリデーション等）について、製品・患者安全への影響や不正・逸脱が起きたときの影響に応じて、管理の深さ・頻度・承認レベルに差をつける考え方です。限られた資源を、影響が大きい領域に優先配分することで、実効性と効率を両立させます。

リスク評価は、金額等の完全な定量基準だけで回し切れないことが多く、定性的基準を併用する運用が現実的です。その場合でも、評価者の主観に偏らないよう、複数人でのレビュー（グループワーク）や、基準適用の根拠記録をセットにすることが重要です。また、発生可能性の見積りでは、過去頻度を基準に「数年に1回程度の発生」から「月次での発生」までのレンジで扱う考え方が示されており、QMSの管理強度（監視頻度、二重チェック、監査サンプリングの深さ等）へ落とし込む際の共通言語になります。

リスクベースで「管理の濃淡」を付ける典型例

重要工程・重要部品は、工程能力・変更時影響が大きいため、承認権限・検証・監視を厚くします。
不正リスクが高い領域（試験記録・検査成績書等）は、生データ保全、改ざん抑止、監査証跡確認を厚くします。
発生頻度が高い（例：月次レベルで起きる）不具合は、原因の傾向分析と対策優先度を上げます。
影響が軽微で発生頻度も低い（例：数年に1回程度）事象は、簡素化しつつ根拠記録を残します。

ISO 14971との役割分担

ISO 14971とJIS T 14971の役割

ISO 14971およびJIS T 14971は、医療機器の「製品安全（患者・使用者の安全）」に焦点を当て、リスクマネジメントの具体的プロセスを規定する規格です。ISO 13485が「組織の仕組み」を規定するのに対し、ISO 14971は「製品ごとのハザード特定、リスク評価、リスクコントロール、残留リスク評価、市販後情報のフィードバック」を、設計・製造・市販後まで一貫して運用するための中心軸になります。

実務では、QMSのリスクベースアプローチ（管理の濃淡）と、製品リスクマネジメント（安全リスクの評価・コントロール）は混同しやすいですが、役割は分けて考えると運用が安定します。特に不正や仕様軽視が絡む局面では、製品リスクだけでなく「記録の真正性」「工程能力」「不正を行いやすい環境」といった組織リスクが、結果的に安全リスクへつながります。したがって、ISO 14971のアウトプット（RMF）を、ISO 13485の各プロセス（設計変更、購買先管理、CAPA、内部監査）へ埋め込むことが要点です。

13485と14971の典型的な役割分担（運用観点）

ISO 13485：誰が承認し、どの記録を残し、どの頻度で監査し、逸脱時にどう是正するかを決めます。
ISO 14971：どのハザードを想定し、どのリスク低減策が必要で、残留リスクをどう判断するかを決めます。
両者の接点：設計入力・検証計画・変更管理・苦情処理・CAPAにRMFの要求事項と更新トリガーを組み込みます。

QMS省令とJIS Q 13485の対応

QMS省令とJIS Q 13485は、日本の薬機法下のQMS要求と国際規格の整合を図る関係にあり、実務では「JIS Q 13485で仕組みを作り、QMS省令の国内固有要求を上乗せする」理解が整理しやすいです。元記事のとおり、令和3年の省令改正により整合が進んだ一方で、日本固有の要求（責任者の配置、記録保管、行政報告等）が残る点は運用上の注意点になります。

ここで見落としやすいのは、規格適合が「審査に通る」だけでなく、不正や逸脱が発生した場合の法的・認証上の波及も含むという点です。一般論として、JISやISOなどの認証を取得している場合、不適切な運用があれば認証取消しや是正処置要求につながり得ます。さらにJISマーク表示に関しては、無認証での表示や、主務大臣による表示除去・抹消または販売停止命令に違反した場合、産業標準化法に基づき、従業員等への刑事罰に加え、法人に対して1億円以下の罰金が科され得る旨が示されています（産業標準化法第34条、産業標準化法第36条、産業標準化法第78条、産業標準化法第81条）。医療機器分野でも、表示・認証・文書の整合性が崩れると、品質問題にとどまらずコンプライアンス問題として拡大し得るため、QMS省令対応は「法規制対応」として扱う必要があります。

加えて、産業標準化法は旧工業標準化法の改正に伴い2019年7月1日に改称された経緯があり、品質データ偽装によるJISマーク認証取消し事案の続発が改正の背景として挙げられています。この経緯は、医療機器QMSでもデータ完全性（真正性）を重視する文脈として参考になります。

医療機器リスクマネジメント

全体プロセスとライフサイクル

医療機器のリスクマネジメントは、構想から設計、検証、製造、市販後監視、廃棄までの全ライフサイクルで循環させる必要があります。設計時点のリスク評価は仮説に基づく部分が残るため、市販後に得られる苦情・不具合・サービスレポート等を取り込み、想定の妥当性を継続的に検証する運用が不可欠です。

また、リスク評価では完全な定量化が難しい局面があり、定性的基準を併用する場合が多いとされています。その場合、主観の偏りを抑えるため、複数評価者の関与（グループワーク、レビュー）や、測定基準の適用根拠を記録する工夫が必要です。発生可能性の見積りでは、過去頻度を基準に「数年に1回程度」から「月次」までのレンジで扱う考え方が示されており、市販後監視で得られる頻度データが、設計時仮説の更新根拠になります。

全体プロセスを運用に落とす最小ステップ

リスクマネジメント計画で、適用範囲・役割責任・判定基準・情報収集方法・更新ルールを決めます。
ハザード特定とリスク評価を行い、根拠（データ、前提、評価者、レビュー結果）を記録します。
リスクコントロールを設計入力へ落とし込み、検証計画で「効いていること」を確認します。
残留リスクの受容可否を判断し、全体としての残留リスクも含めて報告書化します。
市販後情報（苦情、サービス、監督当局情報等）を定期照査し、頻度が仮説を外れたら再評価します。

計画とファイルの構成

リスクマネジメントを査察・審査に耐える形で実装するには、リスクマネジメント計画とリスクマネジメントファイル（RMF）を「作って終わり」にせず、更新トリガーが明確な運用品質文書として維持する必要があります。特に、データの真正性が疑われると、個別の試験結果が正しくても全体の信頼性が損なわれます。そのため、RMFは技術文書であると同時に、監査証跡の束として設計することが重要です。

参照情報として示されている「収集すべき資料のリスト」は、品質データ偽装等の不正リスク対応の観点で、RMFとQMSの連携点を具体化するのに有用です。医療機器でも、試験記録・検査成績書の裏取りや、職務分掌・人員体制、メール等のプロセス証跡が、原因究明やデータ完全性評価に直結します。

RMFと連動して整備・保全しておくと説明力が上がる資料例

生データ（実測値等）と、試験記録・検査成績書等の結果データ（両者の関係を追える形で保管します）。
仕様書、発注書、請書、納品書、基本契約書（覚書含む）など、外部委託・購買の証跡。
検査項目の指示書、作業指示書、業務マニュアルなど、現場が参照した手順類。
組織図・職務分掌、人員の変遷、シフト表、工場・研究所図面など、体制と環境の証跡。
過去の内部監査報告書、関連する過去のコンプライアンス違反・内部通報事例。
業務上のメール、スケジューラー、共有フォルダ上のデータ（意思決定・指示の追跡性）。

リスク受容基準は製品共通にせず、クラス・使用目的・患者影響で分ける判断軸

リスク受容基準を全製品で単一化すると、患者影響が大きい製品で管理が甘くなるか、逆に低侵襲製品で過剰管理になり、いずれもQMSの実効性を損ねます。したがって、クラス分類、使用目的、患者への臨床影響（危害の重大性）を踏まえて、製品群または製品単位で受容基準・判断プロセスを分ける運用が合理的です。

このとき、定性的基準を併用する運用が多い一方で、主観による偏りを抑える工夫が重要だとされています。具体的には、複数評価者でのレビュー、基準適用の根拠記録、過去頻度（数年に1回〜月次）に基づく発生可能性の説明を組み込みます。経営者や品質保証責任者は、評価結果そのものだけでなく、「客観性確保の仕組みが働いているか」も含めてマネジメントレビュー等で確認する視点が必要です。

判断軸	見るポイント	QMSに落とす先
クラス分類	危害の重大性・許容度の考え方が変わる	承認権限、レビュー頻度、検証の深さ
使用目的・使用環境	誤使用の起こりやすさ、使用者の熟練度	ユーザビリティ活動、ラベリング、教育
患者影響（臨床）	ベネフィット・リスクの論点が変わる	残留リスクの受容判断、臨床評価との整合
発生可能性の見積り根拠	過去頻度（数年に1回〜月次）など	市販後監視のKPI、トレンド分析の運用

受容基準を分けるときの判断軸（例：運用設計の観点）

設計開発と製造プロセス

リスク分析とリスク評価の実務

リスク分析・評価では、ハザードの漏れを防ぎ、評価の再現性を確保するために、複数の手法と複数の評価者を前提に運用します。参照情報でも、定性的基準を併用する場合には「主観による偏りをできる限り除く」ことが重要であり、グループワークやレビューによる複数評価者の関与、測定基準適用の根拠記録が必要とされています。医療機器の安全設計は、個人の経験則だけに依存すると、合理的に予見可能な誤使用や、部品故障が引き起こす危険状態の連鎖の見落としが起きやすいためです。

リスク評価の客観性を上げる運用上の工夫

発生可能性は過去頻度を基準に説明し、発生レンジ（数年に1回程度〜月次）を共通言語として用います。
定性的評価を使う場合でも、尺度定義（例：影響の定義）と適用根拠を記録し、後から説明可能にします。
グループワークで評価し、設計・製造・品質・法規制など複数の観点を同席させます。
経営者・品質保証責任者は、評価結果だけでなく「客観性確保の仕組み」が働いているかを確認します。

設計開発への統合方法

リスクマネジメントを設計開発へ統合する際は、後追いで文書を合わせるのではなく、設計入力にリスクコントロール要求を埋め込み、設計出力・検証・変更管理まで貫通させます。特にソフトウェアや複雑なシステムでは、設計と検証の後段で整合を取ろうとすると、試験記録や仕様書、変更記録の間に矛盾が発生しやすく、査察で「仕組みが機能していない」と評価される原因になります。

また、不正リスクの観点では「仕様・規格を軽視する風潮」や「不正を行いやすい環境」が原因として指摘されています。設計入力にリスクコントロールを明確に落とし込み、レビューと承認を経て確定させることは、技術的妥当性だけでなく、恣意的な後修正やデータ書換えを起こしにくいプロセス設計としても意味があります。

設計開発に統合するための文書・記録のつなぎ方

ハザード分析の結果を、設計入力（要求仕様）へ「リスクコントロール要求」として変換します。
設計出力（図面、ソフト仕様、製造指図等）に、要求が実装された証拠（設計根拠）を残します。
検証計画で、各リスクコントロールが有効であることを確認する試験・評価を定義します。
設計レビューで、RMF・設計入力・検証計画の整合を確認し、根拠と判断を議事録化します。
変更管理で、影響評価とRMF更新を「完了条件」に組み込み、未更新のままリリースしない運用にします。

製造プロセスと購買管理への適用

リスクベースアプローチは、設計だけでなく製造・購買にも適用し、工程能力の不足や外部委託先管理不備が安全リスクへ直結することを前提に管理を組み立てます。参照情報でも、品質データ偽装事案の原因として「仕様・規格に合致する製品を製造できる技術力・工程能力の不足」が挙げられており、工程設計・工程監視・力量管理の弱さが不正や逸脱の誘因になり得ます。

購買管理では、契約書・仕様書・発注書・請書・納品書等の証跡を揃えることが、後日のトレーサビリティだけでなく、変更・逸脱時の責任分界と是正措置の実効性を高めます。これは参照情報の「収集すべき資料のリスト」にも具体例として挙げられています。

製造・購買における「リスクに応じた管理」の具体化

重要工程は、工程能力不足が不適合・不正の誘因になり得るため、監視・レビュー・変更管理を厚くします。
外部供給品は、仕様書と取引文書（発注書、請書、納品書等）を揃え、変更時の影響評価と承認を明確化します。
検査指示書・作業指示書・業務マニュアルを現場運用に紐づけ、逸脱が起きた場合に追跡できる状態にします。

設計レビューで誰が何を持ち寄るか――RMF・設計入力・検証計画の突合せ手順

設計レビューの目的は、帳尻合わせではなく、RMF（リスクマネジメントファイル）に基づく安全要求が、設計入力→設計出力→検証で一貫して実装・確認されていることを部門横断で確認することです。評価の客観性確保には、参照情報でも示されているとおり、複数評価者の関与（レビュー）が有効であり、設計レビューはその中核イベントになります。

突合せレビューの実務手順（部門別の持ち物を明確化）

設計担当が、最新の設計入力（要求仕様）と変更履歴を提示します。
リスクマネジメント担当が、RMFのハザード一覧・リスクコントロール要求・残留リスク判断根拠を提示します。
品質保証が、検証計画・試験記録・生データの所在（追跡方法）を提示し、客観的証拠として成立しているか確認します。
法規制担当が、ラベリング・添付文書・規制要求事項との整合、および市販後情報の反映状況を提示します。
レビュー結果として、基準適用の根拠と意思決定（採否、追加試験、変更要求）を議事録に残します。

残留リスクと市販後監視

リスクコントロールの優先順位

リスクコントロールの優先順位は、警告表示に逃げず、工学的対策を優先するという観点で運用上の重要ルールになります。医療機器では「安全情報」だけでなく、設計・保護措置・情報提供の組合せで合理的にリスク低減する必要があり、レビューでは「なぜその順序になったか」を説明できることが求められます。

加えて、仕様・規格を軽視する風潮が不正の原因として指摘されている点からも、工学的対策の検討を尽くさず、文書上の注意喚起のみで済ませる運用は、組織風土としてもリスクが高いといえます。リスク低減の検討過程をRMFに残し、設計レビューで検証計画と突合せることが、実務上の防波堤になります。

優先順位運用でレビューが見るポイント

本質安全設計（ハザードの除去・低減）を検討した証拠があるか。
保護措置を採った場合、その有効性を検証で確認しているか。
安全情報（ラベル・IFU等）に依存する場合、残留リスクとしての説明と、誤使用を含む情報設計が妥当か。

残留リスクと市販後監視の連携

残留リスク評価は固定値ではなく、市販後監視で得られる頻度・傾向のデータで更新し続ける必要があります。参照情報では、発生可能性の見積りに過去頻度（数年に1回〜月次）を用いることが多いとされており、市販後の苦情・サービスデータは、この頻度見積りの根拠として重要です。

運用上は、苦情・クレーム情報の管理を単独の処理で終わらせず、RMFのリスク評価（発生可能性の更新、危害の見直し、リスクコントロールの追加要否）へ接続します。頻度が想定より上振れした場合、設計変更やフィールドアクションの検討を含め、意思決定の根拠を記録しておくことが査察対応力になります。

市販後情報をRMFへ戻すときに最低限記録する要素

発生頻度の観測値と、設計時の前提（数年に1回想定か、月次想定か等）との差分。
事象の影響（危害の内容）と、使用条件・誤使用の関与の有無。
既存のリスクコントロールが機能したか（または回避されたか）と、その根拠資料。
更新判断（RMF改訂の要否、設計変更・安全情報改訂・CAPAの要否）と承認記録。

苦情・CAPA・変更管理のどこでRMFを見直すか――再評価が必要になる典型パターン

RMFの見直しは、苦情処理・CAPA・変更管理と連動させ、再評価が必要な典型パターンを手順上で明確化します。参照情報にあるとおり、品質不正の背景には「不正を行いやすい環境」もあり、更新が属人化すると「未更新のまま放置」が起きやすくなります。再評価トリガーをプロセスに埋め込むことが、文書の死文化と整合不良の防止策になります。

再評価トリガーの典型（手順書に落とし込む単位）

苦情トリアージで、新しい使用エラーや想定外の使用条件が判明した場合はRMFを再分析します。
CAPAで是正処置（回路・ソフト修正等）を実施する場合は、対策が新たなハザードを生まないか再評価します。
変更管理で部品変更・供給者変更を行う場合は、仕様書・取引文書（発注書、納品書等）とRMFの整合を確認します。
データ完全性に疑義（生データと記録の不整合等）が生じた場合は、評価根拠の妥当性から見直します。

査察対応と実装の進め方

PMDA査察とISO審査の着眼点

PMDAの適合性調査やISO審査では、手順書の有無よりも、リスク管理を含むプロセスが「実際に回っているか」、記録が「信頼できるか」、変更時に「整合が保たれているか」が重視されます。特に不正リスクの観点では、試験記録等の書換え（虚偽データ）の存在を疑われると、個別製品の安全性評価だけでなくQMS全体の信頼性が揺らぎます。

参照情報の「収集すべき資料のリスト」にあるとおり、真正性の確認は試験記録単体では足りず、生データ、指示書、組織体制、メール等のプロセス証跡まで含めた説明が必要になる場面があります。査察前の場当たり的な整備ではなく、日常運用として監査証跡が残る設計にしておくことが重要です。

査察・審査で説明力が落ちやすいポイント（予防的チェック）

生データと報告書・試験記録のつながりが説明できず、根拠の追跡が途切れている。
設計変更後に、RMF・設計入力・検証計画のいずれかが未更新で整合が崩れている。
役割責任（職務分掌）と承認権限が不明確で、「誰が判断したか」が追えない。

誤使用とソフトウェア対応

誤使用（合理的に予見可能な誤使用）とソフトウェアは、設計上のリスクとして体系的に扱う必要があります。誤使用は「注意書きで回避する」だけでは不十分になりやすく、設計・ユーザビリティ・教育・情報提供の組合せでコントロールします。ソフトウェアは、変更が頻繁で、意図しない影響（回帰不具合）が発生しやすいため、変更管理と検証計画への組込みが要点です。

また、不正リスクの観点では、試験記録や検査成績書のようなデータが扱われる工程で「不正を行いやすい環境」があると、結果的にソフトウェア検証やユーザビリティ評価の信頼性も損なわれます。生データの保全や監査証跡を含むデータ完全性の設計は、ソフトウェア領域でも同様に重要です。

誤使用・ソフトウェアをQMSへ落とすときの実務ポイント

誤使用は、人間工学的な観点のレビューを設計レビューに組み込み、設計対策を優先して検討します。
ソフトウェア変更は、影響評価と回帰検証を変更管理の必須項目にし、RMF更新とセットで完了させます。
試験記録の真正性を担保するため、生データと結果の追跡性、改ざん抑止、監査証跡を運用に組み込みます。

査察で止まりやすいのは文書不足より整合不足――設計変更後にRMFが追随しない失敗例

査察で指摘されやすいのは、文書の「量」より、文書間の「整合」です。典型例として、設計図面や変更申請書は改訂されているのに、RMFが未更新のまま放置され、検証計画のテスト範囲とリスク評価範囲がずれる失敗があります。これは、更新が属人化し「不正を行いやすい環境」を温存し得る点でもリスクが高い運用です。

参照情報の観点では、問題発生時に収集すべき資料として、仕様書や取引文書、指示書、組織図・職務分掌、メール等が挙げられています。整合不足が起きたときに、これらの証跡が揃っていないと、原因究明と再発防止が弱くなり、結果として是正処置要求や認証面での不利益（是正処置要求、認証取消しリスク）につながり得ます。

整合不足を防ぐ「完了条件」設計（チェック観点）

変更管理の完了条件に、RMF更新と設計入力・検証計画の改訂整合を明記します。
生データ、試験記録、指示書、承認記録の所在が一貫して追える状態を要求します。
外部供給品変更では、仕様書・発注書・納品書等の証跡と影響評価をセットで保管します。

よくある質問

ISO 13485ではどの条文で求められますか？

ISO 13485:2016のリスクベースアプローチ／リスク思考の要求は、単一条文に閉じず、QMS全体に分散しています。元記事で挙げられているとおり、システム全体の管理濃淡に関わる箇条4.1.2、製品実現計画の箇条7.1、設計開発の箇条7.3、購買の箇条7.4.1、是正措置の箇条8.5.2などが中核になります。

実務上は、条文の読み取りだけでなく、評価の客観性確保（複数評価者のレビュー、根拠記録）が運用に組み込まれているかが重要です。定性的基準を併用する場合、主観の偏りを抑える工夫が必要であり、発生可能性の根拠として過去頻度（数年に1回程度〜月次）を用いる考え方は、内部監査やマネジメントレビューでの説明力を上げます。

ISO 14971の導入は必須ですか？

ISO 13485の条文がISO 14971の採用を名指しで義務付けているわけではありませんが、医療機器の製品安全を説明する標準的枠組みとして、実務上はISO 14971（日本ではJIS T 14971）に沿った説明が最も通りやすい運用になります。特に、査察・審査で問われるのは「リスク評価の一貫性」と「市販後を含む更新」なので、RMFの構造と更新トリガーが明確な14971ベースは、組織内の共通言語として有効です。

さらに、規格・仕様の軽視や不正が原因として指摘されている点を踏まえると、国際的に合意された枠組みに沿って、評価根拠（生データ、レビュー記録等）を残す運用は、データ完全性と説明責任の両面で合理的です。

最低限必要な文書は何ですか？

最低限必要な文書は、製品リスクマネジメント（RMF）に関する一式に加え、評価根拠の真正性を支える周辺資料まで含めて「追跡可能」に整えることが重要です。参照情報では、問題対応時に収集すべき資料として、生データ、試験記録等、契約・発注関連、指示書、組織体制、内部監査報告、メール等が具体的に挙げられており、医療機器でも説明力を上げる観点で同様に有用です。

最低限セットとして整備し、更新し続ける文書（運用単位）

リスクマネジメント方針（全社）と手順書（更新トリガー、役割責任、承認を明確化します）。
製品別のリスクマネジメント計画書（判定基準、情報収集、レビュー体制を明記します）。
ハザード分析・FMEA等の評価記録（根拠、評価者、レビュー結果を残します）。
リスクコントロールの設計入力化と、検証計画・試験記録（生データ含む）へのトレーサビリティ。
リスクマネジメント報告書（残留リスクの受容判断と根拠を整理します）。

リスクマネジメントファイルはどこまで連携させますか？

RMFは開発部門だけの「安全文書」ではなく、QMSの主要プロセスに接続して初めて機能します。特に、苦情・CAPA・変更管理がRMFを素通りすると、残留リスク評価が現実と乖離し、整合不足として査察で止まりやすくなります。

参照情報の観点では、データ偽装等の不正リスクが問題化した場合、内部監査報告、職務分掌、人員体制、メール等まで含めた証跡が必要になることが示されています。したがって、RMFは設計履歴ファイル、苦情処理、CAPA、変更管理、購買先管理、内部監査と相互参照できる設計にし、必要時に「生データまで遡れる」状態を作ることが、実務上の連携の到達点になります。

ISO 13485の判断に必要な要点

ISO 13485のリスクベースアプローチは、ISO 14971の製品安全リスク評価そのものではなく、QMS各プロセスの管理強度（承認・頻度・監視・証跡）に「濃淡」を付けるための考え方として位置づけると混同が減ります。運用判断の軸は、RMF（14971）のアウトプットを設計入力・検証計画・変更管理・苦情処理・CAPAへ埋め込み、設計変更後も文書間の整合が保たれるよう「完了条件」と更新トリガーを手順に落とすことです。次アクションとしては、生データと試験記録の追跡性、設計入力とリスクコントロール要求の対応、購買・外部供給品の証跡（発注書・納品書等）を、部門横断レビューで突合せできる状態に整えると査察対応力が上がります。表示・認証・文書の不整合は品質問題にとどまらず、産業標準化法における1億円以下の罰金が示すようにコンプライアンス上の波及もあり得るため、経営層は「評価結果」だけでなく「客観性確保の仕組み」が働いているかも確認が必要です。個別製品・個別事象の受容判断や対応要否は状況依存のため、必要に応じて品質保証・法規制の専門家と相談しながら整理してください。